Grundsätzlich ist es, finde ich, eine gute Idee ab zu daran zu erinnern dass bei so einer Cloud Instanz oder einem Cloud Dienst nicht alles in der Hand des Cloud Providers liegt.
Microsoft hat dazu schon von Anfang an eine klare Trennung der Zuständigkeiten vorgegeben, die in diesem Dokument beschrieben werden:
http://aka.ms/sharedresponsibility
Grundsätzlich wird darin gesagt:
- jegliche On-Premise IT ist UNSER Problem
- Azure Gebäude, Server, Netzwerk Hardware und der Hypervisor sind Microsofts Problem (IaaS)
- Netzwerkeinstellungen werden bei PaaS zu Microsofts Problem
- Betriebssystem, Applikationen, Zugänge und Daten bleiben auch bei PaaS UNSER Problem
- bei SaaS wird alles zu Microsofts Problem außer Daten, Endpunkte und Benutzerverwaltung
Zudem hat Microsoft nun ein neues Whitepaper heraus gebracht. Im Dokument "Microsoft Azure Security Response in the Cloud" beschreibt Microsoft wie sie reagieren wenn "die Cloud" ein Problem hat.
https://gallery.technet.microsoft.com/Azure-Security-Response-in-dd18c678
Microsoft führt darin die folgenden fünf Schritte auf, mit denen die Sicherheit in den Azure Rechenzentren gewährleistet werden soll
- Kunden können verdächtige Aktivitäten oder Fehlverhalten der Infrastruktur, die in Ihrer Zuständigkeit liegen, über das Azure Portal melden
- Sicherheitslücken können über das Microsoft Security Response Center an die E-Mail Adresse secure@microsoft.com gemeldet werden
- Microsoft hat ein Red Team und ein Blue Team, beide bestehen aus extrem fähigen IT Sicherheitsexperten. Das Red Team versucht konstant Sicherheitslücken in Azure Rechenzentren aufzudecken während das Blue Team versucht die Aktivitäten des Red Teams aufzudecken.
- Das interne Monitoring der Rechenzentren schlägt bei entdeckter Malware, Intrusion Detection oder anomalen Aktivitäten Alarm
- Microsoft Mitarbeiter, die für die Serverwartung zuständig sind, werden extra für das Erkennen und Beheben potentieller Sicherheitsrisiken ausgebildet
Interessant ist noch dass in der Beschreibung der Aktionen und Reaktionen soweit gegangen wird, dass es die Möglichkeit gibt ein komplettes Rechenzentrum vom Netz zu nehmen und herunterzufahren.
Allerdings ist das auch die extremste Maßnahme, die getroffen werden kann.
