Čo je CWPP?

S presúvaním aplikácií čoraz väčšieho počtu organizácií do cloudu pracujú tímy zabezpečenia s prostrediami, ktoré sa výrazne líšia od tradičných dátových centier. Hybridné a multicloudové konfigurácie sú dnes bežné a workloady sú dynamickejšie, krátkodobejšie a rozptýlené medzi viaceré platformy.

Táto zmena prináša nové výzvy a rozširuje priestor na útok. Príklad:

• Cloudové prostriedky sa rýchlo vytvárajú a odstraňujú.
• Konfigurácie sa často menia.
• Workloady sa presúvajú medzi prostrediami spôsobmi, ktoré je ťažké sledovať.

Statické ani jednorazové bezpečnostné kontroly preto nestačia. Tímy zabezpečenia potrebujú ochrany, ktoré fungujú konzistentne vo všetkých prostrediach bez ohľadu na to, kde sú workloady spustené.

Platformy CWPP pomáhajú tieto výzvy riešiť uplatňovaním ovládacích prvkov zabezpečenia priamo na úrovni workloadov. Namiesto spoliehania sa na ochranu perimetra poskytuje CWPP viditeľnosť a ochranu tam, kde sa aplikácie skutočne spúšťajú.

Táto viditeľnosť za behu pomáha tímom:

• Sledovať, čo workloady robia v reálnom čase.
• Odhaliť podozrivé správanie v momente, keď k nemu dochádza.
• Zastaviť aktívne hrozby počas behu workloadov, nielen v skoršej fáze vývoja.

Platformy CWPP zohrávajú dôležitú úlohu aj pri plnení požiadaviek na riadenie a súlad s predpismi. V regulovaných odvetviach podporujú nepretržité monitorovanie a vynucovanie politík pripravenosť na audit a pomáhajú preukazovať súlad s predpismi pri vývoji cloudových prostredí.

Platformy CWPP zároveň podporujú bezpečné inovácie. Integráciou ovládacích prvkov zabezpečenia do moderných pracovných postupov vývoja a nasadzovania umožňuje CWPP tímom vytvárať a nasadzovať aplikácie natívne pre cloud bez zbytočných prekážok alebo spomaľovania vývojových cyklov.

S rastúcou zložitosťou cloudových prostredí prinášajú platformy CWPP jasné výhody, ktoré tímom pomáhajú konzistentne zabezpečovať workloady a pracovať efektívnejšie:

• Zníženie rizika vyplývajúceho z nesprávnych konfigurácií a aktívnych hrozieb v dynamických cloudových workloadoch.
• Konzistentné ovládacie prvky zabezpečenia v hybridných a multicloudových prostrediach.
• Zjednotená viditeľnosť správania workloadov, zraniteľností a stavu zabezpečenia.
• Rýchlejšia detekcia a reakcia vďaka monitorovaniu za behu a automatizovanej náprave.
• Lepší stav súladu s predpismi a pripravenosť na audit v regulovaných odvetviach.
• Podpora DevSecOps a bezpečných postupov vývoja natívneho pre cloud.
• Vyššia efektivita tímov zabezpečenia a platforiem vďaka obmedzeniu manuálnej práce a uprednostneniu vysokorizikových problémov.

Platformy CWPP pomáhajú zabezpečiť workloady všade, kde sú spustené, kombináciou viditeľnosti, detekcie a vynucovania v celom životnom cykle aplikácie. Platformy CWPP sa nespoliehajú na jediný ovládací prvok, ale spájajú viacero funkcií, ktoré fungujú v dynamických prostrediach natívnych pre cloud.

Na základnej úrovni sa CWPP zameriava na pochopenie toho, ktoré workloady sú spustené, ako sú nakonfigurované a ako sa správajú za behu. Následne uplatňuje ochrany, ktoré pomáhajú tímom identifikovať riziká, zisťovať aktívne hrozby a konzistentne vynucovať ovládacie prvky zabezpečenia v cloudových, hybridných a multicloudových prostrediach.

Medzi základné funkcie a možnosti platformy CWPP patria:

• Nepretržitá detekcia hrozieb a ochrana za behu, ktoré identifikujú podozrivú aktivitu počas behu workloadov, nielen pri nasadzovaní.
• Správa zraniteľností a konfigurácií, ktorá odhaľuje známe chyby, nezabezpečené nastavenia a chýbajúce ochrany.
• Viditeľnosť zameraná na workloady, ktorá ukazuje, čo je spustené vo VM, kontajneroch a bezserverových prostrediach.
• Mikrosegmentácia a vynucovanie najnižšej úrovne oprávnení, ktoré obmedzujú laterálny pohyb a rozsah dopadu a podporujú architektúru Zero Trust v cloudových prostrediach.
• Monitorovanie integrity súborov a posilnenie zabezpečenia systému, ktoré odhaľujú neoprávnené zmeny a udržiavajú bezpečný stav za behu.
• Automatizovaná náprava, ktorá urýchľuje reakciu na nesprávne konfigurácie a aktívne hrozby.
• Integrácia s kanálmi DevOps na podporu bezpečných pracovných postupov vývoja a nasadzovania.
• Automatizované vynucovanie politík a zabezpečenie Zero Trust na udržiavanie konzistentných ovládacích prvkov vo všetkých prostrediach.
• Zabezpečenie dodávateľského reťazca softvéru na identifikáciu zraniteľných súčastí a závislostí už v skoršej fáze zostavovania a nasadzovania.
• Ochrany špecifické pre Kubernetes na riešenie rizík vyplývajúcich z orchestrácie kontajnerov a platforiem natívnych pre cloud.

Platformy CWPP uplatňujú ovládacie prvky zabezpečenia na úrovni workloadov, takže organizácie môžu konzistentne chrániť aplikácie aj s rastúcou zložitosťou prostredí. Hoci sa použité technológie líšia, cieľ zostáva rovnaký: poskytovať viditeľnosť workloadov, identifikovať riziká a zisťovať hrozby a reagovať na ne za behu v cloudových, hybridných a multicloudových prostrediach.

V prípade VM pomáha CWPP posúdiť stav zabezpečenia identifikáciou zraniteľností, nesprávnych konfigurácií a rizikových nastavení. Monitorovanie za behu poskytuje prehľad o správaní VM počas ich prevádzky, vďaka čomu môžu tímy odhaliť podozrivú aktivitu a reagovať na aktívne hrozby nad rámec tradičných kontrol konfigurácie.

Kontajnery a prostredia Kubernetes prinášajú jedinečné riziká pre svoju dynamickú a vysoko automatizovanú povahu. CWPP podporuje zabezpečenie kontajnerov poskytovaním viditeľnosti naprieč klastrami, kontajnermi a image súbormi a monitorovaním za behu, ktoré pomáha identifikovať nesprávne konfigurácie, nezabezpečené oprávnenia a nezvyčajné správanie v kontajnerových aplikáciách.

Bezserverové funkcie fungujú v krátkodobých vykonávacích prostrediach, preto môžu byť tradičné prístupy k zabezpečeniu založené na hostiteľovi neúčinné. CWPP poskytuje prehľad na úrovni workloadov a viditeľnosť za behu, vďaka čomu môžu tímy zistiť, ktoré funkcie sú spustené, a odhaliť nezvyčajné správanie počas vykonávania.

Mnohé organizácie spravujú kombináciu tradičných lokálnych workloadov a moderných služieb natívnych pre cloud. CWPP túto realitu podporuje konzistentnou viditeľnosťou workloadov a ochranou za behu v oboch prostrediach. Tento prístup pomáha znižovať fragmentáciu a podporuje bezpečnú migráciu a modernizáciu.

Cloudové workloady nefungujú izolovane. Na správne fungovanie využívajú rôzne podporné služby, napríklad úložisko, databázy, rozhrania API a systémy správy kľúčov. Mnohé cloudové útoky využívajú tieto prepojenia a namiesto priameho útoku na workload sa pohybujú cez nesprávne nakonfigurované alebo vystavené služby.

CWPP to pomáha riešiť rozšírením viditeľnosti zo samotného workloadu aj na prostriedky, s ktorými komunikuje. Tímy zabezpečenia tak môžu lepšie pochopiť prepojenia medzi workloadmi, identifikovať riziká v závislých službách a odhaliť cesty útoku, ktoré by inak mohli zostať nepovšimnuté. Koreláciou správania za behu s konfiguráciou a prístupom v týchto službách pomáha CWPP tímom identifikovať a zastaviť hrozby, ktoré zasahujú workloady aj širšie cloudové prostredie.

Platformy CWPP sú súčasťou širšieho ekosystému cloudového zabezpečenia. Hoci sa jednotlivé kategórie zabezpečenia môžu prekrývať, sú navrhnuté tak, aby riešili rôzne vrstvy rizika. Porovnanie CWPP s inými prístupmi pomáha objasniť jeho úlohu a spôsob, akým dopĺňa existujúce nástroje.

Zabezpečenie aplikácií sa zameriava na zabezpečenie kódu aplikácií a riešenie rizík počas vývoja a testovania. CWPP sa zameriava na ochranu workloadov, na ktorých sú spustené aplikácie, zatiaľ čo súvisiace disciplíny, ako sú zabezpečenie cloudových údajov a riadenie údajov, sa zameriavajú na pochopenie, ochranu a riadenie citlivých údajov uložených a spracúvaných v cloude. Spoločne pomáhajú znižovať riziko vo fázach zostavovania aj behu.

Správa stavu cloudového zabezpečenia (CSPM) sa zameriava na identifikáciu nesprávnych konfigurácií a problémov so súladom v cloudovej infraštruktúre. CWPP sa zameriava na zabezpečenie workloadov a ich správanie za behu. CSPM pomáha tímom zistiť, či sú cloudové prostriedky nakonfigurované bezpečne, zatiaľ čo CWPP pomáha chrániť a monitorovať workloady spustené v týchto prostriedkoch.

Platforma ochrany aplikácií natívnych pre cloud (CNAPP) spája viacero funkcií cloudového zabezpečenia do jedného zjednoteného prístupu. V rámci CNAPP slúži CWPP zvyčajne ako vrstva ochrany za behu a ochrany workloadov a funguje spolu so správou stavu zabezpečenia, ovládacími prvkami identity a ďalšími funkciami cloudového zabezpečenia.

Správa oprávnení ku cloudovej infraštruktúre (CIEM) sa zameriava na cloudové identity, roly a oprávnenia vrátane správy privilegovaného prístupu (PAM), aby pomohla vynucovať najnižšiu úroveň oprávnení a znižovať riziko súvisiace s identitou.

CWPP sa zameriava na zabezpečenie workloadov a ich správanie za behu. CIEM pomáha odpovedať na otázku, kto má prístup ku cloudovým prostriedkom, zatiaľ čo CWPP pomáha zaistiť, aby boli samotné workloady zabezpečené a správali sa podľa očakávaní.

Detekcia hrozieb v koncových bodoch a reakcia na ne (EDR) a rozšírená detekcia hrozieb a reakcia na ne (XDR) pomáhajú odhaľovať a skúmať hrozby v koncových bodoch, identitách a aplikáciách. Sú navrhnuté na ochranu trvalých prostriedkov – zariadení a serverov, ktoré existujú dostatočne dlho na inštaláciu agentov, zhromažďovanie podrobných údajov a dlhodobé vyšetrovanie incidentov.

Cloudové workloady fungujú inak. Kontajnery môžu byť spustené len niekoľko sekúnd, bezserverové funkcie sa spúšťajú a zastavujú podľa potreby a automatické škálovanie neustále vytvára a odstraňuje prostriedky. CWPP je preto navrhnuté pre inú realitu. Zameriava sa na ochranu krátkodobých workloadov pomocou kontextu natívneho pre cloud, ako sú konfigurácia prostriedkov, topológia nasadenia a správanie za behu, aby odhalilo a zastavilo hrozby aj vtedy, keď samotný workload existuje len krátko.

Spoločným používaním EDR/XDR a CWPP získajú tímy zabezpečenia širšie pokrytie od zariadení až po workloady spustené v cloude.

Nie všetky platformy ochrany cloudových workloadov ponúkajú rovnaký rozsah alebo hĺbku pokrytia. Keď organizácie fungujú v hybridných a multicloudových prostrediach, je dôležité posúdiť, ako dobre CWPP zodpovedá aktuálnym potrebám a dlhodobým cloudovým stratégiám.

Pri posudzovaní platformy CWPP by tímy mali zvážiť, ako účinne podporuje rôzne typy workloadov, ako podrobne dokáže kontrolovať ich správanie za behu a ako dobre sa integruje s existujúcimi pracovnými postupmi zabezpečenia a vývoja. Dôležitými faktormi sú aj jednoduchosť nasadenia, prevádzková réžia a škálovateľnosť, najmä keď sa prostredia ďalej vyvíjajú.

Pri hodnotení platformy CWPP treba zvážiť najmä:

• Pokrytie rôznych typov workloadov vrátane VM, kontajnerov, Kubernetes a bezserverových funkcií.
• Hĺbku ochrany za behu, napríklad monitorovanie správania a detekciu hrozieb v reálnom čase.
• Viditeľnosť zraniteľností a konfigurácií, ktorá pomáha identifikovať riziká v dynamických prostrediach.
• Integráciu s kanálmi priebežnej integrácie a priebežného doručovania (CI/CD), ktorá podporuje pracovné postupy DevSecOps a bezpečný vývoj natívny pre cloud.
• Škálovateľnosť pre hybridné a multicloudové prostredia vrátane podpory rýchlo sa meniacich workloadov.
• Kompromisy medzi metódami založenými na agentoch a bezagentovými metódami, ktoré vyvažujú viditeľnosť, vplyv na výkon a zložitosť nasadenia.
• Úroveň ochrany Kubernetes vrátane viditeľnosti naprieč klastrami a kontajnerovými workloadmi.
• Funkcie zabezpečenia dodávateľského reťazca, napríklad identifikáciu zraniteľných súčastí už v skoršej fáze zostavovania.
• Celkové náklady na vlastníctvo a prevádzkovú réžiu vrátane nadmerného počtu nástrojov a náročnosti údržby.
• Súlad so širšou stratégiou CNAPP, aby CWPP zapadalo do zjednoteného prístupu ku cloudovému zabezpečeniu.

Platformy CWPP sa bežne používajú na zabezpečenie workloadov vo veľmi dynamických cloudových prostrediach. Vďaka zameraniu na workloady sú mimoriadne užitočné v situáciách, keď tradičné zabezpečenie perimetra nestačí alebo je potrebné rýchlo reagovať na hrozby za behu.

Medzi bežné prípady použitia platformy CWPP patria:

• Zabezpečenie produkčných klastrov Kubernetes vrátane monitorovania správania za behu a identifikácie nesprávnych konfigurácií.
• Ochrana dočasných workloadov v prostrediach s automatickým škálovaním, kde sa prostriedky často vytvárajú a odstraňujú.
• Vynucovanie požiadaviek na súlad s predpismi pre regulované workloady pomocou nepretržitého monitorovania a vynucovania politík.
• Detekcia hrozieb za behu v bezserverových architektúrach s krátkodobými vykonávacími prostrediami.
• Posilnenie zabezpečenia starších VM počas migrácie do cloudu a modernizácie.
• Predchádzanie pokusom o únik z kontajnera a obmedzovanie laterálneho pohybu v kontajnerových prostrediach.
• Detekcia ťažby kryptomien a ďalšieho škodlivého správania v cloudových workloadoch a workloadoch Kubernetes.
• Zabezpečenie kanálov CI/CD vrátane kontroly image súborov a závislostí pred nasadením.
• Posilnenie stavu zabezpečenia workloadov bez spomaľovania vývojových alebo nasadzovacích cyklov.

V spoločnosti Microsoft je ochrana cloudových workloadov súčasťou širšieho prístupu, ktorý organizáciám pomáha zabezpečovať aplikácie v hybridných a multicloudových prostrediach.

Organizácie môžu využívať funkcie CWPP prostredníctvom služby Microsoft Defender for Cloud, ktorá poskytuje viditeľnosť na úrovni workloadov a ochranu za behu pre VM, kontajnery, bezserverové funkcie a cloudové prostriedky, od ktorých tieto workloady závisia – napríklad úložisko, databázy, rozhrania API a služby správy kľúčov. Mnohé cloudové útoky sa šíria cez tieto prepojené služby, preto je široká viditeľnosť kľúčová. Tieto funkcie sú navrhnuté tak, aby tímom zabezpečenia pomáhali monitorovať správanie workloadov a zisťovať, vyšetrovať a riešiť hrozby počas ich behu.

CWPP zohráva kľúčovú úlohu aj v stratégii CNAPP. V rámci tohto prístupu prispieva CWPP ochranou za behu, zatiaľ čo integrované funkcie, ako sú správa stavu cloudového zabezpečenia (CSPM) a zabezpečenie DevSecOps, rozširujú ochranu na celý životný cyklus cloudových aplikácií – od zostavenia a nasadenia až po beh.

Prístup spoločnosti Microsoft kladie dôraz aj na integráciu v rámci celého ekosystému zabezpečenia. Microsoft Defender for Cloud sa integruje s riešeniami Microsoft Defender XDR a Microsoft Defender for Endpoint, čím rozširuje viditeľnosť cloudových prostriedkov, zariadení a identít. Integruje sa aj so službou Microsoft Security Copilot, ktorá môže pomôcť pri vyšetrovaní incidentov a uplatňovaní odporúčaní. Tieto funkcie podporuje globálne informovanie o hrozbách, ktoré pomáha zlepšovať detekciu a reakciu vo všetkých prostrediach.

Tento integrovaný prístup umožňuje organizáciám uplatňovať konzistentné ovládacie prvky zabezpečenia vo všetkých prostrediach, podporovať požiadavky na riadenie a súlad s predpismi a chrániť workloady bez spomaľovania vývojových alebo prevádzkových pracovných postupov.