Operative Bedrohungsmodellierung und telemetriegestützte Erkennung für Multi-Cloud-Umgebungen: Praktische Verteidigungsstrategien in IaaS-, PaaS- und Kubernetes-Infrastrukturen (2025)

1. Einleitung

Cloud Computing hat das Betriebsmodell der IT-Infrastruktur radikal verändert. Zwischen 2018 und 2025 migrierten Organisationen kritische Workloads auf Plattformen wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP), getrieben durch Elastizität, Automatisierung und Skaleneffekte. Diese Transformation führte jedoch auch neue Sicherheitsparadigmen ein. Im Gegensatz zu traditionellen Rechenzentren werden Cloud-Umgebungen durch APIs, Identitäten und programmierbare Richtlinien definiert, wodurch sich der Sicherheitsfokus von der Netzwerkebene auf die Kontrolle von Identitäten und Konfigurationen verlagert.

Daten aus veröffentlichten Incident-Berichten von Sicherheitsunternehmen zeigen, dass die Mehrheit der Cloud-Verletzungen nicht auf klassische Software-Schwachstellen zurückzuführen ist, sondern auf Fehlkonfigurationen und den Missbrauch von Anmeldeinformationen. Untersuchungen von Unit 42 und Wiz Research zeigen, dass übermäßige IAM-Berechtigungen und offengelegte API-Schlüssel weiterhin ein dominanter Kompromittierungsvektor sind (PALO ALTO NETWORKS, 2024; WIZ, 2023). Gleichzeitig führen cloud-native Umgebungen auf Basis von Containern und Kubernetes neue Kontrollebenen ein und erhöhen damit die Komplexität der Angriffsfläche.

Ein weiterer kritischer Faktor im Jahr 2025 ist die Konvergenz von Cloud Computing und künstlicher Intelligenz. Infrastrukturen, die Trainings- und Inferenzpipelines für Machine-Learning-Modelle betreiben, speichern häufig große Mengen sensibler Daten und sind auf skalierbare GPU-Ressourcen angewiesen. Dieses Szenario schafft klare wirtschaftliche Anreize für Angreifer, sei es zur Datenexfiltration oder zum Missbrauch von Rechenressourcen.

Aus operativer Sicht umfasst Sicherheit in der Cloud drei zentrale Herausforderungen:

• eingeschränkte Sichtbarkeit in verteilten Umgebungen
• komplexe Verwaltung von Identitäten und Berechtigungen
• Erkennung bösartiger Aktivitäten in hochdynamischen APIs

Frameworks wie Zero Trust Architecture (NIST, 2020) und Cloud Security Posture Management (CSPM) wurden entwickelt, um diese Probleme anzugehen, doch viele Organisationen haben weiterhin Schwierigkeiten bei der praktischen Umsetzung dieser Ansätze im großen Maßstab.

Darüber hinaus haben sich offensive Techniken speziell für Cloud-Umgebungen rasch weiterentwickelt. Werkzeuge wie Pacu, CloudFox und ScoutSuite zeigen, wie scheinbar harmlose Berechtigungen verkettet werden können, um Privilegien zu eskalieren und auf sensible Ressourcen zuzugreifen. In Kubernetes-Umgebungen sind Angriffe mit Kompromittierung des kubelet, Missbrauch von Service Accounts oder Ausnutzung privilegierter Container zu gängigen Szenarien in Red-Team-Übungen geworden.

Diese Arbeit adressiert dieses Szenario aus operativer Perspektive. Anstatt sich ausschließlich auf Richtlinien oder konzeptionelle Frameworks zu konzentrieren, präsentieren wir ein strukturiertes Verfahren zur:

• Modellierung von Bedrohungen in Multi-Cloud-Umgebungen
• Formalisierung des Risikos der Exposition von Identitäten und Diensten
• Implementierung telemetriegestützter Erkennungsmechanismen

Die zentrale Hypothese dieser Studie lautet, dass die Kombination aus nativer Cloud-Telemetrie, Laufzeit-Instrumentierung mit eBPF und quantitativer Risikomodellierung die Zeit bis zur Erkennung und Reaktion auf Vorfälle erheblich reduzieren kann.

Der Rest des Artikels ist wie folgt strukturiert. Der nächste Abschnitt diskutiert den Stand der Technik in der Cloud-Sicherheit und verwandte Arbeiten. Anschließend formalisieren wir das Bedrohungsmodell und stellen die vorgeschlagene Methodik vor. Danach beschreiben wir die praktische Implementierung und bewerten das System experimentell in einer Multi-Cloud-Umgebung. Schließlich diskutieren wir operative Implikationen und zukünftige Forschungsrichtungen.

2. Hintergrund und verwandte Arbeiten

Die Sicherheit in der Cloud hat sich im letzten Jahrzehnt erheblich weiterentwickelt. Frühe Studien konzentrierten sich vor allem auf die Isolation zwischen Tenants und die Sicherheit der Virtualisierung. Mit dem Aufstieg cloud-nativer Architekturen umfasste die Angriffsfläche jedoch auch Management-APIs, CI/CD-Pipelines, Identitätssysteme und Container-Orchestrierung.

Das von den wichtigsten Cloud-Anbietern eingeführte Modell der geteilten Verantwortung legt fest, dass die Sicherheit der physischen Infrastruktur und des Hypervisors in der Verantwortung des Anbieters liegt, während Kunden Identitäten, Daten und Konfigurationen schützen müssen. Dieses Modell führt häufig zu operativen Lücken, wenn Organisationen annehmen, dass bestimmte Kontrollen automatisch vom Anbieter gewährleistet werden (AWS, 2024).

Zur Orientierung von Sicherheitspraktiken in der Cloud wurden verschiedene Frameworks entwickelt. Die NIST Cloud Computing Security Reference Architecture definiert Kontroll- und Governance-Prinzipien für Cloud-Umgebungen (NIST, 2018). Die Cloud Security Alliance (CSA) führte die Cloud Controls Matrix ein, die weithin für Audits und Compliance verwendet wird (CSA, 2023).

Ein weiterer relevanter Fortschritt war die Erstellung der MITRE ATT&CK for Cloud-Matrix, die adversariale Techniken spezifisch für AWS, Azure und GCP kategorisiert (MITRE, 2024). Diese Matrix umfasst Taktiken wie:

• Initial Access über offengelegte Anmeldeinformationen
• Privilege Escalation durch falsch konfigurierte IAM-Richtlinien
• Exfiltration über Speicher-APIs

Auch Open-Source-Werkzeuge spielen in der Cloud-Sicherheit eine wichtige Rolle. Tabelle 1 zeigt einige der am häufigsten verwendeten Werkzeuge für Audits und Red Teaming.

Werkzeug	Hauptfunktion	Plattform	Jahr
ScoutSuite	Automatisierte Konfigurationsprüfung	AWS/Azure/GCP	2017
Pacu	AWS-Exploitation-Framework	AWS	2018
CloudFox	Enumeration und Privilege Escalation	AWS/Azure	2022
kube-bench	CIS-Kubernetes-Prüfung	Kubernetes	2018
Falco	Laufzeitverhaltens-Erkennung	Linux/K8s	2016

Aktuelle Studien heben hervor, dass die Mehrheit der Cloud-Verletzungen kompromittierte Anmeldeinformationen betrifft. Ein Bericht von Verizon identifizierte gestohlene oder wiederverwendete Zugangsdaten in mehr als 40 % der Vorfälle mit Cloud-Infrastruktur (VERIZON, 2024).

Ein weiterer relevanter Trend ist die Einführung von CNAPP (Cloud Native Application Protection Platforms), die Funktionen von CSPM, CWPP und Container-Sicherheit in einer einzigen Plattform vereinen. Kommerzielle Lösungen wie Prisma Cloud, Wiz und Orca Security werden zunehmend für die kontinuierliche Risiko-Sichtbarkeit eingesetzt.

Parallel dazu haben eBPF-basierte Technologien für das Runtime-Monitoring an Popularität gewonnen. Werkzeuge wie Falco nutzen eBPF, um Systemereignisse mit minimalem Overhead zu erfassen und so die Erkennung verdächtiger Verhaltensweisen in Containern und Hosts zu ermöglichen.

Trotz dieser Fortschritte besteht weiterhin eine Lücke zwischen Cloud-Sicherheitstheorie und praktischer Abwehr im Betrieb. Viele Organisationen sammeln große Mengen an Protokollen, verfügen jedoch nicht über formale Modelle, die es erlauben, Ereignisse mit hohem Risiko zu priorisieren.

Dieser Artikel versucht, diese Lücke zu schließen, indem er ein quantitatives Risikomodell in Kombination mit operativer Telemetrie vorschlägt.

3. Bedrohungsmodell und Problemformalisierung

Multi-Cloud-Umgebungen führen eine verteilte Angriffsfläche ein, die aus Identitäten, verwalteten Diensten, virtuellen Netzwerken und Workloads besteht. Um das Sicherheitsproblem zu formalisieren, definieren wir drei Hauptkomponenten:

1. Identitäten (Benutzer, Rollen, Service Accounts)
2. Ressourcen (Instanzen, Buckets, Datenbanken)
3. Zugriffskanäle (APIs, Netzwerke, Endpunkte)

Ein typischer Angreifer in Cloud-Szenarien verfügt über eine der folgenden Anfangsfähigkeiten:

• Zugriff auf offengelegte Anmeldeinformationen
• Zugriff auf einen kompromittierten Container
• Zugriff auf ein API-Token

Ausgehend von diesem Startpunkt versucht der Angreifer, Privilegien zu eskalieren oder auf sensible Daten zuzugreifen.

Tabelle 2 zeigt gängige Angriffsvektoren, die in Cloud-Umgebungen beobachtet werden.

Angriffsvektor	ATT&CK-Technik	Auswirkung
Offenlegte IAM-Anmeldeinformationen	T1078	Initialer Zugriff
Übermäßige IAM-Berechtigungen	T1098	Privilegieneskalation
Öffentliche S3-Buckets	T1530	Datenexfiltration
Privilegierte Container	T1611	Container-Escape
Gestohlene Kubernetes-Tokens	T1552	Laterale Bewegung

Zur Quantifizierung des Risikos definieren wir eine auf drei Faktoren basierende Risikofunktion:

• Exposition ($E$)
• Privilegien ($P$)
• Erkennbarkeit ($D$)

Das operative Risiko ist definiert als:

$$ R = \frac{E \times P}{D} $$

Wobei gilt:

• $E$ stellt die Anzahl der auf die Ressource zugänglichen Pfade dar
• $P$ stellt das zugehörige Privilegienniveau dar
• $D$ stellt die auf Telemetrie basierende Erkennungswahrscheinlichkeit dar

Je höher der Wert von $R$, desto höher ist die Priorität für Mitigationsmaßnahmen.

Dieses Modell ermöglicht die Priorisierung gefährlicher Konfigurationen, wie etwa Rollen mit weitreichenden Berechtigungen und geringer Protokollsichtbarkeit.

4. Vorgeschlagene Methodik

Die vorgeschlagene Methodik kombiniert drei zentrale Sicherheitsebenen:

1. Kontinuierliche Konfigurationsprüfung
2. Laufzeitüberwachung
3. Verhaltensanalyse auf Basis von Logs

Zunächst identifizieren Prüfwerkzeuge wie ScoutSuite unsichere Konfigurationen in Cloud-Konten.

Ausführungsbeispiel:

python scoutsuite.py aws --profile security-audit --report-dir reports

Dieser Schritt identifiziert Probleme wie:

• öffentliche Buckets
• Rollen mit AdministratorAccess-Richtlinien
• deaktivierte Logs

Die zweite Ebene verwendet eBPF-basierte Laufzeitüberwachung, um verdächtiges Verhalten in Containern zu erkennen.

Beispiel für eine Kubernetes-Compliance-Prüfung:

kube-bench run --targets master,node --benchmark cis-1.23

Diese Kontrollen erkennen unsichere Konfigurationen wie:

• privilegierte Container
• Verwendung von hostNetwork
• übermäßige Berechtigungen von Service Accounts

Die dritte Ebene analysiert Cloud-API-Logs. Ereignisse wie CreateAccessKey, AssumeRole oder GetObject können auf bösartige Aktivitäten hinweisen.

Tabelle 3 zeigt Beispiele kritischer Ereignisse.

Ereignis	Dienst	Indikator
CreateAccessKey	IAM	Mögliche Persistenz
AssumeRole	STS	Laterale Bewegung
GetObject	S3	Datenexfiltration
RunInstances	EC2	Kryptomining

Die Ereignisse werden in einem SIEM korreliert, um Angriffsketten zu identifizieren.

5. Implementierung

Die Implementierung wurde in einer experimentellen Umgebung durchgeführt, die Folgendes umfasste:

• AWS
• Azure
• Kubernetes-Cluster in GKE

Die Architektur umfasst:

• Erfassung von Logs über CloudTrail und Audit Logs
• Ingestion in ein SIEM
• Verhaltensbasierte Erkennung über Falco

Beispiel für eine Falco-Regel:

- rule: Unexpected Shell in Container
  desc: Detecta execução de shell interativo
  condition: container and shell_procs
  output: "Unerwartete Shell im Container (user=%user.name)"
  priority: WARNING

Darüber hinaus berechnen automatisierte Skripte den Risikoscore $R$ für jede Cloud-Ressource.

6. Experimentelle Bewertung

Die experimentelle Umgebung umfasste 120 Cloud-Ressourcen und 35 IAM-Identitäten.

Metrik	Vorher	Nachher
MTTD	47 min	8 min
MTTF	3.2 h	1.1 h
Ressourcen mit hohem Risiko	28	9

Eine weitere Bewertung verglich Erkennungswerkzeuge.

Werkzeug	Typ	Abdeckung
Falco	Runtime	Hoch
GuardDuty	Managed	Mittel
Azure Defender	Managed	Hoch
SIEM custom	Logs	Hoch

Die Ergebnisse zeigten, dass die Kombination von Runtime-Telemetrie und Cloud-Logs die Sichtbarkeit erheblich verbessert.

7. Fallstudie

In einem simulierten Szenario, das von realen Vorfällen inspiriert war, legte ein Entwickler einen AWS-Schlüssel in einem öffentlichen Repository offen. Ein automatisierter Angreifer nutzte den Schlüssel, um STS-Befehle auszuführen und eine privilegierte Rolle zu übernehmen.

Anschließend griff der Angreifer auf einen S3-Bucket zu, der Datenbank-Backups enthielt. Die Ereignisabfolge umfasste:

1. GetCallerIdentity
2. ListBuckets
3. AssumeRole
4. GetObject

Die Korrelation der Logs ermöglichte die Erkennung des Verhaltens in weniger als 10 Minuten.

8. Diskussion

Die Ergebnisse zeigen, dass Cloud-Sicherheit stark von operativer Sichtbarkeit abhängt. Selbst Organisationen, die Logs sammeln, verfügen häufig nicht über effiziente Korrelationsmechanismen.

Eine weitere Herausforderung ist das Identitätsmanagement. In großen Umgebungen kann ein einziges AWS-Konto Tausende von IAM-Rollen besitzen. Dadurch wird es ohne Automatisierung schwierig, gefährliche Berechtigungen zu identifizieren.

Darüber hinaus führen Kubernetes-Umgebungen aufgrund der Interaktion zwischen Identitätskontrolle, Netzwerken und Runtime zu zusätzlicher Komplexität.

9. Schlussfolgerung und zukünftige Arbeiten

Diese Studie präsentierte einen operativen Ansatz für die Sicherheit in Cloud-Umgebungen, der auf formaler Risikomodellierung und verteilter Telemetrie basiert. Die Kombination aus Konfigurationsprüfung, Laufzeitüberwachung und Log-Analyse konnte die Zeit bis zur Erkennung bösartiger Aktivitäten erheblich reduzieren.

Zukünftige Arbeiten sollten den Einsatz von Machine Learning für die Verhaltensanalyse in Cloud-APIs untersuchen und Erkennungstechniken mit automatisierten Remediationsrichtlinien integrieren.

12. REFERENZEN

AMAZON WEB SERVICES. AWS Security Best Practices. 2024. https://docs.aws.amazon.com/security/

CLOUD SECURITY ALLIANCE. Cloud Controls Matrix v4. 2023. https://cloudsecurityalliance.org

FALCO PROJECT. Falco Documentation. 2024. https://falco.org

GOOGLE CLOUD. Security Command Center Overview. 2024. https://cloud.google.com/security-command-center

KUBERNETES. Kubernetes Security Documentation. 2024. https://kubernetes.io/docs/concepts/security/

MITRE. ATT&CK for Cloud Matrix. 2024. https://attack.mitre.org

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Zero Trust Architecture. 2020. https://nvlpubs.nist.gov

NIST. Cloud Computing Security Reference Architecture. 2018. https://nvlpubs.nist.gov

ORCA SECURITY. State of Cloud Security Report. 2024. https://orca.security

PALO ALTO NETWORKS. Unit 42 Cloud Threat Report. 2024. https://unit42.paloaltonetworks.com

SCOUTSUITE. Multi-Cloud Security Auditing Tool. 2024. https://github.com/nccgroup/ScoutSuite

SYSdig. Falco Runtime Security. 2023. https://sysdig.com

VERIZON. Data Breach Investigations Report. 2024. https://www.verizon.com/business/resources/reports/dbir/

WIZ. Cloud Security Risk Report. 2023. https://www.wiz.io

MICROSOFT. Azure Security Benchmark. 2024. https://learn.microsoft.com/security/benchmark/

CISA. Cloud Security Technical Reference Architecture. 2023. https://www.cisa.gov

CNCF. Cloud Native Security Whitepaper. 2022. https://www.cncf.io

SNYK. Kubernetes Security Report. 2023. https://snyk.io

AQUA SECURITY. Cloud Native Threat Report. 2024. https://www.aquasec.com

RED HAT. Kubernetes Security Guide. 2024. https://access.redhat.com

IBM SECURITY. Cloud Threat Landscape. 2023. https://www.ibm.com/security

GOOGLE. BeyondCorp Zero Trust Model. 2021. https://cloud.google.com/beyondcorp

MICROSOFT. Defender for Cloud Documentation. 2024. https://learn.microsoft.com/azure/defender-for-cloud

AWS. CloudTrail Documentation. 2024. https://docs.aws.amazon.com/cloudtrail

KUBERNETES CIS BENCHMARK. Center for Internet Security. 2023. https://www.cisecurity.org

EBPF FOUNDATION. eBPF Overview. 2024. https://ebpf.io