Was ist Security-as-a-Service (SECaaS)?

Was bedeutet Security-as-a-Service im Bereich Cloud-Computing?

In einer Cloud-Computing-Umgebung müssen Administratoren Instanzen bereitstellen, um u. a. IT-Infrastrukturen zu implementieren und Webanwendungen sowie APIs zu erstellen. Im Kontext der Cybersicherheit betrifft SECaaS vor allem IT-Sicherheitsteams, die mit einem SECaaS-Anbieter zusammenarbeiten, um ein oder mehrere Sicherheitstools zu implementieren. Da diese Tools über die Cloud und nicht on-Premise bereitgestellt werden, profitieren Unternehmen von ganzheitlicher und dennoch granularer Sicherheit zu geringeren Kosten.

In der Regel führt ein SECaaS-Anbieter zunächst eine Sicherheitsbewertung durch, um festzustellen, welche Services tatsächlich benötigt werden. Aus diesem Grund müssen Unternehmen in der Regel mehrere Anbieter hinzuziehen, da es zahlreiche Fachgebiete gibt, für die jeweils unterschiedliche Sicherheitsexperten zuständig sind. Ein Unternehmen, das Antiviren-, Malware- oder Phishing-Schutz als Service anbietet, führt beispielsweise keine Schwachstellenscans im Bereich Anwendungssicherheit durch.

Vorteile und Herausforderungen im Rahmen von Security-as-a-Service

Es gibt viele Gründe, aus denen Unternehmen ihre Anwendungsarchitekturen über SaaS auslagern, anstatt On-Premise-Software einzusetzen. SaaS-Anwendungen bieten standortunabhängig eine höhere Verfügbarkeit und Zugänglichkeit, da der Zugriff über das Internet erfolgt. Sie sind auch hinsichtlich der Anschaffung weniger kostenintensiv und einfacher zu verwalten, da der Anbieter sie in der Cloud kontinuierlich aktualisieren kann. Und was besonders wichtig ist: SaaS ist skalierbar. Wenn Sie also zusätzliche User hinzufügen, haben Sie jederzeit die Möglichkeit, Ihr Abonnement anzupassen.

Vorteile

Security-as-a-Service bietet ähnliche Vorteile und noch mehr:

Konsistente Richtlinien an jedem Standort

Allen Usern sollten dieselbe Sicherheit und derselbe Datenschutz zur Verfügung stehen, unabhängig davon, ob sie im Netzwerk im Hauptsitz, in einem Café oder über das WLAN eines Flughafens arbeiten. Mit einem Cloud-Service folgen die Unternehmensrichtlinien den Usern unabhängig von deren Standort. Alle Verbindungen werden überprüft und abgesichert, egal, von welchem User sie stammen, auf welche Anwendung zugegriffen oder welches Verschlüsselungsprotokoll verwendet wird.

Verbesserte Transparenz

Mit Cloud-Sicherheit erhält Ihr Unternehmen Echtzeit-Transparenz über den gesamten Traffic, alle genutzten Anwendungen, kompromittierte IoT-Geräte, Bedrohungen, blockierte Richtlinienverstöße und vieles mehr. Genau wie eine SIEM-Lösung (Security Information and Event Management) bietet auch eine integrierte Cloud-Lösung einen zentralen Überblick über alle Aktivitäten in den verschiedenen Services – beispielsweise Firewall, Sandbox, Secure Web Gateway, Advanced Threat Protection, Data Loss Prevention oder Bandbreitenkontrolle.

Weniger Sicherheitsrisiken

Cyberkriminelle wissen heute, dass die Legacy-Sicherheit im Rechenzentrum diese User nicht schützen kann. Zudem haben es Angreifer zunehmend auf mobile User abgesehen und nutzen mobile Geräte als Ausgangspunkt für Angriffe auf Unternehmensumgebungen. Ist es nicht möglich, jede Verbindung abzusichern, ist das gesamte Netzwerk anfällig für Angriffe. Security-as-a-Service schließt die Sicherheitslücken eines Unternehmens, die durch User, die sich außerhalb des Netzwerks befinden oder sich direkt mit Cloud-Anwendungen und dem offenen Internet verbinden, verursacht werden.

Erhöhte Skalierbarkeit

Herkömmliche Netzwerksicherheitsmodelle lassen sich nicht skalieren und sind schon gar nicht agil. Änderungen sind in solchen Umgebungen mühsam und nehmen viel zu viel Zeit in Anspruch. Cloud-Sicherheit hingegen ist nahezu unendlich skalierbar. Sie kann Traffic-Spitzen problemlos bewältigen und den gesamten Traffic, sogar den verschlüsselten, überprüfen, ohne die Performance zu beeinträchtigen. User, Services und sogar Zweigstellen lassen sich nahezu ohne Zeitverlust hinzufügen und anders als bei Appliances gibt es keine Kapazitätsgrenzen.

Herausforderungen

Die Netzwerk- und Netzwerksicherheitsarchitektur, in der das Rechenzentrum als „Zentrum des Universums“ betrachtet wird, ist veraltet und ein Hemmnis für die Anforderungen digitaler Unternehmen. In diesem Zusammenhang bietet SECaaS deutliche Vorteile, doch es gibt nach wie vor einige Herausforderungen.

• Umstellung von Legacy-Hardware auf die Cloud: Die Vorteile der Cloud-Sicherheit sind zwar offensichtlich, aber in der Migrationsphase zwischen der finalen Einstellung der Legacy-Sicherheit und der Cloud-Implementierung könnte Ihr Unternehmen angreifbar sein.
• Unklare Zuständigkeiten: Im Rahmen eines Modells der geteilten Verantwortung sind sowohl der Anbieter als auch der Kunde bei einem Problem mit dem Cloud-Service teilweise verantwortlich. Unabhängig von dieser Schuldfrage bleibt das Ergebnis aber das gleiche, wenn während eine SECaaS-Bereitstellung Sicherheitsprobleme auftreten.
• Risiko von Fehlkonfigurationen: Dieser Punkt steht in Zusammenhang mit der Frage nach der Zuständigkeit, soll aber separat angeführt werden, da Fehlkonfigurationen die häufigste Ursache für Datenpannen in der Cloud sind. Wenn Ihrem Team oder einem Cloud-Anbieter bei der Bereitstellung ein Fehler unterläuft, kann dies zu Problemen führen.

Funktionen von SECaaS

Die Security-as-a-Service-Technologie beinhaltet einzigartige Funktionen, die On-Premise-Lösungen nicht bieten können.

• Automatisierungspotenzial: Da die Cloud nicht an Hardware gebunden ist und daher kontinuierlich verbessert werden kann, können Cloud-Sicherheitsarchitekten Mechanismen und Schemata zur Automatisierung bestimmter Funktionen implementieren, die Administratoren, Bedrohungsexperten oder SecOps-Teams das Leben erleichtern.
• Verbesserter Schutz für IoT und Betriebstechnologie: Legacy-Sicherheit ist nicht darauf ausgelegt, moderne Datenschutzanforderungen wie unter anderem den Schutz ein- und ausgehender Daten bei IoT-Geräten, von Betriebstechnologie oder Computern zu erfüllen. SECaaS hingegen ist skalierbar, sodass auch bei steigenden Anforderungen ein lückenloser Datenschutz gewährleistet wird.
• Zero Trust: Zero-Trust-Sicherheit lässt sich nur im Rahmen einer Cloud-basierten Architektur umsetzen. Bei diesem Konzept folgen die Sicherheitsrichtlinien den Usern kontinuierlich – egal, an welchem Standort oder über welches Gerät sie sich anmelden. Mit einer Legacy-Architektur ist dieses Vorgehen nicht möglich.

Notwendigkeit von Security-as-a-Service bei der Cloud-Migration

Wie Gartner im Report Die Zukunft der Netzwerksicherheit liegt in der Cloud (The Future of Network Security Is in the Cloud) von 2019 hervorhebt, „werden die Zugangsvoraussetzungen für User und Geräte nicht mehr im Unternehmensrechenzentrum zusammengefasst.“ Weiter heißt es in dem Bericht, dass das Netzwerk- und Sicherheitsmodell seit seiner Entwicklung im Prinzip auf den Kopf gestellt worden ist. Zum damaligen Zeitpunkt waren alle User mit dem Netzwerk verbunden und alle Anwendungen in einem sicheren Rechenzentrum angesiedelt. Heute gestaltet sich die Situation hingegen folgendermaßen:

• Mehr User-Traffic wird an Cloud-Services als an Rechenzentren übertragen
• Mehr Arbeit wird außerhalb als innerhalb des Netzwerks verrichtet
• Es werden mehr SaaS-Anwendungen als lokal gehostete verwendet

In herkömmlichen Netzwerken wird der gesamte Traffic durch das zentrale Rechenzentrum geleitet, wo die Sicherheits- und Zugriffskontrollen installiert sind – eine komplexe Konfiguration, die zu erheblichen Beeinträchtigungen der User Experience führt. Cloud-Anwendungen wie Microsoft 365 und Workday wurden für den direkten Zugriff über lokale Internet-Breakouts entwickelt.

Hybride Mitarbeiter erleben eine sogar noch schlechtere Anwendererfahrung. Sie müssen ein virtuelles privates Netzwerk (VPN) nutzen, damit ihr Traffic über den Security-Stack des Netzwerks geroutet wird. Erst danach werden sie an ihr Ziel in der Cloud weitergeleitet.

Bei diesem Modell müssen die User zu den Sicherheitskontrollen gebracht werden, während sich die Sicherheit im Rahmen eines in der Cloud bereitgestellten Modells in direkter User-Nähe befindet.

Beispiele für Security-as-a-Service

Dies sind einige der Sicherheitstechnologien, die über die Cloud als Service angeboten werden:

• Secure Web Gateways verhindern, dass ungeschützter Traffic aus dem Internet ins interne Unternehmensnetzwerk gelangt, und optimieren so die Websicherheit.
• Firewall as a Service stellt erweiterte Layer 7/NGFW-Funktionen (Next-Generation Firewall) bereit und schützt so den Traffic.
• Data Loss Prevention (DLP) überwacht und untersucht Daten im Unternehmensnetzwerk, um die Exfiltration geschäftskritischer Daten infolge von Cyberangriffen zu verhindern.
• Sandboxing beinhaltet eine integrierte Verhaltensanalyse und bietet somit eine zusätzliche Verteidigungslinie gegen Zero-Day-Bedrohungen und Advanced Persistent Threats (APTs).

Auswahl eines Security-as-a-Service-Anbieters

Wenn Sie sich nach einer effektiven Cloud-Sicherheitslösung umsehen, sollten Sie einige wichtige Punkte berücksichtigen:

• Basiert die Lösung auf einer SASE-Architektur? Laut Gartner ist „… die Secure Access Service Edge ein neu entwickeltes Angebot, das die Leistungsfähigkeit von WAN mit umfassenden Netzwerksicherheitsfunktionen kombiniert“. SASE ist damit für eine effektive Cloud-native Sicherheitsplattform unerlässlich.
• Ist sie für den Schutz hybrider Belegschaften geeignet? SECaaS bietet in unserer heutigen unglaublich flexiblen Arbeitswelt zahllose Vorteile, aber nur ein Anbieter, dessen Architektur auf der Cloud basiert – und nicht auf einer virtuellen Maschine, die an bestimmte Hardware gekoppelt ist –, verfügt über die nötige Kapazität, um wirklich alle Mitarbeiter standort- und geräteunabhängig vor Bedrohungen zu schützen.
• Bleibt die Anwendererfahrung unbeeinträchtigt (oder wird sie sogar verbessert)? Natürlich steht die Sicherheit bei der Auswahl eines Cloud-Services an erster Stelle, aber trotzdem sollte die User Experience nicht beeinträchtigt werden, vor allem in Hinblick auf hybride Arbeitsmodelle. Eine wirklich Cloud-native Plattform stellt nicht nur eine hervorragende Anwendererfahrung bereit, sondert bietet auch kontinuierliches Experience Monitoring.
• Handelt es sich um eine echte Zero-Trust-Lösung? Laut Gartner werden Zero-Trust-Lösungen VPNs bis 2025 ersetzen. Vor diesem Hintergrund haben viele Sicherheitsanbieter ihren Produktbezeichnungen den Zusatz „Zero Trust“ hinzugefügt, aber nur Zscaler bietet ein echtes cloudbasiertes Zero-Trust-Konzept.

Vorteile der Zscaler-Lösung

Die Zscaler Zero Trust Exchange™ ist eine Cloud-native Sicherheitsplattform, die Ihrem Unternehmen dank der unternehmensgerechten Security Cloud, die auf dem Gartner-Konzept einer SASE-Architektur basiert, eine schnellere und sicherere Anwendererfahrung bietet.

Über 150 Rechenzentren weltweit gewährleisten standortunabhängig zügige und sichere Verbindungen für alle Zweigstellen und User. Die Zero Trust Exchange passt sich flexibel an Ihre Traffic-Anforderungen an und überprüft sogar TLS/SSL-Traffic lückenlos. Zscaler verarbeitet jeden Tag in Spitzenzeiten mehr als 200 Milliarden Transaktionen und führt 175.000 Sicherheitsupdates pro Tag durch. Jede in der Cloud entdeckte Bedrohung wird innerhalb von Sekunden für alle User blockiert.

Die Zero Trust Exchange bietet folgende Vorteile:

• Eliminierung der Angriffsfläche: Anwendungen werden durch die vorgeschaltete Exchange-Plattform vor Entdeckung und gezielten Angriffen geschützt.
• Unterbindung der lateralen Ausbreitung von Bedrohungen: User werden direkt mit Anwendungen verbunden, ohne Zugang zum Netzwerk zu erhalten. Bedrohungen werden somit isoliert.
• Verbesserte Anwendererfahrung: Direkte Verbindungen zu Cloud-Anwendungen werden intelligent verwaltet und optimiert.
• Geringere Kosten und Komplexität: Verwaltung und Bereitstellung erfolgen ganz unkompliziert, ohne VPNs oder komplexe Firewall-Regeln.