Cloud-native Anwendungsstruktur
Cloud-native Anwendungen haben eine neue, eindeutige Struktur, die sich darauf auswirkt, wie Angreifer an diese Anwendungen herangehen, was die Bedrohungslandschaft verändert. Da Angreifer ihren Ansatz ändern und sich Angriffen der Generation VI zuwenden, müssen Sicherheitsexperten und Entwickler ihre Art und Weise, wie sie Cloud-native Anwendungen verteidigen, entsprechend anpassen.
Sie müssen mehr Zeit und Ressourcen für diese neuen Bedrohungen aufwenden, um sie für ihr Unternehmen bestmöglich zu verhindern. Ressourcen müssen strategisch zugewiesen werden, aber man muss zunächst verstehen, welche Bedrohungen in dieser neuen Bedrohungslandschaft am wahrscheinlichsten sind.
Arten von Bedrohungen durch Cloud-Native-Anwendungen
Rechendienste in der Cloud-nativen Anwendung sind auf kurzlebige Nutzung ausgelegt und haben in der Regel eine kurze Lebensdauer. Dies ist eine von vielen Eigenschaften, die die Cloud-native Anwendung von Natur aus sicherer machen. Angreifer sind nicht in der Lage, eine langfristige Präsenz in Ihrem System zu erreichen und müssen daher ihre Taktik ändern. Eine daraus resultierende Strategie ist der Murmeltiertag-Angriff , bei dem ein Angreifer einen viel kürzeren Angriff ausführt, der z. B. nur ein paar Kreditkartennummern stiehlt und dann wiederholt. Angreifer nutzen die automatische Skalierung der Cloud-nativen Anwendung, um deren Vergänglichkeit auszunutzen.
Ein weiterer Ansatz ist der Upstream- Angriff oder Poisoning the Well , bei dem Angreifer darauf abzielen, eine langfristigere Persistenz in Ihrer Anwendung zu erreichen. Cloud-native Anwendungen umfassen in der Regel viele Module und Bibliotheken. Eine einzelne serverlose Funktion kann Zehntausende von Codezeilen aus einer Vielzahl von Quellen umfassen, die nicht von Ihren Entwicklern stammen. Angreifer arbeiten daran, Schadcode in gängige Projekte einzubauen. Dann, nachdem er den Brunnen vergiftet hat, kann der Schadcode in Ihrer Cloud-Anwendung nach Hause rufen, Anweisungen erhalten und Chaos anrichten.
So sichern Sie Cloud Native-Anwendungen
Glücklicherweise sind Cloud-native Anwendungen tendenziell schwieriger anzugreifen. Da es sich jedoch um eine neue Art von Architektur handelt, stellen sie neue Sicherheitsherausforderungen dar, und Entwickler müssen handeln, um Risiken zu minimieren. Im Folgenden finden Sie einige Best Practices zur Sicherung CloudAnwendungen:
- Wenden Sie Perimetersicherheit auf Funktionsebene an.Die Fragmentierung Ihrer Anwendung in kleinere aufrufbare Komponenten in Verbindung mit der Verwendung ereignisbasierter Trigger aus verschiedenen Quellen (z. B. Speicher, Nachrichtenwarteschlangen und Datenbanken) bedeutet, dass Angreifer mehr Ziele und mehr Angriffe haben Vektoren.
Neben der Sicherstellung, dass Ihre Web-API- und Anwendungsschutzdienste (WAAP) für die Anforderungen der nächsten Generation weiterentwickelt werden, besteht eine weitere Best Practice für Cloud native Sicherheit darin, Perimetersicherheit auch auf Funktionsebene anzuwenden. Achten Sie besonders auf Funktionen, die von einem anderen Quellentyp ausgelöst werden.
- Erstellen Sie geeignete, minimale Rollen für jede Funktion.Sie müssen Rollen für die vielen Interaktionen zwischen Ihren Cloud-nativen Ressourcen einrichten. Die Möglichkeit, jeder serverlosen Funktion einen eindeutigen Satz von Berechtigungen zuzuweisen, bietet eine hervorragende Möglichkeit, AppSec noch weiter zu verbessern.
Wenn Sie IAM mit der Granularität von Funktionen durchführen, wird IAM zu einem AppSec-Tool. Verbringen Sie Zeit damit, geeignete, minimale Rollen für jede Ihrer Funktionen zu erstellen. Stellen Sie außerdem sicher, dass jede Ihrer Funktionen mit dem kleinsten praktikablen Satz von Berechtigungen ausgeführt wird, damit der Schaden durch durchschlüpfende Löcher minimal ist.
- Sichere AnwendungsabhängigkeitenFunktionen umfassen häufig Abhängigkeiten, die von npm (Node.js) übernommen werden. PyPI (Python), Maven (Java) oder andere relevante Repositories. Die Sicherung von Anwendungsabhängigkeiten erfordert Zugriff auf eine gute Datenbank und automatisierte Tools, einschließlich nativer Orchestrierungstools, um die Anwendungssicherheit während der Entwicklung auszulösen. Das kontinuierliche Ausführen dieser Tools verhindert, dass neue verwundbare Pakete verwendet werden und bei neu entdeckten Problemen gewarnt werden.
- Machen Sie Sicherheit zu jedermanns Problem
Bauen Sie enge Partnerschaften zwischen Entwicklern, DevOps- und AppSec-Teams auf. Finden Sie die Balance, bei der Entwickler keine Sicherheit besitzen, aber auch nicht von der Verantwortung entbunden sind – sicheres Programmieren als Beispiel. Mark Collier, COO der OpenStack Foundation, wurde in einem Artikel in Bloomberg mit den Worten zitiert: „Beim Übergang von monolithisch/Wasserfall zu agil/DevOps geht es mehr um Prozess- und Organisationspsychologie als darum, welche Technologien eingesetzt werden sollen.“
Darüber wird seit mehreren Jahren gesprochen und es wird nicht so schnell verschwinden. Es ist ein großes Problem, mit dem sich Unternehmen auseinandersetzen müssen, und es wird Jahre dauern, bis es so weit ist, da es sich um einen Generationswechsel in der Philosophie handelt."
Für Teams ist es wichtig, die Lücken frühzeitig zu schließen, auch wenn dies dem normalen Verhalten der Unternehmens-DNA widerspricht, da Cloud-Native einen anderen Ansatz bei der Verwaltung von Sicherheit und Entwicklung durch Unternehmen erfordert. Dies schafft eine echte Chance für die Abteilungen, diesen Wandel zu erleichtern und eine echte Wirkung zu erzielen.
Sichere Cloud-Native-Anwendung mit Check Point
Das operative Management muss Pipelines erstellen, die es Entwicklern ermöglichen, mit der Geschwindigkeit serverloser Systeme zu arbeiten und Anwendungen dennoch auf realistische und sichere Weise bereitzustellen.
Dies sind nur einige der vielen Sicherheitsaspekte, an die man bei der Migration zu Cloud-nativen Anwendungen und Mikroservern denken muss. Täglich werden neue Tools entwickelt, die dazu beitragen, diesen Übergang zu optimieren und mehr Sichtbarkeit, Beobachtbarkeit, Sicherheit und Bedrohungsprävention zu schaffen. Weitere Informationen zum Umgang mit Cloud-nativer Sicherheit finden Sie im Cloud-Sicherheit Solutions- Leitfaden von Check Point Software.
Feedback