Cyberattacken auf Multi-Account-Strukturen zentral abwehren
Mit Hilfe einer AWS Network Firewall verstärkte Skaylink die Defense-in-Depth-Strategie eines Kunden
Cyberangriffe sind ein lukratives Geschäft – und es werden immer mehr: 2022 gab es über zwölf Prozent mehr registrierte Attacken als noch 2021. Eine durchdachte Sicherheitsarchitektur ist deshalb für Unternehmen unerlässlich. So sah es auch ein Kunde mit Multi-Account–Struktur in der AWS Cloud. Das bedeutet, dass jedes Cloud-Lösungsteam individuelle AWS–Accounts für ihre produktiven Workloads verwaltet. Standardmaßnahmen zur IT-Sicherheit sind in dieser Struktur oft auf Security Groups limitiert. Übergreifende, zentral gesteuerte Werkzeuge wie Threat Intelligence oder Intrusion Prevention können ihr Potenzial hier nicht entfalten. Der Kunde wollte trotzdem an zentraler Stelle den ein- und ausgehenden Datenverkehr mit Cloud–nativen Mitteln überprüfen und bei Bedarf blockieren. Und holte sich dafür die Spezialist*innen von Skaylink ins Boot:
Ein zentraler Knotenpunkt für den gesamten Datenverkehr
Zunächst musste das Team einen Weg finden, die ein- und ausgehenden Daten über eine zentralisierte Infrastruktur zu leiten. Security-Konzepte der klassischen OnPremise-Welt sind aber nicht einfach auf die virtuelle Ebene übertragbar: Wird der Verkehr zentralisiert, muss die dortige Firewall hochverfügbar, skalierbar und elastisch sein. Zugleich muss die virtuelle Infrastruktur betrieben und die Firewall-Software aktuell gehalten werden. In intensiven Workshops mit den zehn internen Verantwortlichen des Kunden entwickelte das Team dafür in drei Monaten eine allgemein abgestimmte Firewall-Lösung.
Hierfür richteten die Skaylink-Expert*innen einen zentralen Netzwerk-AWS-Account ein, in dem ein Transit Gateway den Verkehrsfluss zwischen AWS-Accounts, dem Internet und vorhandenen OnPremise-Ressourcen leitet. Alles wurde so konfiguriert, dass sämtlicher Verkehr immer durch die zentral gelegene AWS Network Firewall fließt. In dieser Firewall können jetzt anhand von Regeln, Threat Intelligence Feeds und Intrusion Prevention-Mechanismen Angriffsversuche zentral registriert und für die gesamte IT-Umgebung abgewehrt werden.
„Gemeinsam mit dem Kunden haben wir verschiedene Modelle zur Zentralisierung des Netzwerkverkehrs besprochen und dann alles an die Bedürfnisse des Kunden und ihrer Lösungen angepasst. Die Defense in Depth–Strategie der Kunden wird nun durch die zusätzliche Schicht verstärkt. Angriffsvektoren werden damit erfolgreich mitigiert. Durch die Nutzung des AWS Network Firewall Services muss der Kunde sich keine Gedanken mehr über Ausfallsicherheit und Hochverfügbarkeit machen – was sonst viel Zeit und Arbeit bereitet.“
Senior Cloud Security Consultant
Nickolas Webb
Der Verkehr von ausgewählten Cloud–Lösungen kann an zentraler Stelle gezielt eingeschränkt oder gestoppt werden. AWS übernimmt die Zuständigkeit für die Hochverfügbarkeit und Skalierung der Firewall–Infrastrukturen und kümmert sich um das Patching der Firewall–Software. Das Netzwerkteam beim Kunden kann sich so auf die Firewall-Regeln und erkannte Verdachtsfälle konzentrieren. Die zusätzliche Firewall zahlt auf die Defense in Depth–Strategie des Kunden ein. Das Risiko von Datenlecks und Angriffen wurde damit nochmal deutlich reduziert.
Arbeitsintensive Aufgaben an AWS ausgelagert
Wichtig bei einem solchen Projekt ist das Erkennen von Bottlenecks: Da der Netzwerkverkehr in der Struktur nun auch außerhalb einer einzelnen Cloud-Lösung kontrolliert wird, müssen sich Netzwerkteam und Lösungsteam gut abstimmen. Auch das Whitelisting vorab ist wichtig, um ungewünschte Blockaden zu vermeiden. Beim Whitelisting wird festgelegt, welcher Verkehr zugelassen wird. Nur so können Daten von einer individuellen Lösung in die zentrale Infrastruktur geleitet werden.
Der Kunde braucht nach wie vor interne Fachkräfte zum fachlichen Betrieb der Firewall. Durch die Zentralisierung des Netzwerkverkehrs über eine AWS-native, AWS-verwaltete Netzwerk-Firewall kann sich das Netzwerkteam aber nun ganz auf die inhaltliche Konfiguration der Firewall konzentrieren.
Weitere Case Studies
Story House Egmont – digitalisiert und rationalisiert in nur drei Monaten
Nets erreicht starke DevOps-Mentalität mit „You built it, you run it“
Zukunftssicheres Enterprise Social Network für Continental
Wie Six Offene Systeme in die AWS Cloud startete
Starten wir gemeinsam in die Zukunft
Unsicher, wohin die digitale Reise bei Ihnen führen soll? Unsere Expert*innen stehen Ihnen gerne unverbindlich für Ihre Fragen zur Verfügung!
Einfach das nebenstehende Formular ausfüllen und wir melden uns umgehend bei Ihnen.
