Schon wieder Trouble in der Cloud

Wenn man Deutschland – sozusagen das gallische Dorf der Public Cloud-Nutzer – außen vor lässt, sind die Wachstumszahlen eindrucksvoll. 182,4 Milliarden Dollar Umsatz weltweit waren es 2018, dieses Jahr sollen es schon irgendwas um die 212 Milliarden sein. Die Marktforscher von Gartner gehen davon aus, dass Marktgröße und Wachstum der Cloud-Services-Branche bis 2022 fast das Dreifache des Wachstums aller IT-Services betragen wird. Und selbst die konservativen Deutschen, die Datenschutz und Datensicherheit in der Cloud immer noch recht argwöhnisch betrachten, sind nicht komplett abstinent. 73% setzen angeblich Public Cloud ein, bis 2020 sollen dabei 22,5 Milliarden Euro Umsatz entstehen. Schöne Aussichten für Cloud-Provider.

Die rosige Aufzählung zur Einleitung ist aber nicht nur ein Hinweis darauf, welche Aktien sich in den nächsten Jahren gut entwickeln dürften. Sie soll auch ein Gegengewicht zu einem kürzlich veröffentlichten Report von Palo Alto darstellen. Dort wurde, wie das Sicherheitsanbieter gern tun, nach der Kehrseite der Public Cloud geschnüffelt. Dabei zeigt sich – einmal mehr – dass es an grundlegenden Dingen mangelt und die Daten und Anwendungen der Unternehmen bei weitem nicht so sicher sind, wie sie sein sollten. Und wie sie mittlerweile auch sein könnten. Public Cloud, gerade wenn sie von den großen Hyperscalern AS, Azure und Google Cloud angeboten wird, ist so neu nicht mehr. Doch allein in der ersten Jahreshälfte 2019 gab es mehr als 20 größere Sicherheitsvorfälle mit Public-Cloud-Plattformen, über die in den Medien berichtet wurde. Der „Vorfall“ bei Capital One in der vergangenen Woche – bei dem ebenfalls die Cloud-Sicherheit im Mittelpunkt stand - hat weltweit für Aufsehen gesorgt.

Im Report listet Palo Alto die größten Hämmer auf, Versäumnisse, die heute einfach nicht mehr passieren dürfen. Dabei geht es (fast) nie um die Hyperscaler Anbieter selbst: Microsoft, Amazon und Google haben ihre Hausaufgaben gemacht, die Infrastruktur der Public Cloud ist stabil und sicher. Die haarsträubenden Versäumnisse finden auf Seiten der Anwender statt. So entdeckten die Sicherheitsanalysten als 40.000 Cloud-Container-Systeme wie Kubernetes und Docker, die mit ihren Default Konten und Zugangsdaten konfiguriert und aus dem Internet erreichbar waren. Diese Container konnten mithilfe einer einfachen Stichwortsuche leicht identifiziert werden. Andere Probleme schleppen die Unternehmen wohl schon länger mit sich herum. Nach Angaben von Palo Alto kommunizieren 28 Prozent der untersuchten Public Cloud-Anwender mit bösartigen Cryptomining-C2-Domains der Bedrohungsgruppe Rocke.

Fast noch dramatischer sind die Nachlässigkeiten beim Einsatz von Remote-Control-Protokollen. Haufenweise wurden nach außen offene RDP-Zugänge gefunden. Immer wieder tauchen Schwachstellen mit Exploits in RDP auf, die letzte größere (BlueKeep) im Mai 2019. Bei SSL/TLS sieht es nicht besser aus. Obwohl die TLS-Version 1.1 schon 2008 durch die Version TLSv1.2 ersetzt wurde, war in 61 Prozent der Unternehmen immer noch TLSv1.1/1.0 aktiviert und veraltete Versionen von SSL im Einsatz. Leider akzeptieren die wichtigsten Browser nach wie vor die veralteten Protokolle, das soll allerdings 2020 vorbei sein. Insgesamt zeigte sich, dass 56 Prozent der Unternehmen mindestens einen SSH-Dienst für das Internet und fast 40 Prozent der Unternehmen mindestens einen RDP-Dienst für das Internet im Einsatz hatten. Es gibt keinen Grund, eingehenden Datenverkehr aus dem gesamten Internet (0.0.0.0.0.0/0) auf Dienste wie SSH, RDP oder SMB zuzulassen. Solche Zugänge sollten immer durch ein VPN getunnelt sein. Falls es ad hoc zu einem schnellen Zugriff, beispielsweise durch einen externen Servicemitarbeiter kommen muss, gibt es Methoden wie One-Time Zugänge mit zeitlich begrenzter Laufzeit.

Die Aufzählung mit den gefundenen und mehr als vermeidbaren Sicherheitsverletzungen lässt sich noch ein paar Seiten fortsetzen. Die Details sind aber nicht so wichtig, entscheidend ist der generelle Tenor: Firmen vernachlässigen die Sicherheit von Public Cloud Umgebungen. Cloud-Provider und Nutzer teilen sich bei der Public Cloud, und zwar in jedem Modell, sei es nun IaaS oder PaaS die Verantwortung. Und während die Provider ihren Teil des Vertrags erfüllen, schwächeln die Nutzer. Da ist es nur logisch, dass 65 Prozent der gemeldeten Vorfälle in Zusammenhang mit Cloud-Infrastrukturen als Folge einer Fehlkonfiguration entstanden. Wer so agiert, muss sich über die aktuelle Häufung an Sicherheitsvorfällen mit Datenabfluss (siehe Capital One) nicht wundern.