20.10 Trainer – Cloud, Bereitstellungsmodelle, IAM und Shared Responsibility

PortweiterleitungShared machtResponsibility einen internen Dienst von außen erreichbar.

Dadurch kann der Dienst aus dem Internet angegriffen werden.

Risiken:bedeutet:

ExploitsCloud-Anbieter Brute-Force-Angriffeund FehlkonfigurationKunde Datenabflussteilen DoSsich die Verantwortung für Sicherheit und Betrieb.

Schutzmaßnahmen:Der Anbieter ist typischerweise verantwortlich für:

nurphysische notwendigeInfrastruktur

PortsRechenzentrum

freigebenGrundplattform

DienstHardware
patchen

Der AuthentifizierungKunde TLSist nutzentypischerweise Loggingverantwortlich aktivierenfür:

Daten

einschränkenBenutzer

DMZBerechtigungen

verwendenKonfigurationen

Anwendungen je nach Modell

Merksatz:

Jeder veröffentlichte PortCloud-Sicherheit ist einegeteilte mögliche Angriffsfläche.Verantwortung.

AusgehendesShared NAT:Responsibility ist wichtig, weil Kunden oft fälschlich glauben, der Cloud-Anbieter sei für alles verantwortlich.

In Wirklichkeit bleiben viele Aufgaben beim Kunden, zum Beispiel:

interneBenutzerrechte

ClientsDatenklassifizierung

greifenZugriffsschutz

nachsichere außenKonfiguration

zuBackup

privateVerschlüsselung

IP wird nach außen übersetzt

Portweiterleitung:

externe Clients greifen auf internen Dienst zu

externer Port wird nach intern weitergeleitetMonitoring

Merksatz:

NATCloud-Anbieter nachschützt außendie istCloud.
nichtKunde dasselbeschützt wieseine ZugriffNutzung vonder außen nach innen.Cloud.

NAT:Typischerweise:

übersetztder AdressenKunde

Firewall:Begründung:

erlaubtAuch oderwenn blockiertder VerkehrAnbieter 

Wichtig:

Vielebetreibt,
Gerätemuss kombinierender beideKunde Funktionen.seine FachlichBenutzer,
bleibenGruppen,
sieRollen,
verschieden.Daten
und Freigaben korrekt verwalten.

Merksatz:

NATSaaS übersetzt.nimmt FirewallBetrieb filtert.ab,
aber nicht Rechteverwaltung.

Mögliche Ursachen:Typischerweise:

Standardgatewayder fehltKunde
Standardgateway

Begründung:

Bei NATIaaS fehltstellt oderder fehlerhaftAnbieter Firewalldie blockiertvirtuelle ProviderverbindungInfrastruktur gestörtbereit.
DNSBetriebssystem,
zusätzlichPatches,
beiDienste
Zugriffund überAnwendungen Namenin der virtuellen Maschine werden häufig vom Kunden verwaltet.

Merksatz:

LokalIaaS ja,bedeutet externmehr nein:Kundenverantwortung Gateway,als Routing,
NAT
oder Firewall prüfen.SaaS.

EherIAM nein.steht für:

Identity and Access Management

WennBedeutung:

Verwaltung IP-Adressenvon erreichbarIdentitäten,
sind,Rollen,
funktionieren Gateway,
RoutingRechten
und NATZugriffen.
wahrscheinlich

Typische Aufgaben:

Wenn

Benutzer nurverwalten

NamenRollen nichtdefinieren

funktionieren,Berechtigungen istvergeben

DNSMFA wahrscheinlicher.
erzwingen

Service Accounts verwalten

Zugriff protokollieren

Merksatz:

IPIAM ja,entscheidet,
Namewer nein:was DNS.darf.

MöglicheCloud-Ressourcen Ursachen:sind oft über das Internet erreichbar und können schnell erstellt, geändert oder gelöscht werden.

Fehlerhafte Berechtigungen können zu:

falscherDatenabfluss

externerMissbrauch Portvon falscheRessourcen

interneKostenexplosion

IP-Adresseunberechtigtem falscherZugriff

interner Port

Webdienst läuft nicht

Dienst lauscht nicht auf richtiger Schnittstelle

lokale Firewall blockiert

Router-Firewall blockiert

NAT-Regel fehlt oder falsch

DNS zeigt auf falsche öffentliche IP

doppeltes NAT

CGNAT beim Provider

Zertifikat oder Anwendung fehlerhaftManipulation

führen.

Merksatz:

PortweiterleitungIn brauchtder DNS,Cloud NAT,sind FirewallIdentitäten undoft laufendender Dienst.wichtigste Sicherheitsperimeter.

DoppeltesLeast NATPrivilege bedeutet:

VerkehrBenutzer,
wirdRollen,
durchDienste
zweiund NAT-GeräteAnwendungen übersetzt.erhalten nur die Berechtigungen,
die sie wirklich benötigen.

Beispiel:Beispiele:

Provider-RouterEntwickler unddarf dahinterLogs eigenerlesen,
Routeraber 

Problem:

Portweiterleitungenlöschen.

werdenAnwendung schwieriger,darf weilin beideeinen GeräteSpeicher korrektschreiben,
konfiguriertaber werdenkeine müssen.Benutzer verwalten.

Dienstkonto darf nur auf benötigte Ressourcen zugreifen.

Merksatz:

DoppeltesIn NATder erschwertCloud eingehendekeine Verbindungen.pauschalen Adminrechte vergeben.

CGNATMFA steht für:

Carrier-Grade NATMulti-Faktor-Authentifizierung

Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf.

Problem:Bedeutung:

DerAnmeldung Kundebenötigt hatmehr oftals keinenur eigeneein öffentlichPasswort.
erreichbare

Beispiele Eingehendefür PortweiterleitungenFaktoren:

Wissen:
dadurchPasswort

meistBesitz:
nichtSmartphone,
direkt.Token,
Smartcard

Sein:
biometrisches Merkmal

Merksatz:

CGNATMFA erschwertschützt ZugriffCloud-Konten vongegen außen auf eigene Dienste.Passwortmissbrauch.

BeiEin CGNATService liegtAccount dieist öffentlicheein IPv4-AdresseKonto, das von Diensten, Anwendungen oder Automatisierungen genutzt wird.

Risiken:

zu viele Rechte

Schlüssel liegen unsicher

Zugriff wird nicht direktüberwacht

amKonto eigenenwird Router.
nach 
Der Router ist hinter einer NAT-Struktur des Providers.

Dadurch erreichen eingehende Verbindungen die eigene PortweiterleitungProjektende nicht direkt.entfernt

Schutzmaßnahmen:

Least Privilege

Schlüsselrotation

kurze Laufzeiten

Logging

keine geteilten Geheimnisse im Klartext

Merksatz:

OhneService eigeneAccounts öffentlichebrauchen IPv4-Adressebesonders istsaubere Portweiterleitung von außen schwierig.Rechteverwaltung.

HairpinVPC NATsteht oder NAT Loopback bedeutet:für:

EinVirtual internerPrivate Client greift über die öffentliche Adresse oder Domain
auf einen internen Dienst zu.Cloud

Der Router leitet die Verbindung wieder zurück ins interne Netz.

Problem:Bedeutung:

Nichtlogisch jedergetrenntes Routervirtuelles unterstütztNetzwerk dasin sauber.einer Cloud-Umgebung.

Typische Bestandteile:

Subnetze

Routing-Tabellen

Security Groups

Gateways

Firewalls

VPN-Anbindungen

Merksatz:

HairpinVPC NAT= betrifftvirtuelles internen Zugriff über externe Adresse.Cloud-Netzwerk.

MöglicheEin Ursachen:Cloud-Subnetz ist ein IP-Adressbereich innerhalb eines virtuellen Cloud-Netzwerks.

Typische Unterscheidung:

Portweiterleitungöffentliches fehltSubnetz

externeprivates FirewallSubnetz
blockiert

Öffentliches Subnetz:

Ressourcen können über passende Regeln und öffentliche IP falsch

DNS zeigt falsch

doppeltes NAT

CGNAT

Dienst bindet nur an interne Adresse Zertifikataus oderdem HostnameInternet falscherreichbar Providersein.
blockiert

Privates Subnetz:

Ressourcen sind nicht direkt öffentlich erreichbar.

Merksatz:

InternSubnetze erreichbarstrukturieren heißt nicht automatisch extern erreichbar.Cloud-Netzwerke.

MöglicheEine Ursachen:Security Group ist eine regelbasierte Zugriffskontrolle für Cloud-Ressourcen.

Sie steuert typischerweise:

Hairpineingehenden NATVerkehr

fehltausgehenden Split-DNSVerkehr

fehltPorts

interneProtokolle

DNS-AuflösungQuellen

zeigt auf falsche Adresse

Firewall-Regel für internen Zugriff fehlt

Zertifikat oder Hostname passt nichtZiele

Merksatz:

ExterneSecurity DomainGroup internist nutzen:wie Hairpineine NATressourcennahe oder Split-DNS prüfen.Firewall-Regelgruppe.

Split-DNSSecurity bedeutet:Group:

Einhäufig Namedirekt kannan internCloud-Ressourcen undgebunden

externregelt unterschiedlichZugriff aufgelöstauf werden.einzelne Ressourcen oder Gruppen

Beispiel:Klassische Firewall:

extern:oft app.firma.dezentrale zeigtNetzwerkkomponente aufoder öffentlicheAppliance

IPkontrolliert intern:Verkehr app.firma.dezwischen zeigtNetzen aufoder interne IPZonen

Vorteil:Wichtig:

interneBeide Clientskontrollieren könnenVerkehr,
denaber Dienstan direktunterschiedlichen intern erreichen,
ohne Hairpin NAT zu benötigen.Stellen.

Merksatz:

Split-DNSSecurity kannGroups internesind undCloud-nahe externe Wege trennen.Zugriffskontrolle.

Sinnvolle Regel:

Quelle:
Internet

Ziel:
Webserver in der DMZ

Protokoll:
TCP

Port:
443

Aktion:
erlauben

Zweck:
HTTPS-Zugriff auf Webserver

Wichtig:

Nicht pauschal Zugriff vom Internet ins interne Netz erlauben.

Merksatz:

Öffentlich nur den benötigten Dienst freigeben.

Gezielte Regel:

Quelle:
Webserver-DMZ

Ziel:
Datenbankserver intern

Protokoll:
TCP

Port:
Datenbankport,
zum Beispiel 5432 oder 3306

Aktion:
erlauben

Zweck:
Anwendung greift auf Datenbank zu

Wichtig:

Nur exakt benötigten Zugriff erlauben.
Kein Any-to-Any zwischen DMZ und internem Netz.

Merksatz:

DMZ zu intern nur minimal und gezielt erlauben.

EinEine DatenbankserverDatenbank enthält oft sensible Daten und ist ein attraktives Angriffsziel.

Risiken:

Brute Force

Exploits

Datenabfluss

Manipulation

DoSKosten oder Last durch Missbrauch

Besser:

privates Subnetz

Zugriff nur vomvon AnwendungsserverAnwendungsservern

Firewall-BeschränkungSecurity keinGroup direkter Internetzugriffeinschränken

starke Authentifizierung

MonitoringVerschlüsselung

Logging

Merksatz:

Datenbankports gehörenDatenbanken nicht offenöffentlich insfreigeben.
Internet.

Skalierung bedeutet:

Ressourcen werden an Bedarf angepasst.

Vertikale Skalierung:

eine Ressource wird größer gemacht

Beispiel:

mehr CPU oder RAM für eine VM

Horizontale Skalierung:

mehrere Instanzen werden hinzugefügt

Beispiel:

mehrere Webserver hinter einem Load Balancer

Merksatz:

Vertikal = größer.
Horizontal = mehr.

Auto Scaling bedeutet:

Ressourcen werden automatisch erhöht oder reduziert,
abhängig von definierten Bedingungen.

Beispiele:

CPU-Auslastung hoch:
zusätzliche Instanz starten

Last niedrig:
Instanz entfernen

Vorteile:

bessere Verfügbarkeit

flexible Leistung

Kostenkontrolle bei richtiger Konfiguration

Merksatz:

Auto Scaling passt Ressourcen automatisch an Last an.

TypischeEin Regeln:Load Balancer verteilt Anfragen auf mehrere Ziele.

Beispiele:

Gastnetzmehrere zuWebserver

Internet:mehrere erlaubenAnwendungsserver
Gastnetz

Vorteile:

bessere Netz:Verfügbarkeit

blockierenLastverteilung

GastnetzWartung zueinzelner Managementnetz:Instanzen blockierenleichter Gastnetzmöglich

zu Servernetz:
blockieren,
außer ausdrücklich benötigte DiensteSkalierung

Merksatz:

GastnetzLoad nurBalancer insverteilt Internet,
nicht ins interne Netz.Verkehr.

EinCloud-Kostenkontrolle Managementnetz sollte nur für Administration genutzt werden.

Typische Regeln:bedeutet:

AdminnetzNutzung,
zuRessourcen
Servern:Speicher
benötigteDatenverkehr
AdminportsLizenzen
erlaubenund Adminnetzlaufende zuDienste Switches:überwachen.
SSH

Maßnahmen:

Budgets

Alarme

Tags

Abschalten ungenutzter Ressourcen

passende Größen wählen

Reservierungen oder HTTPSPläne erlaubenprüfen

normaleSpeicherklassen Clientnetze zu Management:
blockieren

Internet zu Management:
blockierennutzen

Merksatz:

ManagementzugängeCloud besondersist schützen.flexibel,
aber nicht automatisch günstig.

Prüfen:Tags sind Metadaten an Ressourcen.

Nutzung:

richtigeKostenstellen öffentlichezuordnen

IP?Besitzer DNSerkennen

zeigtUmgebung aufkennzeichnen

richtigeProjektzuordnung

IP?Automatisierung

PortweiterleitungCompliance
korrekt?

Beispiele:

Projekt erlaubt?= interneWebshop

FirewallUmgebung erlaubt?= DienstProduktion

läuftBesitzer intern?= Dienst lauscht auf richtigem Port?

Dienst lauscht auf richtiger Schnittstelle?

doppeltes NAT?

CGNAT?

Provider blockiert Port?IT-Team

Merksatz:

ExternerTags Porttest:helfen DNS,bei NAT,Ordnung,
Firewall,
DienstKosten
und Provider prüfen.Automatisierung.

DieVendor AussageLock-in ist zu ungenau.

Besser ist:bedeutet:

Quellestarke prüfenAbhängigkeit Zielvon prüfeneinem PortAnbieter,
prüfenweil ProtokollDienste,
prüfenSchnittstellen
Richtungoder prüfenDatenformate Zoneschwer prüfenwechselbar Regelreihenfolgesind.
prüfen

Risiken:

Wechsel wird teuer

Migration wird schwierig

Preiserhöhungen schwer vermeidbar

technische Abhängigkeiten

Merksatz:

FirewallprüfungVendor brauchtLock-in konkreteerschwert Angaben.Anbieterwechsel.

VieleCloud-Backup Firewallsbedeutet:

Daten Regelnoder Systeme werden in einer bestimmtenCloud-Umgebung Reihenfolge.
gesichert.

Eine frühere Regel kann spätere Regeln überdecken.

Beispiel:Wichtig:

EineZugriffsschutz

Block-RegelVerschlüsselung

vorRetention

einerRestore-Test

Erlauben-RegelSchutz kanngegen ZugriffRansomware

verhindern.regionale Speicherung

Kosten

Merksatz:

BeiAuch FirewallsCloud-Backups auchmüssen Regelreihenfolgegetestet prüfen.und geschützt werden.

BSynchronisation istgleicht besser.Datenstände ab.

Begründung:Problem:

DieLöschungen

AntwortVerschlüsselung trenntdurch dieRansomware

FunktionenFehländerungen

fachlichbeschädigte korrekt.Dateien

können mitsynchronisiert werden.

Backup braucht:

alte Versionen

Retention

Restore-Möglichkeit

Schutz vor Manipulation

Merksatz:

NATSync übersetzt,hält Firewallgleich.
kontrolliert.Backup stellt alte Stände wieder her.

B ist besser.

Begründung:

Die Antwort erklärtbeschreibt dendas SicherheitszweckShared-Responsibility-Modell der DMZ.korrekt.

Merksatz:

DMZCloud-Sicherheit begrenztist Schadengeteilte bei öffentlichen Diensten.Verantwortung.

B ist besser.

Begründung:

Die Antwort nennt systematisch die beteiligten Komponenten.

Merksatz:

Portweiterleitung ist Zusammenspiel aus DNS,
NAT,
Firewall
und Dienst.

B ist besser.

Begründung:

Die Antwort nennt konkrete Risiken
und eine bessere Alternative.Schutzmaßnahme.

Merksatz:

BewertungSicherheitsantwort:
brauchtRisiko,
RisikoMaßnahme,
Wirkung.

B ist besser.

Begründung:

Die Antwort grenzt beide Modelle fachlich sauber voneinander ab.

Merksatz:

Modelle immer über Verantwortlichkeit und Bereitstellung erklären.