Optimierung Ihrer Cyber Security - Wie wichtig ist die IT-Architektur?

In der heutigen hochgradig vernetzten Welt ist es selten, dass eine einzelne Plattform, ein einzelnes System oder ein Gerät alles kann. In dieser modernen Landschaft leben wir jedoch in einem florierenden Ökosystem von "Best-in-Class" -Anwendungen, von denen erwartet wird, dass sie Daten austauschen und überall, jederzeit und auf jedem Gerät zugänglich sind. Die allgegenwärtigen Anforderungen an die heutigen Unternehmenssysteme und die Notwendigkeit, "es jetzt zu haben", haben Sicherheit und Architektur an ihre Belastungsgrenzen gebracht. Architektur wird oft als kritische Komponente der gesamten Sicherheitsposition übersehen, die darauf abzielt, scheinbar unmögliche Zeitpläne zu erreichen. Oder es fällt Kompromissen bei Zeit oder Kosten zum Opfer.

In den Anfängen der IT-Entwicklung war es notwendig, vorhandene Rohrleitungen zu verwenden, um Informationen zwischen Systemen bereitzustellen. Drop-Dateien im EDI-Stil waren über "Omnibus" -Kommunikationswege wie einen FTP-Server oder einen Netzwerkdateispeicherort weit verbreitet. Während diese Pfade einfach und schnell einzurichten waren, schufen sie Pfade nicht nur für Ihre Daten, sondern auch für böswillige Akteure, um bösartigen Code zu verbreiten.

Eine leichte Verbesserung ergab sich aus SQL-zu-SQL-Verbindungen, die es Datenbanken ermöglichten, sich direkt zu verbinden und Informationen auszutauschen. Leider war diese Art von "Omnibus" -Verbindung auch für böswillige Akteure leicht zu missbrauchen und bösartige Pfade in Ihre Daten und Systeme zu manifestieren.

Beginn der RESTful-APIs

Vor etwa 22 Jahren erfand ein Wissenschaftler namens Roy Fielding RESTful-APIs, und seit diesem Funken der Intuition haben wir nicht zurückgeschaut. Sie können sich eine API als Vermittler zwischen den Benutzern oder Clients und den Ressourcen oder Webdiensten vorstellen, die sie erhalten möchten. Es ist auch eine Möglichkeit für ein Unternehmen, Ressourcen und Informationen gemeinsam zu nutzen und gleichzeitig Sicherheit, Kontrolle und Authentifizierung aufrechtzuerhalten und zu bestimmen, wer Zugriff auf was erhält. Nun hat es einige Zeit gedauert, die Auswirkungen dieses Standards im Technologiebereich zu verstehen. Alles, was der "Wolke" nahe kam, war immer noch etwas, das im Wesentlichen in der Vorstellung von "Futuristen" lebte. Aber in der heutigen Welt ist diese Technologie notwendig geworden.

Wie jede Technologie können Sie sie unsicher entwerfen, daher ist bei der Entwicklung von REST-APIs auf der Grundlage von Sicherheitsprinzipien Vorsicht geboten. Hier spielt die Architektur eine bedeutende Rolle. Architektur etabliert Best Practices und bietet der Gesellschaft ein Forum, um bessere Standards zu lernen und zu entwickeln, während schlechte Akteure Gegenmaßnahmen und immer einfallsreichere Wege entwickeln, um Ihre gut durchdachte Architektur zu durchbrechen. Heute ist die "Purpose Built"-Architektur eine Säule der Sicherheit, die sich im Laufe der Zeit bewährt hat.

Durch die Entwicklung von Integrationspfaden zwischen Systemen, die spezifisch und zielgerichtet sind, stellen Sie sicher, dass sie nicht für böswillige Absichten verwendet werden können.

Omnibusverbindungen müssen unbedingt vermieden werden. Wenn Sie beabsichtigen, Kundeninformationen zu teilen, dann ist das alles, was durch diese Integration möglich sein sollte. Ein Pfad, der die Kundennummer durch eine Dateiablage freigeben kann, ermöglicht es Ihnen, "Dateien freizugeben".  Eine Datei könnte ausführbar sein und verwendet werden, um andere Systeme anzugreifen. Aber eine REST-API ermöglicht es Ihnen, eine bewusste Verbindung zu teilen, die nur eine 8-stellige Kundennummer teilen kann, wenn dies alles ist, was erforderlich ist. Der einzige böswillige Missbrauch dieses Pfades wäre, bedeutungslose Ströme von 8-stelligen Zahlen zu teilen. Dies macht es unmöglich, andere Systeme anzugreifen.

Grundsatz der geringsten Rechte

Die gemeinsame Nutzung der minimalen Datenmenge und die starke Einschränkung der Schnittstelle oder Integration auf ihre spezifischen Betriebsparameter schaffen eine nahezu undurchdringliche Barriere für Missbrauch. Die Sicherstellung, dass die API nur über HTTPS (Secure Encrypted Connection) zugänglich ist und bei der Verwendung über eine durchsetzbare Governance verfügt, vervollständigt das Sicherheitsdreieck (siehe Diagramm unten zum Prinzip der geringsten Rechte, das besagt, dass ein Subjekt nur die Berechtigungen erhalten sollte, die es benötigt, um seine Aufgabe zu erfüllen. Darüber hinaus sollte die Funktion des Subjekts (im Gegensatz zu seiner Identität) die Zuweisung von Rechten steuern.*). 

Wenn es nicht erforderlich ist, einen API-Endpunkt mehr als einmal am Tag auszuführen, beschränken Sie seine Verwendung auf einmal täglich. Dies verhindert DDOS-Angriffe oder ähnliche Aktionen, die Ressourcen verschwenderisch verbrauchen. Versuchen Sie nicht, "im Voraus zu planen" und mehr Daten bereitzustellen, als benötigt werden. Seien Sie spezifisch in Bezug auf Ihre Integrationen und übermitteln Sie nur das, was benötigt wird. Dadurch wird sichergestellt, dass die übertragenen Daten einen Geschäftswert haben und redundante Daten nicht ausgenutzt werden können, wenn eine unbeabsichtigte Offenlegung auftritt. Ergreifen Sie Maßnahmen, um die Integration zu schützen und den Zugriff auf die beabsichtigte Verwendung durch IP-Sicherheit, Whitelisting, verschlüsselte Zertifikate, Autorisierungstoken oder ähnliche Zugriffskontrolle einzuschränken.

Speziell entwickelte Integrationspunkte und Architecture by Design-Prinzipien erfordern, dass jeder Verbindungs- und Datenpunkt einen geschäftlichen Nutzen und Zweck hat. Die Zusammenstellung einer erstklassigen Unternehmenslösung nach diesen einfachen Richtlinien definiert das Risiko, in dem Sie sich befinden, und bietet Ihnen eine solide Grundlage für den Schutz mit branchenerprobten Maßnahmen.

Die Architekturerfahrung in AMCS

Ein wichtiger erster Schritt von AMCS zur Bereitstellung der AMCS-Plattform für unsere Kunden ist das Entwerfen der Global Architecture AS-IS- und To-BE-Diagramme. Diese Diagramme skizzieren präzise den Weg des Kunden von seiner aktuellen Architektur zu seiner endgültigen Architektur mit der AMCS SaaS Cloud Platform. Wie bei jeder Unternehmenslösung sind Integrationen eine Notwendigkeit für Erfolg und positive Geschäftsergebnisse. Zu den gängigen Integrationspfaden der AMCS-Plattform gehören Schnittstellen zu Buchhaltungs- und Hauptbuchsystemen. Die meisten Kunden erwarten eine Standardvorlage, einen sofort einsatzbereiten Konnektor, der mit ihrem Buchhaltungssystem kommunizieren kann. Während dies im Prinzip verfügbar ist, durchläuft jede Implementierung eine eigene Architekturprüfung, die es uns ermöglicht, unseren Konnektor so zu konfigurieren, dass er die Anforderungen des Sicherheitsdreiecks erfüllt. Wir stellen sicher, dass nur notwendige Informationen in die Integration einbezogen werden, sie auf autorisierte Systeme und Mitarbeiter beschränkt sind und nur so weit ausgeführt werden können, wie es benötigt wird. Jeder Integrationspunkt wird derselben Architekturüberprüfung unterzogen, um sicherzustellen, dass die globale Architektur für unsere Kunden zielgerichtet aufgebaut ist und potenzielle Risiken begrenzt.

Zusammenfassend lässt sich sagen, dass die Vorteile der Optimierung Ihrer Cybersicherheit durch ein verbessertes Architekturdesign weitreichend sind: Reduzierung Ihres Sicherheitsrisikoprofils – die Verbreitung von Malware und Cyberangriffen; Förderung einer besseren Compliance und eines besseren Verhaltens im gesamten Unternehmen, Unterstützung einer höheren Benutzerproduktivität sowie einer besseren Datensicherheit und Auditklassifizierung.

Um mehr über AMCS und unseren Ansatz für Cloud-Architektur und -Sicherheit zu erfahren, lesen Sie bitte diese relevanten Blogs:

• AMCS Security Infografik von Brian Hayden, AMCS VP Information Systems
• IT-Sicherheitscheckliste für Abfall und Recycling von Carlos Silva, AMCS IT Principal Security Engineer
• Ist die Cloud sicher? von Brian Hayden, AMCS VP Information Systems
• API Accelerator Program – Wie die AMCS-Plattform ein vernetztes Ökosystem ermöglicht von Evan Schwartz, AMCS Chief Enterprise Architect
• Sicherheitsbedrohungen wachsen von Brian Hayden, AMCS VP Information Systems

*Referenzlink