Cloud Security Assessment
Bewertung Ihrer Cloud-Sicherheit und Konfigurationen
Die Sicherheit Ihres Cloud-Anbieters ist nicht gleichbedeutend mit Ihrer Sicherheit
Microsoft, Amazon und Google betreiben einige der am besten geschützten Infrastrukturen der Welt. All dies sagt jedoch nichts darüber aus, wie Ihr Unternehmen diese Infrastruktur konfiguriert hat.
Im Rahmen des Modells der geteilten Verantwortung sorgt der Anbieter für die Sicherheit der Plattform. Alles, was Sie darauf aufbauen – einschließlich Identitäten und Berechtigungen, Netzwerkdesign, Speicherzugriff, Umgang mit vertraulichen Daten und Workload-Konfiguration – liegt in Ihrer Verantwortung. Genau dort liegt auch der Ursprung fast aller Cloud-Vorfälle: nicht in einer Schwachstelle der Plattform, sondern in einer Konfiguration, die für sich genommen sinnvoll war, sich jedoch in Kombination mit drei weiteren zu einem Angriffspfad entwickelte.
Bei einer Cloud-Sicherheitsbewertung wird der Bereich untersucht, für den Sie verantwortlich sind.
Die von uns bewerteten Plattformen
Die meisten Unternehmen nutzen nicht nur eine einzige Cloud. Wir bewerten Hyperscale-, europäische und private Umgebungen sowie die Verbindungen zwischen diesen.
Microsoft Azure
Abonnements, Ressourcenkonfiguration, Netzwerkdesign, Speicherung, Schlüsselverwaltung und Workload-Sicherheit.
Microsoft 365
Mandantenkonfiguration, Exchange Online, SharePoint und OneDrive – Einstellungen für Zugriff, Freigabe und Zusammenarbeit.
Entra ID
Identitäts- und Zugriffsmanagement, Rollenzuweisungen, bedingter Zugriff, Authentifizierungsmethoden und privilegierter Zugriff.
Amazon Web Services
Konten und Organisationen, IAM, Speicherung, Netzwerksegmentierung und Dienstkonfiguration.
Google Cloud Platform
Projekte und Organisationsrichtlinien, IAM, Speicher- und Netzwerkkontrollen.
StackIT
Europäische Cloud-Infrastruktur, die ebenso gründlich bewertet wurde wie die der Hyperscaler.
Container und Kubernetes
Clusterkonfiguration, Isolierung von Workloads, RBAC, Registrierungsdatenbank und Lieferkette sowie Fluchtwege vom Container zum Host oder zur Steuerungsebene.
Private und Hybrid-Cloud
Einschließlich der Verbindungen zwischen Ihrer lokalen Infrastruktur und Ihren Cloud-Mandanten.
StackIT und die europäische Cloud. Unternehmen, die ihre Workloads aus Gründen der Datenhoheit zu europäischen Anbietern verlagern, sollten dafür keine Abstriche bei der Sicherheitsgewährleistung hinnehmen müssen. Wir prüfen StackIT-Umgebungen ebenso gründlich wie Azure- oder AWS-Umgebungen.
Drei Fächer in einer Prüfung
Eine Cloud-Umgebung lässt sich nicht aus einem einzigen Blickwinkel erfassen. Bei einer Konfigurationsprüfung werden Designfehler übersehen. Bei einer Architekturprüfung wird nicht berücksichtigt, was tatsächlich bereitgestellt ist. Ein Penetrationstest ohne diese beiden Schritte verschwendet Zeit damit, die Umgebung neu zu erkunden. Wir kombinieren alle drei Aspekte in einem einzigen Projekt, wobei sich die einzelnen Schritte gegenseitig ergänzen.
- 01
Konfigurationsanalyse
Wir prüfen den aktuellen Zustand Ihrer Umgebung anhand anerkannter Benchmarks und der von den einzelnen Cloud-Anbietern veröffentlichten Sicherheitsrichtlinien: Identitäts- und Berechtigungsstrukturen, Netzwerk- und Segmentierungskontrollen, Speicherrisiken, Umfang der Protokollierung und Überwachung, Verschlüsselung und Schlüsselverwaltung sowie die Konfiguration der Workloads. Auf diese Weise lässt sich feststellen, was bereitgestellt ist und wo Abweichungen von bewährten Verfahren bestehen.
- 02
Architekturüberprüfung
Die Konfiguration zeigt Ihnen, was vorhanden ist. Die Architektur zeigt Ihnen, ob es vorhanden sein sollte. Wir prüfen, wie Ihre Umgebung aufgebaut ist: Mandanten- und Kontostruktur, Vertrauensbeziehungen, Segmentierung zwischen den Umgebungen, die Verbindungen zwischen Cloud und lokalen Systemen sowie die Lage Ihrer wertvollsten Daten im Verhältnis zu allem, was darauf zugreifen kann. Konstruktionsfehler zeigen sich nicht als Fehlkonfigurationen, und gerade diese sind später kostspielig zu beheben.
- 03
Penetrationstests auf Authentifizierungs- und Anwendungsebene
Anschließend führen wir Tests durch. Unsere Tester führen praktische Tests an der Authentifizierungsschicht und der Anwendungsschicht innerhalb Ihrer Cloud-Umgebung durch, prüfen dabei Authentifizierungs- und Autorisierungsmechanismen, versuchen, über Berechtigungs- und Rollenstrukturen eine Ausweitung von Berechtigungen zu erreichen, und verknüpfen die Ergebnisse zu Angriffspfaden, die einzelne Schwachstellen für sich genommen nicht offenbaren. An dieser Stelle hört die Bewertung auf, lediglich Ihre Umgebung zu beschreiben, und beginnt stattdessen aufzuzeigen, was jemand innerhalb dieser Umgebung tun könnte.
Das Ergebnis sind nicht drei Berichte. Es ist ein Gesamtbild: Was ist falsch konfiguriert, warum lässt das Design dies zu und wie weit könnte jemand damit kommen?
In der Cloud dringen Angreifer nicht ein. Sie melden sich an.
Cloud-Sicherheitsverletzungen beginnen selten mit der Ausnutzung einer Sicherheitslücke. Sie beginnen mit einer Identität: einem Dienstprinzipal mit mehr Berechtigungen, als sich irgendjemand daran erinnern kann, diese erteilt zu haben; einer Richtlinie für bedingten Zugriff mit einer Ausnahmeregelung, die eigentlich nur vorübergehend gelten sollte; einer veralteten Authentifizierungsmethode, die bei einem Protokoll noch immer aktiviert ist; einer Einwilligungserteilung, die niemand überprüft hat; oder einer Kette von Rollenzuweisungen, die unbemerkt zum globalen Administrator führt.
Bei jeder CREDS-Cloud-Bewertung wird dem Thema Identität besondere Aufmerksamkeit gewidmet. Wir erfassen die Berechtigungsstrukturen in Entra ID, AWS, IAM sowie GCP und IAM, suchen nach Eskalationspfaden durch Kombinationen von Rollen und Richtlinien und prüfen, ob Ihre Authentifizierungskontrollen nicht nur auf dem Papier, sondern auch in der Praxis Bestand haben.
Unsere Tester führen diese Arbeit täglich im Rahmen von red team-Projekten durch, bei denen die Identitätsprüfung in der Regel der Weg zum Ziel ist. Das gleiche Fachwissen kommt auch hier zum Tragen.
Was Ihnen Ihre Cloud-Sicherheitstools nicht verraten
Die meisten Unternehmen verfügen bereits über gewisse Einblicke: Microsoft Defender for Cloud, AWS Security Hub, Google Security Command Center oder ein CSPM-Produkt. Diese sind nützlich, und wir werden deren Funktionen nicht doppelt bereitstellen.
Was sie jedoch nicht tun, ist, Zusammenhänge aufzuzeigen. Sie bewerten Ressourcen einzeln anhand von Regeln. Sie stellen keine Verbindung zwischen einem Dienstkonto mit leicht übermäßigen Berechtigungen, einem nicht segmentierten Netzwerk und einem ungeschützten Speichercontainer her, um Ihnen zu verdeutlichen, dass diese drei Faktoren zusammen einen Weg zu Ihren Produktionsdaten eröffnen.
Das ist der Unterschied zwischen einer Liste von Befunden und einem Maßnahmenplan. Ein Scanner zeigt Ihnen, was nicht in Ordnung ist. Eine Bewertung gibt Ihnen Aufschluss darüber, was zuerst behoben werden sollte und warum.
Tools für die Cloud-Sicherheit
Eine Bewertung von CREDS
Prüft Ressourcen anhand von Regeln
Prüft, welche Möglichkeiten sich aus der Kombination dieser Ressourcen ergeben
Befunde, nach Schweregrad eingestuft
Nach nachgewiesenem Angriffspfad priorisierte Befunde
Kontinuierlich, automatisiert, regelbasiert
Tests unter realen Bedingungen unter Berücksichtigung Ihrer spezifischen Architektur
Zeigt Ihnen an, was falsch konfiguriert ist
Gibt an, was jemand erreichen könnte
Anhand welcher Kriterien wir bewerten
Tests sind nur dann vergleichbar, wenn der Maßstab dafür definiert ist. Wir bewerten anhand veröffentlichter Benchmarks, der Sicherheitsgrundlagen der einzelnen Cloud-Anbieter und Ihres eigenen Risikoprofils.
CIS-Benchmarks. Plattformspezifische Benchmarks zur Absicherung für Azure, AWS, GCP und Microsoft 365.
Sicherheitsrichtlinien für Cloud-Anbieter. Dazu gehören der Microsoft Cloud Security Benchmark, die Sicherheitssäule „Well-Architected“ von AWS sowie die Sicherheitsgrundlagen von Google Cloud.
NIST-Richtlinien. Soweit dies für die Identitätsverwaltung, die Schlüsselverwaltung und die Protokollierung relevant ist.
Ihr persönliches Risikoprofil. Die Bewertung konzentriert sich auf die Umgebungen und Daten, die für Ihr Unternehmen von Bedeutung sind, und verteilt sich nicht gleichmäßig auf alle Bereiche.
CREDS-Checklisten. Entwickelt auf der Grundlage unserer eigenen Projekte, wobei Themen behandelt werden, die in der Praxis immer wieder auftreten, jedoch bislang in keinem veröffentlichten Benchmark enthalten sind.
Eine Cloud-Umgebung verändert sich jede Woche. Ihre Bewertung sollte damit Schritt halten.
Eine punktuelle Cloud-Bewertung ist am Tag ihrer Erstellung korrekt, verliert jedoch bis zum Monatsende an Aktualität. Es werden neue Ressourcen bereitgestellt, Berechtigungen erteilt, um jemandem den Zugriff zu ermöglichen, und Ausnahmen von Richtlinien hinzugefügt, die nie wieder entfernt werden. Die Umgebung, die Sie bewertet haben, entspricht nicht mehr der Umgebung, die Sie derzeit betreiben.
Daher betrachten wir die Bewertung als Ausgangsbasis und nicht als endgültiges Ergebnis.
Die Ausgangsbeurteilung
Das umfassende Projekt: Konfigurationsanalyse, Architekturüberprüfung und praktische Penetrationstests in Ihren gesamten Cloud-Umgebungen. Dadurch wird ermittelt, wo Sie tatsächlich stehen, und es wird ein Maßnahmenplan erstellt.
Monatliche Rückblicke, unterstützt von ART
Nach der Basisbewertung führt unsere ART-Plattform monatliche Überprüfungen Ihrer Cloud-Umgebungen durch, die im Rahmen der Bewertung enthalten sind. Zwischen den vollständigen Bewertungen bedeutet dies, dass Sie Konfigurationsabweichungen bereits bei ihrem Auftreten erkennen, anstatt sie erst bei der nächsten jährlichen Überprüfung zu entdecken; neue und geänderte Ressourcen werden sofort nach ihrem Erscheinen bewertet, und die Korrekturmaßnahmen gegenüber dem Referenzzustand werden überprüft, anstatt nur davon auszugehen, dass sie durchgeführt wurden.
Der Ausgangswert gibt Ihnen Aufschluss darüber, wo Sie stehen. Die monatlichen Überprüfungen zeigen Ihnen, ob Sie sich noch immer an dieser Stelle befinden.
Die monatlichen Überprüfungen sind im Preis der Bewertung enthalten und stellen kein separates Abonnement dar.
Sie warten nicht im Dunkeln
Tägliche Start- und Stopp-Benachrichtigungen
Sie werden täglich darüber informiert, wann die Überprüfungsaktivitäten beginnen und enden, sodass Ihr Team stets weiß, ob der Datenverkehr in Ihrer Umgebung von uns oder von jemand anderem stammt.
Befunde mit hohem Risiko werden unverzüglich übermittelt
Sollten wir in Ihrer Umgebung einen schwerwiegenden Vorfall feststellen, werden Sie darüber informiert, sobald wir diesen bestätigt haben – nicht erst im Bericht.
Wir passen die Bewertung gemeinsam mit Ihnen an
Eine Bewertung ist ein zeitlich begrenzter Arbeitsaufwand, sodass stets die Entscheidung zu treffen ist, wofür die verbleibenden Stunden eingesetzt werden sollen. Sobald sich erste Erkenntnisse abzeichnen, besprechen wir gemeinsam mit Ihrem Team, worauf wir uns als Nächstes konzentrieren sollen. Eine Berechtigungsstruktur, die in einem Abonnement interessant erscheint, führt oft dazu, dass ein anderer Bereich eine eingehendere Untersuchung rechtfertigt, als ursprünglich im Plan vorgesehen war.
Was Sie erhalten
Ein Berichtsentwurf, der vor seiner endgültigen Fertigstellung erörtert wird. Damit ein Missverständnis bezüglich Ihres Umfelds ausgeräumt wird, solange noch Spielraum dafür besteht.
Der vollständige Bericht. Jedes Ergebnis, dessen Auswirkungen, die Vorgehensweise zur Reproduktion sowie konkrete Anleitungen zur Behebung.
Analyse des Angriffswegs. Die Wege durch Ihre Umgebung, die sich aus den einzelnen Befunden zusammensetzen – dies ist in der Regel der Abschnitt, der die Prioritäten bei der Sanierung verändert.
Eine Architekturüberprüfung. Behandlung von Problemen auf der Entwurfsebene, die bei keiner Konfigurationsprüfung zutage treten.
Eine Zusammenfassung für Ihre Interessengruppen. Ein leicht verständlicher Bericht für diejenigen, die die Arbeit genehmigen, und nicht für diejenigen, die sie ausführen.
Ein nach Prioritäten geordneter Sanierungsplan. Geordnet nach den Faktoren, die das Risiko tatsächlich senken.
Ihre Ergebnisse – alles an einem Ort
Die Ergebnisse werden im CREDS-Kundenportal veröffentlicht, wo Ihr Team direkt damit arbeiten kann, anstatt sie aus einem Dokument abtippen zu müssen. Die Befunde enthalten Angaben zu ihren Auswirkungen sowie Empfehlungen zur Behebung; nach der Umsetzung der Korrekturmaßnahmen können erneute Tests angefordert werden, und die Befunde fließen in die Tools ein, die Ihre Ingenieure bereits nutzen, darunter Jira und ServiceNow.
Sofern monatliche ART-Überprüfungen durchgeführt werden, werden deren Ergebnisse im selben Portal angezeigt, sodass die Basislinie und alle nachfolgenden Einträge in einer Zeitleiste zusammengefasst sind.
Fragen zu Sicherheitsbewertungen in der Cloud
Welche Cloud-Plattformen bewerten Sie?
Handelt es sich hierbei um eine Konfigurationsprüfung oder um einen Penetrationstest?
Wir nutzen bereits „Defender for Cloud“ oder „Security Hub“. Was bietet diese Lösung zusätzlich?
Wird die Überprüfung unsere Produktionsumgebung beeinträchtigen?
Bewerten Sie Microsoft 365 ebenso wie Azure?
Wie oft sollten wir eine Neubewertung vornehmen?
Wie lange dauert eine Begutachtung?
Könnten Sie bitte die Verbindung zwischen unserer Cloud- und unserer lokalen Umgebung überprüfen?
Erfahren Sie, was in Ihrer Cloud tatsächlich erreichbar ist
Teilen Sie uns bitte mit, welche Plattformen Sie nutzen und wie Ihre Umgebung aufgebaut ist, dann werden wir eine darauf abgestimmte Bewertung für Sie ausarbeiten.