Überblick
Agentless Scanning ist ein Ansatz für Cloud-Sicherheit, der Umgebungen auf Schwachstellen prüft, ohne Software-Agenten auf Workloads zu installieren. Stattdessen nutzt der Ansatz die APIs der Cloud-Anbieter und die Analyse temporärer Snapshots, um alle Cloud-Ressourcen zu erfassen und zu bewerten.
Zentrale Vorteile
Agentless Scanning bietet mehrere Vorteile:
Vollständige Abdeckung: Über Cloud-APIs werden alle Ressourcen automatisch erkannt.
Schnelles Deployment: Die Anbindung erfolgt innerhalb weniger Minuten auf Organisationsebene.
Keine Leistungseinbußen: Da das Scanning außerhalb der aktiven Workloads stattfindet, entstehen keine zusätzlichen CPU- oder Arbeitsspeicherlasten.
Umfassende Transparenz: Temporäre verschlüsselte Snapshots ermöglichen eine detaillierte Analyse von Speichervolumes in isolierten Umgebungen.
Funktionsweise
Agentless Scanning kombiniert zwei zentrale Mechanismen:
API-basierte Inventarisierung: Über Berechtigungen mit ausschließlichem Lesezugriff werden Cloud-Ressourcen katalogisiert und Konfigurationen, Netzwerkeinstellungen sowie Berechtigungen analysiert.
Snapshot-Analyse: Für Speichervolumes – etwa EBS in AWS, Managed Disks in Azure oder Persistent Disks in GCP – erstellt Agentless Scanning temporäre, verschlüsselte Snapshots. Diese werden anschließend in separaten, isolierten Umgebungen analysiert.
Agentless im Vergleich zu Agent-Based
Die beiden Ansätze erfüllen unterschiedliche Zwecke:
| Funktion | Agentless | Agent-Based |
|---|---|---|
| Abdeckung | Alle Ressourcen werden automatisch erkannt | Nur dort, wo Agenten installiert sind |
| Deployment | Minuten | Tage bis Wochen |
| Leistungseinfluss | Keiner | 1–5 % CPU-/Arbeitsspeicherlast |
| Ideal für | Erkennung von Schwachstellen, Compliance | Runtime-Bedrohungserkennung, EDR |
Die meisten Unternehmen kombinieren beide Ansätze: Agentless sorgt für eine umfassende Erkennung, agentenbasierte Tools übernehmen die Bedrohungserkennung in Echtzeit auf kritischen Workloads.
Multi-Cloud-Deployment
Die Einrichtung unterscheidet sich je nach Cloud-Plattform. In AWS erfolgt die Anbindung über eine Cross-Account-IAM-Rolle mit der Managed Policy SecurityAudit sowie den erforderlichen Snapshot-Berechtigungen. In Azure wird in der Regel ein Service Principal mit der Rolle Reader auf Ebene des Abonnements oder der Verwaltungsgruppe verwendet.
Für GCP kommt ein Service-Konto mit den Rollen Viewer und Cloud Asset Inventory zum Einsatz. Wenn die Analyse von Festplatten aktiviert ist, werden zusätzlich Snapshot-Berechtigungen benötigt.
Absicherung
Zu den zentralen Sicherheitspraktiken gehören:
Verschlüsselung: Eine sichere Implementierung von Agentless Scanning beginnt mit verschlüsselten Snapshots, die über kundenverwaltete Schlüssel in AWS KMS, Azure Key Vault oder GCP Cloud KMS geschützt werden.
TLS 1.3: Für die API-Kommunikation gelten die aktuellen Verschlüsselungsstandards.
Private Endpunkte wie AWS PrivateLink oder Azure Private Link sorgen dafür, dass der Scan-Datenverkehr das Netzwerk des Cloud-Anbieters nicht verlässt.
IAM-Guardrails: Berechtigungsgrenzen und bedingte Zugriffsrichtlinien beschränken die Scanner-Identität auf bestimmte VPC-Endpunkte und IP-Bereiche.
Datenresidenz: Alle Daten werden innerhalb bestimmter Regionen verarbeitet, um die Anforderungen der DSGVO und der Datensouveränität zu erfüllen.
Leistungsoptimierung
Agentless Scanning lässt sich auch bei großen Cloud-Umgebungen effizient betreiben. Inkrementelle Scans analysieren ausschließlich die seit dem letzten Scan geänderten Festplattenblöcke und reduzieren dadurch die übertragene Datenmenge erheblich. Gleichzeitig bündeln intelligente Batch-Verfahren API-Anfragen, um Ratenlimits einzuhalten. Ressourcenintensive Scan-Vorgänge lassen sich außerdem außerhalb der Spitzenzeiten planen, sodass API-Drosselungen vermieden werden.
CI/CD-Integration
Agentless Scanning lässt sich bereits früh in CI/CD-Pipelines integrieren und unterstützt damit einen Shift-Left-Ansatz für Cloud-Sicherheit.
Infrastructure as Code (Terraform, CloudFormation, Kubernetes-Manifeste) wird bereits vor dem Deployment geprüft.
Fehlkonfigurationen und offengelegte Secrets werden sofort markiert.
Builds werden so lange blockiert, bis die Sicherheitsprobleme behoben sind.
Unterstützung von Compliance-Frameworks
Agentless Scanning unterstützt zahlreiche Compliance-Anforderungen:
ISO 27001: Unterstützt Asset-Inventarisierung, Schwachstellenmanagement und technische Sicherheitskontrollen.
SOC 2: Er unterstützt die Systemüberwachung und die Erkennung von Anomalien.
PCI DSS: Er ermöglicht das vierteljährliche Scannen auf Schwachstellen und die Erkennung von Änderungen.
HIPAA: Er liefert Risikoanalysen und Prüfkontrollen.
FedRAMP: Er erfüllt die Anforderungen für Schwachstellenscans und an die Inventarisierung von Komponenten.
Alle Scan-Aktivitäten werden über native Audit-Trails protokolliert (CloudTrail, Activity Logs, Cloud Audit Logs) und stehen für Compliance-Audits bereit.
Monitoring und Fehlerbehebung
Treten Probleme beim Agentless Scanning auf, liegen die Ursachen häufig bei fehlenden Berechtigungen oder Netzwerkbeschränkungen. IAM-Fehler lassen sich meist durch die Prüfung der SecurityAudit-Richtlinie, der Snapshot-Berechtigungen und der KMS-Freigaben beheben. Verbindungsprobleme weisen häufig auf falsch konfigurierte Netzwerksicherheitsgruppen oder private Endpunkte hin.
Abdeckungslücken entstehen meist durch neu bereitgestellte Ressourcen, die noch nicht erfasst wurden. Darüber hinaus lohnt sich ein Blick auf die API-Auslastung, um Ratenlimits frühzeitig zu erkennen und Scan-Prozesse entsprechend anzupassen.
Kostenoptimierung
Die größten Kosten entstehen in der Regel durch Snapshots für tiefgehende Scans sowie durch API-Aufrufe für Inventarisierung und Konfigurationsanalysen. Deshalb empfiehlt es sich, temporäre Snapshots unmittelbar nach der Analyse zu löschen und ressourcenintensive Vorgänge außerhalb der Spitzenzeiten auszuführen. Kostenzuordnungs-Tags erleichtern zudem die transparente Zuordnung der Sicherheitsausgaben zu Teams oder Projekten.
Erweiterte Konfigurationen
Mit zunehmender Reife der Programme ergeben sich weitere Möglichkeiten:
Organisationsspezifische Richtlinien mit Open Policy Agent (OPA) definieren
Eigene Risk-Scoring-Modelle einsetzen
Ergebnisse per Webhook an SIEM-Systeme weiterleiten
Ticketing-Systeme wie Jira oder ServiceNow integrieren
Eigene Detektoren für Shadow IT, Configuration Drift und Kostenanomalien entwickeln
Fazit
Agentless Scanning bietet einen schnellen Einstieg in die Cloud-Sicherheit, weil sich Ressourcen ohne zusätzliche Software erfassen und analysieren lassen. Besonders in Multi-Cloud-Umgebungen schafft der Ansatz einen umfassenden Überblick über Assets, Fehlkonfigurationen und Schwachstellen. In Kombination mit agentenbasierten Sicherheitslösungen entsteht eine durchgängige Sicherheitsstrategie, die sowohl Transparenz als auch Laufzeitschutz gewährleistet.