Neuer Blick auf Cloud-Schwachstellen Attack Surface Management für die Cloud

Anbieter zum Thema

Insider Research

Securepoint GmbH

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Das Monitoring und die Minimierung der Angriffsfläche eines Unternehmens muss die genutzten Cloud-Dienste umfassen. Doch wie kann man die Schwachstellen und Angriffsmöglichkeiten bei Cloud-Services aus den Augen der Angreifenden sehen, wenn man sie kaum aus der eigenen Blickrichtung kennt?

In der Security geht es nicht nur darum, sich besser zu schützen, man muss sich auch unattraktiv machen, so sagen Security-Expertinnen und -Experten. Gemeint ist damit, dass man alles, was Angreifende anziehen könnte, in der Sichtbarkeit minimieren und verbergen sollte. Anziehend sind zum Beispiel wertvolle Daten, aber auch die Schwachstellen, die man ausnutzen kann, um an diese Daten zu gelangen.

Angriffsflächen ziehen Online-Kriminelle an

Hier kommt ASM ins Spiel: Attack Surface Management (ASM) ist der Prozess der kontinuierlichen Identifizierung, Überwachung und Verwaltung aller (mit dem Internet verbundenen) Ressourcen, sowohl intern als auch extern, auf potenzielle Angriffsvektoren, Gefährdungen und Risiken.

Ziel ist es dabei, die Angriffsfläche zum einen zu kennen, zum anderen auch so klein wie möglich zu halten, also so wenig wie möglich an Assets und Daten zu exponieren und die exponierten Assets so frei wie möglich von Schwachstellen zu halten.

Leider sind gerade die über das Internet sichtbaren Assets genau wie die Schwachstellen einer hohen Dynamik unterworfen. Verliert man hier den Überblick und die Kontrolle, haben die Angreifenden oft ein leichtes Spiel.

Der Blick von außen und nach außen

„Die Außenansicht der IT-Ressourcen einer Organisation ermöglicht die Erkennung unbekannter Ressourcen, die dem Netzwerk hinzugefügt wurden, und geht über das hinaus, was im Schwachstellenmanagement sichtbar ist“, so Michelle Abraham, Research Director, Security and Trust, bei IDC. „Es ist die gleiche sich ständig ändernde Ansicht, die ein Angreifender hat, die Informationen darüber liefert, wie er eindringen würde und welchen Schaden er anrichten könnte.“

Der Blick von außen zeigt also die Sicht, die sich einem Online-Kriminellen bietet. Mit einem solchen Blick kann man besser einschätzen, welche Angriffsziele und Angriffswege besonders wahrscheinlich sind, welche Schwachstellen und IT-Ressourcen besonders auffällig sind und was entsprechend besser geschützt werden muss. So kann man unter anderem die Behebung offener Schwachstellen besser priorisieren. Unattraktive und kaum sichtbare Schwachstellen haben dabei in aller Regel eine geringere Priorität.

Bei dem Blick von außen darf man aber auch den Blick nach außen nicht vergessen. Das Unternehmen und seine Angriffsflächen enden nicht an den klassischen Unternehmensgrenzen. Dank Hybrid Work, also dezentraler und mobiler Arbeit an flexiblen Standorten, hat nicht nur die Bedeutung der Cloud noch weiter zugenommen, sondern eben auch die Angriffsflächen der Unternehmen.

Die Cloud kennt viele „blinde Flecken“

Die Marktforschenden von ESG (ESG-Report „Value Drivers for an Attack Surface Management (ASM) Program“) haben berichtet, dass Unternehmen bei der Nutzung von Lösungen für Attack Surface Management im Durchschnitt eine 40 Prozent größere Angriffsfläche aufdecken als zu Beginn angenommen. Es gibt also zahlreiche, sicherheitskritische Bereiche, die Unternehmen ohne ASM gar nicht im Blick haben, die Angreifenden aber leider sehr wohl.

Bedenkt man, dass Unternehmen gerade bei Cloud Computing viele Lücken in der Visibilität haben, also viele genutzte Cloud-Ressourcen und deren Sicherheitsstatus nicht kennen, erscheint es mehr als sinnvoll, auch auf ein ASM für die Cloud zu drängen. Viele ASM-Lösungen stammen aus der Cloud, doch sie müssen auch die Cloud selbst als Angriffsfläche berücksichtigen.

Gefordert sind dabei nicht etwa nur die Cloud-Betreiber, sondern auch die Cloud-Anwenderunternehmen, im Rahmen des Modells der geteilten Verantwortung (Shared Responsibility Model).

Beispiele: ASM auch für die Cloud

Wie ASM auch für die Cloud funktioniert, zeigen Beispiele wie „Mandiant Attack Surface Management“ für Google Cloud, mit dem Anwenderunternehmen die Sichtbarkeit von in der Cloud gehosteten externen Assets zentralisieren können. Attack Surface Management soll dabei einen „gegnerischen Blick“ auf die Angriffsfläche des Unternehmens liefern und dabei helfen, externe Assets zu entdecken und aktiv nach ausnutzbaren Schwachstellen zu suchen. Anwenderunternehmen können nach außen gerichtete Assets, die in Google Cloud gehostet werden, automatisch in Attack Surface Management ziehen. Kunden mit Multi-Cloud- und Hybrid-Cloud-Umgebungen können die Integrationen mit Azure und AWS nutzen, um ihr Cloud-Ökosystem und die Angriffsflächen in einer Ansicht zu sehen.

Qualys hat die Qualys Cloud-Plattform um die Funktion „External Attack Surface Management“ (EASM) erweitert. Diese Komponente, die in „CyberSecurity Asset Management 2.0“ integriert ist, fügt die Ansicht externer Angreifer hinzu, um bisher unbekannte, dem Internet zugewandte Ressourcen zu identifizieren und so ein erweitertes Bild der Angriffsfläche des Unternehmens zu erhalten.

„Microsoft Defender External Attack Surface Management“ will Cloud-Sicherheitsteams dabei helfen, unbekannte und nicht verwaltete Ressourcen außerhalb der Firewall zu finden. Es erstellt einen Katalog der Umgebung eines Kunden und erkennt mit dem Internet verbundene Ressourcen, einschließlich agentenloser und nicht verwalteter Assets.

Die bei Microsoft Defender External Attack Surface Management verfügbaren Features zeigen beispielhaft, was ASM für die Cloud leistet:

• dynamische Bestandsüberwachung, um nach außen gerichtete Ressourcen zu finden, zu analysieren und zu kategorisieren, sobald sie erscheinen,

• Aufdeckung externer Assets in mehreren Cloud-Umgebungen, einschließlich unbekannter Ressourcen wie Schatten-IT, und

• Gefährdungserkennung und -priorisierung für Schwachstellen der externen Angriffsfläche.

Es zeigt sich also: Mit der zunehmenden Cloud-Nutzung geht der Bedarf für ein Monitoring der Cloud-Angriffsfläche einher, ASM sollte deshalb nicht nur aus der Cloud stammen, sondern auch die genutzten Cloud-Assets umfassen.

(ID:49535690)