Was ist ein CASB?

Ein Cloud Access Security Broker (CASB) ist eine Sicherheitskontrollstelle – die inline über ein Gateway oder durch direkte API-Integration mit SaaS-Anbietern bereitgestellt wird –, die zwischen den Benutzern und den Cloud-Anwendungen angesiedelt ist, um Unternehmen Einblick in die Cloud-Nutzung zu gewähren, Schatten-IT aufzudecken und risikobasierte Zugriffs- und Datenschutzrichtlinien für Daten durchzusetzen, die zu, von und innerhalb von Cloud-Diensten übertragen werden.

Die wichtigsten Erkenntnisse

• CASB bietet Transparenz und Kontrolle über die genehmigte und nicht genehmigte Nutzung von SaaS-Diensten.
• Inline-CASB überprüft den Datenverkehr in Echtzeit; API-CASB scannt bereits gespeicherte Daten.
• Bei der Erkennung von Schatten-IT wird jede Anwendung als „genehmigt“ oder „nicht genehmigt“ klassifiziert.
• CASB arbeitet mit DLP und ATP zusammen, um Uploads, Downloads, Freigaben und Beiträge zu überprüfen.
• CASB ist die SaaS-Kontrollkomponente von Security Service Edge (SSE) innerhalb von „ SASE “.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · CASB & Versa · Häufig gestellte Fragen

Warum ist CASB wichtig?

Mit der Umstellung der Anwendungen auf SaaS durchliefen die meisten Daten eines Unternehmens keine von der Sicherheitsabteilung kontrollierten Perimeter mehr. Die Mitarbeiter nehmen Cloud-Tools schneller in Gebrauch, als die IT-Abteilung sie genehmigen kann, und oft wird dieselbe Unternehmensdomain sowohl für den genehmigten Geschäftskunden als auch für das persönliche Konto eines Benutzers verwendet, sodass sich diese allein anhand des Anmeldebildschirms nicht voneinander unterscheiden lassen.

CASB schließt diese Lücke. Es deckt Schatten-IT auf – also die SaaS-Anwendungen, die Mitarbeiter ohne Wissen der IT-Abteilung nutzen – und wandelt das Risikoprofil jeder Anwendung in eine durchsetzbare Regel um: zulassen, blockieren oder unter Überwachung zulassen. Anschließend dehnt es die Durchsetzung auf die Daten selbst aus und kontrolliert Anmeldungen, Uploads, Downloads und Freigabeaktivitäten, damit eine „zugelassene“ Anwendung nicht in dem Moment zu einem unkontrollierten Exfiltrationsweg wird, in dem eine sensible Datei extern weitergegeben wird.

Was ist CASB?

Ein CASB setzt Richtlinien mithilfe von zwei sich ergänzenden Bereitstellungsmodellen durch. Ein Inline-CASB wird in den Datenpfad eingebunden – in der Regel als Reverse-Proxy hinter einem Secure Web Gateway –, überprüft Sitzungen in Echtzeit, während sich Benutzer anmelden, Inhalte hoch- oder herunterladen oder teilen, und wendet je nach Aktivität eine Zulassungs-, Sperr- oder Ablehnungsmaßnahme an. Ein API-CASB hingegen verbindet sich direkt mit der Verwaltungs-API eines SaaS-Mandanten und erkennt so, was bei der Inline-Überprüfung nicht sichtbar ist: bereits im Mandanten gespeicherte Daten sowie Freigabeereignisse wie beispielsweise die Veröffentlichung einer Datei.

Keiner der beiden Modi ist für sich allein vollständig. Ein Inline-CASB kann weder zertifikatsgebundene native Apps noch Aktivitäten im Browser-Cache erfassen; ein API-CASB kann nicht in eine laufende Sitzung eingreifen. Zusammen decken sie die Zugriffskontrolle in Echtzeit und die Datenverwaltung im Ruhezustand für dieselben SaaS- und IaaS-Mandanten ab.

Arten von CASB

CASB-Implementierungen werden im Allgemeinen danach beschrieben, wo die Durchsetzung stattfindet. Ein Forward-Proxy-CASB leitet den ausgehenden Datenverkehr über einen Agenten oder eine explizite Proxy-Konfiguration weiter, was am häufigsten bei verwalteten Endgeräten zum Einsatz kommt. Ein Reverse-Proxy-CASB (Inline) fängt den Datenverkehr am Gateway ohne Endgerätekonfiguration ab und überprüft die Sitzungen während ihres Durchlaufs – dies ist das Modell, das den meisten agentenlosen Lösungen mit Abdeckung aller Geräte zugrunde liegt. API-basierte (Out-of-Band-)CASBs stellen eine direkte Verbindung zur Verwaltungs-API des SaaS-Anbieters her, anstatt sich im Datenpfad zu befinden. Dies ist die einzige Möglichkeit, bereits gespeicherte Daten zu überprüfen oder Änderungen weiterzugeben, die niemals Live-Datenverkehr erzeugen. Ausgereifte Implementierungen kombinieren einen Inline-Modus mit einem API-basierten Modus, anstatt sich allein auf einen davon zu verlassen, da jeder Modus Szenarien abdeckt, die der andere strukturell nicht abdecken kann.

CASB & Versa

VersaDas CASB des Unternehmens ist in den VOS™-Datenpfad integriert und wird als Teil der „ SASE “-Architektur bereitgestellt, wobei sowohl Inline- als auch API-Bereitstellungsmodelle zur Verfügung stehen. Das Inline-CASB läuft als Software und nutzt die Deep-Packet-Inspection von VOS über das „ Versa “-Cloud-Gateway oder eine VOS-Appliance. Es unterstützt rund 80 SaaS-Anwendungen mit einer Risikoklassifizierung in fünf Stufen, die als CASB-Profile konfiguriert sind und einer Internet-Schutzregel in Director oder Concerto zugeordnet werden.

Das API-Modell, das in Concerto als API-DP-Konnektoren konfiguriert ist, überprüft bereits in einem Mandanten gespeicherte Daten und reagiert auf Freigabeereignisse, wobei es zur Behebung von Sicherheitsrisiken mit DLP- und Advanced Threat Protection-Profilen zusammenarbeitet. Bewährte Verfahren für die CASB-Sicherheit empfehlen, beide Modi für jeden betroffenen Mandanten einzusetzen und dabei eine Klassifizierung der Schatten-IT sowie Mandantenbeschränkungs-Header zu integrieren, die die Exfiltration in persönliche Cloud-Konten verhindern. Administratoren verfolgen die Aktivitäten über die CASB-Registerkarten in den Sicherheits-Dashboards von Concerto.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Inline-CASB und einem API-CASB?

Ein Inline-CASB wird in den Datenfluss eingebunden und überprüft Sitzungen in Echtzeit, während sich Benutzer anmelden, Inhalte hochladen oder teilen. Ein API-CASB verbindet sich direkt mit der Verwaltungs-API eines SaaS-Mandanten, um bereits gespeicherte Daten zu überprüfen, die bei einer Inline-Überprüfung nicht erfasst werden.

Ersetzt CASB eine Firewall oder ein Secure Web Gateway?

Nein. CASB ist eine ergänzende Kontrollmaßnahme, die speziell auf die Aktivitäten von SaaS- und Cloud-Anwendungen ausgerichtet ist und nicht auf den allgemeinen Netzwerkverkehr. Sie wird in der Regel zusammen mit einem Secure Web Gateway und einer Next-Generation-Firewall eingesetzt, häufig als Teil einer konvergenten SSE- oder „ SASE “-Plattform und nicht als eigenständige Appliance.

Was ist Schatten-IT und wie geht CASB damit um?

Unter „Shadow-IT“ versteht man die Nutzung von Cloud-Anwendungen, die ohne Wissen oder Genehmigung der IT-Abteilung erfolgt. CASB ermittelt, welche Anwendungen genutzt werden, bewertet deren Risiko und ermöglicht es Administratoren, jede einzelne Anwendung als „zugelassen“ oder „nicht zugelassen“ einzustufen, sodass diese Einstufung als Zulassungs- oder Sperrregel durchgesetzt werden kann.

Kann CASB nicht nur Daten während der Übertragung, sondern auch bereits in einer SaaS-Anwendung gespeicherte Daten schützen?

Ja – genau das ist die Aufgabe von API CASB. Durch die direkte Anbindung an die Verwaltungs-API des SaaS-Anbieters scannt es bereits gespeicherte Inhalte, überwacht Änderungen bei der Freigabe und kann Verstöße unter Quarantäne stellen oder beheben, ohne dass der Datenverkehr überhaupt ein Gateway passieren muss.

In welchem Zusammenhang steht CASB mit „ SASE “ und SSE?

CASB ist neben dem Secure Web Gateway, ZTNA und DLP einer der Kerndienste innerhalb von Security Service Edge (SSE). SSE ist der Sicherheitsbereich von „ SASE “, sodass CASB den Anwendern nicht als eigenständiges Produkt, sondern als Teil der umfassenderen „ SASE “-Struktur zur Verfügung steht.

Mehr zum Thema CASB

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über CASB informieren, sollten Sie sich als Nächstes diese Artikel ansehen.