Security-Analyse von Cloud-Computing Mathias Ardelt

32 Kapitel 3: Security-Analyse von Cloud-Computing
Zugriff auf die virtuelle Maschine hat, so hat er trotzdem Zugriff auf den Hypervisor,
was auch immer einen Zugriff auf laufende virtuelle Maschinen des Hostsystems
bedeutet. Dieser Zugang kann unter Umständen missbraucht werden. Insbesondere
wird diese Gefahr aufgrund der Tatsache verstärkt, dass ein Administrator
aufgrund der Größe der Cloud Zugang zu einer Vielzahl von Daten hat. Es muss
eine klare Transparenz für den Cloud-Kunden erreicht werden indem klargestellt
wird, welche Einstellungsanforderungen Cloud-Provider an ihre Administratoren
stellen. Ebenfalls muss klargestellt werden, welche Zugriffe erlaubt, protokolliert
36 37
und kontrolliert werden.
Eine weitere Gefahr für das Gesamtsystem ist die Kompetenz der Administratoren
des Cloud-Providers. Aufgrund der Größe der Cloud und der Vielzahl von
Cloud-Kunden kann hier ein einfacher Fehler eines Administrators sehr schwerwiegende
Folgen haben. Im Rahmen der Studie „IT Security in Deutschland
2011“ hat das Marktforschungsunternehmen IDC (International Data Corporation)
im Juni 2011 ermittelt, dass Mitarbeiter das größte Sicherheitsrisiko in der IT-
Security-Kette darstellen. 38 Die besten Sicherheitsmechanismen sind immer von
der korrekten Konfiguration und von der fehlerfreien Arbeit der Administratoren
abhängig. Es gibt viele Bereiche wo das fehlerfreie Arbeiten eine absolute Notwendigkeit
ist, wie zum Beispiel bei der Reparatur von Flugzeugen bei Fluggesellschaften.
Um dies zu bewerkstelligen werden Techniken eingesetzt wie z.B.
das 4-Augen-Prinzip, bei welchem jeweils zwei Mitarbeiter zusammen Arbeiten
durchführen müssen, anstatt diese alleine durchzuführen. Es kann nicht verhindert
werden, dass neue und noch unerfahrene Mitarbeiter in einem Betrieb arbeiten.
Ein Cloud-Provider kann jedoch sicherstellen, dass die Arbeit eines solchen Mitarbeiters
von einem erfahrenen Kollegen überprüft werden muss.
Ein Beispiel für die Auswirkung eines Fehlers im Bereich des Cloud-
Computing, ist der Vorfall vom 21. April 2011 bei dem Cloud-Provider Amazon
39 : Um die Kapazitäten der Cloud zu erhöhen, wurden routinemäßige Änderungen
an dem Netzwerk durchgeführt. Ziel war es die Kapazität des primären
36 Vgl. ENISA – Catteddu, Daniele: Security & Resilience in Governmental Clouds, S. 18
37 Vgl. Network World – Brodkin, Jon: Gartner: Seven cloud-computing security risks, S. 1
38 Vgl. Elektroniknet.de – Kuppinger, Stefan: Mitarbeiter sind die gefährlichsten Trojaner
39 Vgl. Amazon Web Services: Summary of the Amazon EC2 and Amazon RDS Service Disruption
in the US East Region