HiSolutions Research

Tsetsetsetsetse-Fliege: C5-Tsusätse

Das BSI hat zum Cloud-Security-Kriterienkatalog C5 (Cloud Computing Compliance Criteria Catalogue) zwei Zusatzdokumente veröffentlicht, die Testierung und Interpretation erleichtern. Die Kurzübersicht zur Berichterstattung fasst grundlegende Elemente des C5-Prüfungsberichts als Orientierungshilfe für den Prüfer zusammen. Der Auswertungsleitfaden gibt Cloud-Kunden eine Struktur vor, einen C5-Bericht systematisch auszuwerten, um die eigenen Controls für die Nutzung einzurichten und hierdurch das mit der Cloud-Nutzung verbundene Risiko einschätzen und steuern zu können.

https://www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/CloudComputing/Kriterienkatalog/C5_AktuelleVersion/C5_Auswertung_node.html

HiSolutions Research

Lesetipps Juli 2020

Bitkom-Studie: 75 % bewölkt

In 3 von 4 Unternehmen werden Cloud-Infrastrukturen genutzt. Aber 70 % der Nicht-Nutzer fürchten einen unberechtigten Zugriff, 60 % ist die Rechtslage unklar, 59 % zweifeln an der Integration einer Public-Cloud in bestehende Lösungen und 43 % fehlen Ressourcen im Personal. Sichere Cloud ist zwar machbar, aber keinesfalls kostenlos zu haben.

https://www.bitkom.org/Presse/Presseinformation/Drei-von-vier-Unternehmen-nutzen-Cloud-Computing


Crowd-Sourced Tech-Talk Best-Of

Mit der Frage “What’s the best tech talk you’ve ever seen?” hat Microsoft Azures Open-Source-Evangelistin Ashley Willis einen langen Reply-Thread aus Vortragsempfehlungen geschaffen:

https://twitter.com/ashleymcnamara/status/1278537744352862208


Can you see me swinging: Abhören via Lamphone

Nur im Dunkeln ist gut munkeln: Wenn Schallwellen das Licht flackern lassen, ermöglicht das unter bestimmten Umständen bereits ein passives Abhören. Ein klarer Vorteil gegenüber herkömmlichen Lasermikrofonen, welche aktiv arbeiten und daher wesentlich teurer und prinzipiell auch detektierbar sind.

https://www.heise.de/news/l-f-Verraeterische-Gluehlampen-4784368.html


Dein Freund und Chat-Buddy: EncroChat von Polizei übernommen

Mit modifizierten Smartphones und einer eigenen Infrastruktur betrieb EncroChat einen Dienst, auf dem Nutzer Drogen- und Waffengeschäfte abwickelten. Anfang 2020 gelang die Infiltration der Infrastruktur und damit die Exfiltration der unverschlüsselten Kommunikation. Nachdem Mitte Juni die Kompromittierung auffiel, nahmen die Ermittler in mehreren europäischen Ländern umfangreiche Verhaftungen vor.

https://www.heise.de/news/Encrochat-geknackt-Schwerer-Schlag-gegen-organisierte-Kriminalitaet-4802419.html

https://en.wikipedia.org/wiki/EncroChat#References

https://www.vice.com/en_us/article/3aza95/how-police-took-over-encrochat-hacked

HiSolutions Research

Paging Münchhausen – Cloud braucht Cloud

Am 2. Juni standen weite Teile der Google Cloud für bis zu vier Stunden still. Dass Google damit die Jahres-SLAs gerissen hat, ist nur ein Teil des Problems, schließlich kamen und kommen Downtimes auch in selbstbetriebener IT immer wieder vor. Bedenklich ist vielmehr, dass es zu einem derart langen länderübergreifenden Ausfall kommen konnte, obwohl Google derart viel in Redundanz, Notfallplanung und Desaster Recovery investiert. Und zwar technisch wie konzeptionell. Nach ersterem Maßstab hat sich der Betreiber nicht viel vorzuwerfen, denn der Root-Cause war eine schwer vorauszusehende Interaktion drei verschiedener Bugs. Das Problem war schnell erkannt, verstanden und die Lösung schnell entworfen.

Allerdings gibt es zwei große Lessons Learned hier (für Google wie für die Kunden der großen Cloudanbieter): Erstens, die komplexen internen Abhängigkeiten der Gesamtsysteme, die Cloud-Dienste/-Rechenzentren/-Angebote darstellen, sind noch nicht ausreichend verstanden. Denn erst beim Incident-Handling fiel auf, dass man zur Behebung des Problems die, *tada*, Google Cloud benötigt, welche ja gerade nicht verfügbar war. Es fehlt also noch die Fähigkeit eines Baron Münchhausen, sich am eigenen Schopf aus dem Sumpf zu ziehen, sogenanntes Bootstrapping, im Energiesektor als Schwarzstartfähigkeit bekannt. Eine solche vorrätig zu halten, kostet Geld, was dem Kostendruck in der Cloud zuwiderläuft.

Das zweite Thema ist noch eine Ebene prinzipieller: Die großen Kosten- und Effizienzvorteile erzielt man im Cloud-Computing durch weitgehende Automatisierung – und die braucht als Basis Mono- oder zumindest Oligokulturen. Wie in der industriellen Landwirtschaft steigt mit der Effizienz hierbei auch das Risiko, dass ein einzelner Schädling/eine einzelne Schwachstelle/Bug/Fehlkonfiguration ganze Landstriche verwüsten und Hungersnöte auslösen kann. Meist wird man dies mittels viel Chemie unter Kontrolle halten können – was aber wieder nur das Risiko konzentriert und vertagt.

Sicher ist: Das dicke Ende kommt noch – und wir tun uns auf Dauer keinen Gefallen, wenn wir die Auseinandersetzung damit einfach nur in die Zukunft verschieben.

Zum Thema Cloud Security empfehle ich unseren aktuellen Webcast „Wege in die Cloud – aber sicher!”