Was ist IaC-Sicherheit?

Warum ist Infrastructure-as-Code-Sicherheit wichtig?

Aufgrund heutiger Geschäftsanforderungen und der zunehmenden Umstellung auf DevOps werden Anwendungen schneller bereitgestellt und eingesetzt als je zuvor. Dieser Trend kann sich negativ auf Compliance und Sicherheit auswirken, da sich sowohl die geltenden Vorschriften als auch die Cyberbedrohungen ständig weiterentwickeln.

Wenn Entwickler die Compliance-Anforderungen nicht kennen oder nicht auf diese Anforderungen zugreifen können, können Schwachstellen in die Produktionsumgebung gelangen. Unternehmen müssen dem entgegenwirken, indem sie die Kluft zwischen Sicherheits- und DevOps-Teams überbrücken, zumal die Verantwortung und Rechenschaftspflicht für die Sicherheit zunehmend auf DevOps-Entwickler übergeht.

Problem entstehen insbesondere, wenn Unternehmen sich auf manuelle Prozesse und isolierte Tools verlassen, die mit der Entwicklungsgeschwindigkeit und den kontinuierlichen Release-Zyklen nicht Schritt halten können. Stattdessen müssen Sie Ihren Entwicklern eine reibungslose, kollaborative Plattform bereitstellen, die es ihnen ermöglicht, Probleme schnell zu erkennen und zu beheben, damit sie konsistente Sicherheitsrichtlinien und Compliance durchsetzen können – ohne dabei an Geschwindigkeit einzubüßen.

IaC-Sicherheit sollte über folgende Funktionen verfügen:

• Scannen des Codes auf Konfigurationsfehler, Schwachstellen und unsichere Bereitstellungen, die gegen Sicherheitsstandards verstoßen
• Vergleichen Sie Konfigurationsprüfungen mit bewährten Sicherheitsmethoden und Compliance-Kontrollen
• Benachrichtigen und schulen Sie Entwickler zur Behebung von Problemen und sicheren Bereitstellungen
• Guardrails durchsetzen, indem Pull-Requests und CI/CD-Builds mit kritischen Schwachstellen direkt in den von ihnen verwendeten Tools fehlschlagen und potenzielle Verstöße gegebenenfalls blockiert werden

Bevor wir auf die Bedeutung der IaC-Sicherheit eingehen, wollen wir uns zunächst genau anschauen, was IaC ist und wie es heutige Betriebsabläufe unterstützt.

Was ist Infrastructure-as-Code?

Infrastructure-as-Code (IaC) ist ein deskriptiver Code, der üblicherweise in Markup (JSON, YAML usw.) oder proprietären Sprachen (z. B. Terraform HCL) geschrieben und zum Bereitstellen und Verwalten von Ressourcenkonfigurationen der Cloud-Infrastruktur verwendet wird. Infrastruktur-as-Code sorgt für mehr Produktivität und Agilität, reduziert menschliche Fehler, ermöglicht standardisierte Bereitstellung und gewährleistet die Versionskontrolle der Infrastrukturkonfiguration.

IaC-Tools gibt es in vielen Formen – von dedizierten Plattformen für Infrastrukturmanagement über Konfigurationsmanagement-Tools bis hin zu Open Source steht eine Fülle von Optionen zur Verfügung. Zu den gängigen Optionen gehören HashiCorp Terraform, AWS CloudFormation und Azure Resource Manager.

Vorteile von IaC

IaC bietet eine Reihe von Vorteilen, und zwar hauptsächlich in Bezug auf Flexibilität und Geschwindigkeit. Dazu zählen insbesondere:

• Schnelle und einfache Bereitstellung und Verwaltung von Cloud-Ressourcen
• Automatisierte Bereitstellungsprozesse durch die Kodifizierung der Cloud-Infrastruktur
• Skalieren Sie Ihre Infrastruktur mithilfe der Cloud

Diese Vorteile machen eine zeitaufwendige manuelle Konfiguration überflüssig und verringern das Risiko menschlicher Fehler. Darüber hinaus ermöglichen sie Entwicklern die Einführung einer Versionskontrolle, die DevOps-Teams unterstützt. Darauf gehen wir im Folgenden näher ein.

Warum ist IaC für DevOps wichtig?

IaC ermöglicht die Verwaltung und Bereitstellung von Rechenzentren über Skriptdateien. Dadurch werden nicht nur die Kosten für die Erstellung und Ausführung von Anwendungen gesenkt, sondern auch der Datenaustausch zwischen Teams sowie die Automatisierung des Skriptschreibens vereinfacht. All dies erleichtert DevOps-Teams die Arbeit beim Erstellen von Cloud-Anwendungen.

Darüber hinaus unterstützt IaC DevOps-Teams bei der Bereitstellung und Ausführung einer Vielzahl von Testumgebungen und ermöglicht Entwicklern bei Bedarf eine größere Sprachauswahl. Dank dieser zusätzlichen Flexibilität können sich diese Teams auf die Entwicklung, das Testen und Ausführen hochwertiger Anwendungen konzentrieren, und zwar in kürzerer Zeit und zu geringeren Kosten.

Aus denselben Gründen kann IaC jedoch auch die Infrastruktur anfälliger machen.

Welche Sicherheitsrisiken sind mit IaC verbunden?

IaC bietet betriebliche Vorteile, wie etwa die schnelle Bereitstellung der IT-Infrastruktur mit einem deklarativem statt imperativem Ansatz. Allerdings stellen die Auswirkungen auf die Sicherheit aufgrund der potenziellen Ressourcenbelastung eine große Herausforderung dar.

Wenn eine einzelne Ressource manuell falsch konfiguriert wird, bleibt der Fehler auf diese Ressource beschränkt. Ein einziger Fehler im Code, der zur automatischen Bereitstellung von 100 oder mehr Ressourcen genutzt werden kann, stellt jedoch ein weitaus größeres Sicherheitsrisiko dar.

Die Bereitstellung umfassender IaC-Sicherheit ist mit großen Herausforderungen verbunden. Sie bringt viele Vorteile mit sich, kann aber auch gefährliche Schwachstellen verursachen.

5 IaC-Risiken

Infrastructure-as-Code kann für Ihr Unternehmen eine Reihe von Risiken mit sich bringen:

• Breite Angriffsfläche: Fehlkonfigurationen von IaC können die Angriffsfläche vergrößern (z. B. Fehlkonfigurationen von Sicherheitsgruppen, die Assets unbeabsichtigt im Internet exponieren).
• Datenexposition: IaC-Vorlagen können Schwachstellen und unsichere Standardkonfigurationen enthalten, die zur Freigabe von Daten führen können (z. B. in Terraform-Code eingebettete Geheimnisse).
• Übermäßige Berechtigungen: Entwickler verwenden häufig Konten mit erweiterten Berechtigungen, um Cloud-Anwendungen und die zugrunde liegenden Infrastrukturressourcen bereitzustellen. Dies kann zu unbefugten Zugriffen auf vertrauliche Daten oder potenziellen Verstößen führen.
• Compliance-Verstöße: Unternehmen müssen eine Reihe von aufsichtsrechtlichen Standards einhalten, beispielsweise GDPR, HIPAA, PCI DSS und SOC2. Wenn im IaC-Prozess keine auf diesen Standards basierenden Richtlinienleitlinien durchgesetzt werden, kann dies zu Compliance-Verstößen führen.
• Konflikte in funktionsübergreifenden Teams: Entwickler beschleunigen die Bereitstellung, um qualitativ hochwertige Produkte innerhalb enger Fristen zu liefern. Ihre Kollegen im Sicherheitsbereich haben dagegen kaum Einblick in den Code und wenig Kontrolle über Änderungen. Daher wird die Anwendung von Sicherheitsrichtlinien, die entweder auf der Einhaltung gesetzlicher Vorschriften, Best Practices oder der Unternehmenspolitik basieren, zu einer echten Herausforderung, wenn die Lücke zwischen DevOps und SecOps nicht geschlossen wird.

Wie funktioniert IaC-Sicherheit?

IaC-Sicherheit setzt bereit am Anfang der Code-Entwicklung an. Das bedeutet, dass Entwickler und DevOps-Fachkräfte früher im Prozess sicherheitsbezogenes Feedback zu ihrem Code erhalten. IaC-Sicherheit ermöglicht diese Transparenz durch:

• Scannen von IaC-Vorlagen, bevor sie in die Quellcodeverwaltung übernommen werden
• Benchmarking von Konfigurationen
• Erkennen von Fehlkonfigurationen, Schwachstellen und Richtlinienverstößen

Wenn diese Prozesse eingerichtet sind, werden SecOps-Teams umgehend über alle Probleme benachrichtigt, die vor der Bereitstellung einer Anwendung behoben werden müssen.

Best Practices für IaC-Sicherheit

Im Folgenden stellen wir Best-Practice-Empfehlungen für IaC vor, die sich problemlos in den Entwicklungslebenszyklus integrieren lassen:

Asset-Bestand inventarisieren

Während IaC-Vorgängen müssen Sie die bereitgestellten Assets identifizieren, taggen, überwachen und inventarisieren. Nicht getaggte Ressourcen sollten sorgfältig überwacht werden, da sie schwer zu verfolgen sind und zu Konfigurationsabweichungen führen können. Wenn die Ressourcen außer Betrieb genommen werden, muss die zugehörige Konfiguration gelöscht und die Daten gesichert oder ebenfalls gelöscht werden.

Konfigurationsabweichungen erkennen und beheben

Im Idealfall sind die Konfigurationen in allen Entwicklerumgebungen einheitlich. Manchmal müssen Anwendungsbesitzer jedoch Änderungen an ihren Anwendungen und der zugrunde liegenden Infrastruktur vornehmen. Ohne entsprechende Überwachung oder Tools führt die unkontrollierte Anhäufung dieser Fehler zu Konfigurationsabweichungen, die die Infrastruktur gefährden und Lücken in der Sicherheit und Compliance verursachen können.

Fest codierte Assets sichern

Hochgradig vertrauliche Daten wie Geheimschlüssel, private Schlüssel, SSH-Schlüssel, Zugangsschlüssel und in IaC fest codierte API-Schlüssel können einen einfachen Zugriff auf zugrunde liegende Services oder Vorgänge ermöglichen und die laterale Ausbreitung von Angriffen zulassen. Die Verbreitung exponierter Anmeldeinformationen über IaC-Code, der der Quellcodeverwaltung unterliegt (z. B. GitHub) kann für Unternehmen ein großes Risiko darstellen.

Entwicklerkonten sichern

Die Konten der Entwickler müssen vor Angreifern geschützt werden. Es ist wichtig, die Konten der Entwickler zu schützen und zu überwachen, Änderungen an IaC-Konfigurationen zu verfolgen und zu überprüfen, ob die Änderungen genehmigt und beabsichtigt sind. Unbefugte Änderungen können zu Manipulationen an IaC-Vorlagen oder -Konfigurationen und damit zur Offenlegung von Code führen.

Zugriff auf Umgebungen einschränken

Sicherheitsteams benötigen einen einzigen Kontrollpunkt, der eine konsistente Verwaltung von Konten mit erweiterten Berechtigungen sowie den entsprechenden Zugangsdaten und Geheimnissen in allen Entwicklungs- und Rechenumgebungen ermöglicht. Sie können damit die aktuelle und zukünftige Nutzung von Zugangsdaten für Konten mit erweiterten Berechtigungen steuern, Probleme bei der Zugriffskonfiguration im erforderlichen Kontext erkennen, den Identitätszugriff und die Berechtigungen richtig dimensionieren und die Richtlinie mit den geringsten Berechtigungen konsistent durchsetzen.

Automatisierte Regeln

Sicherheitsverantwortliche sollten Guardrails für Cloud-native Richtlinien durchsetzen, die Prüfungen umfassen, um Multi-Cloud-Infrastrukturen vor Konfigurationsabweichungen zu schützen und bei Verstößen Warnmeldungen auszugeben. Sie sollten während der Build- und Laufzeit konsistente Sicherheitsrichtlinien durchsetzen und Entwicklern klare Anleitungen zur Behebung von Schwachstellen und Risiken geben. Beispielsweise kann ein Fehlschlagen des CI/CD-Builds veranlasst werden, wenn ein bestimmter Sicherheitsschwellenwert nicht erreicht wird.

Fazit: IaC kann Ihrem Unternehmen große Vorteile bringen, bringt aber auch Sicherheitsrisiken mit sich, die Sie nicht ignorieren dürfen. Ein Cybersicherheitspartner, der eine Lösung mit Blick auf DevSecOps entwickelt hat und sich mit Data Protection in der Cloud auskennt, unterstützt Sie dabei, die Vorteile Ihrer Investitionen in IaC voll auszuschöpfen. Dieser Partner ist Zscaler.

Wie kann Posture Control helfen?

Posture Control ist eine Cloud Native Application Protection Platform (CNAPP), die die Zusammenarbeit zwischen Entwicklungs- und Sicherheitsverantwortlichen beim Aufbau eines umfassenden IaC-Sicherheitsprogramms unterstützt.

Kernfunktionen

Visibilität und Kontrolle

• Probleme erkennen und Sicherheits- und Compliance-Status des Code-Repositorys visualisieren
• Verstöße nach Kategorie, Richtlinienschweregrad, Compliance-Kontrollen, Tags und Status untersuchen und beheben
• Detaillierte Einblicke in Codeverletzungen, Code-Repositorys, Pull-Requests, CI/CD Build und andere wichtige Informationen, um das Problem bis zur Quelle zurückzuverfolgen

Kontinuierliche Bewertung

• Scannt kontinuierlich nach IaC-Vorlagen (z. B. Terraform HCL, AWS CloudFormation-Vorlagen, Kubernetes-App-Manifest-YAML-Dateien und Helm-Diagramme), während Code aktualisiert oder in Code-Repositorys gepusht wird und Builds in CI/CD-Systemen ausgelöst werden
• Scannen Sie den Code so früh wie möglich auf Verstöße gegen Sicherheitsrichtlinien (Entwickler-IDE), um dem Entwickler sofortiges Feedback zu geben
• Bewerten Sie IaC-Vorlagen auf Sicherheitsprobleme, Compliance-Verstöße und andere Fehlkonfigurationen oder unsichere Standardkonfigurationen (z. B. fehlende Verschlüsselung, Verfolgung von Identitäts- und Anmeldedaten) auf übermäßige Berechtigungen, öffentlich zugängliche Ressourcen wie Workloads, Speicher-Buckets, schwache Sicherheitsgruppenrollen und mehr.
• Vergleichen Sie die beobachtete Konfiguration kontinuierlich mit dem Soll-Zustand, um unerwartete Konfigurationsabweichungen zu melden, diese mitzuteilen und zu beheben.
• Scannen Sie den Code, der in Code-Repositorys festgeschrieben ist, und veranlassen Sie, dass der Build bei Erkennung kritischer Schwachstellen in CI/CD-Systemen fehlschlägt.

Gesteigerte Produktivität

• Verbessern Sie die Entwicklererfahrung, indem Sie Probleme im richtigen Kontext, mit integrierten Sicherheitshinweisen und Empfehlungen zur Lösung identifizieren, um Sie nativ in DevOps-Ökosystem-Tools wie IDEs, Code-Repositorys und CI/CD-Systemen zu beheben.
• Automatisieren Sie die IaC-Sicherheit und betten Sie sie in bestehende Prozesse ein, um Konflikte zwischen Entwicklern und Mitgliedern der Sicherheits-, Betriebs- und Compliance-Teams zu reduzieren (Best Practice für DevSecOps).

Warnmeldungen

• Integrieren Sie Ticketing-Tools, um Warnmeldungen nahezu in Echtzeit zu generieren. So können Sie die zuständigen Verantwortlichen und Teams mit dem notwendigen Kontext zu Problemen, Auswirkungen und erforderlichen Maßnahmen zur Behebung eines Problems benachrichtigen.