eco Verband: Clouditor ist jetzt Open Source

[English]Noch eine kurze Info des eco-Verbands, die mich kürzlich erreichte. Der Clouditor zur Überprüfung von Zertifizierungen für Cloud-Services wurde von Fraunhofer AISEC entwickelt und ist jetzt auf GitHub als Open Source verfügbar.

Dynamische Zertifizierungen für Cloud-Services ermöglichen es, die kritische Anforderungen an Cloud-Services kontinuierlich und (teil-)automatisiert zu überprüfen. Ein Ergebnis der Forschung und Entwicklung in diesem NGCert – Next Generation Certification genannten Bereich ist Clouditor.

Clouditor ist ein Tool, das eine kontinuierliche Cloud-Assurance unterstützt. Hauptziel ist es, kontinuierlich zu evaluieren, ob eine Cloud-basierte Anwendung (erstellt mit z.B. Amazon Web Services (AWS) oder Microsoft Azure) sicher konfiguriert ist und damit den Sicherheitsanforderungen entspricht, die z.B. durch den Cloud Computing Compliance Controls Catalogue (C5) des Bundesamtes für Sicherheit in der Informationstechnik (BSI) oder die Cloud Control Matrix (CCM) der Cloud Security Alliance (CSA) definiert sind.

Dieses Assurance-Werkzeug, das die sichere Konfiguration von Diensten und Anwendungen in der Cloud überprüft, stellen die Projektpartner nun erstmals als Open Source Community Version zur Verfügung.

„Die kontinuierliche Ausführung maßgeschneiderter Checks erlaubt eine hohe Genauigkeit und präzise Aussagen über die erforderlichen Konfigurationen", sagt Andreas Weiss, Director EuroCloud Deutschland. „Indem die kostenfreie Community Edition des Tools Open Source zur Verfügung gestellt wird, können nun noch mehr Unternehmen von den Vorteilen des Clouditor profitieren: Die Ergebnisse sind unmittelbar nach Ausführung der Checks verfügbar – was eine prompte Reaktion auf detektierten Abweichungen erlaubt."

„Gerade kleine und mittelständische Unternehmen können vom Einsatz Cloud-basierter Ressourcen enorm profitieren, etwa durch schnelleres Time-to-Market und skalierbares Wachstum", sagt Dr. Philipp Stephanow, Senior Researcher am Fraunhofer AISEC und Leiter des Projekts. "So können innovative Idee um Größenordnungen schneller realisiert werden. Doch diese Flexibilität bringt neue Verantwortung mit sich, denn die Kontrolle über ihre Daten und der Überblick über ihre Compliance müssen trotz wachsender Komplexität soweit wie möglich gewährleistet sein. Hier liegt der Fokus des Clouditors: Das Werkzeug unterstützt als digitaler Auditor und hilft so, Geschäftsrisiken frühzeitig zu erkennen und entsprechende Gegenmaßnahmen einzuleiten."

Im Forschungsprojektes "NGCert" sind die Anforderungen an ein entsprechendes Assurance-Werkzeug zur Überprüfung von Cloud-Services bis zum Piloten evaluiert, getestet und schließlich vom Fraunhofer AISEC zum "Clouditor" weiterentwickelt worden. Der Clouditor unterstützt aktuell über 60 Checks für Amazon Web Services (AWS) und Microsoft Azure. Er basiert auf Security Best Practices, also auf Klassifikationen, von Konfigurationskatalogen, die benutzerdefiniert angepasst werden können.

Der Clouditor zeichnet sich im Gegensatz zu herstellergebundenen Compliance-Diensten durch Neutralität und Transparenz aus: Auf Open-Source-Basis konzipiert ist der Clouditor ab sofort auch als Community-Edition verfügbar: https://github.com/clouditor