CWPP とは?

多くの組織がアプリケーションをクラウドに移行するにつれて、セキュリティ チームは、従来のデータ センターとは大きく異なる環境に対応する必要があります。ハイブリッド環境およびマルチクラウド環境の構成は今では一般的になり、ワークロードはより動的で短期間しか存在せず、複数のプラットフォームに分散しています。

この変化により、新たな課題が生まれ、攻撃対象領域も拡大します。以下はその例です。

• クラウド リソースはすばやく作成され、削除されます。
• 構成は頻繁に変更されます。
• ワークロードは、追跡が困難な形で環境間を移動します。

そのため、静的なセキュリティ チェックや一度限りのチェックでは不十分です。セキュリティ チームには、ワークロードがどこで実行されていても、環境全体で一貫して機能する保護が必要です。

CWPP は、ワークロード レベルに直接セキュリティ コントロールを適用することで、これらの課題への対処に役立ちます。境界ベースの防御に頼るのではなく、CWPP はアプリケーションが実際に実行される場所で可視性と保護を実現します。

このランタイムの可視性により、チームは次のことができます。

• ワークロードがリアルタイムで何を実行しているかを把握する。
• 疑わしい動作を発生時に検出する。
• 開発の初期段階だけでなく、ワークロードのランタイム中にアクティブな脅威を阻止する。

CWPP は、組織がガバナンスおよび規制コンプライアンス要件を満たすうえでも重要な役割を果たします。規制の厳しい業界では、継続的な監視とポリシーの適用により監査への備えを支援し、クラウド環境が進化してもコンプライアンスを実証しやすくなります。

同時に、CWPP は安全なイノベーションをサポートします。最新の開発およびデプロイ ワークフローにセキュリティ コントロールを統合することで、CWPP は、開発サイクルの妨げとなったり、開発サイクルを遅らせたりすることなく、チームがクラウド ネイティブ アプリケーションを構築およびデプロイできるようにします。

クラウド環境がより複雑になるにつれて、CWPP は、チームがワークロードを一貫して保護し、より効率的に運用するのに役立つ明確なメリットを提供します。

• 動的なクラウド ワークロード全体における構成ミスやアクティブな脅威からのリスクの軽減。
• ハイブリッド環境およびマルチクラウド環境全体にわたる一貫したセキュリティ コントロール。
• ワークロードの動作、脆弱性、およびセキュリティ態勢に関する統合された可視性。
• ランタイム監視と自動修復による迅速な検出と対応。
• 規制対象業界向けのコンプライアンス態勢の強化と監査への備え。
• DevSecOps およびセキュアなクラウド ネイティブ開発手法のサポート。
• 手作業を減らし、高リスクの問題を優先することによる、セキュリティ チームおよびプラットフォーム チームの効率向上。

CWPP は、アプリケーション ライフサイクル全体にわたって可視性、検出、および適用を組み合わせることで、実行場所を問わずワークロードの保護を支援します。CWPP は、1 つのコントロールに依存するのではなく、動的なクラウド ネイティブ環境全体で機能する複数の機能を統合します。

基本的には、CWPP は、どのワークロードが実行されているか、どのように構成されているか、ランタイムでどのように動作するかを把握することに重点を置いています。そこから、チームがリスクを特定し、アクティブな脅威を検出し、クラウド環境、ハイブリッド環境、およびマルチクラウド環境全体でセキュリティ コントロールを一貫して適用するのに役立つ保護を適用します。

CWPP のコア機能と特長には、次のものがあります。

• デプロイ時だけでなく、ワークロードの実行中に不審なアクティビティを特定するための継続的な脅威の検出とランタイム保護。
• 既知の欠陥、安全でない設定、および不足している保護を明らかにするための脆弱性および構成の管理。
• VM、コンテナー、およびサーバーレス環境全体で実行されている内容に関するワークロード中心の可視性。
• ラテラル ムーブメントを制限して影響範囲を縮小し、クラウド環境におけるゼロ トラスト アーキテクチャを支援するためのマイクロセグメンテーションと最小権限の適用。
• 許可されていない変更を検出し、安全なランタイム状態を維持するためのファイル整合性の監視とシステムのハードニング。
• 構成ミスやアクティブな脅威への対応を迅速化するための自動修復。
• 安全な開発およびデプロイ ワークフローを支援するためのDevOps パイプラインとの統合。
• 環境全体で一貫したコントロールを維持するための自動化されたポリシー適用とゼロ トラスト セキュリティ。
• ビルドおよびデプロイ プロセスの早い段階で脆弱なコンポーネントや依存関係を特定するためのソフトウェア サプライ チェーン セキュリティ。
• コンテナー オーケストレーションとクラウド ネイティブ プラットフォームによって生じるリスクに対処するための Kubernetes 固有の保護。

CWPP はワークロード レベルでセキュリティ コントロールを適用し、環境がより複雑になっても、組織がアプリケーションを一貫して保護できるようにします。基盤となるテクノロジは異なっていても、目標は同じです。ワークロードの可視性を確保し、リスクを特定し、クラウド環境、ハイブリッド環境、およびマルチクラウド環境全体でランタイム中の脅威を検出して対応します。

VM の場合、CWPP は脆弱性、構成ミス、およびリスクのある設定を特定することで、セキュリティ態勢の評価を支援します。ランタイム監視により、VM の実行中の動作に関する可視性が向上し、従来の構成チェックに加えて、不審なアクティビティを検出し、アクティブな脅威に対応できるようになります。

コンテナーと Kubernetes 環境は、その動的で高度に自動化された性質により、独自のリスクをもたらします。CWPP は、クラスタ、コンテナー、およびイメージ全体にわたる可視性に加え、ランタイム監視を提供することでコンテナー セキュリティを支援し、コンテナー化されたアプリケーション内の構成ミス、安全でないアクセス許可、および異常な動作の特定に役立ちます。

サーバーレス関数は短期間しか存在しない実行環境で動作するため、従来のホスト ベースのセキュリティ手法は有効ではない場合があります。CWPP は、ワークロード レベルのインサイトとランタイムの可視性を提供することで、どの関数が実行されているかを把握し、実行中の異常な動作を検出できるようにします。

多くの組織では、従来のオンプレミス ワークロードと最新のクラウドネイティブ サービスが混在しています。CWPP は、両方の環境全体で一貫したワークロードの可視性とランタイム保護を提供することで、この状況を支援します。このアプローチは、断片化の軽減に役立ち、安全な移行とモダン化の取り組みを支援します。

クラウド ワークロードは、単独で実行されるわけではありません。それらは、正しく機能するために、ストレージ、データベース、API、キー管理システムなどのさまざまなサポート サービスに依存しています。多くのクラウド攻撃では、ワークロードを直接標的とするのではなく、構成ミスのあるサービスや公開されたサービスを経由してこれらの接続を悪用します。

CWPP は、ワークロード自体だけでなく、そのワークロードがやり取りするリソースまで可視性を拡張することで、これに対処します。これにより、セキュリティ チームはワークロードがどのように接続されているかをより深く把握し、依存サービスのリスクを特定し、見逃される可能性のある攻撃経路を検出できます。ランタイムの動作を、これらのサービス全体にわたる構成およびアクセスと関連付けることで、CWPP は、ワークロードとより広範なクラウド環境にまたがる脅威の特定と阻止を支援します。

CWPP は、より広範なクラウド セキュリティ エコシステムの一部です。異なるセキュリティ カテゴリは重なることがありますが、それぞれ異なるリスク層に対処するように設計されています。CWPP が他のアプローチとどのように異なるかを理解すると、その位置づけや既存のツールをどのように補完するかが明確になります。

アプリケーション セキュリティは、アプリケーション コードの保護と、開発およびテスト中のリスクへの対処に重点を置いています。CWPP は、アプリケーションを実行するワークロードの保護に重点を置いています。一方、クラウド データ セキュリティやデータ ガバナンスなどの関連分野は、クラウドに保存および処理される機密データの把握、保護、および管理に重点を置いています。これらを組み合わせることで、ビルド時とランタイムの両方の段階でリスクを軽減できます。

クラウド セキュリティ態勢管理 (CSPM) は、クラウド インフラストラクチャ内の構成ミスやコンプライアンスの問題の特定に重点を置いています。CWPP は、ワークロードのセキュリティとランタイムの動作に重点を置いています。CSPM は、クラウド リソースが安全に構成されているかどうかの把握を支援し、CWPP は、それらのリソース上で実行されているワークロードを保護および監視するのに役立ちます。

クラウドネイティブ アプリケーション保護プラットフォーム (CNAPP) は、複数のクラウド セキュリティ機能を統合されたアプローチの下に集約します。CNAPP の中では、CWPP は通常、ランタイムとワークロード保護のレイヤーとして機能し、態勢管理、ID コントロール、およびその他のクラウド セキュリティ機能と連携します。

クラウド インフラストラクチャ権限管理 (CIEM) は、特権アクセス管理 (PAM) を含むクラウド ID、ロール、およびアクセス許可に重点を置き、最小特権の適用と ID ベースのリスクの軽減を支援します。

CWPP は、ワークロードのセキュリティとランタイムの動作に重点を置いています。CIEM は誰がクラウド リソースにアクセスできるかを把握するのに役立ち、一方、CWPP はワークロード自体が安全で期待どおりに動作していることを確保するのに役立ちます。

エンドポイントの検出と応答 (EDR) および拡張検出と応答 (XDR) は、エンドポイント、ID、およびアプリケーション全体にわたる脅威の検出と調査を支援します。これらは、エージェントをインストールし、詳細なデータを収集し、時間をかけてインシデントを調査できるだけの期間存在するデバイスやサーバーなどの永続的な資産を保護するように設計されています。

クラウド ワークロードは、動作が異なります。コンテナーは数秒しか実行されない場合があり、サーバーレス関数はオンデマンドで開始および停止し、オートスケールではリソースが絶えず作成および削除されます。このため、CWPP はこうした環境に対応できるように構築されています。リソースの構成、デプロイ トポロジ、ランタイムの動作などのクラウドネイティブなコンテキストを利用して短命なワークロードを保護することに重点を置き、ワークロード自体が短期間しか存在しない場合でも脅威を検出して阻止します。

EDR/XDR と CWPP を組み合わせて使用することで、セキュリティ チームはデバイスからクラウドで実行されるワークロードまで、より広範な保護範囲を実現できます。

すべてのクラウド ワークロード保護プラットフォームが、同じレベルのカバレッジや深さを提供するわけではありません。組織がハイブリッドおよびマルチクラウド環境全体で運用する中で、CWPP が現在のニーズと長期的なクラウド戦略にどれだけ合致しているかを評価することが重要です。

CWPP を評価する際は、さまざまなワークロードの種類をどれだけ効果的にサポートできるか、ランタイムの動作をどれだけ深く検査できるか、既存のセキュリティおよび開発のワークフローとどれだけうまく統合できるかを検討する必要があります。導入のしやすさ、運用オーバーヘッド、スケーラビリティも、特に環境が進化し続ける中では重要な要素です。

CWPP を評価する際の主な考慮事項は次のとおりです。

• VM、コンテナー、Kubernetes、サーバーレス関数を含む、ワークロードの種類全体にわたるカバレッジ。
• 動作監視やリアルタイムの脅威検出などのランタイム保護の深さ。
• 動的な環境全体のリスクの特定に役立つ脆弱性と構成の可視性。
• DevSecOps ワークフローとセキュアなクラウドネイティブ開発を支援するための継続的インテグレーションおよび継続的デリバリー (CI/CD) パイプラインとの統合。
• 急速に変化するワークロードのサポートを含む、ハイブリッド環境およびマルチクラウド環境に対応するスケーラビリティ。
• 可視性、パフォーマンスへの影響、およびデプロイの複雑さのバランスを取るためのエージェントベースとエージェントレスのトレードオフ。
• クラスター全体およびコンテナー化されたワークロードにわたる可視性を含む、Kubernetes の保護機能の強さ。
• ビルド プロセスの早い段階で脆弱なコンポーネントを特定するなどのサプライ チェーン セキュリティ機能。
• ツールの乱立や保守の手間を含む、総保有コストと運用オーバーヘッド。
• CWPP が統合されたクラウド セキュリティ アプローチに適合することを確保するためのより広範な CNAPP 戦略との整合性。

CWPP は、組織が非常に動的なクラウド環境全体でワークロードを保護するのに役立つ手段として一般的に使用されます。ワークロード中心のアプローチにより、従来の境界ベースのセキュリティでは不十分なシナリオや、ランタイムの脅威に迅速に対処する必要がある場合に特に有効です。

一般的な CWPP のユース ケースには、次のものがあります。

• ランタイムの動作の監視や構成ミスの特定を含む、運用中の Kubernetes クラスターの保護。
• リソースが頻繁に作成および削除されるオートスケール環境における一時的なワークロードの保護。
• 継続的な監視とポリシーの適用による、規制対象ワークロードに対するコンプライアンス要件の適用。
• 実行環境が短命なサーバーレス アーキテクチャにおけるランタイム脅威の検出。
• クラウド移行およびモダン化の取り組みにおけるレガシーな VM のハードニング。
• コンテナー脱出の試みの防止と、コンテナー化された環境内でのラテラル ムーブメントの制限。
• クリプトマイニング活動の検出と、クラウドおよび Kubernetes ワークロードにおけるその他の悪意ある動作の検出。
• デプロイ前のイメージおよび依存関係のスキャンを含む、CI/CD パイプラインの保護。
• 開発サイクルやデプロイ サイクルを遅らせることのない、ワークロードのセキュリティ態勢の強化。

Microsoft では、クラウド ワークロード保護は、ハイブリッド環境およびマルチクラウド環境全体で組織によるアプリケーションの保護を支援する、より広範なアプローチの一部です。

組織は、Microsoft Defender for Cloud を通じて CWPP 機能を利用できます。Microsoft Defender for Cloud は、VM、コンテナー、サーバーレス関数、およびそれらのワークロードが依存するストレージ、データベース、API、キー管理サービスなどのクラウド リソースに対して、ワークロード レベルの可視性とランタイム保護を提供します。多くのクラウド攻撃は、こうした相互接続されたサービス間を移動するため、広範な可視性が重要になります。これらの機能は、セキュリティ チームがワークロードの動作を監視し、ワークロードの実行中に脅威を検出、調査、および対応できるよう支援するために設計されています。

CWPP は CNAPP 戦略の中でも重要な役割を果たします。このアプローチでは、CWPP がランタイム保護を提供し、クラウド セキュリティ態勢管理 (CSPM) や DevSecOps セキュリティなどの統合機能が、ビルドおよびデプロイからランタイムまで、クラウド アプリケーションのライフサイクル全体にわたって保護を拡張します。

Microsoft のアプローチでは、セキュリティ エコシステム全体にわたる統合も重視されています。Microsoft Defender for Cloud は Microsoft Defender XDR および Microsoft Defender for Endpoint と統合され、クラウド リソース、デバイス、ID 全体にわたる可視性を拡張します。また、Microsoft Security Copilot とも統合されており、インシデントの調査や推奨事項に基づく対応を支援します。これらの機能は、グローバルな脅威インテリジェンスによって支えられており、環境全体にわたる検出と対応の向上に役立ちます。

この統合アプローチにより、組織は環境全体で一貫したセキュリティ コントロールを適用し、ガバナンスおよびコンプライアンス要件を支援するとともに、開発や運用のワークフローを妨げることなくワークロードを保護できます。