Sicherheit in Netzwerken

Anweisungen für sichere Netzwerkkonfigurationen

Einrichten eines sicheren Netzwerks innerhalb von STACKIT erfordert eine Kombination aus Best Practices und der Nutzung spezifischer Funktionen. Hier sind Richtlinien, die Ihnen helfen, ein sicheres Netzwerk in STACKIT zu erstellen:

1. Netzwerktopologie und Segmentierung:
   • Erstellen Sie Virtuelle Netzwerke (OpenStack Netzwerke), um Ressourcen zu isolieren und den Datenverkehr zu steuern.
   • Segmentieren Sie Ressourcen mithilfe von Subnetzen innerhalb eines Netzwerks, um eine feingranulare Zugriffskontrolle und Isolation zu erreichen.
   • Weitere Informationen zu Virtuellen Netzwerken finden Sie hier: Grundkonzepte Virtuelles Netzwerk
2. Netzwerkzugriffskontrolle:
   • Verwenden Sie Sicherheitsgruppen (SGs), um den eingehenden und ausgehenden Datenverkehr auf Netzwerkebene zu filtern. Legen Sie fest, welche Ports, Protokolle und IP-Adressbereiche zugelassen sind.
   • Weisen Sie SGs nach Bedarf Subnetzen oder Netzwerkschnittstellen zu.
   • Weitere Informationen zu Sicherheitsgruppen finden Sie hier: Sicherheitsgruppen und Regeln verwalten

Sichere Konfiguration von Sicherheitsgruppen

Die korrekte Konfiguration von Sicherheitsgruppen ist entscheidend, um den Datenverkehr zu und von Instanzen sicher zu steuern. Ordnungsgemäß konfigurierte Sicherheitsgruppen tragen dazu bei, Ihr Netzwerk vor unbefugtem Zugriff und anderen potenziellen Bedrohungen zu schützen.

Grundprinzipien:

• Prinzip der geringsten Rechtevergabe (Least Privilege): Erlauben Sie nur absolut notwendigen Datenverkehr.
• Explizites Verweigern (Explicit Deny): Es ist besser, den Datenverkehr explizit zu verweigern und nur das zuzulassen, was wirklich benötigt wird.

Schritte zur sicheren Konfiguration von Sicherheitsgruppen:

1. Standard-Sicherheitsgruppe überarbeiten:
   • Entfernen Sie alle standardmäßig zugelassenen Eingangs- und Ausgangsregeln.
   • Fügen Sie nur die Regeln hinzu, die absolut notwendig sind.
2. Benutzerdefinierte Sicherheitsgruppen erstellen:
   • Vermeiden Sie generische Namen. Benennen Sie die Sicherheitsgruppen nach ihrer Funktion oder dem Dienst, den sie schützen.
   • Beschränken Sie den Datenverkehr auf das absolute Minimum.
3. Eingehende Regeln konfigurieren:
   • Erlauben Sie Datenverkehr nur von vertrauenswürdigen IP-Adressen oder IP-Bereichen.
   • Legen Sie spezifische Ports für Dienste fest und vermeiden Sie die Verwendung breiter Portbereiche, sofern dies nicht absolut erforderlich ist.
4. Ausgehende Regeln konfigurieren:
   • Beschränken Sie nach Möglichkeit den ausgehenden Datenverkehr.
   • Beachten Sie, dass viele Anwendungen Updates oder externe Abhängigkeiten benötigen. Stellen Sie sicher, dass diese Verbindungen zugelassen sind.
5. Sicheren Fernzugriff gewährleisten:
   • Nutzen Sie strikte IP-Beschränkungen für SSH (Port 22) und RDP (Port 3389).
   • Ziehen Sie schlüsselbasierte Authentifizierungsmethoden für SSH in Betracht.
6. Regelmäßige Überprüfung:
   • Überprüfen Sie regelmäßig die Regeln der Sicherheitsgruppen und entfernen Sie veraltete oder unnötige Regeln.
   • Halten Sie sich über aktuelle Best Practices und Sicherheitsstandards auf dem Laufenden.
7. Automatisierung und Infrastructure as Code:
   • Erwägen Sie, Regeln für Sicherheitsgruppen als Code zu verwalten, beispielsweise mit Tools wie Terraform. Dies fördert Konsistenz, Nachvollziehbarkeit und vereinfacht Audits.

Fazit: Ein effektives Management von Sicherheitsgruppen erfordert Aufmerksamkeit und regelmäßige Überprüfung. Mit den oben genannten Best Practices und einer proaktiven Sicherheitsphilosophie können Sie die Sicherheit Ihrer Instanzen und Netzwerke in STACKIT erheblich verbessern.

Netzwerke automatisch erstellen

Automatisierung spielt eine entscheidende Rolle für die Sicherheit von Cloud-Umgebungen. Tools wie Terraform ermöglichen es, Infrastruktur als Code (IaC) zu definieren und bereitzustellen.

Was ist Infrastructure as Code?

Infrastructure as Code (IaC) ist ein Ansatz, bei dem die gesamte IT-Infrastruktur in Form von Code oder Skripten definiert wird. Dieser Code kann versioniert, geteilt und in Versionskontrollsystemen wie Git gespeichert werden. Er ermöglicht es Entwicklern und Systemadministratoren, Infrastruktur so zu behandeln wie Softwarecode.

Sicherheitsvorteile von Infrastructure as Code:

• Konsistenz: Die Verwendung von IaC minimiert manuelle Eingriffe, was zu konsistenten und reproduzierbaren Umgebungen führt. Dies verringert das Risiko menschlicher Fehler und Inkonsistenzen, die zu Sicherheitslücken führen können.
• Versionierung: Da die Infrastruktur als Code definiert ist, können Sie Änderungen nachverfolgen, was eine bessere Kontrolle und Überwachung ermöglicht. Sie können genau nachvollziehen, welche Änderungen wann und von wem vorgenommen wurden.
• Automatisierte Sicherheitsprüfungen: Mit IaC können Sie automatisierte Tests und Sicherheitsprüfungen in Ihren CI/CD-Prozess integrieren. Dies stellt sicher, dass Infrastrukturkonfigurationen den Sicherheitsrichtlinien entsprechen, bevor sie in die Produktion gehen.
• Schnelle Fehlerbehebung: Im Falle eines Sicherheitsvorfalls können Sie schnell zu einer bekannten, sicheren Konfiguration zurückkehren oder sicherheitsrelevante Patches systemweit anwenden, indem Sie den IaC-Code aktualisieren und erneut anwenden.

Die Einführung von IaC in Ihrer STACKIT-Umgebung, insbesondere in Kombination mit Automatisierungstools wie Terraform, fördert nicht nur die Effizienz und Wiederverwendbarkeit, sondern trägt auch erheblich zur Sicherheit Ihrer gesamten Cloud-Infrastruktur bei.

Rollen- und Rechtekonzept, einschließlich riskanter Kombinationen

Das Rollen- und Rechtekonzept, das innerhalb des STACKIT Portals angewendet wird, finden Sie unter den folgenden Links:

• Projektberechtigungen

Die Verwaltung von Service Accounts und API-Tokens wird hier beschrieben:

• Rollen zu einem Service Account zuweisen
• Service Accounts
• Infrastructure API (veraltet)

Der Zugriff auf Service Accounts und API-Tokens kann gemäß dem Rollen- und Rechtekonzept verwaltet werden. Es ist wichtig, potenzielle riskante Kombinationen von Rollen und Rechten zu identifizieren und zu verhindern. Einige Beispiele sind:

• Ein Benutzer mit den Rollen Owner, Admin und Member gleichzeitig könnte versehentlich Produktivsysteme beeinträchtigen.
• Die Kombination aus Anwendungsbenutzer- und Entwicklerrechten kann zu unerwünschten Änderungen in der Produktionsumgebung führen.

Um solche Risiken zu vermeiden, sollten Rollenüberschneidungen vermieden und regelmäßige Audits durchgeführt werden.