クラウドネイティブアプリケーション保護プラットフォームは、できるだけ包括的なクラウドセキュリティソリューションを提供したいと考えています。どのCNAPPオファーが推奨されるかをお読みください。
Gorodenkoff | shutterstock.com
クラウドセキュリティは依然として難しい問題であり、それを確保するためのツールはますます複雑になり、理解しにくくなっています。業界の頭字語への変わらぬ愛のおかげです。CNAPPは、これに別の頭字語を追加しました。
CNAPP – 定義
この略語はCloud-Native Application Protection Platformを表し、4つの独立したクラウドセキュリティツールの機能を組み合わせています。
- Cloud Infrastructure Entitlement Management（CIEM）– すべてのアクセス制御対策とリスク管理タスクを管理します。
- Cloud Workload Protection Platform（CWPP）– クラウドベースのすべてのリポジトリ内のコードを保護し、開発環境全体とすべてのコードパイプラインに対して実行時の保護を提供します。
- クラウドアクセスセキュリティブローカー（CASB）– 認証と暗号化のタスク用。
- クラウドセキュリティ体勢管理（CSPM）– 脅威インテリジェンスと是正措置を組み合わせます。
これらの4つの「古典的な」要素の上に、CNAPPは現在、他の領域にも拡張されています。例えば：
- API、スクリプト、サプライチェーン、およびInfrastructure as Code（IaC）セキュリティ、
- コンテナおよびサーバーレスセキュリティ、および
- データとSaaSアプリケーションを含む追加の体勢管理ツール。
ユーザーの観点からは、CNAPPは理解しにくく、評価しにくいため、それに応じて購入するのも難しいです。Forresterの主任アナリストであるAndras Cserはこのテーマに関するブログ記事で示唆しています。クラウド外のセキュリティオプションも部分的にカバーされているため、各CNAPP購入の決定と実装は、チームまたは部門を超えたタスクでもあります。
別の言い方をすれば、CNAPPに関しては、多くのソフトウェアを調整、管理、統合、理解する必要があります。概要を把握しやすくするために、このガイドには主要なベンダーと製品の詳細をまとめました。
CNAPPマーケット
Gartnerは製品カテゴリ、つまり頭字語を形作りました。分析会社は、2021年8月の「Innovation Insight」レポートで初めてCNAPPという用語を使用しました。この製品カテゴリを理解するための鍵は、エンタープライズユーザーの統合上の課題にあります。VMwareの「可観測性の状態レポート」では、回答者の57％が、典型的なクラウドアプリケーション内で最大50の異なるテクノロジーが使用されており、平均で10のモニタリングツールで管理されていることを報告しています。
Dynatraceの「可観測性レポート2024」（データダウンロード）によると、典型的なエンタープライズ環境は平均して1ダースの異なるクラウドプラットフォームで構成されており、プライベート、パブリック、ハイブリッドクラウド戦略の組み合わせが定期的に採用されています。これに、さまざまな仮想マシンインスタンス、Kubernetesコンテナ、サーバーレス、マイクロサービスツールが追加されます。この大きな統合の負担は、2024年第2四半期のCNAPPマーケットが7億ドルの総額に達し、年間で42％成長した理由の1つかもしれません。これは、Dell’Oro Groupのアナリストが報告しています。
CNAPPベンダーとそのオファー
理想的には、CNAPPソリューションは以下を実行する必要があります。
- 設定ミスを減らす、
- 開発パイプラインのセキュリティレベルを最適化する、および
- 効果的に自動化する。
ベンダーはCNAPPに関して2つの異なるアプローチを追求しています。DevSecOpsまたはいずれかに焦点を当てるか、従来のITセキュリティの観点。前者はアプリケーション自体の保護に強い焦点を当てることになります（CIEM/CWPP）。後者は従来の保護対策のネットワークレベルへの拡張です（CASB/CSPM）。これまでのところ、CNAPPオファーは本当に4つの領域すべてを一貫してカバーしていません。
もちろん、人工知能（AI）もこの領域でますます重要な役割を果たしています。複数のCNAPPベンダーは、より包括的なモニタリングと可能な限り幅広いカバレッジとスケーラビリティを提供するために、AIエージェントとエージェントレスソリューションを製品に統合または組み合わせています。
焦点： DevSecOps
形式：様々な製品を備えた統一プラットフォーム。
特別な機能/統合：クラウド検出と応答（CDR）、AppSec、コンテナイメージの脆弱性分析。
価格設定：サブスクリプション価格は選択した製品に応じて異なります。
形式：クラウド、Web、サプライチェーン用の個別の製品。
特別な機能/統合：Headliner Attack Policies、Artifact Scanning、中央分析エンジン、Kubernetes対応。
価格設定：複雑で高価。各製品に異なる料金プラン。
形式：様々な製品を備えた統一プラットフォーム。
特別な機能/統合：行動ベースの保護ルール、SOAR、AppSec、ビルドおよびデプロイメントパイプラインのスキャン。
価格設定：無料試用版、使用期間と使用されたvCPUに基づいて異なります。
形式：様々な製品を備えた統一プラットフォーム。
特別な機能/統合：Side Scanning、リスク優先順位付け、AppSecパイプライン、AI機能。
価格設定：ワークロード、ストレージバケット、データベーススキャン、および使用されたセンサーに基づいています。
Palo Alto Networks Cortex Cloud
焦点：ITセキュリティ
形式：様々な製品を備えた統一プラットフォーム。
特別な機能/統合：CDR、AppSec統合、実行時の保護とDSPM、IBMおよびAkamai Cloudsのサポートが計画中。
価格設定：複雑で高価。選択したモジュールと保護されたワークロードに基づいています。
焦点：ITセキュリティ
形式：統一プラットフォーム。
特別な機能/統合：CDR、コンテナとIaC-Security、SaaS体勢管理、AI機能。
価格設定：無料試用版、ワークロードベースのサブスクリプションモデル。
焦点：DevSecOps
形式：単一製品。
特別な機能/統合：「次世代」CDR、リスク優先順位付け、AI機能と分析。
価格設定：ホストごとの固定料金モデル。月額約500ドルから。
焦点：ITセキュリティ
形式：スタンドアロンソリューション、またはTenable One露出管理プラットフォームの一部。
特別な機能/統合：露出管理、DSPM、AI Security、KubernetesおよびIaC対応。
価格設定：無料試用版、ノードまたはワークロードに基づく複雑な価格設定モデル。
焦点：DevSecOps
形式：単一製品。
特別な機能/統合：主にコンテナおよびKubernetesセキュリティに焦点を当てています。
価格設定：無料のオープンソース版。サブスクリプション請求モデルまたはノード時間当たりの商用オプション。
焦点：ITセキュリティ
形式：統一プラットフォーム。
特別な機能/統合：XDR、AppSec、DSPM、AI/ML機能。
価格設定：様々なオプション。年間約5,000ドルから（200クラウドアセット）。
焦点：ITセキュリティ
形式：様々な製品を備えた統一プラットフォーム。
特別な機能/統合：グラフベースの可視化とコードからクラウドから実行時までの分析によるリスク優先順位付け、AI機能、コンテナおよびKubernetes対応。
価格設定：ワークロードに基づく様々な料金プラン。
CNAPPへの投資前の5つの質問
これらのCNAPPベンダーの1つを選択する前に、自分自身に次の質問をする必要があります。
- 選択したソリューションでスキャンできるクラウドアーティファクトは何ですか？一部の製品（Lacework）は3つの大規模なIaaSプロバイダーに焦点を当てており、その他（Tigera）はハイパースケーラーのKubernetesサービスのみをサポートしています。さらに他の製品（Sysdig）は主にコンテナと、これらが実行される様々なLinuxサーバーに焦点を当てています。ただし、最も重要なのは、アーティファクトを継続的に、ほぼリアルタイムで監視できることです。
- セキュリティインシデントはどのように報告されますか？異なるスタッフが特定の領域に焦点を当てることができるように、別個のアクセスルールはありますか？エージェント付きおよびエージェントなしでデータをキャプチャするための、別個の、または組み合わされた定義済みのセキュリティポリシーはありますか？提供するダッシュボードと可視化はどの程度有用ですか？
- 4つの管理ツール領域はどの程度カバーされていますか。一部のオファーはCWPPおよびCSPM要素を提供していますが、Kubernetes対応などのために拡張が必要です。
- どのDevOpsフレームワークがサポートされていますか？ オープンソースリポジトリに関してはどうですか。
- ソリューションの実際のコストはいくらですか？ CNAPPベンダーのほんの少数が本当に透明な価格を提供しています。特に複雑な価格設定モデル（Data Theorem、Qualys、Orca）では、明確化が必要です。
（fm）
翻訳元: https://www.csoonline.com/article/3970431/cnapp-kaufratgeber.html
