Welche Cloud-Sicherheitsbewertungstools machen für kleine Setups Sinn, wenn alles in die Cloud migriert ist?

Ihr könnt Open-Source-Tools einfach als wöchentlichen Cronjob auf einer VM laufen lassen und euch die Ergebnisse per Mail schicken. Gerade Tools, die IAM-Regeln abklopfen, finden ungenutzte API-Keys und viel zu weit gefasste Rollen extrem zuverlässig. Für den Anfang reicht dieses Niveau locker aus.

Bevor ihr nach teuren Tools sucht, prüft direkt diese drei Punkte: 1) Ist öffentlicher Lesezugriff auf eurem Object Storage deaktiviert? 2) Sind Datenbank- und Server-Management-Ports ausschließlich für eure feste Firmen-IP freigegeben? 3) Ist 2FA für den Login ins Admin-Panel Pflicht? Damit habt ihr den Großteil des Risikos schon erschlagen.

Wir haben damals 12.000 Dollar im Jahr für ein Enterprise-Tool gezahlt und im ersten Monat Panik geschoben, weil das System 600 Verstöße gemeldet hat. Hinterher stellte sich raus, dass eine der Warnungen nur ein fehlendes Tag auf einem Testserver war. In kleinen Teams blockieren solche Tools mit extremem Grundrauschen nur die Arbeit. Mit den nativen Tools der Konsole Schritt für Schritt vorzugehen, ist viel pragmatischer.

solche Audit-Fragebögen von Kunden wirken oft einschüchternd, aber ganz ehrlich: Die wollen meistens gar keinen großen Software-Namen sehen... wichtig ist denen ein Nachweis, dass ihr eure Infrastruktur regelmäßig scannt und gefundene Schwachstellen dokumentiert behebt.

setzt einfach open-source-scanner auf und lasst den output als html raus... ehrlich gesagt dem kunden schreibt ihr dass die cloud-infra wöchentlich automatische security-scans durchläuft schickkt den summary-report mit und für die allermeisten enterprise-kunden reicht das völlig als nachweis.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Gibt es spezielle Regularien, an die euer Kunde gebunden ist? Verarbeitet ihr Gesundheitsdaten oder Kreditkarteninfos? Solange keine speziellen Compliance-Vorgaben greifen, belasten teure Drittanbieter-Tools euer Budget nur völlig unnötig.

Aktiviert das native Security-Center eures Cloud-Providers, zieht die Regeln an und lasst wöchentlich ein Open-Source-Audit-Tool drüberlaufen.

Vielen Dank, ich werde es heute testen.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel. Wenn es jemand anders macht, würde mich das auch interessieren.

Ich habe keinerlei Erfahrung mit Cloud-Sicherheitsbewertungstools, deshalb frage ich. Das allein zu versuchen, ist der teuerste Weg.

Korrigiert mich, falls ich falsch liege.

richtig.

Ich werde das Gegenteil vertreten, bitte nicht böse sein. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Das hier Beschriebene ist genau das, was wir erlebt haben. Wer bei Cloud-Sicherheitsbewertungstools hetzt, stolpert alle an derselben Stelle.

Das wusste ich nicht. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Wenn deine Situation anders ist, ändert sich das natürlich.

hier ist etwas zu beachten und wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

das war's, entschuldige wenn ich zu lang war.

absolut.. und wenn ich noch etas hinzufügen darf: Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

viel Erfolg.

Ich würde mich freuen, wenn du das Ergebnis postest. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Wenn ihr das Ergebnis hier postet hilft es auch anderen.

Ich probiere es aus.