Das bemerkenswerte Ergebnis dieser langen Debatte kam erst jüngst zustande: Zwei der führenden Anbieter agentenloser Sicherheitslösungen brachen ein und kündigten Partnerschaften mit Anbietern von agentenbasierter Laufzeitsicherheit und CWPP (Cloud Workload Protection Platforms) an. Beide hatten zuvor jahrelang hartnäckig propagiert, dass Agenten „alte Schule“ seien und dass „agentenbasierte Sicherheit tot“ sei.

Die Branche im Allgemeinen und speziell Unternehmen, die agentenlose Sicherheitslösungen nutzen, sollten dies zur Kenntnis nehmen. Denn inmitten des Branchenhypes um agentenlose Sicherheit hatten viele Unternehmen ihre Cloud-Umgebungen mit Produkten abgesichert, die ausschließlich auf agentenlose Lösungen setzten. Doch da der Ansatz fehlerhaft ist, sind diese Cloud-Umgebungen heute nicht ausreichend abgesichert.

Lückenhafter Schutz für Cloud-Umgebungen

So mancher IT-Sicherheitsexperte auf Unternehmensseite hatte sich von Anbietern, die den agentenlosen Ansatz propagierten, in Sicherheit wiegen lassen. Das Mantra dieser Anbieter lautete in etwa so: „Ihr Unternehmen ist sicher, weil Sie keine Fehlkonfigurationen in Ihrer Public-Cloud-Umgebung haben.“ Diese Annahme ist jedoch grundlegend falsch. Denn sie lässt die Hälfte aller Angriffe außer Acht, die nun mal auf Public Clouds abzielen.

Angriffe auf gespeicherte Daten können dort von agentenlosen Überwachungslösungen nicht erkannt, geschweige denn blockiert werden. Es ist zwar richtig, dass agentenlose Lösungen gute Sichtbarkeit, grundlegende Compliance und Posture Management bieten. Ihnen fehlen jedoch wichtige Funktionen, die für den Schutz von Anwendungen zur Laufzeit oder das Stoppen von Angriffen in der Produktion zwingend erforderlich sind.

Die grundlegenden Probleme agentenloser Sicherheit

Da agentenlose Scans in der Regel einmal alle 24 Stunden durchgeführt werden, liefern sie nur eine Momentaufnahme zu einem bestimmten Zeitpunkt. Angesichts der dynamischen und flüchtigen Natur von Cloud-Workloads kann es sein, dass ein Workload zum Zeitpunkt des nächsten Scans nicht einmal mehr ausgeführt wird. Das bedeutet: Kriminelle haben viel Zeit, um in die Umgebung einzudringen und innerhalb von Minuten oder gar Sekunden nach einem erfolgreichen Angriff wieder zu verschwinden. Leider bedeutet die harte Realität nur ausschließlich agentenloser Lösungen, dass man die meiste Zeit im Blindflug unterwegs ist. Dies spielt den hochentwickelten Angreifern in die Hände. Denn sie können diese lückenhafte Erkennung mit ihren modernen Techniken, wie beispielsweise dateiloser Malware, einfach spurenlos umgehen. Agentenlose Lösungen übersehen diese Art von Bedrohungen, da sie nicht in der Lage sind, den Prozess zu sehen, der im Speicher von einem statischen Festplatten-Image ausgeführt wird. Derartige Lösungen nehmen eine Kopie eines Festplattenabbilds und nicht den tatsächlich ausgeführten Code auf. Selbst wenn ein Angriff aus diesem Abbild erfolgreich identifiziert wird, wird nur eine Warnung über das Problem ausgegeben, anstatt den Angriff proaktiv zu blockieren.

Kombinierter Ansatz nötig

Trotz dieser Einschränkungen lässt sich nicht leugnen, dass agentenlose Sichtbarkeit eine schnelle, reibungsarme und weniger invasive Methode der Sicherheitsüberwachung bietet, die nützlich ist. Doch beispielsweise in einer Produktionsumgebung steht zu viel auf dem Spiel. Sensible Workloads erfordern Sicherheit und Schutz in Echtzeit. Die Verwendung agentenbasierter Sicherheit liefert nicht nur die erforderliche Echtzeitüberwachung und -berichterstattung, sondern auch die automatische und proaktive Reaktion auf Sicherheitsvorfälle, die für eine wirklich robuste Sicherheitsstrategie entscheidend sind. Unternehmen stehen also vor der zentralen Frage, welcher Ansatz der Beste ist. Die Entscheidung ist tatsächlich kein simples für oder gegen Agenten. Denn abhängig von spezifischen Bedürfnissen und Anforderungen ist eine Kombination aus agenten- und agentenloser Sicherheit der ideale Weg, der das Beste aus beiden Welten bietet.

Integrierte Plattform sinnvoll

Der Versuch, Laufzeit-Agenten von Drittanbietern einzusetzen, um den schwierigsten Teil des Workload-Schutzes zu bewältigen, birgt jedoch die Gefahr, dass sich die Tools weiter ausbreiten, die Übersicht verloren geht und der Laufzeitschutz fragmentiert wird. Wenn Unternehmen also eine optimierte und umfassende Sicherheit erreichen wollen, die Anwendungen von der Entwicklung bis zur Laufzeit – und unabhängig vom Einsatzort – vor Angriffen schützt, sollten sie idealerweise eine einzige integrierte Plattform verwenden, die sowohl agentenbasierten als auch agentenlosen Schutz bietet.

Fazit: Ein Schritt in die richtige Richtung

Immer mehr Anbieter agentenloser Sicherheitslösungen kündigen derzeit Partnerschaften mit Herstellern an, die agentenbasierte Lösungen anbieten. Der Streit über agentenlose oder agentenbasierte Sicherheit ist aus meiner Sicht damit endlich beendet.

Das ist eine gute Nachricht, denn sie verschafft Nutzern in der IT-Security die dringend benötigte Klarheit darüber, was erforderlich ist, um Angriffe auf Cloud-Anwendungen effektiv zu erkennen und zu verhindern: Für einen wirksamen Schutz in der Cloud sollten beide Ansätze kombiniert werden. Um dafür nicht mehrere Lösungen parallel einsetzen zu müssen, sollten Unternehmen auf Plattformen setzen, die sowohl agentenbasierte als auch agentenlose Technologien einsetzen. Dies bietet einheitliche Transparenz über Cloud-Workloads und mit dem gesamten Kontext gleichzeitig aktiven Schutz über den gesamten Lebenszyklus, um Risiken zu verstehen und Sicherheitsprobleme zu priorisieren.

Über Arne Jacobsen
Arne Jacobsen ist Director Sales EMEA bei Aqua Security. Der Diplom-Kaufmann verfügt über 20 Jahre Erfahrung in der IT- und Sicherheitsbranche und hatte im Verlauf seiner Karriere verschiedene Positionen im führenden Management bei Security-Anbietern inne. Sein Schwerpunkt ist Cybersecurity und Vulnerability Management. Bevor er zu Aqua kam, war Jacobsen Sales Director EMEA bei IBM Resilient.