Cloud-Ressourcen

Die meisten Umgebungen erstrecken sich heute über lokale Infrastruktur und eine oder mehrere Public Clouds. Cloud-Ressourcen bietet Ihnen einen zentralen Ort, um cloudgehostete Assets zu erfassen — virtuelle Maschinen, Container, verwaltete Datenbanken, Objektspeicher und die umgebenden Netzwerke — und ihren Sicherheitsstatus neben dem restlichen Inventar zu überwachen. Cloud-Assets sind kein separates Silo: Sie fließen in dieselben Discovery-, Scan- und Schwachstellenmanagement-Workflows ein, die Sie überall sonst in Cert-IX verwenden.

Die Abdeckung wird erweitert

Cert-IX deckt Cloud-Assets heute über Scanner-Agenten, die Scan-API und die manuelle Eingabe ab. Native, API-basierte Konnektoren für Anbieterkonten — schreibgeschützte Discovery, die direkt mit den APIs von AWS, Azure, GCP und anderen Anbietern kommuniziert — werden schrittweise eingeführt und sind möglicherweise nicht in jedem Tarif verfügbar. Wenn eine Funktion in der Vorschau verfügbar ist, weist diese Seite darauf hin.

Wie Cloud-Assets in Ihr Inventar gelangen

Es gibt keinen einzelnen „Cloud-Konnektor", der alles erledigt. Stattdessen setzen Sie die Cloud-Abdeckung aus denselben Bausteinen zusammen, die Cert-IX über Ihre gesamte Umgebung hinweg verwendet, und wählen jeweils den passenden für jede Umgebung.

Methode	Am besten geeignet für	Wo es dokumentiert ist
Scanner-Agenten	VMs, Container und Netzwerke, die Sie innerhalb eines Cloud-VPC/-VNet kontrollieren	Scanner-Agenten
Scan-API	Öffentlich erreichbare Cloud-Endpunkte (URLs, IPs, Webanwendungen, APIs)	Scan-API
Manuelle Eingabe	Assets, die Sie manuell verfolgen oder aus einem anderen System importieren	Überblick Asset-Management
Native Anbieter-Konnektoren (Vorschau)	Ressourcenaufzählung auf Kontoebene über Anbieter-APIs	Diese Seite

Scanner-Agenten innerhalb Ihres Cloud-Netzwerks

Die Cert-IX-Agenten behandeln ein Cloud-Subnetz genau wie jedes andere interne Netzwerk. Bereitgestellt auf einem Jump-Host oder einer dedizierten Instanz innerhalb Ihres VPC oder VNet, erkennen und bewerten sie kontinuierlich die Workloads, die Sie dort betreiben:

• Bitcollector meldet Asset-Telemetrie — Hosts, offene Ports, installierte Software und Systemmetriken.
• Bitscanner führt Schwachstellenscans und CVE-Erkennung gegen diese Hosts durch.
• Bitmapper bildet die Netzwerktopologie ab, sodass Sie sehen können, wie Cloud-Ressourcen miteinander in Beziehung stehen.

Agenten werden von downloads.cert-ix.com heruntergeladen und mit Ihrer Tenant-ID registriert (zu finden unter Einstellungen → Organisation). Siehe Scanner-Agenten für Bereitstellung und Konfiguration.

Scan-API für öffentliche Cloud-Endpunkte

Alles, was über eine öffentliche URL oder IP erreichbar ist — ein Load Balancer, ein API-Gateway, eine aus dem Internet erreichbare Webanwendung — kann direkt über die Scan-API bewertet werden, ohne dass etwas bereitgestellt werden muss. Ihre Engines (darunter Nmap, OWASP ZAP, Trivy, Nuclei und Nikto) prüfen extern erreichbare Cloud-Dienste auf offene Ports, Schwachstellen in Webanwendungen und beobachtbare Fehlkonfigurationen. Scans laufen asynchron (queued → running → completed), und die Ergebnisse fließen in dieselben Befundansichten wie agentenbasierte Scans ein.

Manuelle Eingabe

Für Assets, die außerhalb der automatisierten Discovery liegen, können Sie Cloud-Ressourcen manuell erfassen, damit das Inventar vollständig bleibt. Manuell hinzugefügte Ressourcen erscheinen neben den erkannten und können gefiltert, durchsucht und Compliance-Kontrollen zugeordnet werden.

Native Anbieter-Konnektoren (Vorschau)

Sofern für Ihren Tarif verfügbar, ermöglicht eine schreibgeschützte Verbindung zu einem Cloud-Konto Cert-IX, Ressourcen auf Kontoebene und deren Konfiguration über die eigenen APIs des Anbieters aufzuzählen. Befolgen Sie das Prinzip der geringsten Rechte: Vergeben Sie eine begrenzte, schreibgeschützte Rolle oder Dienstanmeldeinformation — Inventar- und Lesezugriff ist alles, was Cert-IX benötigt. Die Discovery auf Kontoebene wird gerade eingeführt, prüfen Sie daher die Verfügbarkeit, bevor Sie sich anstelle der agenten- oder scanbasierten Abdeckung darauf verlassen.

Arbeiten mit Cloud-Ressourcen

Ressourceninventar

Erkannte und manuell hinzugefügte Cloud-Assets teilen sich eine Liste. Sie können nach Anbieter, Ressourcentyp und Region filtern und nach Name oder Kennung suchen, um große Umgebungen schnell einzugrenzen. Jede Ressource trägt die Attribute, die von der jeweiligen Methode zurückgegeben wurden, die sie erkannt hat.

Ressourcendetails

Beim Auswählen einer Ressource werden ihre Konfigurationsdaten, die anderen Ressourcen, mit denen sie in Beziehung steht, und die dagegen erhobenen Sicherheitsbefunde angezeigt. Wenn eine Ressource einer Compliance-Kontrolle zugeordnet ist, wird ihr Status ebenfalls hier angezeigt.

Cloud-Sicherheitsstatus

Cloud-Befunde werden von denselben Scan-Oberflächen erzeugt wie der Rest der Plattform und nach demselben Schweregradmodell eingestuft, sodass das Cloud-Risiko mit allem anderen, das Sie verwalten, vergleichbar ist.

Expositions- und Schwachstellenbefunde

Agenten und die Scan-API decken Probleme auf, die Sie vom Netzwerk aus beobachten können: offene oder unerwartete Ports, erreichbare Dienste, Schwachstellen in Webanwendungen, schwache Transportsicherheit und Hosts, auf denen Software mit bekannten CVEs läuft. Befunde werden im Schwachstellenmanagement als Kritisch / Hoch / Mittel / Niedrig eingestuft, jeweils mit einer Behebungsanleitung, die das Problem und die empfohlene Lösung beschreibt.

hinweis

Tiefergehende Cloud-Konfigurationsprüfungen — etwa die Exposition von Storage-Buckets, zu freizügige IAM-Richtlinien oder unverschlüsselte Volumes, die direkt aus den Konfigurations-APIs eines Anbieters gelesen werden — hängen von den oben beschriebenen nativen Anbieter-Konnektoren ab und werden mit der Einführung dieser Vorschaufunktion erweitert. Extern beobachtbare Exposition, wie offene Ports und erreichbare oder falsch konfigurierte Dienste, wird heute durch Scanning abgedeckt.

Behebung

Jeder Befund enthält eine Beschreibung, einen Schweregrad und eine schrittweise Behebungsanleitung. Sie wenden die empfohlenen Änderungen in Ihrer eigenen Cloud-Umgebung an, und Cert-IX scannt im nächsten Zyklus erneut, um zu bestätigen, dass das Problem behoben ist. Cert-IX leitet die Behebung an, nimmt aber keine Änderungen in Ihrem Cloud-Konto in Ihrem Namen vor.

Compliance-Nachverfolgung (Beta)

Das Compliance-Modul von Cert-IX — derzeit in der Beta — ermöglicht es Ihnen, Cloud- und lokale Assets gegen Frameworks wie NIST CSF, ISO 27001, SOC 2, CIS Controls und NIS2 sowie gegen von Ihnen definierte benutzerdefinierte Frameworks zu verfolgen. Wo der Bitenforcer-Agent bereitgestellt ist, führt er zusätzlich Compliance-Härtungsprüfungen (CIS, STIG, PCI-DSS) direkt auf dem Host durch. Da sich Compliance noch weiterentwickelt, betrachten Sie seine Abdeckung als eine Arbeitsansicht des Sicherheitsstatus und nicht als offizielle Zertifizierung.

Sicherheit und Datenverarbeitung

Cloud-Verbindungen verwenden begrenzte, schreibgeschützte Anmeldeinformationen, und der Plattformzugriff ist durch die Standardkontrollen von Cert-IX geschützt: Post-Quanten-ML-KEM (FIPS 203) zum Schutz der Authentifizierung, Multi-Faktor-Authentifizierung über TOTP und WebAuthn/FIDO2, kurzlebige ES256-Sitzungstoken und rollenbasierte Zugriffssteuerung. Die Infrastruktur ist EU-gehostet, wobei einige US-Unterauftragsverarbeiter im Rahmen von Standardvertragsklauseln eingebunden sind. Cert-IX ist GDPR-konform; Einzelheiten finden Sie in der Datenschutzerklärung.

Best Practices

1. Stellen Sie Agenten in jeder Cloud-Umgebung bereit, damit die von Ihnen kontrollierten Workloads kontinuierlich inventarisiert und gescannt werden.
2. Scannen Sie öffentliche Endpunkte regelmäßig mit der Scan-API, um extern erreichbare Exposition frühzeitig zu erkennen.
3. Priorisieren Sie nach Schweregrad im Schwachstellenmanagement und behandeln Sie kritische und hohe Befunde zuerst.
4. Verfolgen Sie den Framework-Status in Compliance (Beta), um zu sehen, wie Cloud-Assets im Vergleich zu Ihren Zielkontrollen abschneiden.

Mehr erfahren

• Überblick Asset-Management — wie sich die Cloud in Ihr einheitliches Inventar einfügt
• Scanner-Agenten — Bitcollector, Bitscanner und Bitmapper in Ihren Cloud-Netzwerken bereitstellen
• Schwachstellenmanagement — wie Befunde eingestuft und behoben werden
• Überblick Scan-API — öffentliche Cloud-Endpunkte bei Bedarf scannen