Effektive Strategien für Sicherheit und Compliance

Ein Sicherheits- und Compliance-Ansatz umfasst drei Schlüsselstrategien: Design, Überwachung und Optimierung. Diese Strategien werden iterativ angewendet und jeder kann sich wieder in die anderen einspeisen.

Designstrategie erstellen

Schaffen Sie Sicherheit und Compliance in Ihren Cloud-Bereitstellungen, indem Sie sie unter Berücksichtigung der Sicherheit von Grund auf entwerfen.

Eine umfassende Security Design-Strategie bietet Sicherheit durch Identity Management: den Prozess der Authentifizierung und Autorisierung von Security Principals. Verwenden Sie Identity Management-Services, um Benutzer, Partner, Kunden, Anwendungen, Services und andere Entitäten zu authentifizieren und ihnen Berechtigungen zu erteilen.

Außerdem wird der Schutz von Assets gefördert, indem Kontrollen für den Netzwerktraffic mit Ursprung in Oracle Cloud Infrastructure zwischen On-Premise- und Oracle Cloud Infrastructure-gehosteten Ressourcen und Traffic zu und von Oracle Cloud Infrastructure platziert werden. Wenn keine Sicherheitsmaßnahmen vorhanden sind, können Angreifer Zugriff erhalten, z. B. durch Scannen über öffentliche IP-Bereiche hinweg. Richtige Netzwerksicherheitskontrollen können Defense-in-Depth-Elemente bereitstellen, die Angreifer erkennen, eindämmen und stoppen, die versuchen, Zugang zu Ihren Cloud-Bereitstellungen zu erhalten.

Eine erfolgreiche Designstrategie wird sich auch bemühen, sensible Datenassets mit Zugriffskontrolle, Verschlüsselung und Logging in Oracle Cloud Infrastructure zu klassifizieren, zu schützen und zu überwachen. Außerdem werden die Daten im Ruhezustand und während der Übertragung kontrolliert.

Anwendungen und die damit verbundenen Daten fungieren als primärer Geschäftswertspeicher auf einer Cloud-Plattform. Anwendungen können eine Rolle bei Risiken für das Unternehmen spielen, da sie Geschäftsprozesse kapseln und ausführen, die verfügbar und mit hoher Integrität bereitgestellt werden müssen. Anwendungen speichern und verarbeiten auch Geschäftsdaten, die eine hohe Sicherheit der Vertraulichkeit, Integrität und Verfügbarkeit erfordern. Daher sollte sich eine erfolgreiche Strategie auf die Anwendungs- und Datensicherheit konzentrieren und diese ermöglichen.

Berücksichtigen Sie bei der Erstellung Ihrer Sicherheitsdesignstrategie die FinOps-Prinzipien, indem Sie Kostenüberlegungen in Sicherheitspraktiken integrieren. Der Abgleich von Sicherheitsmaßnahmen mit Kosteneffizienz entspricht den Grundsätzen von FinOps zur Wertoptimierung.

OCI Landing Zones sind eine Option für das Deployment einer Architektur mit diesen integrierten Sicherheits- und Compliancedesignfeatures. Landing Zones ermöglichen das wiederholbare 1-Klick-Provisioning einer CIS-gehärteten Mandanten- und Workload-Infrastruktur, einschließlich wesentlicher Cloud-Services wie Identität, Sicherheit, Networking, Beobachtbarkeit und Governance. Mit OCI-Landing-Zones können Sie OCI-Sicherheitsservices wie Oracle Cloud Guard, OCI Vault und den OCI Vulnerability Scanning-Service für einen starken Sicherheitsstatus aktivieren.

Überwachungs- und Auditingstrategie erstellen

Eine erfolgreiche Monitoringstrategie wird sich auf die Gesundheitsmodellierung konzentrieren.

Zustandsmodellierung bezieht sich auf die Aktivitäten, die den Sicherheitsstatus einer Workload durch Überwachung aufrechterhalten. Diese Aktivitäten können angeben, ob die aktuellen Sicherheitsverfahren wirksam sind oder ob neue Anforderungen bestehen. Die Gesundheitsmodellierung kann folgende Kategorien umfassen:

  • Überwachen Sie die Workload und die Infrastruktur, in der sie ausgeführt wird.
  • Alerts und Benachrichtigungen einrichten und verwenden
  • Aggregieren von Serviceprotokollen mit SIEM-(Security Information and Event Management-)Plattformen.
  • Audits durchführen.
  • Auditlogs aktivieren, abrufen und speichern.
  • Sicherheitsfixes zu Updates und Patches.
  • Auf Vorfälle reagieren.
  • Angriffe basierend auf echten Vorfällen simulieren.

Optimierungsstrategie erstellen

Sobald eine sichere Baseline für Sicherheitsvorgänge in der Cloud festgelegt wurde, müssen Sicherheitsteams kontinuierlich Cloud-spezifische Sicherheitsprozesse und -kontrollen untersuchen, die zu Fortschritten und Optimierungen gegenüber vorhandenen Sicherheitspraktiken führen können.

Tausende von Unternehmen nutzen Cloud-Services erfolgreich und sicher, um Geschäftsziele zu erreichen und so die Agilität zu erhöhen und die Kosten für IT-Services zu senken. Dieses Best Practices-Framework bietet Empfehlungen für Muster in allen Sicherheitsbetriebsorganisationen, die die erforderlichen Sicherheitsarchitekturen, -prozesse und -kontrollen bereitstellen, um eine sichere geschäftliche Nutzung von Cloud-Services zu ermöglichen. Zusätzlich zu einem sicheren Deployment sollten Sie eine Strategie der kontinuierlichen Verbesserung implementieren.

Sicherheitsdesigngrundsätze befolgen

Die Artikel in diesem Pillar beschreiben, wie die drei Strategien zum Entwerfen, Überwachen und Optimieren implementiert werden, und bieten Empfehlungen zur Implementierung in Oracle Cloud Infrastructure. Jede dieser Empfehlungen implementiert eines oder mehrere der folgenden Sicherheitsdesigngrundsätze.

Diese Grundsätze unterstützen diese drei Schlüsselstrategien und beschreiben ein sicheres Architektursystem, das in Cloud- oder On-Premise-Data Centern gehostet wird (oder eine hybride Kombination aus beidem). Die Anwendung dieser Grundsätze erhöht die Wahrscheinlichkeit, dass Ihre Sicherheitsarchitektur die Sicherheit von Vertraulichkeit, Integrität und Verfügbarkeit gewährleistet.

Best Practices für Sicherheit und Compliance implementieren diese Designprinzipien:

  • Design für Resilienz: Ihre Sicherheitsstrategie sollte davon ausgehen, dass Kontrollen fehlschlagen und entsprechend konzipiert werden. Um Ihre Sicherheitslage widerstandsfähiger zu machen, müssen mehrere Ansätze zusammenarbeiten:
    • Laufende Wachsamkeit: Stellen Sie sicher, dass Anomalien und potenzielle Bedrohungen, die Risiken für das Unternehmen darstellen könnten, rechtzeitig behoben werden.
    • Tiefe Verteidigung: Berücksichtigen Sie zusätzliche Kontrollen im Design, um Risiken für die Organisation zu mindern, falls eine primäre Sicherheitskontrolle ausfällt. Dieses Design sollte berücksichtigen, wie wahrscheinlich die primäre Kontrolle ausfällt, das potenzielle organisatorische Risiko, wenn dies der Fall ist, und die Wirksamkeit der zusätzlichen Kontrolle (insbesondere in den wahrscheinlichen Fällen, die dazu führen würden, dass die primäre Kontrolle ausfällt).
    • Verteidigung bei Edge: Betrachten Sie eine effektive integrierte Edge-Sicherheit, um Bedrohungen zu kontrollieren, bevor sie sich auf Ihre Anwendungen auswirken. Dies ist für die Einhaltung von Richtlinien zur Informationssicherheit von entscheidender Bedeutung.
  • Design für Angreifer: Ihr Sicherheitsdesign und Ihre Priorisierung sollten sich auf die Art und Weise konzentrieren, wie Angreifer Ihre Umgebung sehen. Dies ist oft nicht die Art und Weise, wie IT- und Anwendungsteams sie sehen. Informieren Sie Ihr Sicherheitsdesign und testen Sie es mit Penetrationstests, um einmalige Angriffe zu simulieren. Verwenden Sie rote Teams, um langfristige persistente Angriffsgruppen zu simulieren. Entwerfen Sie Ihre Unternehmenssegmentierungsstrategie und andere Sicherheitskontrollen, um die seitliche Bewegung von Angreifern in Ihrer Umgebung einzudämmen. Messen und reduzieren Sie aktiv die potenzielle Angriffsfläche, die Angreifer zur Ausbeutung von Ressourcen innerhalb der Umgebung anvisieren.
    • Berechtigungen basierend auf den Anforderungen beschränken. Schreiben Sie Policys, die hinsichtlich der Zielressourcen und der erforderlichen Zugriffsberechtigungen so detailliert wie möglich sind.
    • Netzwerksegmentierung durchführen. Begrenzen Sie den Datenverkehr, um Anwendungs-Deployments auf Netzwerkebene voneinander zu isolieren, und verwenden Sie eine Ausnahmeliste für alle erforderlichen Netzwerkflüsse. Minimieren Sie übermäßig zulässigen Traffic.
    • Least Privilege: Dies ist ein strategischer Ansatz für die Sicherheit, bei dem mehrere Verteidigungsebenen zum Schutz der Vermögenswerte einer Organisation implementiert werden. Konten sollten über die geringsten Rechte verfügen, die zum Durchführen ihrer zugewiesenen Aufgaben erforderlich sind. Schränken Sie den Zugriff nach Berechtigungsstufe und nach Zeit ein. Dies hilft, den Schaden eines externen Angreifers zu mindern, der Zugriff auf das Konto erhält, oder eines internen Mitarbeiters, der versehentlich (oder absichtlich wie bei einem Insiderangriff) Sicherheitsversicherungen beeinträchtigt.
    • Standardmäßig ablehnen. Stellen Sie sicher, dass keine Standardzulassungs-Policys vorhanden sind, von denen ein Angreifer profitieren kann. Erstellen Sie nur Policys, die gemäß den Limitberechtigungen basierend auf Anforderungen und den Prinzipien der geringsten Berechtigung erforderlich sind.
  • Native Kontrollen nutzen: Verwenden Sie gegebenenfalls native Sicherheitskontrollen, und stellen Sie sicher, dass diese an Ihrer Gesamtstrategie für Tools ausgerichtet sind. Native Sicherheitskontrollen werden vom Serviceprovider verwaltet und unterstützt. Dadurch entfällt oder reduziert sich der Aufwand für die Integration externer Sicherheitstools und die Aktualisierung dieser Integrationen im Laufe der Zeit.
  • Sicherheitstools nutzen: Verwenden Sie Tools, die für die Cloud oder Clouds entwickelt wurden, in denen Sie arbeiten. Native Sicherheitskontrollen werden vom Serviceprovider verwaltet und unterstützt. Eine Einschränkung der Cloud-nativen Tools in dieser Hinsicht besteht jedoch darin, dass sie möglicherweise keine anderen Clouds oder On-Premises-Umgebungen unterstützen. Beispiel: Wenn Sie Daten in OCI und Azure in einer Multicloud-Bereitstellung schützen müssen, bevorzugen Sie möglicherweise ein Sicherheitstool eines Drittanbieters, das beide Clouds unterstützen kann.
  • Identität als primäre Zugriffskontrolle verwenden: Der Zugriff auf Ressourcen in Cloud-Architekturen unterliegt in erster Linie der identitätsbasierten Authentifizierung und Autorisierung für Zugriffskontrollen. Ihre Kontokontrollstrategie sollte sich auf Identitätssysteme zur Kontrolle des Zugriffs verlassen, anstatt sich auf Netzwerkkontrollen oder die direkte Verwendung kryptografischer Schlüssel zu verlassen.
  • Verantwortlichkeit: Legen Sie eine klare Verantwortung für Anlagen und Sicherheitszuständigkeiten fest, und stellen Sie sicher, dass Maßnahmen auf Nichtrückweisbarkeit zurückverfolgt werden können. Stellen Sie außerdem sicher, dass Entitys die geringste erforderliche Berechtigung erhalten haben (auf einer verwaltbaren Granularitätsebene).
  • Automatisierung umarmen: Die Automatisierung von Aufgaben verringert die Wahrscheinlichkeit menschlicher Fehler, die Risiken verursachen können. Daher sollten sowohl der IT-Betrieb als auch die Best Practices für Sicherheit so weit wie möglich automatisiert werden, um menschliche Fehler zu reduzieren (während sichergestellt wird, dass qualifizierte Mitarbeiter die Automatisierung steuern und auditieren).
  • Fokus auf Informationsschutz: Geistiges Eigentum ist häufig eines der größten Repositorys von organisatorischem Wert, und diese Daten sollten überall geschützt werden, einschließlich Cloud-Services, mobilen Geräten, Workstations und Kooperationsplattformen (ohne die Zusammenarbeit zu behindern, die eine Wertschöpfung für Unternehmen ermöglicht). Ihre Sicherheitsstrategie sollte auf dem Klassifizieren und Taggen von Informationen und Assets basieren, um Sicherheitspriorisierung zu ermöglichen, eine starke Zugriffskontrolle und Verschlüsselungstechnologie zu nutzen und Geschäftsanforderungen wie Produktivität, Benutzerfreundlichkeit und Flexibilität zu erfüllen.
  • Zero Trust annehmen: Bei der Auswertung von Zugriffsanforderungen sollten alle anfordernden Benutzer, Geräte und Anwendungen als nicht vertrauenswürdig betrachtet werden, bis ihre Integrität ausreichend validiert werden kann. Zugriffsanforderungen sollten abhängig von der Vertrauensstufe des Anforderers und der Vertraulichkeit der Zielressource bedingt erteilt werden. Es sollten vertretbare Versuche unternommen werden, Mittel anzubieten, um die Vertrauensvalidierung zu erhöhen (z. B. Multi-Faktor-Authentifizierung anzufordern) und bekannte Risiken zu beheben (bekannte Passwörter zu ändern, Malware-Infektionen zu beheben), um die Produktivitätsziele zu unterstützen.