Umzug zu AWS durch — gibt's ein Tool, um Cloud-Security selbst zu prüfen, ohne teure Auditoren zu bezahlen?

Euer allererster Fokus muss auf Storage und IAM liegen. Aktiviert in der Konsole mit einem Klick das globale "Block Public Access" auf Account-Ebene. Sucht danach in euren IAM-Policies nach Wildcard-Sternchen mit uneingeschränkten Admin-Rechten und stutzt die konsequent aufs Least-Privilege-Prinzip zurück. Und ganz wichtig: Den Audit-Logging-Service für alle Regionen einschalten, nicht vergessen.

Hatten bei unserer E-Commerce-Migration in New York ein fast identisches Angebot vorliegen, die wollten 5.500 Dollar von uns. Zwei unserer Devs haben dann einfach Open-Source-Audit-Skripte angeworfen. Kam ein Report mit 18 kritischen Fehlkonfigurationen raus, 11 davon waren uralte, vergessene Security Groups. Haben alles innerhalb von 3 Tagen gefixt, Kostenpunkt: 0 Euro.

Automatische Open-Source-Tools sind super, aber wiegt euch damit nicht in falscher Sicherheit. Diese Scanner prüfen rein die Einstellungen der Cloud-Infrastruktur. Ob euer Code Logikfehler in der Autorisierung hat oder die DB anfällig für SQL-Injections ist, sehen die Dinger nicht. Eure Infra kann also komplett grün sein, während die App wie ein Schweizer Käse dasteht.

Was ihr buchstäblich heute Abend noch tun solltet: Hört auf, im Alltag mit dem Root-User zu arbeiten! Richtet normale Dev-Accounts ein, packt auf den Root-Account einen physischen Hardware-Key und sperrt das Passwort in den Tresor. Die allermeisten Cloud-Breaches passieren durch versehentlich geleakte Admin-Keys.

Verlangen eure künftigen Enterprise-Kunden eigentlich einen offiziellen Compliance-Report oder ein signiertes Testat von einem akkreditierten Auditor? Wenn das im Anforderungskatalog steht wird ein reiner Self-Scan am Verhandlungstisch leider oft nicht durchgehen.

hatten am anfang nach dem umzug auch voll panik. haben dann zwei open-source scanner auf die konsole losgelassen und uns den html report angeschaut dann krasseste erkenntnis war ein vergessener testserver auf dem nach 2 tagen schon tausende brute-force versuche liefen, ports sofort dichtgemacht.

wenn die Kasse eh knapp ist, spart euch die 6.000 Dollar definitiv. das boardeigene Advisor-Dashboard und die gängigen GitHub-Audit-Tools reichen für den Anfang völlig aus. naja setzt euch ein Wochenende mit dem Team zusammen und arbeitet die Funde Punkt für Punkt ab.

Sicherheit ist kein einmaliges Häkchen, sondern ein laufender Prozess. Selbst wenn ihr heute 6.000 Dollar hinlegt und ein blitzsauberes Zertifikat kriegt: Wenn nächste Woche ein Dev aus Versehen eine falsche Firewall-Regel pusht, seid ihr wieder offen. Bindet Open-Source-Lintern und Scanner lieber fest als automatisierten Schritt in eure Deployment-Pipeline ein.

Wenn du so vorgehst, kläre das vorher. Das allein zu versuchen, ist der teuerste Weg.

Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Ich werde das Gegenteil vertreten, bitte nicht böse sein. Das allein zu versuchen, ist der teuerste Weg.

Das war's, entschuldige, wenn ich zu lang war.

Ich stimme zu.

Ich probiere es aus. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Das war's, entschuldige wenn ich zu lang war.

Dieses Thema ist archiviert.

es gibt auch noch die Mess-Seite... naja dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

wenn ihr das Ergebns hier postet, hilft es auch anderen.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Das allein zu versuchen, ist der teuerste Weg.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich stimme zu, möchte das sogar besonders betonen. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Korrigiert mich, falls ich falsch liege.

Wenn wir ins Detail gehen: Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

ich werde das Gegenteil vertreten, bitte nicht böse sein. also maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.