Anzeige

Anzeige

VERANSTALTUNGEN

LIVE2019
28.05.19 - 28.05.19
In Nürnberg

Online B2B Conference
04.06.19 - 05.06.19
In Holiday Inn Westpark, München

ACMP Competence Days Dortmund
04.06.19 - 04.06.19
In SIGNAL IDUNA PARK, 44139 Dortmund

Aachener ERP-Tage 2019
04.06.19 - 06.06.19
In Aachen

WeAreDevelopers
06.06.19 - 07.06.19
In Berlin, Messe CityCube

Anzeige

Anzeige

Cloud SecuritySo bequem Public-Cloudanwendungen wie Office 365 für Nutzer sind, soviel Kopfzerbrechen bereiten diese IT-Verantwortlichen. Der angenehmen Benutzererfahrung und vereinfachten Workflows stehen Bedenken zu Datensicherheit und Complianceanforderungen gegenüber.

Neben den allgemeinen datenspezifischen Anforderungen gelten je nach Branche und Standort für viele Unternehmen noch weitere Auflagen wie zum Beispiel die Kontrolle über die Speicherorte und die Dateizugriffe. Um ihre Sicherheitsrichtlinien auch auf SaaS-Anwendungen wie Salesforce, Dropbox oder Office 365 und Infrastructure as a Service (IaaS) wie AWS oder Azure anwenden zu können, entschließen sich viele Unternehmen für eine Verschlüsselung mit Hilfe von Cloud Access Security Broker (CASB)-Software. Ein CASB fungiert als Gatekeeper zwischen einem Unternehmensdaten-/Geräte-Netzwerkperimeter und den genutzten Cloud-Services. Mithilfe von CASBs können Unternehmen sichere End-to-End-Verschlüsselung ihrer Daten von der Cloud zu den Geräten und umgekehrt, sicherstellen.

In beiden Fällen bietet ein CASB Möglichkeiten zur Chiffrierung der Daten mithilfe von Schlüsseln, die der Kontrolle durch die Unternehmen unterliegen. Zudem verfügen CASBs über vielfältige Kontrollfunktionen, wie die kontextbezogene Zugriffskontrolle, der Schutz von Datenlecks und der Verschlüsselung von gespeicherten Daten. Mittels einer Kombination von Proxys und API-Konnektoren koordiniert ein CASB die Verbindungen zwischen Cloud-Apps und der Außenwelt.

Anwendungskomfort vs. Sicherheit

Mit der Fähigkeit, Daten auf dem Weg in die Cloud zu verschlüsseln, bieten CASBs Nutzern die Vorteile der Cloud-Apps bei gleichzeitiger Herstellung von Datensicherheit und sind damit ein geeignetes Werkzeug für die Umsetzung einer Cloud first-Strategie. Doch insbesondere auf die wichtigste Funktion von CASBs – die Verschlüsselung in Zusammenhang mit der Anwenderfreundlichkeit – sollten Unternehmen bei der Auswahl einer CASB-Lösung achten. Bezeichnenderweise gingen ausgerechnet die ersten Versuche, CASBs zur Verschlüsselung von Daten einzusetzen, mit einer herabgesetzten Sicherheit einher, um den Benutzerkomfort einer Anwendung nicht zu beeinträchtigen. So hatten beispielsweise Early Adopters der CASB-Technologie tatsächlich nicht den Sicherheitsstandard erhalten, der für das Produkt ausgewiesen war.

Ein Verschlüsselungsalgorithmus gründet sich im Wesentlichen auf zwei Komponenten: Dem Verschlüsselungsverfahren, mit dem der für Nutzer sichtbare Klartext in einen Chiffretext verwandelt wird. Der meist von CASBs genutzte Verschlüsselungsstandard ist der Advanced Encryption Standard (AES) mit 256 Bit-Schlüsseln (AES-256). Die zweite Komponente ist der Initialisierungsvektor, mit dem die Zufälligkeit des erzeugten Chiffretextes gewährleistet wird. Bei einer wiederholten Verschlüsselung desselben Klartexts würde dieser dafür sorgen, dass jedes Mal ein neuer Chiffretext generiert wird. Um eine ausreichende Zufälligkeit herzustellen, sollte die Länge des Initialisierungsvektors genau der Länge des Schlüssels entsprechen.

Die stabile Verschlüsselung geht meist jedoch zu Lasten der Anwendungsperformance und des Benutzerkomforts. Bei CASBs ist es meist die Suchfunktion innerhalb der einzelnen Apps, die eingeschränkt wird – was beispielsweise eine Anwendung wie Salesforce nahezu unbrauchbar machen würde. Vor allem wenn Daten vor dem Speichern in der Cloud verschlüsselt werden, haben die entsprechenden Anwendungen anschließend nur Zugriff auf den Chiffretext. Macht ein Nutzer sich nun auf die Suche nach Elementen aus dem Klartext, schlägt die Suche fehl. Bei CASBs der ersten Generation wurde dieses Problem zu Lasten der Sicherheit gelöst – nämlich, indem die Anzahl der Initialisierungsvektoren des Verschlüsselungsalgorithmus reduziert wurde. Dies bedeutet: Die Zahl der möglichen verschlüsselten Versionen einer Zeichenfolge begrenzt, um sicherzustellen, dass der CASB sämtliche möglichen Chiffretexte durchsuchen und genaue Suchergebnisse zurückgeben kann. Dieses Vorgehen hat zur Folge, dass bei der AES-256-Verschlüsselung effektiv nur 20 Bit oder weniger bleiben und zieht eine erhöhte Anfälligkeit für Chosen Plaintext-Attacken nach sich.

CASB-Funktionen auf Anwendungskompatibilität überprüfen

Der Standard AES-256 mag dazu verleiten, bei der Auswahl einer CASB-Lösung nicht mehr genauer hinzuschauen – doch genau dies sollten Unternehmen beherzigen, bevor sie sich für die Implementierung entscheiden. Beispielsweise gibt es CASB-Lösungen, die eine freie Auswahl der Verschlüsselungsalgorithmen erlauben und zusätzlich den vollen Erhalt der Suchfunktion in der Anwendung gewährleisten: Während der Datenverschlüsselung wird ein lokaler Suchindex am Kundenstandort generiert, der Verweise auf die verschlüsselten Daten enthält, die mit den relevanten Stichwörtern im Index verknüpft sind. Die Verweise werden dabei zunächst an den CASB zurückgegeben. Dieser durchsucht die Anwendung nach den angefragten Verweisen und ruft die verschlüsselten Dateien oder Datensätze für den Benutzer ad hoc ab. Tatsächlich ist es nicht möglich, die Daten bei direktem Zugriff auf die App anzuzeigen. Wenn ein Benutzer die App nicht sicher über den CASB-Service aufruft, werden ihm lediglich bedeutungslose verschlüsselte Zeiger (Verweise) auf Daten angezeigt, die geschützt am Kundenstandort gespeichert sind. Ab diesem Punkt werden vertrauliche Daten nur nach dem Need-To-Know Prinzip preisgegeben – also nur gerade die Menge an Informationen, die benötigt wird. Die verschlüsselten Daten in der App können damit nicht von Unbefugten gelesen werden und sind so beispielsweise vor dem Zugriff durch nicht autorisierte Mitarbeiter oder den Cloud-Anbieter geschützt. Tatsächlich ist es nicht möglich, die Daten bei direktem Zugriff auf die App anzuzeigen. Wenn ein Benutzer die App nicht sicher über den CASB-Service aufruft, werden ihm lediglich bedeutungslose verschlüsselte Zeiger auf Daten angezeigt, die geschützt am Kundenstandort gespeichert sind. Selbst für den unternehmensinternen Zugriff können eigene Richtlinien festgelegt werden. Beispielsweise kann unterbunden werden, dass Mitarbeiter nach Geschäftsschluss über private Geräte auf bestimmte Daten zugreifen können.

CASBs sind überaus vielseitig und erlauben granulare Regulierungsmöglichkeiten im Zuge der Cloud-Nutzung. Um auch auf lange Sicht von den Vorteilen der CASBs zu profitieren, sollten Unternehmen deshalb sicherstellen, dass die Software Funktionen bietet, die sowohl Datensicherheit als auch Benutzerkomfort miteinander in Einklang bringen. 

Eduard Meelhuysen

 

 

Autor: Eduard Meelhuysen, Vice President Sales EMEA, Bitglass

GRID LIST
Tb W190 H80 Crop Int 5b5d4b59bc27d873d3a4b5b89e39f6d0

Die Cloud ist nicht unantastbar

Bedrohungen, denen Cloud-Umgebungen ausgesetzt sind, decken sich in vielen Punkten mit…
Tb W190 H80 Crop Int 97baf047fc209bc2933723c0c6658f57

SEAL KIT-SUITE: EIN SURVIVAL KIT FÜR DIE IT-SECURITY

Die Gronau IT Cloud Computing GmbH hat sich im Security-Umfeld einen Namen gemacht. Über…
Tb W190 H80 Crop Int C7ec4121533b0efd43b60d6b621b8f97

NIOS-Plattform erweitert Sicherheits- und Multi-Cloud-Funktionalität

Infoblox veröffentlicht ein Update für seine Network Identity Operating System…
Cloud Security

Public Cloud ohne eigene DNS ist Einfallstor für Angriffe

Öffentliche Cloud-Dienste bieten über ihr DNS zahlreiche Eingangstore für…
Cloud Security

Tipps für Datensicherheit in Multicloud Umgebungen

Die Gründe, die bei der Auswahl von Cloud-Tools für eine Multicloud-Strategie sprechen,…
Cloud-Container-Concept

Die vernachlässigte Lücke in der Container-Sicherheitsstrategie

Docker wird dieses Jahr sechs Jahre alt. Mit der Open-SourceSoftware lassen sich…