IT-Sicherheit

Die IT-Sicherheit soll die Integrität der Informationstechnologien (also Computersysteme, Netzwerke und Daten) vor Angriffen, Beschädigungen oder unerlaubten Zugriffen schützen. Um in einer Welt der digitalen Transformation wettbewerbsfähig zu bleiben, müssen Unternehmen wissen, wie man Informationssicherheitslösungen schon in der Designphase integriert. Das ist es, was im Bereich der Sicherheit mit „Shift-Left“ gemeint ist – eine möglichst frühzeitige Integration von Sicherheitsfunktionen in die Infrastruktur und den Lifecycle. Auf diese Weise lässt sich die Sicherheit sowohl proaktiv als auch reaktiv gestalten.

Die kontinuierliche Sicherheit entsteht durch ein Routinesystem aus Feedback und Anpassung, häufig unter Verwendung automatischer Checkpoints. Diese Automatisierung sorgt für schnelles und effizientes Feedback, ohne den Produkt-Lifecycle zu verlangsamen. Eine derartige Integration der Netzwerksicherheit bedeutet außerdem, dass Updates und Rückmeldungen von Sicherheitsvorfällen angesichts einer sich wandelnden Sicherheitslandschaft umgehend und ganzheitlich implementiert werden können.

IT- und Cybersicherheit war ursprünglich auf den Schutz, die Überwachung und die Reglementierung von Rechenzentren ausgerichtet. Das allein genügt jedoch heute nicht mehr. Die Art und Weise, wie IT-Technologien heute entwickelt, bereitgestellt, integriert und verwaltet werden, ändert sich derzeit drastisch. Durch den Einsatz von Public und Hybrid Clouds werden die Zuständigkeiten für die Einhaltung rechtlicher Vorschriften und Datensicherheit mittlerweile auf mehrere Anbieter verteilt. Die Einführung von Containern in großem Umfang erfordert neue Methoden zur Analyse, Sicherung und Aktualisierung der Anwendungsbereitstellung. Mobile Apps sind auf verschiedene Geräte verteilt, und immer mehr Teile der Infrastruktur werden von der Hardware zur Software hin verschoben. Kompliziertere Netze von Geräten oder Prozessen können das Risiko von Sicherheitsproblemen wie Insider-Bedrohungen oder Malware erhöhen.

Herkömmliche Strategien für Sicherheitsmanagement können da nicht mehr mithalten. Die digitale Transformation erfordert veränderte Services und Programme zur IT-Sicherheit. So muss Sicherheit in der digitalen Welt von heute kontinuierlich, integriert und flexibel sein.

Manche Unternehmen stellen zur Erfüllung ihrer Sicherheitsanforderungen einen Business Information Security Officer (BISO) ein. BISOs gehören zum Unternehmen und sind vom Design über die Bereitstellung bis hin zur Einführung am Produkt-Lifecycle beteiligt. Meist sind sie neben den Security Analysts dem Chief Information Security Officer (CISO) unterstellt und mit dafür verantwortlich, dass Sicherheitsinitiativen und -bedenken in jeder Phase sorgfältig gehandhabt und integriert werden und gleichzeitig die Sicherheitsanforderungen gegenüber den Risiken für das Unternehmen abgewogen werden, um weiterhin für eine schnelle und ordnungsgemäße Bereitstellung zu sorgen.

Security-Enhanced Linux (SELinux) ist eine Sicherheitsarchitektur für Linux®-Systeme, die Administrationsteams mehr Kontrolle darüber bietet, wer auf das Informationssystem zugreifen darf. Sie wurde ursprünglich von der US-amerikanischen NSA (National Security Agency) in mehreren Patches entwickelt, die mit LSMs (Linux Security Modules) auf den Linux-Kernel angewendet wurden.

SELinux wurde im Jahr 2000 für die Open Source Community freigegeben und 2003 in den Upstream-Linux-Kernel integriert.

Zero Trust ist ein Konzept zur Entwicklung von Netzwerk-Sicherheitsarchitekturen, das auf dem Grundsatz basiert, dass jede Interaktion einen nicht vertrauenswürdigen Ausgangsstatus aufweist. Dies steht im Gegensatz zu traditionellen Architekturen, bei denen Vertrauenswürdigkeit davon abhängt, ob eine Kommunikation innerhalb einer Firewall beginnt. Beim Zero Trust-Konzept wird konkret versucht, Lücken in Sicherheitsarchitekturen zu schließen, die auf impliziten Vertrauensmodellen und einmaliger Authentifizierung basieren.

Zero Trust-Architekturen werden zunehmend wichtiger, weil sich die globalen Bedrohungen der Cybersicherheit verändert haben. Dies hat zur Folge, dass traditionelle Annahmen über die inhärente Vertrauenswürdigkeit von Aktivitäten in einem Netzwerk nun in Zweifel gezogen werden. Gut organisierte Cyberkriminelle können Insider rekrutieren und nach immer neuen Möglichkeiten suchen, die äußere Hülle traditioneller Sicherheitsarchitekturen zu umgehen. Darüber hinaus sind fortgeschrittene Hacker und kommerzialisierte Ransomware as a Service-Plattformen heute viel leichter verfügbar, wovon vor allem die finanziell motivierte Cyberkriminalität profitiert. Bei all diesen Cyberbedrohungen besteht die Möglichkeit, dass wertvolle Daten gestohlen werden, Wirtschaft und Handel gestört und das Alltagsleben beeinträchtigt wird.

DevSecOps ist die Kombination von DevOps-Praktiken und Sicherheitsstrategien als Mittel für Unternehmen, die IT-Sicherheit zu erhöhen und das Risiko für ihre Softwareumgebungen zu verringern. Mit DevSecOps können Unternehmen ihre Softwareumgebungen im Vergleich zu herkömmlichen IT-Sicherheitsstrategien schneller, in größerem Umfang und umfassender sichern.

Container ermöglichen die einfache Entwicklung, Paketierung und Unterstützung von Anwendungen oder Services für verschiedene Umgebungen und Bereitstellungsziele. Bei der Container-Sicherheit sind jedoch einige Herausforderungen zu beachten. Da immer mehr Unternehmen Container-Technologien einführen, müssen Sicherheitsteams neue Angriffsmodelle bekämpfen und neue Infrastrukturkomponenten sichern. 

Statische Sicherheitsrichtlinien und Checklisten lassen sich für unternehmensgerechte Container nicht skalieren. Für die Lieferkette werden zusätzliche Sicherheitsrichtlinien benötigt. Teams müssen die Anforderungen in Bezug auf die Vernetzung und Governance von Containern in Einklang bringen. Ein erfolgreiches unternehmensweites Sicherheitsprogramm für Container muss zentrale Kontrollmechanismen in den Phasen der Erstellung, des Deployments und der Ausführung des Container-Lifecycles sowie in der zugrunde liegenden Container-Infrastruktur implementieren. 

Viele Menschen kennen die Vorteile von Cloud-Services, lassen sich aber durch Sicherheitsbedrohungen abschrecken. Das ist verständlich. Es ist schwer, sich etwas vorzustellen, das sich irgendwo zwischen amorphen Ressourcen im Internet und einem physischen Server befindet. Wir haben es hier mit einer dynamischen Umgebung zu tun, in der sich alles − also auch Sicherheitsbedrohungen − ständig ändert.

Durch die Einführung von cloudnativen Technologien entstehen zwar neue Sicherheitsherausforderungen, doch sie schafft auch Möglichkeiten zur Verbesserung bestehender Sicherheitsstrategien. Durch eine effektive cloudnative Sicherheitsstrategie können Teams ein höheres Niveau bei der Softwarebereitstellung erreichen und gleichzeitig sicherere Systeme entwickeln. 

Hybrid Cloud-Umgebungen bieten Nutzenden eine Vielzahl an Auswahlmöglichkeiten sowie hohe Flexibilität. Damit können Sie kritische oder vertrauliche Informationen von der Public Cloud isolieren, die Cloud-Anbieter aber trotzdem für Daten einsetzen, die nicht mit denselben Risiken behaftet sind. Hier werden einige der Herausforderungen der Hybrid Cloud-Sicherheit erläutert sowie die Tools, die Sie zu deren Bewältigung benötigen. 

Mehr über Sicherheit in Hybrid Cloud-Umgebungen erfahren

Verwahren Sie Ihr Erspartes unter der Matratze? Vermutlich nicht. Die meisten Menschen deponieren es in einer vertrauenswürdigen Umgebung (einer Bank) und nutzen separate Methoden zur Autorisierung und Authentifizierung von Zahlungen. Bei der API-Sicherheit ist es ähnlich. Sie benötigen eine vertrauenswürdige Umgebung mit Richtlinien für die Authentifizierung und Autorisierung.

Best Practices für APIs empfehlen den Einsatz von Tokens, Verschlüsselung und Signaturen, Quotas und Throttling sowie eines API Gateways. Der wichtigste Aspekt der API-Sicherheit aber ist ein gutes API-Management.

Zur Malware, kurz für „malicious (bösartige) Software“, gehören jegliche Softwareprogramme, die die Interessen der Nutzenden beeinträchtigen. Ob Ransomware, Adware oder Botnets: Malware kann Daten zerstören, den Schutz personenbezogener Daten verletzen und unzählige Stunden an Produktivitätsverlust verursachen. Malware – manchmal mittels Phishing-Scams übertragen – kann nicht nur infizierte Computer, Laptops oder Geräte schädigen, sondern potenziell auch alle anderen Systeme, mit denen das infizierte Gerät kommuniziert. Malware-Attacken stellen eine ernste Bedrohung dar, aber mit einer effizienten IT-Sicherheit können Sie die Schwachstellen und Anfälligkeiten Ihres Unternehmens gegenüber Cyberattacken verringern.

Kubernetes (auch bekannt als k8s oder „kube“) ist eine Container-Orchestrierungsplattform auf Open Source-Basis, mit der viele manuelle Prozesse automatisiert werden können, die mit dem Deployment, dem Management und der Skalierung von containerisierten Anwendungen einhergehen. IT-Sicherheitsteams müssen Kubernetes- und cloudnative Technologien ausreichend verstehen, um wirksame Maßnahmen zur Prävention und zum Risikomanagement zu etablieren. 

Kubernetes-native Sicherheit bietet vertiefte Einblicke, schnellere Analysen und vereinfachte Abläufe. Dadurch wird die Gesamtinvestition in Zeit, Aufwand und Personal, die für die Implementierung von Sicherheit erforderlich ist, reduziert.

CVE, kurz für Common Vulnerabilities and Exposures (Häufige Schwachstellen und Risiken), ist eine Liste mit veröffentlichten Sicherheitsschwachstellen in Computersystemen. CVE steht auch für die CVE-Nummer, die einer Sicherheitsschwachstelle zugewiesen ist. Mithilfe von CVEs können IT-Fachleute solche Schwachstellen leichter priorisieren und beheben, um Computernetzwerke sicherer zu machen.

Schwachstellenmanagement ist eine IT-Sicherheitspraktik, bei der Sicherheitslücken in Geräten, Netzwerken und Anwendungen identifiziert, bewertet und behoben werden, um die Risiken von Cyberattacken und Sicherheitsverletzungen zu reduzieren. Mithilfe eines Programms für das Schwachstellenmanagement können Sicherheitsteams ihren Prozess zur Fehlererkennung und -behebung, darunter das Scannen und Patchen von Schwachstellen, automatisieren.

SPIFFE und SPIRE sind 2 Open Source-Projekte für das Identitätsmanagement in dynamischen und vielfältigen Computing-Umgebungen. SPIFFE (ausgesprochen „Spiffy“) steht für „Secure Production Identity Framework for Everyone“. Das Framework legt eine Struktur für Identitäten fest und bietet die Möglichkeit, IDs kryptografisch zu verifizieren und für vertrauenswürdig zu befinden. SPIRE ist die Abkürzung für SPIFFE Runtime Environment. SPIRE ist die Referenzimplementierung für SPIFFE.

Durch Container und Hybrid Cloud-Technologien sind die Sicherheitsanforderungen bedeutend komplexer geworden. Für Sicherheitsteams wird es immer schwieriger, mit den sich ändernden Risiken, Compliance-Anforderungen, Tools und Architekturänderungen Schritt zu halten, die sich aus diesen Technologien ergeben. Traditionelle perimeterbasierte Netzwerksicherheit allein reicht nicht mehr aus. Die Sicherheitsteams müssen sich daher ein neues Konzept einfallen lassen.

Der SaC-Ansatz (Security as Code) von Red Hat umfasst mehrere Schichten mit tiefgehendem Schutz (Defense-in-Depth) und unterstützt Kunden bei der Implementierung von Sicherheit im gesamten Infrastruktur- und Anwendungs-Stack sowie im gesamten Lifecycle.

Wir möchten, dass Sie Vertrauen haben, wenn Sie sich für eine Strategie der kontinuierlichen Sicherheit entscheiden. Das erreichen wir, indem wir Open Source-Produkte unternehmensfähig machen. Unser Ziel ist es, die Wettbewerbsfähigkeit, Flexibilität und Anpassungsfähigkeit Ihres Unternehmens zu wahren und gleichzeitig für die Einhaltung der gesetzlichen Bestimmungen und Sicherheitsvorschriften in der IT zu sorgen.

Im Rahmen des besonderen Subskriptionsmodells von Red Hat steht für unsere Kunden ein Expertenteam bereit, das rund um die Uhr Support für unsere Technologien bietet. Nachfolgend beschreiben wir einige der Vorteile, die wir Ihnen als Bestandteil Ihrer Open Source-Sicherheitslösungen bieten können.