Was ist Cloud Security Posture Management (CSPM)? Cloud Security Posture Management (CSPM) ist ein wichtiger Bestandteil der Datensicherheit in der Cloud. Mit dieser Funktion können Konfigurationsschwachstellen in Cloud-Services sowie Compliance-Risiken, die meist durch menschliche Fehler verursacht werden, in Cloud-Umgebungen aufgespürt und an Mitarbeiter gemeldet werden. CSPM-Produkte automatisieren die Sicherheit sowie Compliance und stellen die notwendige Kontrolle über Konfigurationen der Cloud-Infrastruktur bereit.

Warum brauchen wir CSPM?

Die Einführung von Cloud-Services und Cloud-basierten Anwendungen war für Unternehmen und Mitarbeiter von großem Vorteil, da sie ein ganz neues Maß an Produktivität und Flexibilität ermöglichen. Allerdings können sie beispielsweise durch Datenpannen die Cybersicherheit von Unternehmen beeinträchtigen, da jeder unmittelbar über das Internet auf diese Tools zugreifen kann. Trotz Schulungen und umfangreicher Bemühungen bleiben Schwachstellen bestehen und es kommt zu Sicherheitsproblemen, wodurch sensible Daten gefährdet sind. Verantwortliche in den Bereichen IT-Sicherheit, Risiko und Business stoßen immer wieder auf:

• Datenpannen aufgrund von Fehlkonfigurationen der Cloud-Infrastruktur, durch die erhebliche Mengen sensibler Daten frei zugänglich sind, was Haftungsfragen und finanzielle Verluste nach sich ziehen kann.
• Mit herkömmlichen On-Premise-Tools und -Prozessen nicht erreichbare kontinuierliche Compliance für Cloud-basierte Anwendungen und Workloads.
• Herausforderungen bei der Implementierung von Cloud-Governance (Transparenz, Genehmigungen, Durchsetzung von Richtlinien in allen Geschäftsbereichen, fehlende Kenntnisse hinsichtlich Sicherheitskontrollen in der Cloud), die mit zunehmender Cloud-Nutzung innerhalb des Unternehmens immer schwieriger zu bewältigen sind.

Datenpannen werden häufig als größte Herausforderung wahrgenommen und können auch die größten Schäden verursachen. Zur Illustration:

• Im IBM-Report Cost of a Data Breach 2019 werden die durchschnittlichen Kosten einer Datenpanne auf 3,9 Millionen US-Dollar weltweit und 8,2 Millionen US-Dollar auf nationaler Ebene geschätzt. Der Verlust des Kundenvertrauens und die daraus resultierenden Geschäftseinbußen sind die wichtigsten Faktoren bei der Berechnung der durchschnittlichen Kosten.
• Ein Report von Risk Based Security aus dem Jahr 2020 zeigt, dass 2019 15 Milliarden Datensätze offengelegt wurden – ein deutlicher Anstieg gegenüber den Vorjahren. Durch nur vier Datenpannen aufgrund falsch konfigurierter Datenbanken wurden im 4. Quartal 2019 6,7 Milliarden Datensätze offengelegt.
• Der Report Threat Intelligence Index 2020 von IBM X-Force macht deutlich, dass sich die Zahl der durch Fehlkonfigurationen offengelegten Datensätze im Vergleich zum Vorjahr fast verzehnfacht hat und 86 Prozent aller offengelegten Datensätze entspricht.

Wie funktioniert CSPM?

Im Großen und Ganzen schützt CSPM Unternehmen auf drei Ebenen:

• Bietet Transparenz hinsichtlich Cloud-Ressourcen und -Konfigurationen. CSPM erkennt Fehlkonfigurationen, Änderungen an Richtlinien oder Metadaten und vieles mehr und unterstützt Unternehmen bei der Verwaltung all dieser Richtlinien über eine zentralisierte Konsole.
• Erkennt und behebt Fehlkonfigurationen. Cloud-Konfigurationen werden mit Branchenstandards und anderen vordefinierten Regeln abgeglichen. Dadurch werden menschliche Fehler, die das Risiko kostspieliger Sicherheitsverletzungen erhöhen können, reduziert.
• Spürt neue potenzielle Bedrohungen auf. CSPM prüft Cloud-Umgebungen in Echtzeit auf unzulässige Zugriffe und Anomalien, die auf schädliche Aktivitäten hindeuten könnten.

Was sind die wichtigsten Funktionen von CSPM?

CSPM-Services können mithilfe von Automatisierungsfunktionen Probleme ohne menschliches Eingreifen oder Verzögerungen beheben und bieten dabei kontinuierliches Monitoring. Sie umfassen zudem folgende Funktionen:

• Das gesamte Ausmaß der Cloud-Umgebung wird erfasst und hinsichtlich der Erstellung neuer Instanzen oder Buckets, z. B. S3-Buckets, überwacht.
• Transparenz über Richtlinien wird bereitgestellt und deren konsistente Durchsetzung in den Multicloud-Umgebungen aller Anbieter gewährleistet.
• Computing-Instanzen werden auf Fehlkonfigurationen und falsche Einstellungen geprüft, die sie angreifbar machen könnten.
• Storage-Buckets werden auf Fehlkonfigurationen geprüft, durch die Daten offengelegt werden könnten.
• Die Einhaltung gesetzlicher Vorschriften wie HIPAA, PCI-DSS und DSGVO wird überprüft.
• Risikobewertungen bezüglich Frameworks und externer Normen wie z. B. der Internationalen Organisation für Normung (ISO) und dem National Institute of Standards and Technology (NIST) werden durchgeführt.
• Es wird überprüft, ob betriebliche Aktivitäten (z. B. Schlüsselrotationen) wie erwartet stattfinden.
• Probleme werden automatisiert oder mit nur einem Mausklick behoben.

Wie funktioniert CSPM bei Zscaler?

Viele CSPM-Lösungen stellen Unternehmen vor eine Herausforderung, da sie als Einzelprodukte nicht mit den bestehenden Sicherheits- und Datenschutz-Tools integriert werden können. Dies beeinträchtigt die Transparenz, wodurch mehr Sicherheitsrisiken entstehen und die Reaktion auf Vorfälle verlangsamt wird.

Zscaler CSPM löst dieses Problem durch die automatische Identifizierung und Behebung von Fehlern in Anwendungskonfigurationen. Dies geschieht im Rahmen der umfassenden, zu 100 Prozent in der Cloud bereitgestellten Datenschutzfunktionen von Zscaler Zero Trust Exchange™, der globalen Cloud-Plattform, auf der alle Zscaler-Services basieren.

Zscaler CSPM automatisiert Sicherheit und Compliance für Cloud-basierte Ressourcen und Anwendungen, bietet kontinuierliche Transparenz und setzt umfassende Sicherheitsrichtlinien und Compliance-Frameworks durch. Zscaler CSPM ist ein mehrinstanzenfähiges SaaS-Angebot, kann nahtlos mit der Cloud-Infrastruktur des Kunden integriert werden und bietet schnelle Datenerfassung, umfassende Dashboards sowie Berichte.

Die Lösung kann mit mehreren Cloud-Anbietern integriert werden und stellt Continuous Integration und Continuous Delivery (CI/CD) Pipelines, Ticketing-Systeme sowie automatische Fehlerbehebung bereit. Kunden können ihre unternehmensinternen Informationssicherheitsstandards bei ihren IaaS-Anbietern (z. B. Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform) und SaaS-Anwendungen problemlos durchsetzen, um Datenpannen durch Fehlkonfigurationen zu vermeiden.

Zscaler CSPM unterstützt Sicherheits- und Compliance-Bemühungen durch Abgleich mit mehr als 2.700 vordefinierten Richtlinien aus 16 Standards (u. a. DSGVO, NIST, CIS Benchmarks, PCI DSS, SOC2 und AWS Security Best Practices), und setzt Unternehmensrichtlinien für sichere, effiziente und vorschriftenkonforme DevOps-Deployments durch. Außerdem können Unternehmen benutzerdefinierte, private Benchmarks erstellen und große Anwendungsumgebungen unterstützen.

Zscaler CSPM ist Teil der umfassenden Zscaler Data Protection Suite, zu der auch Zscaler Cloud DLP, Zscaler Cloud Browser Isolation und Cloud Access Security Broker (CASB) gehören.

Zscaler CSPM:

• Erfasst Echtzeit-Konfigurationsdaten aus der Cloud-Infrastruktur über APIs, sobald der Zugriff auf die Cloud-Umgebungen des Kunden gewährt wurde. Für einige Richtlinien muss möglicherweise ein Agent installiert werden.
• Identifiziert Cloud-Fehlkonfigurationen auf Ebene der Sicherheitsrichtlinien und Cloud-Ressourcen durch den Vergleich der ermittelten Konfigurationen mit den integrierten Richtlinien. Außerdem werden Sicherheitsrichtlinien mit unterschiedlichen Compliance-Frameworks abgeglichen. Durch intuitive Dashboards und Berichte erfolgt eine übersichtliche Visualisierung.
• Reguliert Sicherheit und Compliance. Die Lösung beinhaltet verschiedene Funktionen zur Cloud-Governance, darunter Compliance-Monitoring, risikobasierte Priorisierung des Sicherheitsstatus, Richtlinienverwaltung und die Konfiguration privater Benchmarks für Unternehmen mit mehreren Compliance-Standards oder IT-Sicherheitsteams mit bestimmten Architekturanforderungen.
• Behebt Fehlkonfigurationen mithilfe von Schritten zur Fehlerbehebung für jeden Verstoß gegen eine Sicherheitsrichtlinie und bietet automatische Problembehebung für einige der wichtigsten Richtlinien.

CSPM-Richtlinien sind in Posture Control nativ durch Zscaler eingebaut. Die umfassende Cloud Native Application Protection Platform (CNAPP) unterstützt Organisationen durch Erkennen, Priorisieren und Beheben von Risiken in Cloud-Infrastrukturen und nativen Anwendungsbereitstellungen über Multicloud-Umgebungen hinweg.