Die Sicherheit digitaler Assets war noch nie so wichtig wie heute, insbesondere in der heutigen Cloud-zentrierten Umgebung. Sie bildet das Fundament der Cloud-Sicherheit und ist ein zentrales Element innerhalb von AWS CWPP (Cloud Workload Protection Platform). Laut Cybersecurity Ventures werden die Schäden durch Cyberkriminalität im Jahr 2025 10,5 Billionen US-Dollar erreichen. Darüber hinaus stehen laut einem aktuellen Bericht 82 % aller Datenschutzverletzungen im Zusammenhang mit dem menschlichen Faktor, einschließlich Social Engineering, Fehlern und Missbrauch.
AWS CWPP fungiert als Verteidiger der AWS-Cloud-Infrastruktur. AWS CWPP bietet umfassende Unterstützung – von der Identifizierung von Schwachstellen bis hin zur effizienten Bewältigung von Bedrohungen und Angreifern. Es ergreift Maßnahmen, um Vorfälle bereits im Vorfeld zu verhindern, sodass Ihre Cloud-Operationen reibungslos und sicher ablaufen.
AWS CWPP bietet ein hohes Maß an Sicherheit für Cloud-Workloads und Anwendungen auf Basis von Sicherheitstools und cloud-nativer Infrastruktur. Die bereitgestellte Sicherheitslösung schützt Workloads zuverlässig, ohne von Compliance-Aufgaben abzulenken – ein Aspekt, der angesichts zunehmender und komplexer Anforderungen an den Datenschutz auf Bundes- und Unternehmensebene immer wichtiger wird.
In diesem Blog wird die AWS Cloud Workload Protection Platform (CWPP) vorgestellt, die zur Absicherung cloudbasierter Assets beiträgt. Der Blog beschreibt die Architektur der Plattform, ihre Komponenten, Ansätze zur Netzwerksicherheit, den Schutz von Containern und serverlosen Anwendungen, Maßnahmen zum Datenschutz, Zugriffsmanagement, reale Anwendungsfälle, Monitoring und Logging sowie bewährte Implementierungspraktiken. Die Lösungen bieten leistungsstarke Werkzeuge, um die Cloud-Infrastruktur sicher und geschützt zu halten.
Vorab sei erwähnt, dass es bei AWS kein eigenständiges Produkt mit der Bezeichnung „CWPP“ gibt; der Begriff bezieht sich auf die integrierte Nutzung mehrerer AWS-Sicherheitslösungen innerhalb von AWS zum Schutz von Cloud-Workloads, daher CWPP.
Kernarchitektur von AWS CWPP
AWS CWPP ist ein leistungsstarkes und erweiterbares Framework, das End-to-End-Schutz in der AWS-Landschaft bietet. Um AWS CWPP besser zu verstehen, betrachten wir die Architektur im Detail.
Verteiltes agentenbasiertes System
Das AWS CWPP verwendet ein verteiltes Agentenmodell, um alle Cloud-Ressourcen in der Amazon Cloud zu überwachen und zu schützen. Agenten sind kleine Softwarekomponenten, die in Ihrer AWS-Infrastruktur bereitgestellt werden. Sie fungieren als lokale Wächter, die Details zum Zustand und Verhalten Ihrer Ressourcen erfassen. Sie suchen nach potenziellen Schwachstellen, indem sie lokale Daten analysieren. Diese verteilte Implementierung stellt sicher, dass bösartige oder ausweichende Aktivitäten in Echtzeit erkannt und darauf reagiert wird – unabhängig von Größe oder Komplexität der Cloud-Umgebung.
Zentrale Management-Konsole
Während die Agenten in Ihrer Infrastruktur arbeiten, laufen alle Erkenntnisse in einer zentralen Management-Konsole zusammen. Diese Konsole ist das Gehirn von AWS CWPP. Hier laufen alle Daten zusammen und bieten eine integrierte Sicht auf den Sicherheitsstatus. Über diese Konsole können Sie Warnmeldungen einsehen, Vorfälle untersuchen und das Verhalten während eines Vorfalls korrelieren, um organisationsweite Sicherheitsrichtlinien zu erstellen.
Integration mit AWS-Services
Die Integration ermöglicht den Austausch von priorisierten Bedrohungsdaten und koordinierte Reaktionen für eine verbesserte Sicherheit. Sie umfasst integrierte Einstellungen zur Zusammenarbeit mit AWS Identity and Access Management (IAM)-Berechtigungen für eine feingranulare Zugriffskontrolle.
Datenfluss und Verarbeitungspipeline
Im Kern von AWS CWPP steht eine ausgereifte Datenfluss- und Verarbeitungspipeline. Die Daten werden aus verschiedenen Quellen gesammelt, wie verteilte Agenten, AWS-Service-Logs und Netzwerkverkehr. Diese Daten werden an die Verarbeitungseinheit von CWPP weitergeleitet. Sie analysieren die Daten mit fortschrittlichen Algorithmen und Machine-Learning-Modellen auf Muster, Anomalien oder potenzielle Bedrohungen. Die verarbeiteten Daten durchlaufen verschiedene Komponenten des CWPP. Ein Teil dieser Daten gelangt zur zentralen Konsole für Visualisierung und Berichterstattung. Andere können so konfiguriert werden, dass sie automatisierte Reaktionen und Benachrichtigungen auslösen. Diese Pipeline stellt sicher, dass Sie stets über aktuelle Sicherheitsdaten verfügen, um fundierte Entscheidungen zu treffen und schnell auf Bedrohungen zu reagieren.
Schlüsselkomponenten von AWS CWPP
Das Rückgrat von AWS CWPP besteht aus den folgenden vier Elementen:
Amazon GuardDuty
GuardDuty ist der stets wachsame Sicherheitswächter von AWS CWPP. Dieses Tool überwacht alle Ihre AWS-Konten und Workloads auf Anzeichen von bösartiger Aktivität oder unbefugtem Verhalten. GuardDuty nutzt Machine Learning, Anomalieerkennung und integrierte Bedrohungsinformationen. Zu den Fähigkeiten gehören das Erkennen von API-Aufrufen von bekannten bösartigen IP-Adressen, Versuche zur Datenübertragung und Instanzen, die mit bekannten Command-and-Control-Servern kommunizieren.
AWS Security Hub
Security Hub bietet eine umfassende Übersicht über Ihren Sicherheitsstatus innerhalb von AWS und lässt sich gut mit Drittanbieter-Tools integrieren. Es sammelt Daten und verarbeitet sie zu Erkenntnissen, die helfen, Sicherheitsprobleme zu identifizieren. Darüber hinaus prüft es Ihre Umgebung anhand von Branchenstandards und Best Practices. Einer der größten Vorteile von Security Hub ist die standardisierte Aggregation, Organisation und Priorisierung von Sicherheitsinformationen.
Amazon Inspector
Die automatisierte Sicherheitsbewertung mit Amazon Inspector unterstützt die kontinuierliche Überwachung und Analyse des Verhaltens auf Kontoebene in AWS auf mögliche bösartige Aktivitäten. Sie trägt dazu bei, die Sicherheit und Compliance Ihrer auf AWS bereitgestellten Anwendungen zu erhöhen, indem sie diese automatisch auf Best Practices und Schwachstellen überprüft. Es gibt zwei Arten von Inspector-Bewertungen.
- Netzwerkbewertungen scannen die Netzwerkzugänglichkeit Ihrer EC2-Instanzen und die damit verbundenen Sicherheitsrisiken.
- Hostbewertungen analysieren Schwachstellen und Fehlkonfigurationen in Ihren EC2-Instanzen.
AWS Config
AWS Config bietet einen umfassenden Überblick über die Konfiguration von AWS-Ressourcen in Ihrem Konto, z. B. welche Ressourcen miteinander verbunden sind und wie sie konfiguriert wurden. Es überwacht die Konfiguration Ihrer AWS-Ressourcen und speichert historische Daten, sodass Sie den aktuellen Zustand mit dem gewünschten vergleichen können. Einer der größten Vorteile von AWS Config ist die Möglichkeit, zu verstehen, wie sich Änderungen an einer bestimmten Ressource auf andere Ressourcen auswirken können.
AWS CWPP-Netzwerksicherheitsstrategien
Ein entscheidender Aspekt beim Schutz der Cloud ist der Schutz der Netzwerkinfrastruktur durch robuste Maßnahmen, die AWS CWPP bereitstellt. Die folgenden Services sorgen dafür, dass das Netzwerk vor Angriffen geschützt ist.
1. Integration von AWS Network Firewall
Eine Netzwerk-Firewall ermöglicht die Erstellung einer zustandsbehafteten Firewall mit integrierter Evasionsprävention. Sie können Richtlinien auf Ebene von Quell- und Ziel-IP, Quell- und Zielport sowie Protokoll definieren.
Auf dieser Kontrollstufe können Sie Defense-in-Depth-Sicherheitsstrategien umsetzen. Zusätzlich zu anderen CWPP-Komponenten kann Ihr CWPP Network Firewall-Logs nutzen, um die Bedrohungserkennung zu verbessern.
2. Security Groups und Network ACLs
Security Groups und Netzwerk-Access Control Lists sind die Grundpfeiler der AWS-Netzwerksicherheit. CWPP unterstützt Sie bei der Verwaltung von Security Groups und Network ACLs.
Security Groups dienen als virtuelle Firewalls um Amazon EC2-Instanzen, um ein- und ausgehenden Datenverkehr auf Instanzebene zu kontrollieren. Network ACLs agieren ähnlich, jedoch auf Subnetzebene als virtuelle Firewall.
3. Analyse von VPC Flow Logs
VPC (Virtual Private Cloud) Flow Logs erfassen Informationen über den gesamten Datenverkehr, der über Ihre VPC übertragen wird. In Kombination mit CWPP können diese Daten genutzt werden, um Einblicke in Netzwerkverkehrsmuster und potenzielle Sicherheitslücken zu gewinnen.
Mithilfe fortschrittlicher Analysesysteme kann CWPP Verkehrsverhalten erkennen, das als Anomalie erscheint und auf ein Sicherheitsproblem hindeuten könnte. Beispielsweise kann ungewöhnliches Kommunikationsverhalten, Datenexfiltration oder direkte Kommunikation mit bösartigen IP-Adressen identifiziert werden. Die Nutzung der Informationen aus den VPC Flow Logs in einer nachträglichen Analyse unterstützt auch die Forensik.
4. DDoS-Schutzmechanismen
Das CWPP nutzt AWS Shield, eine interne DDoS-Schutzlösung, zur Abwehr von Angriffen. Mit der bereits im CWPP enthaltenen AWS Shield Regular-Stufe sind Ihre Ressourcen automatisch vor den wichtigsten Netzwerk- und Transport-DDoS-Angriffen geschützt. Für ausgefeiltere Angriffe wird die AWS Shield Advanced-Stufe eingesetzt, die ein detaillierteres DDoS-Reaktionsframework bietet.
Beim DDoS-Schutz kann CWPP auch Echtzeit-Benachrichtigungen zu DDoS-Bedrohungen bereitstellen. Es überwacht Verkehrsdaten und benachrichtigt Sie bei Verkehrsspitzen oder anderen Anzeichen für mögliche DDoS-Versuche. CWPP kann zudem mit AWS WAF interagieren, um individuelle Sicherheitsrichtlinien zu erstellen, die Ihre Software vor den häufigsten DDoS-Angriffen schützen.
Container- und Serverless-Schutz mit AWS CWPP
AWS Cloud Workload Protection (CWPP) bietet umfassenden Schutz für Ihre Container- und serverlosen Workloads und sorgt so für die Sicherheit moderner Anwendungen. Zu den wichtigsten Funktionen in diesem Bereich gehören:
ECR-Image-Scanning mit Clair
Amazon ECR ist eine vollständig verwaltete Container-Registry. Sie dient zum Speichern, Verwalten und Bereitstellen von Docker-Images. Mit der Einführung von AWS CWPP ist das automatisierte Scannen von Container-Images durch die Integration von ECR mit Clair (einem Open-Source-Schwachstellenscanner) möglich.
Sobald Sie ein Image in ECR hochladen, wird es gescannt. Dieser Scan prüft auf bekannte und neue Schwachstellen in Betriebssystempaketen, Sprachabhängigkeiten usw. Die Ergebnisse sind dann in ECR verfügbar und können mit anderen CWPP-Komponenten kombiniert werden.
ECS- und EKS-Laufzeitüberwachung
AWS stellt Amazon Elastic Container Service (ECS) und Amazon Kubernetes Service (EKS) für die Container-Orchestrierung bereit. In ECS arbeitet CWPP mit dem AWS Fargate-Agenten zusammen, um das Verhalten laufender Container zu überwachen. Es werden verdächtige Prozesse, ungewöhnliche Netzwerkverbindungen und potenzielle Privilegienerhöhungen gemeldet.
Für EKS wird CWPP als DaemonSet integriert, um sicherzustellen, dass jeder Knoten im Kubernetes-Cluster überwacht wird. Es bietet Einblicke in die Kommunikation der Container untereinander und kann Verstöße gegen Richtlinien oder Sicherheitsbedrohungen erkennen, wie unbefugten Zugriff auf den Kubernetes API-Server und Krypto-Mining.
Fargate-spezifische Sicherheitskontrollen
AWS Fargate ist ein containerbasierter serverloser Computing-Service, der mit ECS und EKS kompatibel ist. CWPP stellt speziell für diese Compute-Engine entwickelte Sicherheitsmethoden bereit. CWPP überwacht Ihre Fargate-Jobdefinitionen, um Sie auf zu weitreichende Amazon IAM-Rollen oder offene Ports hinzuweisen. Es überprüft Ihre Richtlinien, indem es die Netzwerkeinstellungen Ihres Fargate-Jobs analysiert. Ein wesentliches Merkmal ist die Fähigkeit, Laufzeitregeln exklusiv für Ihre Fargate-Workloads aufrechtzuerhalten.
Lambda-Funktionssicherheit
AWS Lambda ist das führende Produkt im Bereich serverloses Computing, daher ist ein ganzheitlicher Ansatz zum Schutz Ihrer AWS Lambda-Funktionen mit CWPP sinnvoll. CWPP kann Schwachstellen und Fehlkonfigurationen im Lambda-Funktionscode und den Netzwerken erkennen. Dies umfasst statische Codeanalyse und die Suche nach hartcodierten Geheimnissen, zu weitreichenden IAM-Rollen und bekannten Schwachstellen in Funktionsabhängigkeiten.
AWS CWPP-Datenschutzstrategien
Im Folgenden werden einige Datenschutzstrategien vorgestellt, die mit AWS CWPP einhergehen.
#1. KMS-Integration für Verschlüsselung
AWS Key Management Service (KMS) ist das Herzstück des Datenschutzes in AWS, und CWPP ist eng mit KMS integriert, um Verschlüsselungsfunktionen bereitzustellen. Die Plattform nutzt KMS zur Verwaltung von Verschlüsselungsschlüsseln für verschiedene AWS-Services.
Sie überwacht die Nutzung verschiedener API-Schlüssel und erkennt ungewöhnliche Muster. Dies kann darauf hindeuten, dass ein Schlüssel kopiert wurde und möglicherweise in falsche Hände geraten ist. Die Plattform stellt zudem sicher, dass Sie KMS ordnungsgemäß verwenden.
#2. Analyse von S3-Bucket-Richtlinien
Amazon S3-Objektspeicher ist ein sehr beliebter AWS-Service, und die Absicherung Ihrer S3-Buckets zur Vermeidung von Datenverlust ist unerlässlich. Die CWPP-Plattform stellt sicher, dass Ihre S3-Bucket-Richtlinien kontinuierlich auf Fehlkonfigurationen geprüft werden. Sie kann Sie auch warnen, wenn ein S3-Bucket mit Lese- oder Schreibberechtigungen öffentlich zugänglich ist.
#3. DynamoDB-Verschlüsselung und -Überwachung
CWPP bietet Schutzfunktionen für Amazon DynamoDB. Es stellt sicher, dass Ihre DynamoDB-Tabellen verschlüsselt sind, überwacht deren Zugriffsweise und kann bei Bedarf Best Practices für Sicherheitsrisiken vorschlagen. CWPP scannt alle Ihre DynamoDB-Tabellen, um sicherzustellen, dass sie im Ruhezustand verschlüsselt sind. Die Verschlüsselungseinstellungen werden entsprechend Ihren Sicherheitsrichtlinien und Branchenstandards überprüft.
#4. Analyse von Datenzugriffsmustern
AWS CWPP bietet eine ganzheitliche Analyse von Datenzugriffsmustern in Ihrer gesamten AWS-Umgebung. Diese Transparenz stellt sicher, dass Sie Sicherheitsrisiken auf Anwendungsebene über alle Services hinweg erkennen können, nicht nur bei einem einzelnen Service.
CWPP wertet Zugriffsprotokolle verschiedener AWS-Services aus. Daraus werden typische Datenzugriffsmuster für Ihre Umgebung abgeleitet. Dabei kommen Machine-Learning-Algorithmen zum Einsatz, um ungewöhnliches Verhalten in diesen Mustern zu erkennen.
AWS CWPP-Ansatz für Zugriffsmanagement
Zugriffsmanagement ist ein zentrales Element der Cloud-Sicherheit, und die Best Practices von AWS CWPP stellen sicher, dass nur die richtigen Personen und Prozesse auf Ihre Ressourcen zugreifen. Im Folgenden werden die wichtigsten Säulen der Zugriffsmanagement-Strategie von CWPP erläutert.
IAM-Rollen- und Richtlinienmanagement
AWS Identity and Access Management (IAM) ist das Fundament der Zugriffskontrolle in AWS, und CWPP bildet hier keine Ausnahme. Die Plattform prüft kontinuierlich IAM-Rollen und -Richtlinien auf zu weitreichende Berechtigungen oder Verstöße gegen Best Practices. Die Plattform verfolgt auch Änderungen an IAM-Richtlinien im Zeitverlauf und warnt Sie bei plötzlichen Erhöhungen der erlaubten Aktivitäten, insbesondere bei sensiblen Ressourcen. So können unangemessene oder gefährliche Änderungen an Ihren Zugriffskontrollen erkannt und untersucht werden, die sonst unentdeckt bleiben würden.
Access Analyzer-Funktionalität
AWS IAM Access Analyzer ist ein eigenständiges Tool, das Ressourcen in Ihrer Organisation identifiziert, die mit externen Parteien geteilt werden. CWPP verbindet die Funktionalität des Access Analyzer mit einem umfassenderen Sicherheitskontext. Es korreliert potenziellen externen Zugriff mit anderen Sicherheitsereignissen, sodass potenzielle Sicherheitsvorfälle leichter erkannt und darauf reagiert werden kann.
Verwaltung temporärer Anmeldeinformationen
Temporäre Sicherheitsanmeldeinformationen sind ein zentrales Merkmal von AWS und ermöglichen eine feingranulare Zugriffskontrolle. CWPP überwacht und verfolgt die Nutzung temporärer Anmeldeinformationen in Ihrer gesamten AWS-Umgebung. Es kann Anzeichen liefern, dass temporäre Anmeldeinformationen auf unerwartete Weise oder an unerwarteten Orten verwendet werden, was zu weiteren Untersuchungen führen kann. Es hilft Ihnen zudem, strenge Sicherheitsstandards einzuhalten.
Durchsetzung des Prinzips der minimalen Rechtevergabe
CWPP bietet die Möglichkeit, das Prinzip der minimalen Rechtevergabe in der gesamten AWS-Umgebung anzuwenden, das ein grundlegendes Konzept in AWS ist.
CWPP überwacht und prüft kontinuierlich die Berechtigungen, die Benutzern, Rollen oder Ressourcen gewährt wurden, im Vergleich zu den tatsächlichen Nutzungsmustern. So werden übermäßige Berechtigungen erkannt und können eingeschränkt werden, um Ihre Angriffsfläche zu minimieren.
Reale Anwendungsfälle für AWS CWPP
Um die Leistungsfähigkeit und Anwendbarkeit von AWS CWPP zu verdeutlichen, werden im Folgenden einige reale Anwendungsfälle vorgestellt.
- Compliance im Finanzdienstleistungssektor: Angenommen, eine große Bank nutzt AWS CWPP, um die Einhaltung strenger Finanzvorschriften sicherzustellen. Die kontinuierliche Überwachung und automatisierte Compliance von CWPP prüft und stellt sicher, dass alle Kundendaten verschlüsselt sind, Zugriffskontrollen korrekt implementiert werden und Konfigurationsänderungen sofort zur Überprüfung gekennzeichnet werden.
- Sicherheit von E-Commerce-Plattformen: In einem E-Commerce-Unternehmen kann das Sicherheitsteam CWPP auf seiner containerisierten, elastischen Infrastruktur einsetzen. Die Plattform scannt die Produktionscontainer, um sicherzustellen, dass jede Bereitstellung frei von kritischen Schwachstellen ist. Die kontinuierliche Netzwerkkontrolle erstellt Software-Regellogik, die automatisch auf DDoS-Angriffe reagiert, bevor sie überhaupt stattfinden.
- Multi-Cloud-Unternehmenssicherheit: Ein großes Unternehmen mit Multi-Cloud-Strategie erhält durch CWPP konsolidierte Sicherheit über AWS und On-Premises hinweg. Die zentrale Management-Konsole mit Single Pane of Glass ermöglicht die Überwachung der Sicherheit in der gesamten hybriden Infrastruktur.
- Sicherheit in der Medien- und Unterhaltungsbranche: Aufgrund des rasanten Anstiegs der Nutzung von Streaming-Diensten sind diese anfällig für Angriffe, die die Sicherheit von Inhalten und Kunden gefährden. Daher ist CWPP ein wertvolles Asset zum Schutz von Nutzerdaten und Inhalten. AWS CWPP schützt die Streaming-Service-Plattform vor Hacking und Piraterie, die die Geschäftsentwicklung bedrohen.
- Datenschutz im Bildungssektor: Datenschutzverletzungen an Schulen führen nicht nur zu Sicherheitsbedenken, sondern auch zu finanziellen und Reputationsschäden. Ein großes Universitätssystem mit mehreren Standorten und zehntausenden Studierenden kann AWS nutzen, um FERPA-Compliance zu erreichen und Studierenden- sowie Forschungsdaten zu schützen.
Monitoring und Logging mit AWS CWPP
AWS CWPP erweitert die nativen Überwachungs- und Protokollierungsfunktionen von AWS, um Transparenz über Aktivitäten in der gesamten Infrastruktur zu schaffen. Im Folgenden wird erläutert, wie CWPP diese Tools nutzt.
CloudWatch-Integration
CWPP ist eine speziell entwickelte Plattform zur Überwachung Ihrer AWS-Umgebung, indem sie Monitoring auf Basis des AWS CloudWatch-Service anwendet. CWPP nutzt CloudWatch-APIs, um Metriken Ihrer AWS-Ressourcen zu erfassen. Es konfiguriert benutzerdefinierte Sicherheitsmetriken, um zu prüfen, wann beispielsweise fehlgeschlagene Anmeldungen, Aufrufe sensibler APIs oder anomaler Netzwerkverkehr auftreten. CloudWatch-Alarme benachrichtigen Sie über potenzielle Sicherheitsprobleme. Diese können statische, schwellenwertbasierte Alarme oder auf Anomalieerkennung basierende Maschinenalarme sein.
CloudTrail für Audit-Logging
AWS CloudTrail bietet eine Aufzeichnung von Aktionen, die von einem Benutzer, einer Rolle oder einem AWS-Service durchgeführt wurden. CWPP ist tief in CloudTrail integriert, um umfassendes Audit-Logging zu ermöglichen. Das CWPP-Modul stellt sicher, dass CloudTrail für alle Regionen in Ihren AWS-Konten aktiviert ist und die Protokollvalidierung eingeschaltet ist.
Die Integrität der Audit-Logs ist entscheidend für forensische Untersuchungen und Compliance-Anforderungen. Die Plattform überwacht die CloudTrail-Protokolle kontinuierlich auf verdächtige Aktivitäten. Dazu gehören beispielsweise unbefugte API-Aufrufe, Änderungen an Security-Group-Regeln oder Änderungen an IAM-Richtlinien.
Best Practices für die Implementierung von AWS CWPP
Zu den Best Practices, die bei der Implementierung von AWS CWPP beachtet werden sollten, gehören:
1. Umsetzung des Prinzips der minimalen Rechtevergabe
Analysieren Sie IAM-Rollen und -Richtlinien mithilfe von CWPP, um ungenutzte oder unnötige Berechtigungen zu identifizieren, damit Sie die volle Kontrolle über die Aktionen Ihrer Ressourcen behalten. Unternehmen können die Integration mit dem IAM Access Analyzer nutzen, um offene Ressourcen in AWS-Konten zu entdecken. Es kann auch verwendet werden, um Versuche zur Rechteausweitung und ungewöhnliche Berechtigungen zu überwachen.
2. Verschlüsselung von Daten im Ruhezustand und bei der Übertragung
Beim Einsatz von AWS CWPP ist es wichtig, Ihre Daten durch Verschlüsselung zu schützen. Dazu verwalten Sie Verschlüsselungsschlüssel in Ihrer Umgebung, verschlüsselt durch AWS KMS und integriert mit CWPP. Verschlüsseln Sie alle Daten im Ruhezustand, einschließlich S3-Buckets, EBS-Volumes und RDS-Instanzen.
3. Kontinuierliche Überwachung und Alarmierung
Mit CWPP können Sie Ihre Sicherheitslage verbessern, da es Echtzeitüberwachung bietet und Sie stets den Überblick behalten. CloudWatch-Alarme können für sicherheitsspezifische Metriken genutzt werden, wobei CWPP diese auf Ihre Umgebung und Ihr Bedrohungsmodell zuschneidet. Verwenden Sie CWPP, um Alarme über mehrere Kanäle (E-Mail, SMS und Slack) einzurichten, damit Sie schnell reagieren können, wenn Bedrohungen erkannt werden.
4. Regelmäßige Schwachstellenbewertungen
Der erste Schritt zu starker Sicherheit mit AWS CWPP ist die proaktive Identifizierung von Schwachstellen. Richten Sie regelmäßige automatisierte Scans mit Amazon Inspector in Verbindung mit CWPP ein, um Schwachstellen in Ihren EC2-Instanzen und Container-Images zu erkennen.
5. Umsetzung von Multi-Layer-Sicherheit
Nutzen Sie CWPP stets zur Verwaltung mehrerer Ebenen der Netzwerksicherheit, einschließlich Security Groups, Network ACL und AWS WAF-Regeln. CWPP bietet Einblicke in den aktuellen Malware-Schutz durch Antivirus, Host-Firewalls und andere Endpoint-Sicherheitslösungen. Kombinieren Sie netzwerkbasierte Schutzmaßnahmen mit einem mehrschichtigen Ansatz zum Schutz der Hosts selbst vor webbasierten Bedrohungen.
6. Schutz und Analyse von Protokollen
Um detaillierte Audit-Logs zu erhalten, aktivieren Sie AWS CloudTrail in allen Regionen und für alle Services. Für die Zentralisierung dieser Protokolle und deren Echtzeitanalyse sollte AWS CloudWatch verwendet werden.
7. Vereinheitlichung von Cloud- und On-Premises-Sicherheit
Für den Einsatz einer Hybrid-Cloud sollte der Schutz sowohl in der Cloud als auch in On-Premises-Umgebungen implementiert werden. Für die Einrichtung einer dedizierten Netzwerkverbindung zwischen beiden kann AWS Direct Connect genutzt werden.
8. Benutzerverwaltung mit föderiertem Single Sign-On (SSO)
Um ein zentrales Zugriffsmanagement zu ermöglichen, integrieren Sie AWS Single Sign-On in Ihre Umgebung und implementieren Sie Multi-Faktor-Authentifizierung (MFA) für alle Benutzerkonten. Nutzen Sie Föderation, um Ihr On-Premises-Identitätsmanagement mit AWS zu verbinden.
9. Umsetzung von Netzwerksegmentierung
Um verschiedene Netzwerkumgebungen für unterschiedliche Anwendungen zu isolieren, kann Amazon VPC zur Erstellung dieser Umgebungen verwendet werden. Zur Kontrolle des ein- und ausgehenden Datenverkehrs zwischen diesen Umgebungen sollten Security Groups und Netzwerk-Access-Control-Listen (ACLs) eingesetzt werden. Erfolgt die Segmentierung zwischen On-Premises-Netzwerken und VPCs, kann AWS Transit Gateway für das zentrale Management genutzt werden.
Warum SentinelOne für AWS CWPP
Singularity™ Cloud Workload Security ist die KI-gestützte autonome Cloud-Workload-Detection-and-Response-Plattform von SentinelOne. Sie kann Server, VMs, Container und Kubernetes-Umgebungen scannen. Da moderne Cloud-Umgebungen wachsen, müssen Unternehmen Workloads in Multi-Cloud-Umgebungen absichern. Die verschiedenen KI-basierten Erkennungs-Engines von SentinelOne arbeiten zusammen, um auf unbekannte und bekannte Bedrohungen in Maschinen-Geschwindigkeit zu reagieren. Sie schützt Workloads in Azure, Google Cloud, AWS sowie in privaten und hybriden Clouds.
Weitere Vorteile sind:
- 1-Klick-Rollback – Rückgängigmachen unautorisierter Änderungen mit 1-Klick-Rollback und autonomen Abwehrmaßnahmen.
- Threat Hunting – Purple AI ist Ihr generativer KI-Sicherheitsanalyst. SentinelOne hilft Ihnen, verdächtige Aktivitäten zu überwachen, indem Telemetriedaten in einem einheitlichen Data Lake zusammengeführt werden. Untersuchungen werden durch natürlichsprachliche Abfragen und Ereigniszusammenfassungen über Purple AI vereinfacht.
- Tiefe Sichtbarkeit und Forensik – SentinelOne bietet detaillierte forensische Historie und Workload-Telemetrie, sodass Sicherheitsteams Vorfälle umfassend untersuchen können. Der Workload Flight Data Recorder™ erfasst und speichert alle relevanten Daten für umfassende Transparenz.
- Breite Unterstützung und Skalierbarkeit – SentinelOne unterstützt 14 große Linux-Distributionen, mehrere Container-Runtimes (Docker, containerd, cri-o) sowie verwaltete und selbstverwaltete Kubernetes-Services führender Cloud-Anbieter wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud. Es integriert sich zudem mit Snyk und kombiniert ein agentenloses CNAPP mit einer einzigartigen Offensive Engine.
- eBPF-Architektur – SentinelOne nutzt die Extended Berkeley Packet Filter (eBPF)-Architektur zur Verbesserung der Stabilität und Performance der Plattform. Dieses Design vermeidet Kernel-Abhängigkeiten und sorgt für geringe CPU- und Speicherbelastung.
- Integration mit DevSecOps- und CI/CD-Pipelines – SentinelOne integriert sich mit DevSecOps-Tools für ein nahtloses Erlebnis und kontinuierliche Sicherheitsüberwachung während des gesamten Entwicklungszyklus.
KI-gestützter Cloud Workload-Schutz (CWPP) für Server, VMs und Container, der Laufzeitbedrohungen in Echtzeit erkennt und stoppt.
Fazit
Für moderne Cloud-Sicherheitssysteme ist die AWS Cloud Workload Protection Platform (CWPP) ein integraler Bestandteil, der Unternehmen einen 360-Grad-Schutz bietet, wenn sie innerhalb des AWS-Ökosystems arbeiten.
CWPP ist wichtig, weil es kontinuierliche Überwachung, Bedrohungserkennung und automatisierte Reaktionen bereitstellt. Mithilfe leistungsstarker Analysen und fortschrittlicher Machine-Learning-Methoden können Unternehmen mit der sich ständig verändernden Bedrohungslandschaft Schritt halten. Die Plattform ist vollständig elastisch konzipiert, sodass sich die Sicherheitsfunktionen mit dem Ausbau Ihrer Cloud-Infrastruktur skalieren lassen.
Demo zur Cloud-Sicherheit
Entdecken Sie in einer persönlichen Demo mit einem SentinelOne-Produktexperten, wie KI-gestützte Cloud-Sicherheit Ihr Unternehmen schützen kann.
Demo anfordernFAQs
Cloud Workload Protection Platform ist eine umfassende Sicherheitslösung für die AWS-Umgebung, die cloudbasierte Workloads, Anwendungen und Daten schützt. Sie nutzt alle auf AWS verfügbaren Sicherheitsdienste, um kontinuierliche Überwachung, Bedrohungserkennung, forensische Untersuchung und automatisierte Reaktion bereitzustellen.
CASB und CWPP sind zwar beide Cloud-Sicherheitslösungen, unterscheiden sich jedoch in ihrem Zweck. CASB dient dem Schutz der Nutzung von Software-as-a-Service-Anwendungen durch einen Benutzer. Mit anderen Worten, CASB überwacht, was zwischen einem Benutzer und einem Cloud-Dienst geschieht. Es überwacht Benutzeraktivitäten und setzt Unternehmenssicherheitsrichtlinien durch. CWPP hingegen schützt cloudbasierte Workloads, einschließlich IaaS- und PaaS-Umgebungen. Es schützt „das Ziel“ statt „den Weg“ oder die Nutzung und bietet Schutz, solange der Workload in der Cloud betrieben wird.
AWS CWPP beinhaltet enge Integrationen mit AWS-Sicherheitsdiensten. Diese Integration verbessert die Bedrohungserkennung, das zentrale Sicherheitsmanagement und die Schwachstellenanalyse und fügt zusätzliche Funktionen wie Zugriffskontrolle (Least Privilege), Audit-Logging und Überwachung hinzu.
AWS CWPP erkennt eine Vielzahl von Bedrohungen, darunter Malware, unautorisierte Zugriffsversuche, Insider-Bedrohungen, Datenexfiltration, Fehlkonfigurationen, Compliance-Verstöße und abnormales Verhalten. Es identifiziert außerdem netzwerkbasierte Angriffe sowie Schwachstellen in Containern und serverlosen Funktionen. Durch den Einsatz von Machine Learning und Verhaltensanalysen kann AWS CWPP neue oder bisher unbekannte Bedrohungen erkennen und bietet so umfassenden Schutz für Cloud-Umgebungen.
