Ein guter Infrastruktur-Audit beantwortet vier Fragen: Was betreiben wir, wer kann darauf zugreifen oder es ändern, welche Nachweise zeigen wirksame Kontrollen und was sollten wir zuerst beheben? Betrachten Sie PaaS, IaaS, Netzwerke, Firewalls und Betriebssysteme als zusammenhängendes System. Beginnen Sie mit einer schriftlichen Genehmigung, einem vereinbarten Umfang, benannten Verantwortlichen, einem Zeitfenster und einem Notfallkontakt. Nutzen Sie nach Möglichkeit schreibgeschützten Zugriff und prüfen Sie keine Systeme ohne Berechtigung.
Erstellen Sie vor den Tests eine Karte der Umgebung: Cloud-Konten und Abonnements, Regionen, Projekte, Produktions- und Testumgebungen, öffentliche Endpunkte, Workloads, Datenspeicher, Identitäten und externe Anbieter. Dokumentieren Sie Datenflüsse und Vertrauensgrenzen. Halten Sie für jedes Asset Eigentümer, Geschäftszweck, Datensensibilität, externe Erreichbarkeit, Abhängigkeiten und Wiederherstellungspriorität fest. Vergleichen Sie das Inventar mit Abrechnung, DNS, Cloud-Exporten, Endpoint-Verwaltung und Infrastructure as Code, um vergessene Ressourcen und manuelle Änderungen zu finden.
Klären Sie zuerst die gemeinsame Verantwortung. Bei IaaS betreibt der Anbieter gewöhnlich die physischen Einrichtungen und den Basisdienst; Ihr Team verantwortet meist Gastbetriebssysteme, Workload-Konfiguration, Identitäten, Netzwerkregeln und Daten. Bei PaaS verwaltet der Anbieter mehr von der Laufzeitumgebung, doch Anwendungscode, Zugriffsrichtlinien, Daten, Geheimnisse und dienstspezifische Einstellungen bleiben in Ihrer Verantwortung. Prüfen Sie die Bedingungen jedes Dienstes: „Managed“ bedeutet nicht, dass der Anbieter sämtliche Sicherheitskontrollen übernimmt.
Prüfen Sie bei IaaS Konto- und Projektgrenzen, Administratorrollen, MFA, Workload-Identitäten, Dienstkonten, Schlüssel- und Geheimnisspeicher, öffentliche IPs, Speicherfreigaben, Backups, Verschlüsselung, Patch-Stand und Konfigurationsabweichungen. Bevorzugen Sie kurzlebige, eng begrenzte Zugangsdaten und private Verwaltungswege. Prüfen Sie bei PaaS Mandantentrennung, Authentifizierung und Autorisierung, private Verbindungen, erlaubte Ursprünge, Berechtigungen für Deployment und Releases, Umgebungsvariablen, Geheimnisreferenzen, Aufbewahrung und Audit-Protokolle. Stellen Sie sicher, dass Diagnoseprotokolle aktiviert, ausreichend lange aufbewahrt, zugriffsgeschützt und im Vorfall nützlich sind.
Prüfen Sie im Computernetzwerk die tatsächlichen Wege zwischen Nutzern, Internet-Eingang, Load Balancern, Anwendungsschichten, Datenbanken, Administrationsoberflächen und ausgehenden Zielen. Bewerten Sie Subnetze und Routen, Segmentierung, DNS, VPN oder privaten Zugriff, Fernverwaltung, Egress-Beschränkungen und Redundanz. Vergleichen Sie Netzplan, Flow-Logs und Konfigurationsexporte. Untersuchen Sie unerwartete Wege, flache Netze, direkt erreichbare Datenbanken, ungenutzte Schnittstellen und Verkehr, der Kontrollen umgeht. Ein genehmigter Scanner kann erreichbare Dienste finden; stimmen Sie Zeit und Rate ab und validieren Sie die Ergebnisse, denn ein Scan ist kein vollständiger Netz-Audit.
Prüfen Sie Firewall-Regeln über Cloud-Security-Groups, Netzwerk-ACLs, Host-Firewalls und Appliances hinweg. Erfassen Sie für jede Regel Eigentümer, Zweck, Quelle, Ziel, Protokoll, Port, Richtung, Umgebung und Ablauf- oder Prüftermin. Suchen Sie nach uneingeschränkten Internetquellen, breiten Portbereichen, Any-to-any-Regeln, Duplikaten, veralteten temporären Freigaben und öffentlich erreichbaren Verwaltungsports. Prüfen Sie Default-Deny und Protokollierung. Ändern Sie Regeln sicher; entfernen Sie sie erst nach Bestätigung der Abhängigkeit durch den Eigentümer und mit vorbereitetem Rollback.
Prüfen Sie jedes von Ihnen verwaltete Betriebssystem auf Support- und Patch-Stand, sichere Baseline, lokale und Verzeichnis-Konten, privilegierte Gruppen, MFA für Administration, SSH- oder RDP-Erreichbarkeit, Authentifizierung, Host-Firewall, Endpoint-Schutz, Festplattenverschlüsselung, gegebenenfalls Secure Boot, Zeitsynchronisierung, Dienste und Autostart-Aufgaben. Prüfen Sie zentrale Log-Weiterleitung, Alarmierung, Sicherung und Wiederherstellung sowie Konfigurationsverwaltung. Vergleichen Sie Einstellungen mit aktueller Anbieter-Dokumentation oder dem passenden CIS Benchmark und dokumentieren Sie begründete Ausnahmen. Bei PaaS prüfen Sie nur offengelegte Host-Kontrollen und konzentrieren sich auf Anwendung und Dienstkonfiguration.
Halten Sie die Nachweise reproduzierbar fest: Asset und Konto, Zeitpunkt, Tool oder Konsolenansicht, Konfigurationssnapshot, Soll- und Ist-Zustand, Prüfer und Einschränkungen. Schützen Sie Exporte und Screenshots, da sie Kennungen, Topologie oder Geheimnisse enthalten können; schwärzen Sie sensible Werte und beschränken Sie den Zugriff. Bewerten Sie Funde nach Auswirkung, Wahrscheinlichkeit, betroffenen Assets, Erreichbarkeit, Ausnutzbarkeit und kompensierenden Kontrollen. Trennen Sie bestätigte Schwächen von Beobachtungen mit zusätzlichem Prüfbedarf und benennen Sie sowohl Geschäfts- als auch Technikverantwortliche.
Überführen Sie die Funde in einen Maßnahmenplan mit Priorität, Verantwortlichem, Termin, Änderungsdatensatz, Rollback und Validierung. Beheben Sie zuerst offenen Administrationszugriff und übermäßige Rechte, danach Segmentierungslücken, verwundbare oder nicht unterstützte Systeme, Protokollierungslücken und schwache Backups. Testen Sie die Kontrolle nach der Änderung erneut und bewahren Sie Vorher-Nachher-Nachweise auf. Melden Sie Restrisiken der befugten Stelle zur Annahme. Der Audit ist abgeschlossen, wenn Verantwortliche das Risiko verstehen und verifizierte Maßnahmen es reduziert haben.
Nutzen Sie etablierte Leitlinien als Ausgangspunkt, nicht als Ersatz für den Kontext: NIST SP 800-115 beschreibt Planung und Durchführung technischer Sicherheitsbewertungen; CIS Benchmarks bieten technologiespezifische Konfigurationsempfehlungen für Cloud-Plattformen, Netzwerkgeräte und Betriebssysteme. Wählen Sie den Benchmark für Ihren Anbieter und die genaue Produktversion, passen Sie ihn mit dokumentierten Risikoentscheidungen an und verwenden Sie nur durch den Prüfauftrag erlaubte Testmethoden. Quellen: https://csrc.nist.gov/pubs/sp/800/115/final und https://www.cisecurity.org/cis-benchmarks-overview
Geben Sie dem nächsten Produkt jemanden, der bleibt.
Bereit für den Start? Schreiben Sie mir – ich kann sofort beginnen und bleiben. Langfristige Mandate statt Übergabe nach zwei Wochen. Lassen Sie uns über Ihr Projekt, die Anforderungen und den besten Weg nach vorn sprechen.