TM1: Security Big Picture

Asset Profile

Zeitaufwand: 30 Minuten. Fokus: Mindestanforderungen und SKE-Governance. Lernziele: das Shared-Responsibility-Modell bei STACKIT verstehen und einen Überblick über die Build-, Netzwerk- und Runtime-Verteidigungslinien gewinnen.

1. Motivation: warum Cloud-Security anders ist

Anders als traditionelle On-Premises-Umgebungen, die auf Boundary Security setzen, basiert die Cloud auf dem Shared-Responsibility-Modell.

• STACKIT-Verantwortung: STACKIT sichert die Cloud selbst ab, einschließlich Rechenzentren, Hardware und Host-Betriebssystem.
• Nutzer-Verantwortung: Der Nutzer sichert alles in der Cloud ab, einschließlich Netzwerkkonfiguration, Verschlüsselung, Anwendungssicherheit und Daten.

---

2. Das Security Big Picture (Verteidigungslinien)

Die Sicherheitsarchitektur der STACKIT Kubernetes Engine ist in drei Verteidigungslinien organisiert.

A. Build (Shift Left)

Code- und Supply-Chain-Security

• 4-Augen-Prinzip: Verpflichtende Reviews sind für jeden Pull Request erforderlich.
• Vulnerability Scanning: Snyk identifiziert Schwachstellen in Bibliotheken.

B. Network

ACLs und Verschlüsselung

• SKE-ACLs: Der Zugriff auf die Control Plane ist strikt eingeschränkt und nutzt niemals 0.0.0.0/0.
• TLS und Ingress: Cert-Manager übernimmt das Zertifikatsmanagement für alle Einstiegspunkte.

C. Runtime

Runtime-Security und Zero Trust

• SentinelOne: Endpoint-Detection-and-Response-Schutz (EDR) läuft direkt auf den Kubernetes-Nodes.
• Istio Service Mesh: Istio erzwingt mTLS für verschlüsselte Pod-zu-Pod-Kommunikation und Zero-Trust-Durchsetzung.

---

3. Modulares Pipeline-Konzept für Security

Security wird als Code definiert und automatisch ausgerollt.

1. Templates: Vorgefertigte Security-Module sind in der CI/CD-Pipeline integriert.

2. Secrets Manager: Anmeldedaten werden sicher über HashiCorp Vault abgerufen.

3. Automatisierte Guardrails: ACLs werden während des Deployments temporär geöffnet und automatisch wieder verschlossen.

---

4. Referenzmatrix

Seitlich wischen, um die ganze Tabelle zu sehen

Layer	Maßnahme	Policy / Tool
Code	Snyk, Reviews	Vulnerability Management
Control Plane	STACKIT SKE ACLs	SKE Access Control
Network	TLS, mTLS	Cert-Manager / Istio
Workload	SentinelOne	Endpoint Protection