Next Generation Cloud: Edge-Computing : Was muss bei der sicheren Nutzung von Edge-Computing beachtet werden?
Wer Edge-Computing nutzt, muss sich mit besonderen sicherheitstechnischen Herausforderungen befassen: Komplexität, exponierte Einsatzorte und der hohe Vernetzungsgrad zählen zu den wichtigsten Aspekten. Es bedarf einer ausgereiften Methodik, um diese Technologie bestmöglich abzusichern.
Von Marion Demand, Referat Virtualisierung und Trennungsmechanismen, und Katharina Kaus, T22, Cloud-Sicherheit
Edge-Computing ist eine „Next–Generation-Cloud-Computing- Technologie“. Es ist ein Verfahren, bei dem Services zur Verarbeitung von Daten unmittelbar an der logischen „Randstelle“ (Edge) eines Netzes eingesetzt werden – der Weg zur und von der Cloud entfällt dadurch. Edge-Computing wird meist, ähnlich wie Cloud-Dienste, serviceorientiert von externen Anbietern zur Verfügung gestellt.
Die Technologie eignet sich aufgrund der kurzen Transportwege besonders für Anwendungen mit hohen Datenvolumina oder mit Echtzeitanforderungen. Sie bietet aufgrund der Ortsgebundenheit auch Vorteile bei spezifischen Compliance-, Governance- oder Geheimschutzvorschriften. Edge-Computing wird als eigenständige Komponente oder integriert in Endgeräte oder Netztechnologien eingesetzt – vor allem in den Bereichen Industrial Internet of Things (IIoT), IoT für die Gesellschaft sowie Datenverarbeitung und Enterprise-Security.
Vernetzung und Ebenen
Neben den Endgeräten wird in vielen Use-Cases mit Cloud-Diensten zusammengearbeitet. Abbildung 1 zeigt schematisch das Zusammenspiel von Edge-Komponenten, Cloud-Systemen und Endgeräten. Sie zeigt eine Edge-Ebene, die zusätzlich unterteilt ist in „innen“ und „außen“ – das hilft bei der Sicherheitsbewertung zur Differenzierung von Edge-Komponenten innerhalb und außerhalb des Endgerätenetzes. Bei der Anwendung können sich die modellhaften Grenzen überschneiden.
Ebenen im Endgerätenetz
Im Netz der Endgeräte liegen die Endgeräte-Ebene und die innere Edge-Ebene. In der Endgeräte-Ebene befinden sich Kameras, Sensoren, Aktoren und ähnliche Komponenten. Diese liefern Daten zur Verarbeitung an oder nehmen die Ergebnisse aus der Verarbeitung entgegen. In einigen Fällen erfolgt die Datenverarbeitung bereits im Endgerät, wodurch es keine klare Abgrenzung zwischen Endgeräte-Ebene und Edge-Ebene mehr gibt.
Auf der inneren Edge-Ebene werden über verteilte Systeme dynamisch Edge-Dienste für eine schnelle und lokal sehr nahe Verarbeitung der Endgeräte-Daten zur Verfügung gestellt. Dies können beispielsweise Sensordaten sein, die für eine zeitkritische Steuerung eines Aktors benötigt werden. Außerdem können einzelne Daten zur langfristigen Weiterverarbeitung an die äußere Edge- und/ oder Cloud-Ebene weitergegeben werden.
Diese Trennung zur Endgeräte-Ebene wird für die Sicherheitsbetrachtung notwendig, wenn beispielsweise fremdadministrierte Edge-Komponenten in das Endgerätenetz eingebracht werden. An dieser Stelle wird eine netztechnische Separation innerhalb des Gesamtnetzes zwischen Endgeräten oder anderen Geräten des Anwenders und Edge-Komponenten notwendig.
Ebenen außerhalb des Endgerätenetzes
Außerhalb des Endgerätenetzes befinden sich die äußere Edge-Ebene und die Cloud-Ebene. In der äußeren Edge-Ebene (manchmal auch Fog-Ebene genannt) werden dynamisch Edge-Dienste zur Verfügung gestellt, die beispielsweise Berechnungen für die Cloud Ebene vornehmen. Sie hilft bei der Datenreduktion und übernimmt ortsabhängige Aufgaben für die innere Edge- und Endgeräte-Ebene. Da sich diese Ebene außerhalb des Endgerätenetzes und der Cloud befindet, wird auch hier modellhaft eine von den anderen Ebenen separierte Ebene eingefügt, um eine methodische Sicherheitsbetrachtung zu ermöglichen.
In der Cloud-Ebene werden Cloud-Dienste dynamisch und skalierbar in Rechenzentren bereitgestellt, die direkt oder über Edge Komponenten der inneren oder äußeren Edge-Ebene genutzt werden können.
Sicherheits-Bewertung
Bei Edge-Computing werden keine neuartigen IT-Systeme eingesetzt – die Edge-Komponenten bestehen aus bekannten IT-Einzelsystemen, Netzelementen und Cloud-Strukturen, deren Absicherung in zahlreichen Standards bereits ausführlich beschrieben ist. Dennoch entstehen neue Gefährdungen durch
- hohe Komplexität: bei der dynamischen Kombination der Einzelsysteme und der Komponenten miteinander, der unterschiedlichen Komponentenarten und bei der Integration in Endgeräte oder Netzkomponenten
- eine hohe Vernetzung
- Dezentralisierung
- die teilweise ungewöhnlichen und/oder exponierten Einsatzorte
- die Verarbeitung von teilweise außergewöhnlichen Datenformaten oder andere Use-Case-bezogene Besonderheiten
- die Fremdadministration von Komponenten im Endgerätenetz
Das BSI empfiehlt ein strukturiertes Vorgehen bei der Absicherung und hat hierzu Anfang 2024 eine Cybersicherheitsempfehlung [1] veröffentlicht: Dieser Praxisleitfaden beantwortet nicht nur Fragen rund um den Einsatz der Komponenten, sondern regt auch dazu an, weit im Vorfeld Überlegungen anzustellen, welche Aspekte bei anderen die Nutzung betreffenden Phasen wie Planung, Beschaffung und Beendigung der Nutzung beachtet werden sollten.
In der Betrachtung der Einsatzphase wird explizit auf die oben aufgezählten Herausforderungen eingegangen. Anhand von drei Use-Cases (Predictive Maintenance aus dem Bereich Industrial IoT, Verkehrssteuerung aus dem Bereich IoT für die Gesellschaft und Hochfrequenzhandel aus dem Bereich Datenverarbeitung und Enterprise Security) wird die Herangehensweise vorgestellt. Es wird deutlich, welche Gefährdungen bei diesen Anwendungsfällen vorliegen können und mit welchen Sicherheitsmaßnahmen das Risiko reduziert werden kann.
Literatur
[1] Bundesamt für Sicherheit in der Informationstechnik (BSI), Sichere Nutzung von Edge-Computing, BSI Cybersicherheitsempfehlung 148, Version 1, Dezember 2023, www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_148.pdf