Что такое CWPP?

По мере того как все больше организаций переносят приложения в облако, командам безопасности приходится работать в средах, которые сильно отличаются от традиционных центров обработки данных. Гибридные и многооблачные конфигурации теперь обычное явление, а рабочие нагрузки становятся более динамичными, короткоживущими и распределенными между несколькими платформами.

Этот переход создает новые сложности и расширяет направления атак. Например:

• Скорость, с которой облачные ресурсы создаются и удаляются.
• Частые изменения в конфигурациях.
• Рабочие нагрузки перемещаются между средами так, что это трудно отслеживать.

Из-за этого статических или разовых проверок безопасности недостаточно. Командам безопасности нужна защита, которая работает одинаково в разных средах, независимо от того, где выполняются рабочие нагрузки.

CWPP помогают справляться с этими вызовами, применяя средства управления безопасностью непосредственно на уровне рабочей нагрузки. Вместо того, чтобы полагаться на защиту по периметру, CWPP обеспечивают видимость и защиту там, где действительно работают приложения.

Эта видимость во время выполнения помогает командам:

• Следить за рабочими нагрузками в реальном времени.
• Мгновенно обнаруживать подозрительное поведение.
• Останавливать активные угрозы, во время выполнения рабочих нагрузок, а не только на более ранних этапах разработки.

CWPP также играют важную роль, помогая организациям выполнять требования к управлению и соответствию нормативам. Для регулируемых отраслей непрерывный мониторинг и применение политик помогают поддерживать готовность к аудиту и демонстрировать соответствие требованиям по мере развития облачных сред.

При этом CWPP также поддерживают безопасные инновации. Интегрируя элементы управления безопасностью в современные рабочие процессы разработки и развертывания, платформы CWPP позволяют командам создавать и развертывать облачные приложения без увеличения помех и замедления цикла разработки.

По мере усложнения облачных сред платформы CWPP предоставляют очевидные преимущества, которые помогают командам последовательно защищать рабочие нагрузки и работать эффективнее:

• Сниженный риск, связанный с неправильными настройками и активными угрозами, в динамичных облачных рабочих нагрузках.
• Согласованные средства управления безопасностью в гибридных и многооблачных средах.
• Единая видимость поведения рабочих нагрузок, уязвимостей и состояния безопасности.
• Ускоренное обнаружение и реагирование благодаря мониторингу во время выполнения и автоматическому устранению.
• Повышенный уровень соответствия требованиям и готовности к аудиту для регулируемых отраслей.
• Поддержка DevSecOps и безопасных облачных методов разработки.
• Повышенная эффективность команд безопасности и платформ за счет сокращения ручной работы и приоритетности проблем с высоким уровнем риска.

CWPP помогают обеспечить защиту рабочих нагрузок в любых расположениях сочетая видимость, обнаружение и применение мер на всех этапах жизненного цикла приложения. Вместо того, чтобы полагаться на одно средство контроля, CWPP объединяют несколько возможностей, которые работают в динамических, облачных средах.

На самом базовом уровне CWPP фокусируются на понимании того, какие рабочие нагрузки выполняются, как они настроены и как ведут себя во время выполнения. Затем применяются средства защиты, которые помогают командам выявлять риски, обнаруживать активные угрозы и последовательно применять элементы управления безопасностью в облачных, гибридных и многооблачных средах.

Основные возможности и функции CWPP включают:

• Непрерывное обнаружение угроз и защита во время выполнения, что позволяет выявлять подозрительную активность, во время выполнения рабочих нагрузок, а не только при развертывании.
• Управление уязвимостями и конфигурацией, чтобы отображать известные уязвимости, небезопасные настройки и отсутствующие средства защиты.
• Ориентированная на рабочие нагрузки видимость того, что выполняется в средах с виртуальными машинами, контейнерами и бессерверными технологиями.
• Микросегментация и применение принципа минимальных привилегий, что позволяют ограничить боковое перемещение и уменьшить радиус воздействия, поддерживая архитектуру "Никому не доверяй" в облачных средах.
• Мониторинг целостности файлов и системное усиление защиты помогают выявлять несанкционированные изменения и поддерживать безопасность во время выполнения.
• Автоматическое устранение, что помогает быстрее реагировать на неправильные настройки и активные угрозы.
• Интеграция с конвейерами DevOps, что помогает поддерживать безопасные процессы разработки и развертывания.
• Автоматическое применение политик и принцип "Никому не доверяй" для поддержания единообразных средств контроля в разных средах.
• Безопасность цепочки поставок программного обеспечения, что помогает выявлять уязвимые компоненты и зависимости на ранних этапах сборки и развертывания.
• Специфичные для Kubernetes меры защиты, чтобы помочь в устранении рисков, связанных с оркестрацией контейнеров и облачными платформами.

CWPP применяют элементы управления безопасностью на уровне рабочих нагрузок, позволяя организациям последовательно защищать приложения по мере усложнения сред. Несмотря на разницу в базовых технологиях, цель остается прежней: обеспечить видимость рабочих нагрузок, выявлять риски, а также обнаруживать угрозы и реагировать на них во время выполнения в облачных, гибридных и мультиоблачных средах.

CWPP помогает виртуальным машинам оценить состояние безопасности, выявляя уязвимости, а также неправильные и рискованные настройки. Мониторинг во время выполнения добавляет видимость того, как виртуальные машины ведут себя в процессе работы, и позволяет командам обнаруживать подозрительную активность и реагировать на активные угрозы не ограничиваясь традиционными проверками конфигураций.

Контейнеры и среды Kubernetes вызывают уникальные риски из-за своей динамичности и высокой степени автоматизации. CWPP поддерживает безопасность контейнеров, обеспечивая видимость в кластерах, контейнерах и образах, а также мониторинг во время выполнения, который помогает выявлять неправильные настройки, небезопасные разрешения и аномальные действия в контейнерных приложениях.

Бессерверные функции работают в короткоживущих средах выполнения, поэтому традиционные подходы к безопасности, размещенные на узлах, могут быть неэффективны. CWPP помогает, предоставляя сведения на уровне рабочих нагрузок и обеспечивая видимость во время выполнения, что позволяет командам понимать, какие функции выполняются в этот момент, и выявлять аномальное поведение во время работы.

Многие организации управляют сочетанием традиционных локальных рабочих нагрузок и современных облачных служб. CWPP поддерживает эту модель, обеспечивая согласованную видимость рабочих нагрузок и защиту во время выполнения в обеих средах. Такой подход помогает уменьшить фрагментацию и поддерживает безопасную миграцию и модернизацию.

Облачные рабочие нагрузки не выполняются изолированно. Для правильной работы они полагаются на ряд вспомогательных служб, таких как хранилища, базы данных, API и системы управления ключами. Многие облачные атаки используют эти связи, перемещаясь через неправильно настроенные или открытые службы, вместо того чтобы атаковать рабочую нагрузку напрямую.

CWPP помогает решить эту проблему, расширяя видимость за пределы самой рабочей нагрузки до ресурсов, с которыми она взаимодействует. Это позволяет командам безопасности лучше понимать, как связаны рабочие нагрузки, выявлять риски в зависимых службах и обнаруживать пути атаки, которые иначе могли бы остаться незамеченными. Сопоставляя поведение на этапе выполнения с конфигурацией и настройками доступа в этих службах, CWPP помогает командам выявлять и останавливать угрозы, которые затрагивают рабочие нагрузки, а также более широкую облачную среду.

CWPP входит в состав более широкой экосистемы безопасности облака. Хотя разные категории средств безопасности могут пересекаться, каждая из них предназначена для устранения разных уровней рисков. Понимание того, чем платформа CWPP отличается от других подходов, помогает определить ее место и понять, как она дополняет существующие инструменты.

Безопасность приложений сосредотачивается на защите кода приложений и устранении рисков на этапах разработки и тестирования. Платформы CWPP сосредотачиваются на защите рабочих нагрузок, в которых выполняются приложения, тогда как смежные дисциплины, такие как безопасность облачных данных и управление данными, — на понимании, защите и управлении конфиденциальными данными, которые хранятся и обрабатываются в облаке. Вместе они помогают снизить риски как на этапе сборки, так и во время выполнения.

Управление состоянием безопасности облака (CSPM) сосредотачивается на выявлении неправильных настроек и проблем с соблюдением требований в облачной инфраструктуре. Область действия CWPP — безопасность рабочих нагрузок и их поведение на этапе выполнения. CSPM помогает командам понять, безопасно ли настроены облачные ресурсы, а CWPP помогает защищать и отслеживать рабочие нагрузки, выполняющиеся на этих ресурсах.

Платформа защиты облачных приложений (CNAPP) объединяет несколько возможностей безопасности облака в рамках единого подхода. В составе CNAPP платформа CWPP обычно выступает как уровень защиты среды выполнения и рабочей нагрузки, работая вместе с управлением состоянием безопасности, элементами управления удостоверениями и другими функциями безопасности облака.

Управление правами доступа в облачной инфраструктуре (CIEM) сосредотачивается на облачных удостоверениях, ролях и разрешениях, включая Privileged Access Management (PAM), чтобы помочь применять принцип наименьших привилегий и снизить риски, связанные с идентификацией пользователей.

Область действия CWPP — безопасность рабочих нагрузок и их поведение на этапе выполнения. CIEM помогает определить, кто может получать доступ к облачным ресурсам, тогда как CWPP гарантирует безопасность самих рабочих нагрузок и корректность их поведения.

Выявление и нейтрализация атак на конечные точки (EDR) и расширенное обнаружение и реагирование (XDR) помогают обнаруживать и исследовать угрозы и в конечных точках, удостоверениях и приложениях. Они предназначены для защиты постоянных ресурсов — устройств и серверов, которые остаются в эксплуатации продолжительное время, что дает возможность устанавливать агенты, собирать подробные данные и со временем расследовать инциденты.

Облачные рабочие нагрузки работают иначе. Контейнеры могут функционировать всего несколько секунд, бессерверные функции запускаются и останавливаются по требованию, а автоматическое масштабирование постоянно создает и удаляет ресурсы. Поэтому платформа CWPP предназначена для другой реальности. Она сосредотачивается на защите короткоживущих рабочих нагрузок с использованием облачного контекста — например, конфигурации ресурсов, топологии развертывания и поведения во время выполнения, — чтобы выявлять и останавливать угрозы, даже если сама рабочая нагрузка уже не находится в среде.

При совместном использовании EDR/XDR и CWPP обеспечивают командам безопасности более широкий охват, начиная с устройства и заканчивая рабочими нагрузками, выполняющимся в облаке.

Не все платформы защиты рабочей нагрузки в облаке обеспечивают одинаковый охват или детализацию. Поскольку организации работают в гибридных и многооблачных средах, важно оценивать, насколько CWPP соответствует текущим потребностям и долгосрочным облачным стратегиям.

При оценке CWPP командам стоит учитывать, насколько эффективно она поддерживает разные типы рабочих нагрузок, до какой степени может анализировать поведение во время выполнения и как хорошо интегрируется с существующими процессами безопасности и разработки. Простота развертывания, операционные затраты и масштабируемость тоже имеют критическое значение, особенно по мере развития сред.

Ключевые моменты, которые следует учитывать при оценке CNAPP включают:

• Охват разных типов рабочих нагрузок, включая виртуальные машины, контейнеры, Kubernetes и бессерверные функции.
• Детализация защиты во время выполнения, например отслеживание поведения и обнаружение угроз в реальном времени.
• Видимость уязвимостей и конфигураций, которая помогает выявлять риски в динамических средах.
• Интеграция с конвейерами непрерывной интеграции и непрерывной доставки (CI/CD) для поддержки рабочих процессов DevSecOps и безопасной облачной разработки.
• Масштабируемость для гибридных и многооблачных сред, включая поддержку быстро меняющихся рабочих нагрузок.
• Компромисс между агентными и безагентными решениями с учетом видимости, влияния на производительность и сложности развертывания.
• Сила защиты Kubernetes, включая видимость в кластерах и контейнерных рабочих нагрузках.
• Возможности безопасности цепочки поставок, например более раннее выявление уязвимых компонентов на этапе создания.
• Совокупная стоимость владения и операционные затраты, включая широкий набор инструментов и трудозатраты на обслуживание.
• Соответствие более широкой стратегии CNAPP, чтобы CWPP вписывалась в единый подход к облачной безопасности.

CWPP часто используются, чтобы помочь организациям защищать рабочие нагрузки в облачных средах с высокой динамичностью. Их подход, ориентированный на рабочие нагрузки, особенно полезен в сценариях, где традиционная защита на основе периметра не справляется или где необходима быстрая реакция на угрозы во время выполнения.

Распространенные сценарии использования CWPP включают:

• Защита кластеров Kubernetes в рабочей среде, включая мониторинг поведения на этапе выполнения и выявление неправильных настроек.
• Защита эфемерных рабочих нагрузок в средах с автоматическим масштабированием, где ресурсы часто создаются и удаляются.
• Обеспечение соответствия требованиям для регулируемых рабочих нагрузок с помощью непрерывного мониторинга и применения политик.
• Обнаружение угроз во время выполнения в бессерверных архитектурах, где среды выполнения короткоживущее.
• Укрепление устаревших виртуальных машин во время миграции в облако и модернизации.
• Предотвращение попыток выхода за пределы контейнера и ограничение бокового перемещения в контейнерных средах.
• Обнаружение майнинга криптовалют и другого вредоносного поведения в рабочих нагрузках в Kubernetes и облаке.
• Защита конвейеров CI/CD, включая сканирование образов и зависимостей перед развертыванием.
• Усиление состояния безопасности рабочих нагрузок, не замедляя циклы разработки или развертывания.

В Microsoft защита рабочей нагрузки в облаке — это часть более широкого подхода, помогающего организациям обеспечить защиту приложений в гибридных и многооблачных средах.

Организации могут получить доступ к возможностям CWPP через Microsoft Defender для облака, который обеспечивает видимость на уровне рабочих нагрузок и защиту во время выполнения для виртуальных машин, контейнеров, бессерверных функций и облачных ресурсов, от которых зависят эти рабочие нагрузки, такие как хранилища данных, базы данных, API и службы управления ключами. Многие облачные атаки переходят через эти взаимосвязанные службы, поэтому широкая видимость имеет критическое значение. Эти возможности предназначены для того, чтобы помогать командам безопасности отслеживать поведение рабочих нагрузок и обнаруживать, исследовать и устранять угрозы во время выполнения рабочих нагрузок.

CWPP также играет ключевую роль в стратегии CNAPP. В рамках этого подхода CWPP обеспечивает защиту во время выполнения, а встроенные возможности, такие как управление состоянием безопасности облака (CSPM) и безопасность DevSecOps, расширяют защиту на весь жизненный цикл облачного приложения — от сборки и развертывания до выполнения.

Подход Microsoft также ставит акцент на интеграции во всей экосистеме безопасности. Microsoft Defender для облака интегрируется с Microsoft Defender XDR и Microsoft Defender для конечной точки, чтобы расширить видимость облачных ресурсов, устройств и удостоверений. Он также интегрируется с Microsoft Security Copilot, который может помогать в расследовании инцидентов и следовании рекомендациям. Эти возможности поддерживаются глобальной аналитикой угроз, что помогает улучшать обнаружение и отклик в разных средах.

Такой интегрированный подход позволяет организациям применять согласованные элементы управления безопасностью в разных средах, поддерживать требования к управлению и соответствию, а также защищать рабочие нагрузки не замедляя разработку и операционные рабочие процессы.