Cloud Security Posture Management (CSPM)

Cloud Security Posture Management bewertet kontinuierlich die Konfigurationen der Cloud-Infrastruktur anhand von Sicherheitsbenchmarks und Compliance-Frameworks. CSPM-Tools ermitteln Ressourcen automatisch, erkennen Fehlkonfigurationen und priorisieren deren Behebung in Multi-Cloud-Umgebungen.

Herkömmliche Schwachstellenscanner bewerten die auf Hosts ausgeführte Software. CSPM-Tools bewerten die Cloud-Control-Plane – IAM-Richtlinien, Netzwerkkonfigurationen, Speicherberechtigungen und Protokollierungseinstellungen – und erkennen Konfigurationsrisiken, bevor diese ausgenutzt werden.

Security Hub bündelt Ergebnisse aus AWS-Services (GuardDuty, Inspector, Macie) und von Drittanbietertools. Es ordnet die Ergebnisse CIS-Benchmarks, NIST und PCI-DSS zu und stellt ein einheitliches Dashboard mit Schweregradbewertung und Anleitungen zur Behebung bereit.

Prowler ist ein kostenloses Open-Source-CSPM-Tool, das mehr als 400 Prüfungen in AWS-Umgebungen ausführt. Führen Sie es über die CLI oder eine CI/CD-Pipeline aus, um HTML-, JSON- und CSV-Berichte für CIS, NIST, SOC2 und andere Frameworks zu erstellen.

Azure Defender for Cloud bietet CSPM für Azure-, AWS- und GCP-Umgebungen. Der Secure Score misst den Compliance-Status, Empfehlungen werden nach ihrer Auswirkung priorisiert und Optionen zur automatischen Behebung verringern den manuellen Aufwand bei häufigen Fehlkonfigurationen.

SCC zentralisiert Sicherheitsergebnisse aus GCP-Services. Integrierte Erkennungen finden öffentliche Buckets, offene Firewall-Regeln und Lücken in der Audit-Protokollierung. Die Premium-Stufe ergänzt Bedrohungserkennung und Schwachstellenbewertungen für GCE-VMs und Container-Images.

CIS-Benchmarks bieten konkrete Anleitungen zur Absicherung von AWS, Azure und GCP. NIST 800-53 ordnet Cloud-Kontrollen zu. CSPM-Tools bewerten die Compliance anhand dieser Benchmarks und erstellen im Zeitverlauf messbare Kennzahlen zur Sicherheitslage.

Nicht alle Ergebnisse sind gleich wichtig. Priorisieren Sie anhand der Kritikalität des Assets, der Ausnutzbarkeit, der Exposition (aus dem Internet erreichbar oder intern) und der Sensibilität der Daten. Ein öffentlicher S3-Bucket mit personenbezogenen Daten erhält eine deutlich höhere Priorität als eine Lücke in der Protokollierung eines Entwicklungskontos.

CSPM-Tools erkennen Konfigurationsabweichungen – Fälle, in denen eine Ressource sicher war, aber durch eine Änderung nicht mehr konform ist. Kontinuierliche Überwachung erfasst manuelle Konfigurationsänderungen, die IaC-Pipelines umgehen. Lösen Sie bei Abweichungen Warnungen aus, um die Prinzipien unveränderlicher Infrastruktur durchzusetzen.

Verlagern Sie CSPM nach links, indem Sie Terraform- und CloudFormation-Vorlagen vor der Bereitstellung mit Tools wie Checkov, tfsec oder cfn-nag scannen. Wenn IAM-Platzhalter oder offene Sicherheitsgruppen bereits bei der PR-Überprüfung erkannt werden, gelangen diese Fehlkonfigurationen gar nicht erst in die Produktion.

Prisma Cloud, Wiz und Orca Security bieten einheitliches CSPM für AWS, Azure und GCP. Eine zentralisierte Übersicht ist für Unternehmen mit mehreren Cloud-Anbietern entscheidend, um blinde Flecken und eine uneinheitliche Durchsetzung von Richtlinien zu vermeiden.

Was ist der wesentliche Unterschied zwischen CSPM und herkömmlichen Schwachstellenscans?

CSPM-Tools überprüfen die Cloud-Infrastruktur kontinuierlich anhand von Sicherheitsbenchmarks, erkennen Fehlkonfigurationen vor ihrer Ausnutzung und geben priorisierte Anleitungen zu deren Behebung. Zusammen mit Shift-Left-Scans in CI/CD schafft CSPM eine proaktive Sicherheitslage für die Cloud.