Betriebssicherheit

Einleitung

Sicherheit hat bei MyQ Roger oberste Priorität. Wir verfolgen einen Sicherheitsansatz in jeder Phase der Entwicklung, Bereitstellung und des Betriebs. Angesichts der kritischen Natur von Cloud-Umgebungen muss die Sicherheit proaktiv, automatisiert und kontinuierlich überwacht werden, um Verstöße und unbefugten Zugriff zu verhindern.

Unsere Strategie für sicheren Betrieb umfasst kontinuierliche Überwachung, Schwachstellenmanagement, Infrastruktursicherheit und Compliance, um die Integrität von Anwendungen und Infrastruktur zu gewährleisten.

Überwachung

Eine kontinuierliche Überwachung ist unerlässlich, um Bedrohungen in Echtzeit zu erkennen und darauf zu reagieren. MyQ verfolgt einen mehrschichtigen Überwachungsansatz:

Endpoint Detection and Response (EDR)

• Überwacht alle Endpunkte (Server, VMs und Container) auf verdächtige Aktivitäten.

• Verwendet Verhaltensanalysen und Bedrohungsinformationen, um fortgeschrittene Bedrohungen zu erkennen.

• Isoliert automatisch kompromittierte Endpunkte, um eine laterale Ausbreitung zu verhindern.

Azure Defender (jetzt Defender for Cloud)

• Schützt Azure AKS, SQL Server, virtuelle Maschinen und Speicher.

• Bietet Echtzeit-Bedrohungserkennung und Empfehlungen zur Sicherheitskonfiguration.

• Integriert sich in Microsoft Sentinel (SIEM) für zentralisierte Warnmeldungen.

Host-Scan

• Scans VMs, Cloud-Instanzen und lokale Server auf Fehlkonfigurationen und veraltete Software.

• Erkennt Risiken durch Privilegieneskalation, unbefugte Zugriffspunkte und veraltete Abhängigkeiten.

Protokollsammlung und -analyse

• Zentralisierte Protokollierung auf einem separaten Cluster für Skalierbarkeit und Isolierung.

• Protokolle aus Kubernetes, Anwendungen und Infrastruktur werden für eine effiziente Abfrage gekennzeichnet.

• Langfristige Aufbewahrungsrichtlinien gewährleisten Compliance und Sicherheitsanalysen.

• Warnmechanismen erkennen Anomalien und Sicherheitsvorfälle und lassen sich in SIEM integrieren.

• Echtzeit-Protokollkorrelation für API-Anfragen, Authentifizierungsereignisse, Datenbankabfragen und Firewall-Datenverkehr.

Port-Scanning

• Erkennt unbefugte offene Ports, die Dienste Gefahren aussetzen.

• Verwendet automatisierte Tools wie Nmap und ZMap, um nach unerwarteten Portänderungen zu suchen.

Container-Scanning

• Statisches und dynamisches Scannen von Docker-Containern vor der Bereitstellung.

• Identifiziert Schwachstellen in Basis-Images, Anwendungsschichten und Laufzeitberechtigungen.

• Integriert mit Trivy für das Scannen von Images auf Sicherheitslücken.

Kubernetes-Überwachung

• Verwendet die in Azure Kubernetes Service (AKS) integrierte Überwachung mit Prometheus und Grafana.

• Überwacht Kubernetes-API-Aufrufe, RBAC-Richtlinien und Pod-Sicherheit.

• Warnungen bei Container-Privilegienerweiterungen, übermäßiger Ressourcennutzung und Versuchen lateraler Bewegungen.

Regelmäßige TLS-Scans

• MyQ führt TLS-Sicherheitsscans mit Qualys SSL Labs durch, um Best Practices sicherzustellen.

• TLS-Konfigurationen werden bewertet, um eine A+ Sicherheitsbewertung aufrechtzuerhalten und Risiken durch schwache Protokolle zu minimieren.

• Automatisierte Tools überprüfen die Gültigkeit von Zertifikaten, verfolgen deren Ablauf und überprüfen die Protokollstärke.

Verwaltung von Schwachstellen

Schwachstellenscans

• Regelmäßige Scans erkennen Sicherheitslücken in Anwendungen und Infrastruktur.

• Beinhaltet automatisierte CVE-Scans für in der Cloud bereitgestellte Komponenten.

• Integriert mit DefectDojo, SonarQube und Trivy für die Risikobewertung.

Penetrationstests

• Werden regelmäßig durchgeführt, um Sicherheitslücken zu identifizieren, bevor sie ausgenutzt werden können.

• Kombiniert automatisierte und manuelle Testmethoden für eine umfassende Bewertung.

• Die Ergebnisse werden dokumentiert, priorisiert und entsprechend behoben.

Infrastruktursicherheit

Eine gehärtete Infrastruktur gewährleistet Sicherheit, die über die reine Überwachung hinausgeht. MyQ setzt Folgendes ein:

SIEM (Security Information and Event Management)

• Microsoft Sentinel SIEM sammelt Sicherheitsereignisse für die Echtzeit-Erkennung.

• Analysiert Protokolle von Firewalls, Identitätssystemen, Anwendungsprotokollen, Audit-Protokollen und Bedrohungs-Feeds.

• Ermöglicht automatisierte Reaktionen auf erkannte Bedrohungen.

Sicherheitsüberwachung und -management

• Die Jira-Fehlerdatenbank verfolgt, kategorisiert und priorisiert Sicherheitslücken.

• DefectDojo konsolidiert Testergebnisse und gewährleistet so eine strukturierte Nachverfolgung von Sicherheitsmaßnahmen.

• Regelmäßige Patches und Korrekturen sorgen für eine hohe Sicherheit.

Identitäts- und Zugriffsmanagement (IAM)

• Setzt Zero Trust mit rollenbasierter Zugriffskontrolle (RBAC) und Multi-Faktor-Authentifizierung (MFA) durch.

• Verwendet Azure AD für die Identitätsverwaltung.

• Warnmeldungen bei Privilegienerweiterungen erkennen unbefugten Administratorzugriff.

Entwicklungs-Workflow

Die sichere Softwareentwicklung ist ein wichtiger Aspekt der Sicherheitsstrategie von MyQ. Die folgenden Maßnahmen gewährleisten die Integrität von Code, Pipelines und Cloud-Umgebungen:

Sichere Entwicklungsumgebung

• Die Entwickler von MyQ verwenden sicherheitsgehärtete Umgebungen mit Endpunktschutz.

• Entwickler müssen sichere Codierungspraktiken befolgen und regelmäßig an Sicherheitsschulungen teilnehmen.

GitLab Secure Pipelines

• GitLab CI/CD-Pipelines umfassen automatisierte Sicherheitsüberprüfungen, Code-Reviews und Tests.

• Statische Anwendungssicherheitstests (SAST) und dynamische Anwendungssicherheitstests (DAST) erkennen Schwachstellen.

• Container Image Signing stellt sicher, dass nur vertrauenswürdige Images bereitgestellt werden.

IAM und Zugriffskontrolle

• Nur ausgewählte DevOps- und SecOps-Mitarbeiter haben Zugriff auf Azure-Cloud-Umgebungen.

• Es wird eine rollenbasierte Zugriffskontrolle (RBAC) mit Just-In-Time (JIT)-Privilegienerweiterung auf Mindestniveau durchgesetzt.

Azure Kubernetes & Containersicherheit

• Die AKS-Cluster von MyQ beziehen Images ausschließlich aus der Azure Container Registry (ACR).

• AKS-Umgebungen setzen Netzwerkrichtlinien und Pod Security Standards (PSS) durch, um Workloads zu isolieren.

Verwaltung geheimer Daten

• Alle Geheimnisse und API-Schlüssel werden in Azure Key Vault gespeichert und sind nur für IAM-autorisiertes Personal zugänglich.

• Vor dem Commit in Git werden Trivy-Dateisystem-Scans durchgeführt, um sensible Geheimnisse zu erkennen und zu verhindern.

Fazit

Die Strategie für sicheren Betrieb von MyQ basiert auf kontinuierlicher Überwachung, proaktivem Bedrohungsmanagement und starker Infrastruktursicherheit. Durch den Einsatz fortschrittlicher Sicherheitstools, strenger Zugriffskontrollen und automatisierter Tests gewährleistet MyQ eine sichere und widerstandsfähige Cloud-Umgebung.

Durch die Integration von TLS-Sicherheitsscans, Penetrationstests und zentraler Protokollierung verbessert MyQ seine Fähigkeit, Sicherheitsrisiken effektiv zu erkennen, darauf zu reagieren und sie zu mindern.

Sicherheit ist eine sich ständig weiterentwickelnde Herausforderung, und MyQ ist weiterhin bestrebt, die Sicherheitsmaßnahmen durch regelmäßige Updates, Compliance-Audits und bewährte Sicherheitsverfahren zu verbessern. Durch die Beibehaltung einer sicherheitsorientierten Denkweise gewährleistet MyQ die Integrität und Vertraulichkeit seiner Dienste und sorgt so für Vertrauen und Zuverlässigkeit für alle Beteiligten.