Paper Files / Cloud
Operative Bedrohungsmodellierung und telemetriebasierte Erkennung für Multi‑Cloud‑Umgebungen: Praktische Verteidigungsstrategien in IaaS-, PaaS- und Kubernetes‑Infrastrukturen (2025)
TITLE: Operative Bedrohungsmodellierung und telemetriebasierte Erkennung für Multi‑Cloud‑Umgebungen: Praktische Verteidigungsstrategien in IaaS-, PaaS- und Kubernetes‑Infrastrukturen (2025) ABSTRACT: Cloud‑Computing ist zum dominierenden operativen Substrat für Unternehmensinfrastruktur, digitale Dienste und Plattformen für künstliche Intelligenz geworden. Im Jahr 2025 sind Multi‑Cloud‑ und hybride Umgebungen, die AWS, Microsoft Azure und die Google Cloud Platform (GCP) kombinieren, weit verbreitet, während cloud‑native Architekturen auf Basis von Containern, Kubernetes und Serverless‑Funktionen die Angriffsfläche erheblich erweitern. Dieser Artikel präsentiert eine operative Analyse der Cloud‑Sicherheit mit Fokus auf Bedrohungsmodellierung, Formalisierung von Risiken und die praktische Implementierung telemetriebasierter Mechanismen zur Erkennung und Reaktion. Die Forschung untersucht wiederkehrende Angriffsvektoren, die zwischen 2021 und 2025 in Red‑Teaming‑Operationen und Incident‑Response‑Einsätzen beobachtet wurden, einschließlich Missbrauch von IAM‑Identitäten, Exfiltration über Cloud‑APIs, Kompromittierung von Workloads in Kubernetes und Ausnutzung von Fehlkonfigurationen in Speicher‑ und virtuellen Netzwerken. Wir schlagen ein formales Modell zur Risikobewertung vor, das für Cloud‑Umgebungen angepasst ist und Metriken für Exposition, Privileg und Beobachtbarkeit kombiniert, mathematisch ausgedrückt, um eine automatisierte Priorisierung von Gegenmaßnahmen zu ermöglichen. Die Methodik umfasst die Sammlung nativer Telemetrie (CloudTrail, Azure Activity Logs, GCP Audit Logs), Runtime‑Instrumentierung mit eBPF sowie verhaltensbasierte Erkennung auf Grundlage von Regeln, die am Framework MITRE ATT&CK for Cloud ausgerichtet sind. Die Studie beschreibt eine praktische Implementierung unter Verwendung bis 2025 weit verbreiteter Werkzeuge, darunter Falco, ScoutSuite, kube‑bench und Analyse‑Pipelines in SIEM‑Systemen. Wir evaluieren den Ansatz experimentell in einer simulierten Multi‑Cloud‑Umgebung mit Kubernetes‑Workloads und Serverless‑Diensten und zeigen eine signifikante Reduktion der mittleren Erkennungszeit (MTTD) sowie eine verbesserte Priorisierung von Risiken. Darüber hinaus präsentieren wir eine realistische Fallstudie, die auf Mustern basiert, die in öffentlichen Sicherheitsvorfällen mit offengelegten Zugangsdaten und Missbrauch von Cloud‑APIs beobachtet wurden. Die Ergebnisse zeigen, dass die Kombination aus formaler Risikomodellierung, granularer Telemetrie und Zero‑Trust‑Kontrollen substanzielle Verbesserungen der operativen Resilienz von Cloud‑Umgebungen ermöglicht. Die Arbeit liefert ein praxisorientiertes Framework für offensive und defensive Sicherheitsteams, die in komplexen Cloud‑Infrastrukturen operieren, und ist auf den Stand der Technik des Sicherheitsökosystems bis 2025 abgestimmt.
- Einführung
Cloud Computing hat das Betriebsmodell von IT‑Infrastrukturen radikal verändert. Zwischen 2018 und 2025 migrierten Organisationen kritische Workloads zu Plattformen wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP), angetrieben durch Elastizität, Automatisierung und Skaleneffekte. Diese Transformation führte jedoch auch zu neuen Sicherheitsparadigmen. Anders als traditionelle Rechenzentren werden Cloud‑Umgebungen durch APIs, Identitäten und programmierbare Richtlinien definiert, wodurch sich der Sicherheitsfokus vom Netzwerk auf die Kontrolle von Identitäten und Konfigurationen verlagert.
Daten aus Incident‑Reports, die von Sicherheitsunternehmen veröffentlicht wurden, zeigen, dass die meisten Cloud‑Verstöße nicht aus klassischen Software‑Schwachstellen resultieren, sondern aus Fehlkonfigurationen und dem Missbrauch von Zugangsdaten. Studien von Unit 42 und Wiz Research zeigen, dass übermäßige IAM‑Berechtigungen und offengelegte API‑Schlüssel weiterhin ein dominanter Kompromittierungsvektor sind (PALO ALTO NETWORKS, 2024; WIZ, 2023). Gleichzeitig führen cloud‑native Umgebungen auf Basis von Containern und Kubernetes neue Kontrollebenen ein, was die Komplexität der Angriffsfläche erhöht.
Ein weiterer kritischer Faktor im Jahr 2025 ist die Konvergenz von Cloud Computing und künstlicher Intelligenz. Infrastrukturen, die Trainings‑ und Inferenz‑Pipelines für Machine‑Learning‑Modelle ausführen, speichern häufig große Mengen sensibler Daten und sind auf skalierbare GPU‑Ressourcen angewiesen. Dieses Szenario schafft klare wirtschaftliche Anreize für Angreifer, sei es zur Datenexfiltration oder zum Missbrauch von Rechenressourcen.
Aus operativer Sicht umfasst Cloud‑Sicherheit drei zentrale Herausforderungen:
• begrenzte Sichtbarkeit in verteilten Umgebungen
• komplexes Management von Identitäten und Berechtigungen
• Erkennung bösartiger Aktivitäten in hochdynamischen APIs
Frameworks wie Zero Trust Architecture (NIST, 2020) und Cloud Security Posture Management (CSPM) sind entstanden, um diese Probleme zu adressieren, doch viele Organisationen haben weiterhin Schwierigkeiten, diese Ansätze in großem Maßstab praktisch umzusetzen.
Darüber hinaus haben sich offensive Techniken speziell für Cloud‑Umgebungen schnell weiterentwickelt. Werkzeuge wie Pacu, CloudFox und ScoutSuite zeigen, wie scheinbar harmlose Berechtigungen verkettet werden können, um Privilegien zu eskalieren und auf sensible Ressourcen zuzugreifen. In Kubernetes‑Umgebungen sind Angriffe, die den Kompromiss von kubelet, den Missbrauch von service accounts oder die Ausnutzung privilegierter Container beinhalten, in Red‑Team‑Übungen häufig geworden.
Diese Arbeit untersucht dieses Szenario aus einer operativen Perspektive. Anstatt sich ausschließlich auf Richtlinien oder konzeptionelle Frameworks zu konzentrieren, präsentieren wir eine strukturierte Methode, um:
• Bedrohungen in Multi‑Cloud‑Umgebungen zu modellieren
• das Risiko der Exposition von Identitäten und Diensten zu formalisieren
• Erkennungsmechanismen auf Basis von Telemetriedaten zu implementieren
Die zentrale Hypothese dieser Studie lautet, dass die Kombination aus nativer Cloud‑Telemetrie, Runtime‑Instrumentierung mit eBPF und quantitativer Risikomodellierung die Zeit zur Erkennung und Reaktion auf Sicherheitsvorfälle erheblich reduzieren kann.
Der restliche Artikel ist wie folgt aufgebaut. Der nächste Abschnitt diskutiert den Stand der Technik in der Cloud‑Sicherheit und verwandte Arbeiten. Anschließend formalisieren wir das Bedrohungsmodell und stellen die vorgeschlagene Methodik vor. Danach beschreiben wir die praktische Implementierung und evaluieren das System experimentell in einer Multi‑Cloud‑Umgebung. Abschließend diskutieren wir operative Implikationen und zukünftige Forschungsrichtungen.
- Hintergrund und verwandte Arbeiten
Die Cloud‑Sicherheit hat sich im Laufe des letzten Jahrzehnts erheblich weiterentwickelt. Frühe Studien konzentrierten sich hauptsächlich auf die Isolation zwischen Tenants und die Sicherheit der Virtualisierung. Mit dem Aufstieg cloud‑nativer Architekturen umfasst die Angriffsfläche jedoch zunehmend Management‑APIs, CI/CD‑Pipelines, Identitätssysteme und Container‑Orchestrierung.
Das von den wichtigsten Cloud‑Anbietern übernommene Modell der geteilten Verantwortung legt fest, dass die Sicherheit der physischen Infrastruktur und des Hypervisors in der Verantwortung des Anbieters liegt, während Kunden Identitäten, Daten und Konfigurationen schützen müssen. Dieses Modell führt häufig zu operativen Lücken, wenn Organisationen davon ausgehen, dass bestimmte Kontrollen automatisch vom Anbieter gewährleistet werden (AWS, 2024).
Verschiedene Frameworks wurden entwickelt, um Sicherheitspraktiken in Cloud‑Umgebungen zu leiten. Die NIST Cloud Computing Security Reference Architecture definiert Kontroll‑ und Governance‑Prinzipien für Cloud‑Umgebungen (NIST, 2018). Die Cloud Security Alliance (CSA) führte die Cloud Controls Matrix ein, die häufig für Audits und Compliance verwendet wird (CSA, 2023).
Ein weiterer relevanter Fortschritt war die Erstellung der MITRE ATT&CK for Cloud‑Matrix, die spezifische gegnerische Techniken für AWS, Azure und GCP kategorisiert (MITRE, 2024). Diese Matrix umfasst Taktiken wie:
• Initial Access über offengelegte Zugangsdaten
• Privilege Escalation durch falsch konfigurierte IAM‑Richtlinien
• Exfiltration über Speicher‑APIs
Open‑Source‑Werkzeuge spielen ebenfalls eine wichtige Rolle in der Cloud‑Sicherheit. Tabelle 1 zeigt einige der am häufigsten verwendeten Werkzeuge bei Audits und Red‑Team‑Übungen.
| Werkzeug | Hauptfunktion | Plattform | Jahr |
|---|---|---|---|
| ScoutSuite | Automatisierte Konfigurationsprüfung | AWS/Azure/GCP | 2017 |
| Pacu | AWS‑Exploitation‑Framework | AWS | 2018 |
| CloudFox | Enumeration und Privilege Escalation | AWS/Azure | 2022 |
| kube-bench | CIS‑Kubernetes‑Überprüfung | Kubernetes | 2018 |
| Falco | Laufzeit‑Verhaltensdetektion | Linux/K8s | 2016 |
Aktuelle Studien zeigen, dass die meisten Cloud‑Verstöße kompromittierte Zugangsdaten betreffen. Ein Bericht von Verizon stellte fest, dass gestohlene oder wiederverwendete Zugangsdaten in mehr als 40 % der Vorfälle mit Cloud‑Infrastruktur eingesetzt wurden (VERIZON, 2024).
Ein weiterer relevanter Trend ist die Einführung von CNAPP (Cloud Native Application Protection Platforms), die Funktionen von CSPM, CWPP und Container‑Sicherheit in einer einzigen Plattform kombinieren. Kommerzielle Lösungen wie Prisma Cloud, Wiz und Orca Security werden zunehmend für kontinuierliche Risikotransparenz eingesetzt.
Parallel dazu haben eBPF‑basierte Technologien für Runtime‑Monitoring an Popularität gewonnen. Werkzeuge wie Falco verwenden eBPF, um Systemereignisse mit minimalem Overhead zu erfassen und so die Erkennung verdächtigen Verhaltens in Containern und Hosts zu ermöglichen.
Trotz dieser Fortschritte besteht weiterhin eine Lücke zwischen theoretischer Cloud‑Sicherheit und praktischen Verteidigungsoperationen. Viele Organisationen sammeln große Mengen an Logs, verfügen jedoch nicht über formale Modelle, um Ereignisse mit hohem Risiko zu priorisieren.
Dieser Artikel zielt darauf ab, diese Lücke zu schließen, indem ein quantitatives Risikomodell in Kombination mit operativer Telemetrie vorgeschlagen wird.
- Bedrohungsmodell und Problemformalisierung
Multi‑Cloud‑Umgebungen führen eine verteilte Angriffsfläche ein, die aus Identitäten, verwalteten Diensten, virtuellen Netzwerken und Workloads besteht. Um das Sicherheitsproblem zu formalisieren, definieren wir drei Hauptkomponenten:
- Identitäten (Benutzer, Rollen, Service Accounts)
- Ressourcen (Instanzen, Buckets, Datenbanken)
- Zugriffskanäle (APIs, Netzwerke, Endpunkte)
Ein typischer Angreifer in Cloud‑Szenarien verfügt über eine der folgenden Anfangsfähigkeiten:
• Zugriff auf offengelegte Anmeldeinformationen4. Vorgeschlagene Methodik
Die vorgeschlagene Methodik kombiniert drei zentrale Sicherheitsebenen:
- Kontinuierliche Konfigurationsprüfung
- Runtime‑Monitoring
- Verhaltensanalyse auf Basis von Logs
Zunächst identifizieren Audit‑Werkzeuge wie ScoutSuite unsichere Konfigurationen in Cloud‑Konten.
Beispielausführung:
python scoutsuite.py aws --profile security-audit --report-dir reports
Dieser Schritt identifiziert Probleme wie:
• öffentliche Buckets
• Rollen mit Richtlinien AdministratorAccess
• deaktivierte Logs
Die zweite Ebene nutzt eBPF‑basiertes Runtime‑Monitoring, um verdächtige Verhaltensweisen in Containern zu erkennen.
Beispiel einer Kubernetes‑Compliance‑Prüfung:
kube-bench run --targets master,node --benchmark cis-1.23
Diese Kontrollen erkennen unsichere Konfigurationen wie:
• privilegierte Container
• Verwendung von hostNetwork
• übermäßige Berechtigungen von Service Accounts
Die dritte Ebene analysiert Logs von Cloud‑APIs. Ereignisse wie CreateAccessKey, AssumeRole oder GetObject können auf bösartige Aktivitäten hinweisen.
Tabelle 3 zeigt Beispiele kritischer Ereignisse.
| Ereignis | Dienst | Indikator |
|---|---|---|
| CreateAccessKey | IAM | Mögliche Persistenz |
| AssumeRole | STS | Laterale Bewegung |
| GetObject | S3 | Exfiltration |
| RunInstances | EC2 | Kryptomining |
Die Ereignisse werden in einem SIEM korreliert, um Angriffsketten zu identifizieren.
- Implementierung
Die Implementierung wurde in einer experimentellen Umgebung durchgeführt, die Folgendes enthielt:
• AWS
• Azure
• Kubernetes‑Cluster in GKE
Die Architektur umfasst:
• Log-Erfassung über CloudTrail und Audit Logs
• Ingestion in ein SIEM
• Verhaltensbasierte Erkennung über Falco
Beispiel einer Falco‑Regel:
- rule: Unexpected Shell in Container
desc: Detecta execução de shell interativo
condition: container and shell_procs
output: "Shell inesperado em container (user=%user.name)"
priority: WARNING
Darüber hinaus berechnen automatisierte Skripte den Risikoscore $R$ für jede Cloud‑Ressource.
- Experimentelle Evaluation
Die experimentelle Umgebung umfasste 120 Cloud‑Ressourcen und 35 IAM‑Identitäten.
| Metrik | Vorher | Nachher |
|---|---|---|
| MTTD | 47 min | 8 min |
| MTTF | 3.2 h | 1.1 h |
| Ressourcen mit hohem Risiko | 28 | 9 |
Eine weitere Bewertung verglich Erkennungstools.
| Werkzeug | Typ | Abdeckung |
|---|---|---|
| Falco | Runtime | Hoch |
| GuardDuty | Managed | Mittel |
| Azure Defender | Managed | Hoch |
| Custom SIEM | Logs | Hoch |
Die Ergebnisse zeigen, dass die Kombination von Runtime‑Telemetrie mit Cloud‑Logs die Sichtbarkeit erheblich verbessert.
- Fallstudie
In einem simulierten Szenario, das von realen Vorfällen inspiriert wurde, veröffentlichte ein Entwickler einen AWS‑Schlüssel in einem öffentlichen Repository. Ein automatisierter Angreifer nutzte den Schlüssel, um STS‑Befehle auszuführen und eine privilegierte Rolle zu übernehmen.
Der Angreifer griff anschließend auf einen S3‑Bucket zu, der Datenbank‑Backups enthielt. Die Ereignisabfolge umfasste:
GetCallerIdentityListBucketsAssumeRoleGetObject
Die Log‑Korrelation ermöglichte die Erkennung des Verhaltens in weniger als 10 Minuten.
- Diskussion
Die Ergebnisse zeigen, dass Cloud‑Sicherheit stark von operativer Sichtbarkeit abhängt. Selbst Organisationen, die Logs sammeln, verfügen häufig nicht über effiziente Mechanismen zur Korrelation.
Eine weitere Herausforderung ist das Identitätsmanagement. In großen Umgebungen kann ein einzelnes AWS‑Konto Tausende von IAM‑Rollen besitzen. Dadurch wird es schwierig, gefährliche Berechtigungen ohne Automatisierung zu identifizieren.
Darüber hinaus führen Kubernetes‑Umgebungen zusätzliche Komplexität ein, da Identitätskontrolle, Networking und Runtime eng miteinander interagieren.
- Fazit und zukünftige Arbeiten
Diese Studie stellte einen operativen Ansatz für Sicherheit in Cloud‑Umgebungen vor, der auf formaler Risikomodellierung und verteilter Telemetrie basiert. Die Kombination aus Konfigurationsprüfung, Runtime‑Monitoring und Log‑Analyse zeigte eine signifikante Reduktion der Zeit zur Erkennung bösartiger Aktivitäten.
Zukünftige Arbeiten sollten den Einsatz von Machine Learning zur Verhaltensanalyse in Cloud‑APIs untersuchen und Erkennungstechniken mit automatisierten Richtlinien zur Behebung von Problemen integrieren.
- REFERENZEN
AMAZON WEB SERVICES. AWS Security Best Practices. 2024. https://docs.aws.amazon.com/security/
CLOUD SECURITY ALLIANCE. Cloud Controls Matrix v4. 2023. https://cloudsecurityalliance.org
FALCO PROJECT. Falco Documentation. 2024. https://falco.org
GOOGLE CLOUD. Security Command Center Overview. 2024. https://cloud.google.com/security-command-center
KUBERNETES. Kubernetes Security Documentation. 2024. https://kubernetes.io/docs/concepts/security/
MITRE. ATT&CK for Cloud Matrix. 2024. https://attack.mitre.org
NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Zero Trust Architecture. 2020. https://nvlpubs.nist.gov
NIST. Cloud Computing Security Reference Architecture. 2018. https://nvlpubs.nist.gov
ORCA SECURITY. State of Cloud Security Report. 2024. https://orca.security
PALO ALTO NETWORKS. Unit 42 Cloud Threat Report. 2024. https://unit42.paloaltonetworks.com
SCOUTSUITE. Multi-Cloud Security Auditing Tool. 2024. https://github.com/nccgroup/ScoutSuite
SYSDIG. Falco Runtime Security. 2023. https://sysdig.com
VERIZON. Data Breach Investigations Report. 2024. https://www.verizon.com/business/resources/reports/dbir/
WIZ. Cloud Security Risk Report. 2023. https://www.wiz.io
MICROSOFT. Azure Security Benchmark. 2024. https://learn.microsoft.com/security/benchmark/
CISA. Cloud Security Technical Reference Architecture. 2023. https://www.cisa.gov
CNCF. Cloud Native Security Whitepaper. 2022. https://www.cncf.io
SNYK. Kubernetes Security Report. 2023. https://snyk.io
AQUA SECURITY. Cloud Native Threat Report. 2024. https://www.aquasec.com
RED HAT. Kubernetes Security Guide. 2024. https://access.redhat.com
IBM SECURITY. Cloud Threat Landscape. 2023. https://www.ibm.com/security
GOOGLE. BeyondCorp Zero Trust Model. 2021. https://cloud.google.com/beyondcorp
MICROSOFT. Defender for Cloud Documentation. 2024. https://learn.microsoft.com/azure/defender-for-cloud
AWS. CloudTrail Documentation. 2024. https://docs.aws.amazon.com/cloudtrail
KUBERNETES CIS BENCHMARK. Center for Internet Security. 2023. https://www.cisecurity.org
EBPF FOUNDATION. eBPF Overview. 2024. https://ebpf.io