„Infrastructure as Code“ (IaC) in der Cybersicherheit

Damit sich die Infrastruktur von IT-Systemen solider und einfacher aufbauen, konfigurieren und verwalten lässt, wird eine Methode namens Infrastructure as Code (IaC) eingesetzt.

IaC bedeutet, Infrastruktur statt durch manuelle Prozesse per Code zu verwalten und bereitzustellen. Die entsprechenden Werkzeuge gewinnen täglich an Bedeutung und werden weiterhin breit genutzt.

Mit IaC werden Konfigurationsdateien erstellt, die die Infrastruktursysteme und deren Eigenschaften beschreiben, was Konfiguration und Bereitstellung (Provisioning) erleichtert. Zudem können wir so jedes Mal dieselbe Umgebung erzeugen. IaC hilft auch beim Konfigurationsmanagement, indem es unsere Konfigurationseinstellungen in Code fasst und dokumentiert.

Daraus folgt, dass wir ganz klar sagen müssen: Bei der Absicherung von IT-Systemen muss man voll aktiv sein und proaktiv vorgehen. Um dieses Ziel zu erreichen, muss zunächst die IT-Infrastruktur richtig und sicher aufgebaut werden.

Für IaC gibt es verschiedene Werkzeuge. Zu den am Markt verbreiteten Infrastructure-as-Code- und Konfigurationswerkzeugen gehören Ansible, Puppet und Chef. Ein weiteres wichtiges Werkzeug zum Aufbau von Infrastruktur ist Terraform (ein Provisioning-Tool). Man kann es auch so sagen: Mit Terraform wird die Infrastruktur erstellt, mit Ansible wird die erstellte Infrastruktur konfiguriert.

Um die Sicherheit von IT-Systemen vorausschauend zu gewährleisten und eine sicherere Systeminfrastruktur zu schaffen, müssen die nötigen Schritte natürlich schon beim Aufbau der Systeme unternommen und die Sicherheit anschließend mit geeigneten Überwachungswerkzeugen (Monitoring) aufrechterhalten werden.

Um gegenüber Cyberangriffen nicht nur in der Defensive zu bleiben und proaktive Maßnahmen entwickeln zu können, sollte die Verteidigungslinie mehrschichtig aufgebaut werden. Nur so lassen sich Sicherheitsmaßnahmen schaffen, die zugleich erfolgreicher und stabiler sind.

Wichtige Sicherheitsmaßnahmen für Ansible lassen sich so zusammenfassen:

• Administratorkonten auf ein Minimum beschränken
• Zugriffskontrollen
• Zugriff auf lokale Systeme minimieren und kontrollieren
• Zugriff auf Anmeldedaten von Nutzern beschränken
• Den Grundsatz der Funktionstrennung anwenden
• Audit- und Protokollierungsfunktionen
• Einen einzigen anonymen Superuser (single anonymous super user) vermeiden
• Ansible Vault für die Verwaltung von Geheimnissen nutzen
• Trennung der Umgebungen
• Rollen und Berechtigungen festlegen
• Sensibilisierung und Schulung
• Mehr-Faktor-Authentifizierung

Zusammenfassend gilt: Bei der Absicherung von Ansible in einer Unternehmensumgebung sollte das Prinzip der gestaffelten Verteidigung (Defense in Depth) bzw. überlappender Sicherheit konsequent angewendet werden. Dabei sollten aktuelle Entwicklungen, Verbesserungen und Best Practices verfolgt und umgesetzt und unsere Systeme stets auf dem neuesten Stand gehalten werden. Zudem sollte zur Bereitstellung, Kontrolle und Überwachung der Maßnahmen das NIST RMF (Risk Management Framework) genutzt und entsprechend seinen Aktualisierungen laufend verbessert werden. Mit diesen Methoden lassen sich IT-Systeme sicher aufbauen, die Systemsicherheit stabiler gewährleisten und Cyberangriffen zuvorkommen. Systeme schon beim Aufbau sicher zu gestalten, verschafft uns Flexibilität in der Sicherheit und ermöglicht zugleich ein proaktives Vorgehen.