COS-01 Technische Schutzmaßnahmen

Basierend auf den Ergebnissen einer gemäß OIS-07 durchgeführten Risikobeurteilung hat der Cloud-Anbieter technische Schutzmaßnahmen implementiert, die geeignet sind, netzbasierte Angriffe auf Systemkomponenten, die für die Bereitstellung des Cloud-Dienstes verwendet werden, zeitnah zu erkennen und darauf zu reagieren.

Für diese technischen Schutzmaßnahmen werden auf mehreren Ebenen Präventions- und Schutzmaßnahmen implementiert (Defense in Depth), um das Risiko eines Durchbrechens des eingesetzten Verteidigungssystems zu mindern. Dies schließt netzbasierte Cyberangriffe ein, wie zum Beispiel:

1. Angriffe auf Basis anomaler Eingangs- oder Ausgangs-Traffic-Muster;

2. Distributed-Denial-of-Service-(DDoS-)Angriffe;

3. Spoofing-Angriffe;

4. Code-Injection-Angriffe;

5. DNS-Tunneling; und

6. IoT-Angriffe, die auf Geräte innerhalb eines Netzes abzielen.

Ergänzende Informationen

Technische Schutzmaßnahmen, die Schutz und Prävention auf mehreren Ebenen bieten, sind z. B. eine spezielle Trennung im Identitäts- und Berechtigungsmanagement, eine separate Protokollierung für Schutzsysteme und Web Application Firewalls (WAFs) für den Zugriff auf Schutzsysteme.

Netzbasierte Angriffe können z. B. durch MAC-Spoofing und ARP-Poisoning-Angriffe erfolgen. Technische Maßnahmen zum Verhindern des Beitretens unbekannter physischer oder virtueller Geräte zu einem physischen oder virtuellen Netz können sich z. B. an MACSec gemäß IEEE 802.1X:2010 orientieren.

Aus entsprechend implementierten technischen Schutzmaßnahmen stammende Daten (Teil der Cloud-Anbieterdaten) werden in das SIEM-System des Cloud-Anbieters (vgl. OPS-13) eingespeist, sodass für miteinander korrelierte Ereignisse erforderliche (Gegen-) Maßnahmen initiiert werden können. Die Schutzmaßnahmen sind gemäß SP-01 dokumentiert, kommuniziert und bereitgestellt.

Der Cloud-Anbieter stellt mit technischen Maßnahmen sicher, dass seinem (physischen oder virtuellen) Netz keine unbekannten (physischen oder virtuellen) Geräte beitreten.

Ergänzende Informationen

Technische Schutzmaßnahmen, die Schutz und Prävention auf mehreren Ebenen bieten, sind z. B. eine spezielle Trennung im Identitäts- und Berechtigungsmanagement, eine separate Protokollierung für Schutzsysteme und Web Application Firewalls (WAFs) für den Zugriff auf Schutzsysteme.

Netzbasierte Angriffe können z. B. durch MAC-Spoofing und ARP-Poisoning-Angriffe erfolgen. Technische Maßnahmen zum Verhindern des Beitretens unbekannter physischer oder virtueller Geräte zu einem physischen oder virtuellen Netz können sich z. B. an MACSec gemäß IEEE 802.1X:2010 orientieren.

Cloud-Kunden stellen mit geeigneten Kontrollen für jene Teile des Cloud-Dienstes, die in ihrem Verantwortungsbereich liegen (z. B. virtuelle Maschinen innerhalb einer IaaS-Lösung), sicher, dass sie netzbasierte Angriffe auf Basis anomaler Eingangs- und Ausgangs-Traffic Muster (z. B. durch MAC-Spoofing und ARP-Poisoning-Angriffe) und/oder Distributed-Denial-of-Service (DDoS) Angriffe zeitnah erkennen und auf diese reagieren.