Erfahren Sie mehr über die Bedeutung einer starken GCP-Cloud-Sicherheit.
Rapid7 Cloud Risk CompleteDer Begriff Google Cloud Platform (GCP) Security bezieht sich auf die Implementierung von Prozessen, Technologien und Standards zur Sicherung von Anwendungen, Ressourcen und Daten, die auf dem Cloud-Infrastrukturdienst von Google ausgeführt werden.
Was ist GCP? Hierbei handelt es sich um einen Cloud-Computing-Dienst, der über physische und virtuelle Ressourcen auf der ganzen Welt verteilt und in Google-Rechenzentren gehostet wird. Zu den verschiedenen Services, die GCP-Nutzern zur Verfügung stehen, gehören Datenmanagement, Hybrid- und Multi-Cloud-Architektur sowie KI und Machine Learning (ML).
Beim sogenannten Shared-Responsibility-Model gibt es zwei Möglichkeiten, die Cloud-Sicherheit bei der Nutzung einer Cloud-Plattform zu betrachten: Der Cloud-Anbieter kümmert sich um die Sicherung der Cloud-Umgebung und ihres Perimeters, während ein Kunde sich um die Sicherung der in dieser Cloud-Umgebung ausgeführten Vorgänge kümmert .
Per Definition werden Public Cloud-Dienste wie GCP über das öffentliche Internet bereitgestellt. Das bedeutet, dass der Zugriff auf Ihre sensiblen und unternehmenskritischen Anwendungen und Daten durch autorisierte Nutzer und/oder Bedrohungsakteure erfolgen kann – wenn nicht die richtigen Maßnahmen ergriffen werden, um sie zu stoppen.
Das ist offensichtlich leichter gesagt als getan und kann zu vielen Datenschutzverletzungen aufgrund falsch konfigurierter Ressourcen oder Lücken/Schwächen in der Sicherheitslage eines Unternehmens führen. Um dieses Problem zu lösen, wurde eine Vielzahl von Best Practices und Standards entwickelt, einschließlich derer von Google.
GCP Security ist wichtig, da die von GCP angebotenen Dienste – unterstützt durch global verteilte Software und Hardware – für komplexe Nutzeraktivitäten genutzt werden, deren Sicherung sich komplex gestalten kann. Diese Aktivitäten umfassen:
Zu diesem letzten Punkt hat das Center for Internet Security (CIS) kürzlich eine aktualisierte Version seiner GCP Foundation-Benchmarks veröffentlicht. Diese Benchmarks haben in der Regel die Form von regulatorischen Empfehlungen – in diesem Fall Konfigurationen und Richtlinien, die von der Ressourcentrennung bis hin zu Rechenleistung und Speicher reichen. Dies sind keine Voraussetzungen, aber sie können einen großen Beitrag zur Minderung künftiger Sicherheitsprobleme leisten.
Datenbank- oder Container-Fehlkonfigurationen sind ein weiterer Grund, warum GCP-Sicherheit wichtig ist. Leider kommen diese Mängel nur allzu häufig vor und können dazu führen, dass ein Container angreifbar und ungeschützt bleibt. Das Verhindern, Erkennen und Reparieren von falsch konfigurierten Cloud-Datendiensten ist ein entscheidender Teil des Sicherheitsprozesses für den Betrieb auf GCP. Lösungen zur Erkennung und Reaktion können dazu beitragen, potenzielle Risiken zu minimieren, indem sie Nutzereintritte, administrative Aktivitäten und von GCP generierte Protokolldaten erfassen, um so laufende Instanzen und Kontoaktivitäten zu überwachen.
Was bedeutet es, ein gemeinsames Verantwortungsmodell (shared responsibility model, SRM) auf GCP einzusetzen? Wie oben erwähnt, ist ein Cloud-Anbieter für den Schutz der Infrastruktur verantwortlich, auf der die Workloads eines Nutzers ausgeführt werden. Der Nutzer ist jedoch dafür verantwortlich, seine vertraulichen Workloads, Ressourcen und Daten innerhalb dieser Cloud-Infrastruktur zu schützen.
Weitere Informationen finden Sie in unserem Leitfaden zu den Cloud-Sicherheitsarchetypen von Gartner
Google gibt an:
„Das Verständnis des Modells der geteilten Verantwortung ist wichtig, um zu entscheiden, wie Sie Ihre Daten und Workloads in der Google Cloud am besten schützen können. Das Modell der geteilten Verantwortung beschreibt die Aufgaben, die Sie haben, wenn es um die Sicherheit in der Cloud geht und wie sich diese Aufgaben für Cloud-Anbieter unterscheiden.“
Um zu wissen, für welche Art von Modell der geteilten Verantwortung sie sich entscheiden, müssen Nutzer zunächst die Art der Workloads definieren, die sie ausführen müssen. Anhand dieser Informationen können sie dann der Cloud-Dienste bestimmen, die sie erwerben müssen. Auf GCP können es diese sein:
Der Schlüssel zu einer Hybrid- oder Multi-Cloud-Umgebung besteht darin, DevOps-Mitarbeiter über das Shared-Responsibility-Modell eines Cloud-Anbieters aufzuklären (lesen Sie mehr über die AWS-Version). Wenn Sie wissen, wer für welche Art von Security verantwortlich ist, können Sie die Risiken von Sicherheitslücken minimieren.
Wir wissen jetzt, dass Cloud-Anbieter für die Sicherung der Infrastruktur ihrer Plattformen verantwortlich sind. Werfen wir einen Blick auf einige der übergreifenden Sicherheitstools von GCP, um Kunden zu unterstützen und ihrerseits das SRM zu erfüllen.
Die Kommandozentrale hilft bei der Erkennung und Inventarisierung von Assets sowie bei der Prävention und Erkennung von Bedrohungen. Es ermöglicht ein Verständnis dafür, welche Ressourcen zu einem bestimmten Zeitpunkt eingesetzt werden und hilft, Fehlkonfigurationen und Compliance-Verstöße zu erkennen.
Identity and Access Management (IAM) ermöglicht es Nutzeradministratoren, als Gatekeeper zu fungieren und zu bestimmen, wer Zugriff auf bestimmte Ressourcen innerhalb bestimmter Cloud-Vorgänge erhalten kann. Audit-Funktionen sorgen für Transparenz und eine Bereinigung auf Organisationsebene.
Ein Key Management Service (KMS) legt die Verschlüsselungskontrolle in die Hände des Nutzers. Die KMS-Funktion von Google ermöglicht die Verwaltung von kryptografischen Schlüsseln in einem zentralen Cloud-Dienst und bietet die Flexibilität, Daten entweder mit einem symmetrischen oder asymmetrischen Schlüssel zu verschlüsseln, den der Nutzer kontrolliert.
Cloud-Überwachung und -Protokollierung sind wichtige Sicherheitstools innerhalb von GCP. Die Protokollierung (Logging) ist ein Managed Service, der über eine zentrale Suite zugänglich ist und Anwendungsdaten, Logdaten und Daten von anderen Diensten innerhalb und außerhalb von Google Cloud aufnimmt. Die Überwachung ermöglicht einen Einblick in den Zustand der auf GCP laufenden Anwendungen, einschließlich Metriken, Events und Metadaten.
Der Web Security Scanner von GCP sucht nach Schwachstellen in den App Engine-, Kubernetes- und Compute Engine-Webanwendungen eines Nutzers. Es durchsucht eine Anwendung, um so viele Nutzereingaben und Event-Handler wie möglich zu scannen. Es handelt sich um einen zusätzlichen Dienst, der die vorhandenen Schwachstellen-Scanvorgänge eines Nutzers ergänzt.
Allerdings reichen native Tools oft nicht aus, um alles abzusichern, und können schwierig zu verwalten sein, weshalb eigenständige Cloud-Sicherheitsanbieter erforderlich sind.
Es lohnt sich, einige Best Practices einzuführen, um sicherzustellen, dass nicht nur die Schwachstellenrisiken gemindert werden, sondern auch die Compliance kontinuierlich gewährleistet ist und DevSecOps-Teams auf einer soliden Wissensbasis agieren. Google empfiehlt:
Erstellung eines mehrschichtigen Sicherheitsansatzes
Implementieren Sie Sicherheit auf jeder Ebene Ihrer Anwendung und Infrastruktur, indem Sie einen Defense-in-Depth-Ansatz anwenden. Verwenden Sie die Funktionen in jedem Produkt, um den Zugriff einzuschränken und gegebenenfalls die Verschlüsselung zu konfigurieren.
Design für gesicherte, entkoppelte Systeme
Vereinfachen Sie das Systemdesign, um möglichst flexibel zu sein, und dokumentieren Sie die Sicherheitsanforderungen für jede Komponente. Integrieren Sie einen robusten, gesicherten Mechanismus, um Resilienz und Wiederherstellung zu gewährleisten.
Automatisierung der Bereitstellung sensibler Aufgaben
Nehmen Sie Personen aus dem Arbeitsablauf heraus, indem Sie die Bereitstellung und andere Verwaltungsaufgaben automatisieren.
Automatisierte Sicherheitsüberwachung
Verwenden Sie automatisierte Tools, um Ihre Anwendung und Infrastruktur zu überwachen. Um Ihre Infrastruktur auf Schwachstellen zu scannen und Sicherheitsvorfälle zu erkennen, verwenden Sie automatisierte Scans in Ihren CI/CD-Pipelines (Continuous Integration/Continuous Deployment).
Erfüllen Sie die Compliance-Anforderungen für Ihre Regionen
Denken Sie daran, dass Sie möglicherweise persönlich identifizierbare Informationen (PII) verschleiern oder unkenntlich machen müssen, um etwaige gesetzliche Anforderungen zu erfüllen. Wenn möglich, automatisieren Sie Ihre Compliance-Bemühungen.
Einhaltung der Anforderungen an die Datenresidenz und -hoheit
Vielleicht erfordern es interne (oder externe) Vorgaben, dass Sie die Standorte der Datenspeicherung und -verarbeitung kontrollieren. Diese Vorgaben variieren je nach den Zielen des Systemdesigns, den regulatorischen Anforderungen der Branche, der lokalen Gesetzgebung, den steuerlichen Konsequenzen und der Kultur. Datenresidenz beschreibt, wo Ihre Daten gespeichert sind.
Sicherheit früh im Entwicklungszyklus berücksichtigen
Mithilfe von DevOps und Deployment-Automatisierung kann Ihr Unternehmen die Geschwindigkeit der Produktbereitstellung steigern. Um sicherzustellen, dass Ihre Produkte sicher bleiben, integrieren Sie Sicherheitsprozesse bereits zu Beginn des Entwicklungsprozesses.
2022 Cloud Misconfigurations Report: Neueste Cloud Security-Verstöße und Angriffstrends
Erfahren Sie mehr über die Cloud Security Lösung von Rapid7: InsightCloudSec