Cloud Computing hat die Spielregeln in der IT verändert – und gleichzeitig auch die Spielregeln für Angreifer. Fehlkonfiguration von Ressourcen in der Cloud, unsichtbare Seitenpfade zwischen Diensten, privilegierte Identitäten ohne Aufsicht – das sind heute die größten Quellen für Vorfälle in Cloud-Umgebungen. Prisma Cloud von Palo Alto Networks ist eine CNAPP-Plattform, die diese Probleme umfassend angeht – vom Code bis zur Laufzeit, von der Infrastrukturkonfiguration bis zu den Identitäten und Arbeitslasten. In diesem Artikel erläutern wir, wie sie funktioniert und was sie Unternehmen, die über mehrere Clouds hinweg arbeiten, realistischerweise bietet.
Inhaltsverzeichnis
- Was ist Prisma Cloud und wofür steht CNAPP?
- Welche Risiken bestehen speziell in Multi-Cloud-Umgebungen?
- CSPM – Verwaltung der Sicherheitsstufe in der Cloud
- CWPP – Schutz von Arbeitslasten in der Cloud
- CIEM – Identitäts- und Berechtigungsmanagement
- Code-Sicherheit – Sicherheit in der Entwicklungsphase
- Prisma Cloud und Einhaltung gesetzlicher Vorschriften
- Wichtigste Schlussfolgerungen
- FAQ
- Zusammenfassung
Was ist Prisma Cloud und wofür steht CNAPP?
CNAPP – Cloud-Native Application Protection Platform – ist eine Kategorie von Sicherheitsprodukten, die Funktionen, die bisher nur als separate Tools verfügbar waren, in einer einzigen Plattform vereint: CSPM, CWPP, CIEM und Code Security. Prisma Cloud von Palo Alto Networks ist einer der Marktführer in dieser Kategorie. Die Idee hinter CNAPP geht auf die Beobachtung zurück, dass Angriffe auf Cloud-Umgebungen selten auf einer einzigen Schwachstelle beruhen – sie sind in der Regel eine Kette von Ereignissen: Fehlkonfiguration plus ungenutzte Berechtigungen plus fehlende Laufzeitüberwachung gleich ein erfolgreicher Angriff.
Separate Tools für jede dieser Ebenen können nicht die gesamte Kette sehen. Prisma Cloud kann sehen – und das ist sein wesentlicher Vorteil. Die Plattform lässt sich über native APIs mit AWS, Azure, GCP und Oracle Cloud integrieren und scannt alle Ressourcen automatisch und kontinuierlich. Das Ramsdata-Portfolio von Palo Alto Networks deckt das gesamte Spektrum seiner Produkte ab, einschließlich Prisma Cloud und NGFW der nächsten Generation.
Welche Risiken bestehen speziell in Multi-Cloud-Umgebungen?
Multi-Cloud-Umgebungen bringen spezifische Sicherheitsrisiken mit sich, die von herkömmlichen Sicherheitstools nicht erkannt werden. Fehlkonfigurationen sind statistisch gesehen die größte Quelle für Zwischenfälle – offene S3-Buckets, öffentliche Festplatten-Snapshots, übermäßig offene Sicherheitsgruppen. Auf jeder Cloud-Plattform gibt es Tausende von möglichen Konfigurationen, und eine manuelle Überprüfung ist im großen Maßstab unmöglich.
Die explosionsartige Zunahme von Identitäten und Berechtigungen ist ein weiteres Problem. In großen Unternehmen gibt es Zehntausende von IAM-Rollen, Dienstkonten und API-Schlüsseln, von denen ein erheblicher Teil über weitaus umfassendere Berechtigungen verfügt, als sie benötigen. Ein Angreifer, der sich eines solchen Kontos bemächtigt, kann sich seitlich durch die gesamte Umgebung bewegen. Die fehlende Transparenz zwischen den Diensten in einer Microservices-Architektur bedeutet, dass anormale Datenströme unbemerkt bleiben. All diese Probleme werden von den Prisma Cloud-Modulen angegangen.
CSPM – Verwaltung der Sicherheitsstufe in der Cloud
CSPM (Cloud Security Posture Management) ist das Prisma Cloud-Modul, das für die kontinuierliche Überprüfung der Konfiguration von Cloud-Ressourcen auf Abweichungen von Sicherheitsmustern und Compliance-Anforderungen zuständig ist. Die Plattform verbindet sich über API mit AWS-, Azure- und GCP-Konten und scannt automatisch alle Ressourcen – Instanzen, Container, Datenbanken, Netzwerke, IAM-Richtlinien.
Die Ergebnisse werden in Form einer Liste fehlerhafter Konfigurationen mit Risikopriorisierung und genauen Anweisungen zur Behebung präsentiert. Einige Konfigurationen können durch automatische Abhilfemaßnahmen automatisch behoben werden. CSPM deckt die regulatorischen Anforderungen von CIS Benchmarks, PCI-DSS, HIPAA, SOC 2 und GDPR ab und generiert sofort einsetzbare Compliance-Berichte für Auditoren. Für Unternehmen, die in einem regulierten Umfeld tätig sind, spart dies Hunderte von Stunden an manueller Arbeit.
CWPP – Schutz von Arbeitslasten in der Cloud
CWPP (Cloud Workload Protection Platform) schützt, was in der Cloud läuft – virtuelle Maschinen, Container, serverlose Funktionen. Der Prisma Cloud-Agent, der auf Kubernetes-Hosts und -Clustern installiert ist, bietet Einblick in Prozesse, Netzwerkverbindungen und Dateiaktivitäten zur Laufzeit. Alle Anomalien – das Starten eines Prozesses aus einem Webcontainer, die Verbindung zu einer externen IP-Adresse, die Änderung einer Systemdatei – werden in Echtzeit erkannt und gemeldet.
CWPP umfasst auch das Scannen von Container-Images vor der Bereitstellung – jedes Image wird auf bekannte Schwachstellen (CVEs), in Code eingebettete Geheimnisse und die Nichteinhaltung von CIS-Richtlinien geprüft. Dieser „shift-left security“-Ansatz – werden Probleme erkannt, bevor etwas in Produktion geht. Ausführliche Informationen zu Sicherheitslösungen für die Endpunktebene finden Sie auf der Seite NAC Endpoint Security von Ramsdata.
CIEM – Identitäts- und Berechtigungsmanagement
CIEM (Cloud Infrastructure Entitlement Management) ist ein Modul, das das Problem der übermäßigen Berechtigungen in Cloud-Umgebungen angeht. Prisma Cloud bildet alle Identitäten ab – Benutzer, IAM-Rollen, Servicekonten, API-Schlüssel – und analysiert ihre tatsächliche Nutzung im Vergleich zu den gewährten Berechtigungen. Das Ergebnis ist eine grafische Identitätsrisikokarte mit Empfehlungen zur Reduzierung der Berechtigungen auf das erforderliche Minimum (Prinzip der geringsten Privilegien).
CIEM erkennt auch gefährliche Muster: Konten mit administrativen Berechtigungen, die seit Monaten nicht mehr genutzt wurden, Dienstkonten mit Zugriff auf Produktionsressourcen, temporäre API-Schlüssel, die dauerhaft geworden sind. Automatische Empfehlungen zur Abhilfe reduzieren die Angriffsfläche schnell, ohne dass Tausende von Berechtigungen manuell analysiert werden müssen.
Codesicherheit – Sicherheit in der Entwicklungsphase
Code Security ist ein Modul, das sich in Code-Repositories (GitHub, GitLab, Bitbucket) integriert und IaC (Infrastructure as Code) – Terraform, CloudFormation, Kubernetes YAML – auf Sicherheitsfehlkonfigurationen prüft, bevor der Code bereitgestellt wird. Entwickler erhalten direkt in Pull Requests Feedback zu Problemen, wodurch das Risiko der Bereitstellung inkompatibler Konfigurationen vermieden wird.
Prisma Cloud sucht auch nach Geheimnissen – API-Schlüssel, Passwörter, Token – die in Code oder Konfigurationsdateien eingebettet sind. Dies ist einer der häufigsten Angriffsvektoren gegen Cloud-Umgebungen, den Code Security bereits in der Phase der Codeüberprüfung eliminiert.
Prisma Cloud und Einhaltung von Vorschriften
Für Unternehmen, die in einem regulierten Umfeld tätig sind, bietet Prisma Cloud schlüsselfertige Compliance-Frameworks – CIS Benchmarks für AWS/Azure/GCP, PCI-DSS, HIPAA, SOC 2, ISO 27001, GDPR und viele mehr. Jede Ressource wird automatisch den gesetzlichen Anforderungen zugeordnet und auf Konformität geprüft. Konformitätsberichte werden automatisch erstellt und können in Formate exportiert werden, die für Auditoren akzeptabel sind.
Wichtigste Schlussfolgerungen
- Prisma Cloud ist eine CNAPP-Plattform, die CSPM, CWPP, CIEM und Code Security in einem einzigen Tool vereint.
- CSPM scannt kontinuierlich die Konfigurationen von Cloud-Ressourcen und erkennt Abweichungen von Sicherheitsmustern.
- CWPP schützt Workloads während der Laufzeit und scannt Container-Images vor der Bereitstellung.
- CIEM bildet alle Identitäten und Berechtigungen ab und weist auf übermäßige Zugriffsrechte hin.
- Code Security ist in die CI/CD-Pipeline integriert und erkennt Probleme, bevor der Code in Produktion geht.
- Die Plattform unterstützt AWS, Azure, GCP und Oracle Cloud mit einer einheitlichen Verwaltungsoberfläche.
FAQ
Benötigt Prisma Cloud einen Agenten auf jedem Rechner? Das CSPM-Modul läuft ohne einen Agenten – über die Cloud-API. CWPP erfordert einen leichtgewichtigen Agenten (Defender) auf geschützten Hosts und in Kubernetes-Clustern.
Wie lässt sich Prisma Cloud in ein bestehendes SIEM integrieren? Prisma Cloud unterstützt die Integration mit Splunk, Elastic, QRadar und anderen SIEMs über Standard-APIs und handelsübliche Anschlüsse. Alarme und Protokolle können in Echtzeit übertragen werden.
Funktioniert Prisma Cloud in On-Premise-Umgebungen? Prisma Cloud ist für Cloud-Umgebungen optimiert. On-Prem-Umgebungen können von CWPP-Agenten überwacht werden, aber die volle CSPM- und CIEM-Funktionalität erfordert Cloud-Ressourcen.
Wie sieht die Lizenzierung von Prisma Cloud aus? Die Lizenzierung ist modular aufgebaut – Unternehmen können nur die Module erwerben, die sie benötigen. Die Preisgestaltung basiert auf der Anzahl der geschützten Ressourcen oder der Bandbreite.
Zusammenfassung
Prisma Cloud ist die umfassende Antwort auf die Sicherheitsherausforderungen in Multi-Cloud-Umgebungen – von Fehlkonfigurationen über übermäßige Berechtigungen bis hin zu Laufzeitbedrohungen. Die Integration aller Schutzebenen in einer einzigen Plattform ermöglicht es Ihnen, die gesamte Angriffskette zu sehen und schneller zu reagieren. Wenn Sie eine Multi-Cloud-Infrastruktur verwalten und nach einer Plattform suchen, die Ihnen volle Transparenz und Kontrolle bietet, wenden Sie sich an den Palo Alto Networks-Partner Ramsdata.
