Cyberattacken auf Multi-Account-Strukturen zentral abwehren

Mit Hilfe einer AWS Network Firewall verstärkte Skaylink die Defense-in-Depth-Strategie eines Kunden  

Businesswoman holding tablet pc entering password. Security concept

Cyberangriffe sind ein lukratives Geschäft – und es werden immer mehr: 2022 gab es über zwölf Prozent mehr registrierte Attacken als noch 2021. Eine durchdachte Sicherheitsarchitektur ist deshalb für Unternehmen unerlässlich. So sah es auch ein Kunde mit Multi-AccountStruktur in der AWS Cloud. Das bedeutet, dass jedes Cloud-Lösungsteam individuelle AWSAccounts für ihre produktiven Workloads verwaltet. Standardmaßnahmen zur IT-Sicherheit sind in dieser Struktur oft auf Security Groups limitiert. Übergreifende, zentral gesteuerte Werkzeuge wie Threat Intelligence oder Intrusion Prevention können ihr Potenzial hier nicht entfalten. Der Kunde wollte trotzdem an zentraler Stelle den ein- und ausgehenden Datenverkehr mit Cloudnativen Mitteln überprüfen und bei Bedarf blockieren. Und holte sich dafür die Spezialist*innen von Skaylink ins Boot:  

Ein zentraler Knotenpunkt für den gesamten Datenverkehr

Zunächst musste das Team einen Weg finden, die ein- und ausgehenden Daten über eine zentralisierte Infrastruktur zu leiten. Security-Konzepte der klassischen OnPremise-Welt sind aber nicht einfach auf die virtuelle Ebene übertragbar: Wird der Verkehr zentralisiert, muss die dortige Firewall hochverfügbar, skalierbar und elastisch sein. Zugleich muss die virtuelle Infrastruktur betrieben und die Firewall-Software aktuell gehalten werden. In intensiven Workshops mit den zehn internen Verantwortlichen des Kunden entwickelte das Team dafür in drei Monaten eine allgemein abgestimmte Firewall-Lösung. 

Hierfür richteten die Skaylink-Expert*innen einen zentralen Netzwerk-AWS-Account ein, in dem ein Transit Gateway den Verkehrsfluss zwischen AWS-Accounts, dem Internet und vorhandenen OnPremise-Ressourcen leitet. Alles wurde so konfiguriert, dass sämtlicher Verkehr immer durch die zentral gelegene AWS Network Firewall fließt. In dieser Firewall können jetzt anhand von Regeln, Threat Intelligence Feeds und Intrusion Prevention-Mechanismen Angriffsversuche zentral registriert und für die gesamte IT-Umgebung abgewehrt werden. 

Gemeinsam mit dem Kunden haben wir verschiedene Modelle zur Zentralisierung des Netzwerkverkehrs besprochen und dann alles an die Bedürfnisse des Kunden und ihrer Lösungen angepasst. Die Defense in DepthStrategie der Kunden wird nun durch die zusätzliche Schicht verstärkt. Angriffsvektoren werden damit erfolgreich mitigiert. Durch die Nutzung des AWS Network Firewall Services muss der Kunde sich keine Gedanken mehr über Ausfallsicherheit und Hochverfügbarkeit machen was sonst viel Zeit und Arbeit bereitet.

Senior Cloud Security Consultant  

Nickolas Webb

Der Verkehr von ausgewählten CloudLösungen kann an zentraler Stelle gezielt eingeschränkt oder gestoppt werden. AWS übernimmt die Zuständigkeit für die Hochverfügbarkeit und Skalierung der FirewallInfrastrukturen und kümmert sich um das Patching der FirewallSoftware. Das Netzwerkteam beim Kunden kann sich so auf die Firewall-Regeln und erkannte Verdachtsfälle konzentrieren. Die zusätzliche Firewall zahlt auf die Defense in DepthStrategie des Kunden ein. Das Risiko von Datenlecks und Angriffen wurde damit nochmal deutlich reduziert. 

Arbeitsintensive Aufgaben an AWS ausgelagert

Wichtig bei einem solchen Projekt ist das Erkennen von Bottlenecks: Da der Netzwerkverkehr in der Struktur nun auch außerhalb einer einzelnen Cloud-Lösung kontrolliert wird, müssen sich Netzwerkteam und Lösungsteam gut abstimmen. Auch das Whitelisting vorab ist wichtig, um ungewünschte Blockaden zu vermeiden. Beim Whitelisting wird festgelegt, welcher Verkehr zugelassen wird. Nur so können Daten von einer individuellen Lösung in die zentrale Infrastruktur geleitet werden. 

Der Kunde braucht nach wie vor interne Fachkräfte zum fachlichen Betrieb der Firewall. Durch die Zentralisierung des Netzwerkverkehrs über eine AWS-native, AWS-verwaltete Netzwerk-Firewall kann sich das Netzwerkteam aber nun ganz auf die inhaltliche Konfiguration der Firewall konzentrieren.  

Starten wir gemeinsam in die Zukunft.

Unsicher, wohin die digitale Reise bei Ihnen führen soll? Unsere Expert*innen stehen Ihnen gerne unverbindlich für Ihre Fragen zur Verfügung!

Einfach das nebenstehende Formular ausfüllen und wir melden uns umgehend bei Ihnen.