Was ist Cloud Security Posture Management (CSPM)?
Cloud Security Posture Management (CSPM) überwacht Cloud-Umgebungen fortlaufend, erkennt Fehlkonfigurationen und unterstützt dabei, Risiken zu mindern und die Sicherheitslage zu verbessern.
Technische Einordnung: CSPM ist ein fortlaufender Prozess. Typische Produkte bewerten Cloud-Ressourcen und Workloads gegen konfigurierte Sicherheitsstandards und erzeugen Hinweise, Findings oder Empfehlungen zu Fehlkonfigurationen und Risiken. Eine universell verbindliche Produkt- oder Branchendefinition gibt es nicht; CISA weist auf unterschiedlich verwendete Definitionen hin.
Für wen und welche Cloud-Umgebungen ist CSPM relevant?
CSPM ist für Organisationen relevant, die Cloud-Assets und Workloads betreiben und deren Konfigurationen systematisch bewerten wollen. Der konkrete Geltungsbereich hängt vom Produkt sowie von den eingebundenen Cloud-Umgebungen, Konten, Projekten, Regionen, Ressourcenarten und aktivierten Kontrollen ab.
Die betreffende Umgebung muss vom Produkt unterstützt und eingebunden sein. Außerdem müssen die Ressourcen- und Konfigurationsdaten vorliegen, die eine Kontrolle benötigt. Daraus folgt keine automatisch vollständige Sicht auf alle Cloud-Ressourcen.
Anbieterpraxis am AWS-Beispiel: AWS Security Hub CSPM ist ein regionaler Dienst. Einzelne Kontrollen sind nicht in jeder Region verfügbar; nicht unterstützte oder nicht aufgezeichnete Ressourcen können die Bewertung begrenzen. Diese Bedingungen gelten für die dokumentierte AWS-Implementierung und lassen sich nicht ohne Weiteres auf andere Produkte übertragen.
Wie entstehen CSPM-Ergebnisse?
Ergebnisse entstehen, wenn aktivierte Kontrollen Sicherheitsprüfungen gegen verfügbare Konfigurationsdaten ausführen. Bei Microsoft wird die eingebundene Infrastruktur fortlaufend gegen die für Abonnements, Konten und Projekte definierten Sicherheitsstandards bewertet.
Anbieterpraxis am AWS-Beispiel: Nach der Aktivierung eines Sicherheitsstandards führt AWS einen ersten Prüflauf aus. Anschließend arbeiten Kontrollen entweder periodisch oder werden durch Änderungen am Zustand einer Ressource ausgelöst. Voraussetzung ist, dass die Kontrolle, ihre zugrunde liegende Regel und die benötigte Konfigurationsaufzeichnung funktionsfähig sind. Bis zum ersten Prüflauf kann der Status „No data“ lauten. Eine nur tägliche Aufzeichnung von Ressourcenänderungen kann Ergebnisse verzögern.
Welche Grenzen hat CSPM?
CSPM bewertet Konfigurationen nur anhand der ausgewählten, aktivierten und auf eine Ressource anwendbaren Kontrollen. Es ersetzt weder sämtliche Sicherheitsfunktionen noch bestätigt es automatisch die vollständige Sicherheit oder Compliance einer Organisation.
Anbieterpraxis am AWS-Beispiel: Damit die dokumentierten Prüfungen wie vorgesehen funktionieren, muss AWS Config in allen verwendeten Regionen aktiviert und die erforderliche Ressourcenaufzeichnung eingerichtet sein. Fehlt diese Aufzeichnung oder ist sie unzureichend, können Ergebnisse unvollständig oder nicht aussagekräftig sein. Auch hier handelt es sich um produktbezogene Voraussetzungen, nicht um allgemeine Eigenschaften jedes CSPM-Angebots.
Welche Fristen, Prüfintervalle oder Schwellenwerte gelten?
Für CSPM als allgemeinen technischen Ansatz gibt es keine allgemeingültige Frist oder Schwelle. Prüftakte und Startpunkte hängen vom Dienst und von der jeweiligen Kontrolle ab.
Anbieterpraxis am AWS-Beispiel: AWS führt periodische Sicherheitsprüfungen automatisch innerhalb von 12 oder 24 Stunden nach dem letzten Lauf aus. Durch Änderungen ausgelöste Prüfungen reagieren auf Zustandsänderungen und werden zusätzlich mindestens einmal innerhalb von 24 Stunden ausgeführt, damit übersehene Aktualisierungen erkannt werden. Bei täglicher Konfigurationsaufzeichnung können entsprechende Findings bis zum Ende dieses 24-Stunden-Zeitraums verzögert sein. Diese Zeitangaben gelten ausschließlich für die dokumentierten AWS-Security-Hub-CSPM-Prüfungen.
Wie ist CSPM von anderen Sicherheitsfunktionen abzugrenzen?
CSPM prüft Cloud-Konfigurationen anhand von Sicherheitskontrollen und erzeugt Findings oder Empfehlungen. Ein Schwachstellenscanner untersucht dagegen etwa Software oder Workloads auf Schwachstellen. In AWS liefert Amazon Inspector solche separaten Findings, während Security Hub CSPM- und weitere Sicherheitsfindings zur Risikopriorisierung zusammenführen kann.
CSPM allein ist deshalb weder ein vollständiges Cloud-Native Application Protection Platform-Angebot (CNAPP) noch ein Security Information and Event Management (SIEM) oder ein vollständiger Vulnerability-Management-Prozess. Produkte können zusätzliche Funktionen bündeln; dadurch werden diese Funktionen nicht automatisch Bestandteil der allgemeinen CSPM-Definition. Insbesondere die Abgrenzung zu CNAPP ist eine Markt- und Produktabgrenzung, keine einheitlich festgelegte Taxonomie.
Häufige Fehlannahmen
- „CSPM sieht automatisch jede Cloud-Ressource.“ Nein. Abdeckung setzt unterstützte und eingebundene Umgebungen sowie verfügbare Konfigurationsdaten voraus; Regionen, Ressourcenarten und Kontrollen können den Umfang begrenzen.
- „Ein unauffälliges CSPM-Ergebnis ist ein Compliance-Nachweis.“ Nein. CSPM bewertet ausgewählte Konfigurationen gegen aktivierte Kontrollen und stellt keine automatische Compliance-Bescheinigung aus.
- „CSPM ist dasselbe wie Schwachstellenscanning.“ Nein. Konfigurationsprüfungen und Schwachstellenfindings sind unterschiedliche Funktionen, auch wenn ein Produkt beide Ergebnisse zusammenführen kann.
- „Kontinuierliche Bewertung bedeutet Echtzeit ohne Verzögerung.“ Nein. Prüfungen können periodisch oder änderungsausgelöst erfolgen; fehlende, tägliche oder verzögerte Konfigurationsaufzeichnungen beeinflussen die Aktualität.
- „CSPM ersetzt CNAPP, SIEM und Vulnerability Management.“ Nein. CSPM kann diese Systeme oder Prozesse ergänzen, deckt sie aber als allgemeiner technischer Ansatz nicht vollständig ab.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind risikobasierte Organisations- und Betriebsmaßnahmen, keine aus dem Begriff CSPM folgende allgemeine Pflicht.
- Eine verantwortliche Stelle für Einführung, Konfiguration, Betrieb und Ergebniskontrolle des CSPM bestimmen.
- Den vorgesehenen Geltungsbereich dokumentieren und alle tatsächlich zu verwaltenden Cloud-Umgebungen, Konten, Projekte und Regionen produktgerecht einbinden.
- Sicherheitsstandards und Kontrollen passend zur eigenen Cloud-Architektur und zum Risikokontext auswählen sowie erforderliche Konfigurationsaufzeichnungen sicherstellen.
- Findings in geregelte Triage-, Priorisierungs-, Ausnahme- und Behebungsabläufe überführen und die Bearbeitung nachverfolgen.
Anbieterempfehlung: AWS empfiehlt für tatsächlich verwaltete AWS-Umgebungen, Security Hub CSPM in allen verwendeten Regionen und Konten zu aktivieren. Das setzt voraus, dass diese Umgebungen verwaltet und die erforderlichen Aufzeichnungsdaten eingerichtet werden können; die Empfehlung ist produktbezogen.
Für die Geschäftsleitung
CSPM schafft eine fortlaufende, aber produktabhängig begrenzte Sicht auf Fehlkonfigurationen in eingebundenen Cloud-Umgebungen. Zu entscheiden sind Verantwortlichkeit, Geltungsbereich, relevante Kontrollen und der Umgang mit Findings und Ausnahmen. Dokumentiert werden sollten der Geltungsbereich, konfigurierte Standards, die funktionsfähige Datenaufzeichnung sowie Triage- und Behebungsentscheidungen; ein CSPM-Ergebnis allein belegt weder vollständige Sicherheit noch Compliance.
Quellen
- CISA: Cloud Security Technical Reference Architecture, Abschnitt 5.1, Seite 31.
- Microsoft Learn: Cloud Security Posture Management in Microsoft Defender for Cloud, Abschnitt „What is Cloud Security Posture Management (CSPM)“.
- AWS: AWS Config resources required to generate control findings, Einleitung und Abschnitt „Config.1“.
- AWS: Schedule for running security checks, Abschnitte „Periodic security checks“ und „Change-triggered security checks“.
- AWS: AWS Security Hub and AWS Security Hub CSPM.
- AWS: Generating, updating, and archiving control findings.
- AWS Prescriptive Guidance: AWS Security Hub, Abschnitt „Enabling AWS Security Hub CSPM standards“.
