Was ist eine CWPP?

Immer mehr Organisationen verlagern ihre Anwendungen in die Cloud, und Sicherheitsteams arbeiten dadurch mit Umgebungen, die sich stark von herkömmlichen Rechenzentren unterscheiden. Hybrid- und Multicloud-Setups sind inzwischen üblich, und Workloads sind dynamischer, kurzlebiger und über mehrere Plattformen verteilt.

Diese Verschiebung bringt neue Herausforderungen mit sich und vergrößert die Angriffsfläche. Beispiele:

• Cloudressourcen werden schnell erstellt und entfernt.
• Konfigurationen ändern sich häufig.
• Workloads wechseln auf schwer nachverfolgbare Weise zwischen Umgebungen.

Deshalb reichen statische oder einmalige Sicherheitsprüfungen nicht aus. Sicherheitsteams brauchen Schutzmaßnahmen, die in allen Umgebungen konsistent funktionieren, ganz gleich, wo Workloads ausgeführt werden.

CWPPs helfen dabei, diese Herausforderungen zu bewältigen, indem sie Sicherheitskontrollen direkt auf Workload-Ebene anwenden. Statt auf perimeterbasierte Schutzmaßnahmen zu setzen, bietet eine CWPP Transparenz und Schutz genau dort, wo Anwendungen tatsächlich ausgeführt werden.

Diese Laufzeittransparenz hilft Teams bei folgenden Aspekten:

• Erfahren Sie, welche Workloads in Echtzeit ausgeführt werden.
• Erkennen Sie verdächtiges Verhalten, wenn es passiert.
• Stoppen Sie aktive Bedrohungen, während Workloads ausgeführt werden, nicht nur früher in der Entwicklung.

CWPPs spielen auch eine wichtige Rolle dabei, Organisationen bei der Einhaltung von Governance- und Compliance-Anforderungen zu unterstützen. Für regulierte Branchen unterstützen kontinuierliche Überwachung und Richtliniendurchsetzung die Auditbereitschaft und helfen dabei, Compliance nachzuweisen, während sich Cloudumgebungen weiterentwickeln.

Gleichzeitig unterstützen CWPPs sichere Innovationen. Durch die Integration von Sicherheitskontrollen in moderne Entwicklungs- und Bereitstellungsworkflows ermöglicht eine CWPP Teams, cloudnative Anwendungen zu erstellen und bereitzustellen, ohne Reibungen verursachen oder Entwicklungszyklen zu verlangsamen.

Wenn Cloudumgebungen komplexer werden, bieten CWPPs klare Vorteile, die Teams dabei helfen, Workloads konsistent zu schützen und effizienter zu arbeiten:

• Weniger Risiko durch Fehlkonfigurationen und aktive Bedrohungen in dynamischen Cloud-Workloads.
• Einheitliche Sicherheitskontrollen in Hybrid- und Multicloudumgebungen.
• Zentrale Transparenz in das Verhalten, die Sicherheitslücken und die Sicherheitslage von Workloads.
• Schnellere Erkennung und Reaktion durch Laufzeitüberwachung und automatisierte Behebung.
• Verbesserte Compliance-Position und bessere Audit-Bereitschaft für regulierte Branchen.
• Unterstützung für DevSecOps und sichere cloudnative Entwicklungspraktiken.
• Mehr Effizienz für Sicherheits- und Plattformteams durch weniger manuellen Aufwand und die Priorisierung von Risiken mit hoher Priorität.

CWPPs helfen dabei, Workloads überall dort zu schützen, wo sie ausgeführt werden, indem sie Transparenz, Erkennung und Durchsetzung über den gesamten Anwendungslebenszyklus hinweg kombinieren. Anstatt sich auf eine einzelne Kontrolle zu verlassen, bündeln CWPPs mehrere Funktionen, die in dynamischen, cloudnativen Umgebungen zusammenarbeiten.

Auf einer grundlegenden Ebene konzentriert sich eine CWPP darauf zu verstehen, welche Workloads ausgeführt werden, wie sie konfiguriert sind und wie sie sich zur Laufzeit verhalten. Darauf aufbauend werden Schutzmaßnahmen angewendet, die Teams dabei helfen, Risiken zu erkennen, aktive Bedrohungen zu entdecken und Sicherheitskontrollen konsistent über Cloud-, Hybrid- und Multicloud-Umgebungen hinweg durchzusetzen.

Zu den Kernfunktionen und Features einer CWPP gehören:

• Kontinuierliche Bedrohungserkennung und Laufzeitschutz, um verdächtige Aktivitäten zu erkennen, während Workloads ausgeführt werden, nicht erst bei der Bereitstellung.
• Verwaltungsfunktionen für Schwachstellen und Konfigurationen, um bekannte Schwachstellen, unsichere Einstellungen und fehlende Schutzmaßnahmen sichtbar zu machen.
• Workload-zentrierte Transparenz darüber, was in VMs, Containern und serverlosen Umgebungen ausgeführt wird.
• Microsegmentation und Durchsetzung von Least-Privilege, um laterale Bewegungen einzuschränken und die Auswirkung zu minimieren, und dabei eine Zero Trust-Architektur in Cloud-Umgebungen zu unterstützen.
• File-Integrity-Monitoring und System-Härtung, um nicht autorisierte Änderungen zu erkennen und einen sicheren Laufzeitzustand beizubehalten.
• Automatisierte Behebung, um die Reaktion auf Fehlkonfigurationen und aktive Bedrohungen zu beschleunigen.
• Integration in DevOps-Pipelines, um sichere Entwicklungs- und Bereitstellungsworkflows zu unterstützen.
• Automatisierte Richtliniendurchsetzung und Zero Trust-Sicherheit zur Aufrechterhaltung einheitlicher Kontrollen über alle Umgebungen hinweg.
• Software-Lieferkettensicherheit hilft Teams dabei, anfällige Komponenten und Abhängigkeiten früher im Build- und Bereitstellungsprozess zu identifizieren und so das Risiko vor der Produktion zu verringern.
• Kubernetes:Spezifische Schutzmaßnahmen, um Risiken zu beheben, die durch die Containerorchestrierung und cloudnative Plattformen verursacht werden.

CWPPs wenden Sicherheitskontrollen auf Workload-Ebene an und ermöglichen es Organisationen, Anwendungen auch bei zunehmender Komplexität der Umgebungen konsistent zu schützen. Auch wenn sich die zugrunde liegenden Technologien unterscheiden, bleibt das Ziel dasselbe: Transparenz in Workloads schaffen, Risiken identifizieren und Bedrohungen zur Laufzeit in Cloud-, Hybrid- und Multicloud-Umgebungen erkennen und darauf reagieren.

Für VMs hilft eine CWPP dabei, die Sicherheitslage zu bewerten, indem Schwachstellen, Fehlkonfigurationen und riskante Einstellungen erkannt werden. Laufzeitüberwachung schafft Transparenz darüber, wie sich VMs während der Ausführung verhalten, und ermöglicht es Teams, verdächtige Aktivitäten zu erkennen und auf aktive Bedrohungen über herkömmliche Konfigurationsprüfungen hinaus zu reagieren.

Container- und Kubernetes-Umgebungen bringen aufgrund ihrer dynamischen und stark automatisierten Natur besondere Risiken mit sich. Eine CWPP unterstützt Containersicherheit, indem es Transparenz über Cluster, Container und Images hinweg bietet, zusammen mit Laufzeitüberwachung, um Fehlkonfigurationen, unsichere Berechtigungen und ungewöhnliches Verhalten in containerisierten Anwendungen zu erkennen.

Serverlose Funktionen werden in kurzlebigen Ausführungsumgebungen betrieben, wodurch herkömmliche hostbasierte Sicherheitsansätze unwirksam werden können. Eine CWPP hilft dabei, indem es Einblicke auf Workload-Ebene und Transparenz zur Laufzeit bietet, sodass Teams nachvollziehen können, welche Funktionen ausgeführt werden, und anomales Verhalten während der Ausführung erkennen.

Viele Organisationen verwalten einen Mix aus traditionellen lokalen Workloads und modernen cloudnativen Diensten. Eine CWPP unterstützt diese Realität, indem es konsistente Workload-Transparenz und Laufzeitschutz über beide Umgebungen hinweg bietet. Dieser Ansatz hilft, Fragmentierung zu verringern, und unterstützt sichere Migrations- und Modernisierungsmaßnahmen.

Cloud-Workloads laufen nicht isoliert. Sie sind auf eine Reihe unterstützender Dienste angewiesen, etwa Speicher, Datenbanken, APIs und Schlüsselverwaltungsdienste, damit sie korrekt funktionieren. Viele Cloudangriffe nutzen diese Verbindungen aus und bewegen sich über fehlkonfigurierte oder exponierte Dienste, statt die Workload direkt anzugreifen.

Eine CWPP hilft dabei, indem es die Transparenz über die Workload selbst hinaus auf die Ressourcen erweitert, mit denen es interagiert. So können Sicherheitsteams besser nachvollziehen, wie Workloads verbunden sind, Risiken in abhängigen Diensten erkennen und Angriffspfade entdecken, die sonst vielleicht übersehen würden. Durch die Korrelation von Laufzeitverhalten mit Konfiguration und Zugriff über diese Dienste hinweg hilft eine CWPP Teams, Bedrohungen zu identifizieren und zu stoppen, die Workloads und die breitere Cloudumgebung übergreifen.

CWPPs sind Teil eines größeren Cloudsicherheits-Ökosystems. Auch wenn sich verschiedene Sicherheitskategorien überschneiden können, sind sie darauf ausgelegt, unterschiedliche Risikoebenen abzudecken. Das Verständnis, wie sich eine CWPP von anderen Ansätzen unterscheidet, hilft dabei zu klären, wo es einzuordnen ist und wie es vorhandene Tools ergänzt.

Anwendungssicherheit konzentriert sich darauf, Anwendungscode zu schützen und Risiken während Entwicklung und Test zu adressieren. Eine CWPP konzentriert sich auf den Schutz der Workloads, die Anwendungen ausführen, während verwandte Disziplinen wie Clouddatensicherheit und Datenverwaltung darauf ausgerichtet sind, sensible Daten, die in der Cloud gespeichert und verarbeitet werden, zu verstehen, zu schützen und zu verwalten. Zusammen helfen sie, Risiken sowohl in der Build- als auch in der Laufzeitphase zu reduzieren.

Cloud Security Posture Management (CSPM) konzentriert sich darauf, Fehlkonfigurationen und Compliance-Probleme in der Cloudinfrastruktur zu erkennen. Eine CWPP konzentriert sich auf Workloadsicherheit und Laufzeitverhalten. CSPM hilft Teams zu verstehen, ob Cloudressourcen sicher konfiguriert sind, während eine CWPP die Workloads, die auf diesen Ressourcen ausgeführt werden, schützt und überwacht.

Eine Cloud-Native Application Protection Platform (CNAPP) vereint mehrere Cloud-Sicherheitsfunktionen in einem einheitlichen Ansatz. Innerhalb von CNAPP dient eine CWPP typischerweise als Laufzeit- und Workload-Schutzebene und arbeitet zusammen mit Posture Management, Identitätskontrollen und anderen Cloud-Sicherheitsfunktionen.

Die Berechtigungsverwaltung für die Cloudinfrastruktur (CLOUD Infrastructure Entitlement Management, CIEM) konzentriert sich auf Cloudidentitäten, Rollen und Berechtigungen, einschließlich PAM-(Privileged Access Management), um die geringsten Rechte zu erzwingen und identitätsbasierte Risiken zu reduzieren.

Eine CWPP konzentriert sich auf Workloadsicherheit und Laufzeitverhalten. CIEM hilft dabei zu beantworten, wer auf Cloudressourcen zugreifen kann, während eine CWPP sicherstellt, dass die Workloads selbst sicher sind und sich wie erwartet verhalten.

Endpunkterkennung und -antwort (EDR) und erweiterte Erkennung und Reaktion (XDR) helfen bei der Erkennung und Untersuchung von Bedrohungen über Endpunkte, Identitäten und Anwendungen hinweg. Sie sind so konzipiert, dass persistente Ressourcen wie Geräte und Server geschützt werden, die so lange wiederhergestellt sind, um Agents zu installieren, detaillierte Daten zu sammeln und Incidents im Laufe der Zeit zu untersuchen.

Cloud-Workloads funktionieren anders. Container laufen manchmal nur wenige Sekunden, serverlose Funktionen starten und stoppen bei Bedarf, und Autoskalierung erstellt und entfernt Ressourcen ständig. Deshalb ist eine CWPP für eine andere Realität ausgelegt. Sie konzentriert sich auf den Schutz kurzlebiger Workloads mit cloudnativen Kontexten – etwa Ressourcenkonfiguration, Bereitstellungstopologie und Laufzeitverhalten –, um Bedrohungen zu erkennen und zu stoppen, selbst wenn die Workload selbst nicht lange bestehen bleibt.

Zusammen bieten EDR/XDR und CWPP Securityteams einen breiteren Schutzbereich, vom Gerät bis zu den Workloads in der Cloud.

Nicht alle Cloud Workload Protection Platforms bieten denselben Umfang oder dieselbe Tiefe beim Schutz. Da Unternehmen in Hybrid- und Multicloud-Umgebungen arbeiten, ist es wichtig zu prüfen, wie gut eine CWPP zu aktuellen Anforderungen und langfristigen Cloudstrategien passt.

Bei der Bewertung einer CWPP sollten Teams berücksichtigen, wie gut sie verschiedene Workloadtypen unterstützt, wie tief sie Laufzeitverhalten untersuchen kann und wie gut sie sich in vorhandene Sicherheits- und Entwicklungsworkflows integriert. Auch die einfache Bereitstellung, der Betriebsaufwand und die Skalierbarkeit sind entscheidende Faktoren, besonders wenn sich Umgebungen weiterentwickeln.

Zu den wichtigen Aspekten bei der Bewertung einer CWPP gehören:

• Abdeckung über Workloadtypen hinweg, einschließlich VMs, Container, Kubernetes und serverlosen Funktionen.
• Tiefe des Laufzeitschutzes, etwa Verhaltensüberwachung und Bedrohungserkennung in Echtzeit.
• Sichtbarkeit von Schwachstellen und Konfigurationen, die hilft, Risiken in dynamischen Umgebungen zu erkennen.
• Integration in Continuous-Integration- und Continuous-Delivery-Pipelines (CI/CD), um DevSecOps-Workflows und eine sichere cloudnative Entwicklung zu unterstützen.
• Skalierbarkeit für Hybrid- und Multicloud-Umgebungen, einschließlich Unterstützung für sich schnell ändernde Workloads.
• Abwägung zwischen agentbasierten und agentlosen Ansätzen, bei der Sichtbarkeit, Auswirkungen auf die Leistung und Komplexität der Bereitstellung berücksichtigt werden.
• Stärke des Kubernetes-Schutzes, einschließlich Transparenz über Cluster und containerisierte Workloads hinweg.
• Sicherheitsfunktionen für die Liefer-kette, etwa das frühere Erkennen anfälliger Komponenten im Buildprozess.
• Gesamtbetriebskosten und Betriebsaufwand, einschließlich Tool-Wildwuchs und Wartungsaufwand.
• Ausrichtung an einer umfassenderen CNAPP-Strategie, damit die CWPP in einen einheitlichen Ansatz für die Cloudsicherheit passt.

CWPPs werden häufig eingesetzt, um Unternehmen beim Schutz von Workloads in stark dynamischen Cloudumgebungen zu unterstützen. Ihr workloadzentrierter Ansatz macht sie besonders nützlich in Szenarien, in denen herkömmliche perimetergestützte Sicherheit an ihre Grenzen stößt oder Laufzeitbedrohungen schnell adressiert werden müssen.

Zu den häufigen Anwendungsfällen für CWPPs gehören:

• Sicherung von Kubernetes-Clustern in der Produktion, einschließlich Überwachung des Laufzeitverhaltens und Erkennen von Fehlkonfigurationen.
• Schutz flüchtiger Workloads in Autoskalierungsumgebungen, in denen Ressourcen häufig erstellt und entfernt werden.
• Durchsetzung von Compliance-Anforderungen für regulierte Workloads durch kontinuierliche Überwachung und Richtliniendurchsetzung.
• Erkennen von Laufzeitbedrohungen in serverlosen Architekturen, in denen Ausführungsumgebungen kurzlebig sind.
• Absichern älterer VM während Cloudmigrationen und Modernisierungsmaßnahmen.
• Verhindern von Container-Escape-Versuchen und Begrenzen lateraler Bewegungen in containerisierten Umgebungen.
• Erkennen von Kryptomining-Aktivitäten und anderem schädlichen Verhalten in Cloud- und Kubernetes-Workloads.
• Absichern von CI/CD-Pipelines, einschließlich Image- und Abhängigkeitsprüfung vor der Bereitstellung.
• Stärkung der Sicherheitslage von Workloads, ohne Entwicklungs- oder Bereitstellungszyklen zu verlangsamen.

Bei Microsoft ist der Schutz von Cloud-Workloads Teil eines umfassenderen Ansatzes, der Unternehmen beim Absichern von Anwendungen in Hybrid- und Multicloud-Umgebungen unterstützt.

Unternehmen können über Microsoft Defender for Cloud auf CWPP-Funktionen zugreifen. Die Lösung bietet Transparenz auf Workload-Ebene und Laufzeitschutz für VMs, Container, serverlose Funktionen und die Cloud-Ressourcen, von denen diese Workloads abhängen – etwa Speicher, Datenbanken, APIs und Dienste für die Schlüsselverwaltung. Viele Cloudangriffe bewegen sich durch diese miteinander verbundenen Dienste, daher ist breite Transparenz entscheidend. Diese Funktionen sollen Securityteams dabei unterstützen, das Verhalten von Workloads zu überwachen und Bedrohungen zu erkennen, zu untersuchen und darauf zu reagieren, während die Workloads ausgeführt werden.

CWPP spielt auch innerhalb einer CNAPP-Strategie eine wichtige Rolle. Bei diesem Ansatz sorgt CWPP für Laufzeitschutz, während integrierte Funktionen wie Cloud Security Posture Management (CSPM) und DevSecOps-Sicherheit den Schutz über den gesamten Lebenszyklus von Cloud-Anwendungen hinweg erweitern – von Build und Bereitstellung bis zur Laufzeit.

Der Microsoft-Ansatz legt außerdem Wert auf die Integration im gesamten Sicherheitsökosystem. Microsoft Defender for Cloud integriert sich mit Microsoft Defender XDR und Microsoft Defender for Endpoint, um die Transparenz über Cloudressourcen, Geräte und Identitäten hinweg zu erweitern. Es integriert sich außerdem mit Microsoft Security Copilot, der bei der Untersuchung von Vorfällen und beim Umsetzen von Empfehlungen unterstützen kann. Diese Funktionen werden durch globale Threat Intelligence unterstützt, was die Erkennung und Reaktion in unterschiedlichen Umgebungen verbessert.

Dieser integrierte Ansatz ermöglicht es Unternehmen, konsistente Sicherheitskontrollen in allen Umgebungen anzuwenden, Governance- und Compliance-Anforderungen zu unterstützen und Workloads zu schützen, ohne Entwicklungs- oder Betriebsworkflows zu verlangsamen.