クラウドネイティブアプリケーション保護プラットフォーム (CNAPP) は、クラウドセキュリティの潜在的な脅威や脆弱性の監視、検出、対処を簡素化するオールインワンのクラウドネイティブソフトウェアプラットフォームです。DevSecOpsを採用する組織が増え、組織はクラウドネイティブのアプリケーションセキュリティの確保、ビジネスクリティカルなワークロードの保護、運用の合理化の方法を模索しています。CNAPPは、複数のツールと機能を単一のソフトウェアソリューションに統合することで、複雑さを最小限に抑え、DevOpsとDevSecOpsチームの運用を容易にします。CNAPPは、開発から本番運用までのCI/CDアプリケーションのライフサイクル全体を通じて、エンドツーエンドのクラウドとアプリケーションセキュリティを実現します。

CNAPPが解決する問題

CNAPPは、最新のクラウドセキュリティ監視、ポスチャ管理、侵害防止、管理ツールに対する業界のニーズに対応します。CNAPPでは、可視性の向上、リスクの定量化、安全なソフトウェア開発、統合されたクラウドセキュリティソリューションを提供することで、これらを実現しています。

1. 可視性の向上とリスクの定量化

CNAPPは、複数のクラウドセキュリティ機能を単一ソリューションに統合し、クラウドインフラストラクチャに関連するリスクの全体的な可視性を高めます。CNAPPソリューションを使用することで、セキュリティチームがクラウド環境のリスクを定量化して対応できるようになります。

2. 複合クラウドセキュリティソリューション

CNAPPは、プラットフォームとソフトウェアソリューションの間での情報交換が不要な、エンドツーエンドのクラウドインフラストラクチャセキュリティソリューションを意図したものです。CNAPPでは、クラウド環境に関連するすべてのレポート、スキャン、脅威の検知が単一のソフトウェアソリューションに統合されているため、複数のツールやソフトウェアの管理に関連する人的エラーを最小限に抑えることができ、また、脅威が検知されてからチームに通知するまでの時間が短縮されます。

3. 安全なソフトウェア開発

CNAPPによりスキャンが可能になり、設定ミスに迅速に対応できるようになります。継続的インテグレーションと継続的デリバリー (CI/CD) パラダイムを実装するソフトウェア開発チームが増えています。CNAPPをCI/CDアクティビティに簡単に統合して、コードとしてのインフラストラクチャ (IaC) 設定などの変更をスキャンし、安全でないクラウド展開をブロックできます。

CNAPPの特徴と機能

CNAPPには、通常、クラウドインフラストラクチャとサービスのスキャンと保護に役立つ多くのツールがパッケージ化されています。また、DevOpsやDevSecOpsのパイプラインや運用に統合して、ソフトウェア開発のアクティビティのクラウドセキュリティを強化することもできます。

CNAPPのすべてのソリューションでは、クラウドアプリケーションセキュリティツールを提供しますが、その機能は一般的にベンダー固有のものです。CNAPPの最も一般的な機能をいくつか確認してみましょう。

クラウドセキュリティポスチャ管理 (CSPM)

クラウドセキュリティポスチャ管理 (CSPM) は、クラウドリソースの流出や潜在的なセキュリティインシデントにつながる設定ミスを検出、防止、修復するために設計されたソフトウェアソリューションです。CSPMソリューションは、クラウドのリソースとアクティビティが業界の規制とコンプライアンスの義務に準拠していることも保証します。リソースが準拠していない場合、セキュリティチームはそれらに対処するためのアラートを受け取ります。CSPMは、可視性とアラートを提供するだけでなく、セキュリティギャップを解消し、標準的な基準と健全なセキュリティポスチャを維持するためのガイド付き修復や自動修復も提供します。CSPMは、セキュリティリスクの分析と監視だけでなく、脅威が発生した場合のインシデント対応にも使用できます。DevOps CI/CDパイプラインでCSPMスキャンを使用すれば、新しいIaC定義がクラウドアイデンティとアクセス管理ポリシーに準拠していることを確認することもできます。

コードとしてのインフラストラクチャ (IaC) スキャン

コードとしてのインフラストラクチャ (IaC) ツールを使用すると、設定ファイルまたは実際のコードを使用してクラウドアーキテクチャとサービスを定義できます。設定ファイル用の最も一般的なIaCツールとして、Terraform、Serverless Framework、AWS CloudFormationがあります。コードについては、Cloud LemmDevelopment Kit for Terraform (CDKTF) が最も一般的なツールの1つです。

IaCスキャンは、クラウドの設定ミスのリスクを最小限に抑えるための自動化の一形態です。これは、コードレビューと同様に、CI/CDパイプラインフェーズでスキャンプログラム自体が作成したクラウドインフラストラクチャの設定ファイルのコード品質を保証するための手段です。IaCスキャンは手動で起動することもできます。これは、新しいコードなどのセキュリティの検証に役立つIaCコードを開発する際に役立ちます。

IaCスキャンツールは、設定ファイル（TerraformのHCLファイルなど）をスキャンして、脆弱性や設定ミスを検出し、脆弱なネットワークの露出、コンプライアンス違反、リソースアクセスポリシーの最小特権の原則の違反などの問題を検出できます。

クラウドワークロード保護プラットフォーム (CWPP)

クラウドワークロード保護プラットフォーム (CWPP) ソリューションは、クラウドインフラストラクチャのワークロードをセキュリティ脅威から保護するのに役立ちます。CWPPは、VM、データベース（SQLとNoSQL）、API、コンテナ、Kubernetesなどのクラウドプロバイダーサービスからのさまざまなワークロードに対応します。CWPPは、サイバーセキュリティの脅威を防止して本番運用を円滑化するための修正を検出して提案します。

クラウドサービスネットワークセキュリティ (CSNS)

クラウドサービスネットワークセキュリティソフトウェアソリューションは、クラウドインフラストラクチャをリアルタイムで保護することに重点を置いています。これは、Webアプリケーションファイアウォール (WAF) やWebアプリケーション、API保護 (WAAP)、DDOS保護と負荷分散、TLS検査などの1つ以上のメカニズムによって実現されます。

Kubernetesセキュリティポスチャ管理 (KSPM)

最新のクラウドインフラストラクチャでは、多くの場合、コンテナオーケストレーションにKubernetesを使用して、ソフトウェアの展開を自動化し、コンテナを管理しています。Kubernetesセキュリティポスチャ管理 (KSMP) ツールは、DevOpsエンジニアがKubernetesアクティビティを管理する際に役立ちます。機能は次のとおりです。

• Kubernetes環境と設定をスキャンして、設定ミスとセキュリティの問題を検出して報告
• 環境、ワークロード、設定、クラスターなどを監視して、ユーザーエラーを最小限に抑制
• クラスターペネトレーションテスト
• ベンチマーク

クラウドインフラストラクチャ権限管理 (CIEM)

クラウドインフラストラクチャ権限管理 (CIEM) は、マルチクラウドのセットアップなど、クラウド環境全体の権限と権利の管理に役立ちます。通常、最小特権の原則を適用し、クラウドインフラストラクチャの設定をスキャンして、リソースへの不要なアクセスを見つけて報告します。また、読み取りアクセスのみが必要なユーザーまたはロールがリソースのすべてのアクションにアクセスできる問題など、その他の設定ミスも検出して報告できます。

ソフトウェア開発アクティビティとの統合

クラウドネイティブアプリケーション保護プラットフォームは、本番運用だけでなく、CI/CDパイプラインフェーズでの信頼性とテストを向上させるために、ソフトウェア開発の範囲内でも使用する必要があります。CNAPPは、IaCスキャンとの関連で前述したように、クラウドインフラストラクチャの問題を検出して防止し、KSPMまたはCSPMによって実行されたスキャンなどの別のタイプの静的分析を実行できます。

CNAPPの利点

CNAPPは、クラウドネイティブアプリケーションセキュリティを使用して、さまざまな形で組織を支援します。利点の一部を紹介します。

• クラウドの設定ミスを減らすことで、サイバーセキュリティの脅威を防止する
• セキュリティ関連のタスクを自動化して、人的エラーを減らし、信頼性を高める
• リスクと正確な情報を組み合わせて、一意に可視化することで、脅威への迅速な対応と意思決定の促進を可能にする
• 複数のクラウドセキュリティツールの実行と保守を不要にすることで、複雑さとオーバーヘッドを低減する
• CI/CDパイプラインフェーズで設定ミスや潜在的な脅威を特定することで、開発者とDevOpsチームの生産性を高め、バグ修正やマージ/プルリクエストの数を削減する

クラウドストライクのアプローチ

CNAPPは、ワークロード、コンテナ、セキュリティポスチャ、コンプライアンスなど、アプリケーションのライフサイクル全体に対応する統合および自動化されたセキュリティソリューションを、DevOpsチームとDevSecOpsチームに提供する包括的なツールです。CNAPPでは、プライベート、パブリック、ハイブリッド、マルチクラウド環境の全体的な可視性とセキュリティを実現します。また、タスクを自動化し、設定とインフラストラクチャをスキャンすることで、脅威を防止し、脆弱性の発見時の生産性と対応時間を改善します。

クラウドストライクは、最近、Frost & Sullivanの「Frost Radar: Frost Radar: Cloud-Native Application Protection Platforms, 2022（Frost Radar：2022年度版クラウドネイティブアプリケーション保護プラットフォーム）」レポートで当該分野におけるリーダーとして認識され、「クラウドストライクは最も急成長しているクラウドセキュリティベンダーの1社であり」、「CNAPPビジネスは世界的に注目を集めている」と評価されました。