Algosec: Applikationskontrolle in hybriden Netzwerken

Die schnelle, sichere Bereitstellung von Applikationen und effiziente Verwaltung von Security-Richtlinien für Public Clouds, Private Clouds, Container und On-Premises-Netzwerke hat sich Algosec auf die Fahnen geschrieben. Dabei arbeitet das Unternehmen eng mit Cisco zusammen: Yuval Baron, Mitgründer und CEO von Algosec, betont: „Algosec hilft Unternehmen dabei, die Kompatibilität der Cisco Application Centric Infrastructure (ACI) mit Drittanbietern sicherzustellen. Das ist sehr wertvoll für Kunden.“

Algosec verkauft in erster Linie an Großkunden, will aber laut Baron „in sehr naher Zukunft“ auch den Mittelstand angehen. Das Unternehmen setzt dazu stark auf Partner und arbeitet bereits eng mit einigen Partnern in Deutschland zusammen. Die Sicherheit in der hybriden Cloud ist dabei entscheidend. Hybrides Cloud Computing kombiniert lokale Infrastruktur, private Cloud-Services und eine oder mehrere öffentliche Clouds. Eine hybride Lösung bietet Unternehmen mehr Flexibilität, Agilität, Kosteneinsparungen und Skalierbarkeit, um innovativ zu sein, zu wachsen und einen Wettbewerbsvorteil zu erzielen. Wie können Sie also die Sicherheitsabläufe in der Hybrid Cloud vereinfachen und stärken?

Man kann nicht schützen, was man nicht sehen kann

Um die gesamte hybride Infrastruktur, Anwendungen, Arbeitslasten und Daten zu schützen, müssen die Sicherheitsteams wissen, was diese Ressourcen sind und wo sie sich befinden. Außerdem müssen sie den gesamten hybriden Bestand sehen und nicht nur die einzelnen Elemente. Vollständige Transparenz ist jedoch eine ernsthafte Herausforderung für die Hybrid-Cloud-Sicherheit. Hybride Umgebungen sind sehr komplex, was zu Sicherheitslücken führen kann, die die Teams daran hindern, Risiken zu erkennen, zu bewerten und vor allem zu minimieren.

Ein weiteres Problem der Hybrid-Cloud-Sicherheit besteht darin, dass Sie keinen fragmentierten Sicherheitsansatz zur Kontrolle des gesamten Netzwerks implementieren können. Mit Tausenden von integrierten und voneinander abhängigen Ressourcen und Daten, die zwischen ihnen fließen, entstehen Schwachstellen, die das Risiko von Cyberangriffen oder Sicherheitsverletzungen erhöhen. Für eine vollständige Hybrid-Cloud-Sicherheit benötigen Sie einen ganzheitlichen Ansatz, mit dem Sie das gesamte Netzwerk kontrollieren können.

DevSecOps nicht das Allheilmittel

In vielen Unternehmen verwalten DevSecOps-Teams die Cloud-Sicherheit, weil sie einen Einblick in die Vorgänge innerhalb der Cloud haben. In der Hybrid-Cloud haben jedoch viele Anwendungen Server oder Clients außerhalb der Cloud, die DevSecOps möglicherweise nicht einsehen können. Auch der Schutz von Daten, die in die und aus der Cloud fließen, fällt nicht immer in ihren Zuständigkeitsbereich. Um diese Lücken auszugleichen, sind andere Teams erforderlich, um die Sicherheitsabläufe zu verwalten und die Risiken der Hybrid Cloud zu minimieren. Diese zusätzlichen Prozesse und Teammitglieder müssen koordiniert werden, um kontinuierliche Sicherheit in der gesamten hybriden Netzwerkumgebung zu gewährleisten. Doch das ist leichter gesagt als getan.

Die Verwendung von Infrastructure as Code (IaC) für ein Gleichgewicht zwischen Automatisierung und Kontrolle ist entscheidend, aber hier ist der Grund, warum Sie sich nicht ausschließlich darauf verlassen sollten. IaC unterstützt Sie bei der automatischen Bereitstellung von Sicherheitskontrollen in der Hybrid-Cloud, um Fehlkonfigurationen, Nichteinhaltung von Vorschriften und Verstöße in der Produktionsphase und vor Anwendungstests zu verhindern. Mit IaC-basierter Sicherheit können Sie bewährte Sicherheitspraktiken in Vorlagedateien definieren, die Risiken minimieren und Ihre Sicherheitslage verbessern.

Es birgt jedoch ein inhärentes Risiko, alles auf die Automatisierung und IaC zu setzen. Da sich alle Kontrollen auf der operativen Seite befinden, kann es zu ernsthaften Sicherheitsproblemen in der Hybrid Cloud kommen. Und ohne menschliche Aufmerksamkeit und Maßnahmen können Schwachstellen unbehandelt bleiben und Cyberangriffen Tür und Tor öffnen.

Da Sicherheitsexperten, die nicht auf der operativen Seite tätig sind, die Cloud-Umgebung überwachen müssen, kann es leicht zu Missverständnissen und menschlichen Fehlern kommen – eine sehr kostspielige Angelegenheit für Unternehmen. Aus diesem Grund sollten Sie einen Prozess implementieren, mit dem Sie regelmäßig automatische Updates bereitstellen können, ohne dass zeitaufwändige Genehmigungen erforderlich sind, die die Arbeitsabläufe verlangsamen und die Sicherheit schwächen. Streben Sie an, dass 95 % der Änderungen automatisiert werden und nur für die verbleibenden 5 %, die menschliches Eingreifen erfordern, eine Person hinzugezogen wird.

Bewährte Praktiken für die Sicherheit in der hybriden Cloud

Bei der Migration von On-Premise in die Cloud können Sie sich für eine Greenfield-Migration oder eine Lift-and-Shift-Migration entscheiden. Greenfield bedeutet, dass Sie eine brandneue Anwendung einführen. In diesem Fall müssen Sie sicherstellen, dass Sicherheitsaspekte von Anfang an und in allen Prozessen berücksichtigt werden. Dieser „shift left“-Ansatz hilft beim Aufbau einer Umgebung, die von Anfang an sicher ist. So wird sichergestellt, dass alle Teammitglieder einheitliche Sicherheitsrichtlinien einhalten, um Schwachstellen zu minimieren und Sicherheitsrisiken in der Hybrid-Cloud-Umgebung zu verringern.

Wenn Sie On-Prem-Anwendungen in die Cloud verlagern, beachten Sie alle Sicherheitsannahmen, die bei der Entwicklung getroffen wurden. Dies ist wichtig, da sie nicht für die Cloud entwickelt wurden und möglicherweise Protokolle enthalten, die die Sicherheitsrisiken erhöhen. Als Nächstes sollten Sie während der Migrationsplanung geeignete Maßnahmen ergreifen. Implementieren Sie beispielsweise einen Application Load Balancer, wenn Anwendungen Klartextprotokolle nutzen, und verwenden Sie Sidecars, um Anwendungen zu verschlüsseln, ohne die ursprüngliche Codebasis ändern zu müssen. Sie können auch hybride Cloud-Sicherheitslösungen nutzen, um Sicherheitsprobleme in Echtzeit zu erkennen und zu entschärfen.