Du hast ein Cloud-Durcheinander geerbt. Wo fängst du an?

Ein praktischer Plan für die ersten 90 Tage zur Sicherung einer AWS-, Azure- oder GCP-Umgebung, die du nicht selbst gestaltet hast und noch nicht vollständig verstehst.

Du hast gerade ein Cloud-Konto (oder zehn) übernommen, das jemand anders über drei Jahre hinweg ohne Dokumentation, mit einem wechselnden Kreis von Auftragnehmern und einem Slack-Kanal namens #aws-help aufgebaut hat, der seit 2022 nicht mehr aktiv ist. Das ist eine der häufigsten Situationen in der Cloud-Security-Arbeit, und sie ist unangenehm, weil du für etwas verantwortlich bist, das du noch nicht erklären kannst.

So kommst du von fehlender Sicht zu einer verteidigungsfähigen Position, ohne dabei alles zu komplizieren.

Höre auf zu raten und verschaffe dir zuerst einen Überblick

Du kannst nicht sichern, was du nicht sehen kannst. Bevor du auch nur eine IAM-Policy anfasst, führe einen Inventurlauf durch:

AWS: aws organizations list-accounts, um die vollständige Kontostruktur zu sehen, dann Steampipe oder AWS Config Aggregators, um Ressourcen über Konten hinweg in eine durchsuchbare Ansicht zu ziehen.
Azure: Resource Graph Abfragen (az graph query) über Abonnements hinweg, da Azures Mandanten-/Abonnement-Modell Ausbreitung leicht verbirgt.
GCP: gcloud asset search-all-resources auf Organisationsebene.

Vergleiche dies mit den Abrechnungsdaten. Abrechnungsdaten lügen nicht über das, was läuft, auch wenn Tags und Dokumentation das tun. Wenn du Ausgaben für einen Service siehst, den niemand bei der Einarbeitung erwähnt hat, ist das dein erstes Ergebnis.

Finde heraus, wer was tun kann, bevor du herausfindest, was kaputt ist

Fehlkonfigurationen machen die Schlagzeilen, aber Identität ist dort, wo die echte Gefährdung in einer geerbten Umgebung normalerweise lebt. Ziehe jeden IAM-Benutzer, jede Rolle und jeden Service Account und stelle drei Fragen: Muss dies noch existieren, hat es Zugriff, den es nicht nutzt, und ist es Mensch oder Maschine.

Führe AWS IAM Access Analyzer oder iam-lint-ähnliche Tools aus, um ungenutzte Berechtigungen der letzten 90 Tage zu kennzeichnen. In der Praxis haben geerbte Konten fast immer mindestens einen IAM-Benutzer mit langlebigen Zugriffsschlüsseln, die vermutlich

Mit KI-Unterstützung geschrieben, von Michal Pilch (CISSP), Korra Studio, überprüft und veröffentlicht.