クラウドネイティブアプリケーション保護プラットフォーム (CNAPP)
TL;DR
クラウドネイティブアプリケーション保護プラットフォーム (CNAPP) はセキュリティソリューションです。クラウドポスチャ管理 (CSPM)、ワークロード保護 (CWPP)、およびコードセキュリティ (ASPM)などのツールを一つに統合します。
開発から本番環境まで、クラウドネイティブアプリケーションのライフサイクル全体を保護します。
このプラットフォームは次のことを支援します：
- ツールの統合: 複数の個別のセキュリティツールを単一の統一されたダッシュボードに置き換えます。
- 実際のリスクの優先順位付け: コードの脆弱性と実行時の露出を結びつけます。これにより、ノイズをフィルタリングできます。
- 自動修復: 単なるアラートを超えて、AIと自動化を使用して実際にセキュリティ問題を修正します。
CNAPPは、コード、クラウド、コンテナを含むクラウド全体の環境を保護するための単一のビューを提供することを目指しています。
CNAPPとは？
CNAPP (クラウドネイティブアプリケーション保護プラットフォーム) は統一されたセキュリティモデルです。クラウドセキュリティポスチャ管理 (CSPM)、クラウドワークロード保護 (CWPP)、クラウドインフラストラクチャ権限管理 (CIEM)、およびアプリケーションセキュリティポスチャ管理 (ASPM) を組み合わせています。
コードスキャン、クラウドモニタリング、コンテナ保護のために個別のツールに依存するのではなく、CNAPPはこれらの機能を統合します。開発と本番環境の両方からデータを結びつけ、脅威の全体像を把握します。
簡単に言うと：
CNAPPはクラウドセキュリティの「オペレーティングシステム」のようなもので、コードとクラウドをリンクさせてエンドツーエンドで保護します。1つのダッシュボードでコード、クラウド、コンテナを一括管理できます。
なぜCNAPPが重要なのか
現代のクラウド環境は複雑で常に変化しています。セキュリティチームは、複数の分断されたスキャナーを使用するため、過剰なツールとアラートに対処することがよくあります。
CNAPPが重要な理由は次の通りです：
- ツールの乱立が盲点を生む。 コード（SAST）とクラウド（CSPM）に別々のツールを使用すると、文脈を見逃します。コードの脆弱性がインターネットに露出していない場合は無害かもしれません。CNAPPは両方の側面を見て違いを理解します。
- アラート疲れがセキュリティチームを圧倒する。 従来のツールは、低優先度のアラートを何千も生成します。CNAPPはデータを相関させ、実際に攻撃経路を持つ重要な1％の脅威を優先順位付けし、多くの環境で検出までの平均時間を数日から数時間に大幅に短縮できます。このリスクベースのアプローチにより、チームは迅速に真の脅威に集中でき、運用効率が向上し、全体的なリスク露出が低減されます。
- DevSecOpsにはスピードが必要です。 開発者はセキュリティレビューを待つことができません。CNAPPはセキュリティをCI/CDパイプラインに組み込み、デプロイを遅らせることなく早期に問題をキャッチします（Shift Left）。
- コンプライアンスは継続的です。 SOC 2、HIPAA、ISO 27001のようなフレームワークは、インフラストラクチャとワークロードの継続的な監視を要求します。CNAPPはこの証拠収集を自動化します。
CNAPPの仕組み
CNAPPはクラウドスタックのあらゆる層をスキャン、相関、保護することで機能します。
1. 統一された可視性 (接続)
プラットフォームは、APIを介してクラウドプロバイダー（AWS、Azure、GCP）およびコードリポジトリ（GitHub、GitLab）に接続します。インフラストラクチャ、コンテナ、サーバーレス機能、ソースコードを含むすべてをスキャンし、重いエージェントを必要としません。
目標: すべてのクラウド資産とリスクのリアルタイムインベントリを作成する。
2. 文脈的相関 (分析)
CNAPPは、資産間の関係を積極的に分析し、情報に基づいたセキュリティ決定を行います。例えば、CVE-Xのような既知の脆弱性を持つコンテナがインターネットに面している場合、CNAPPはそれを即座に重大なリスクとしてフラグを立てます。同様に、リソースにアクセスするアイデンティティが管理者権限を持っている場合、特権昇格の可能性を強調します。
目標: ノイズを除去し、実際の攻撃経路を作り出す「有害な組み合わせ」を特定する。
3. 統合された修正 (修正)
リスクが発見されると、高度なCNAPPソリューションであるPlexicus AIは、単に警告するだけでなく、修正を支援します。これは、コードを修正するための自動プルリクエストや、クラウド設定を更新するためのコマンドである可能性があります。
目標: 修正までの平均時間（MTTR）を自動化によって短縮する。
4. 継続的なコンプライアンス
プラットフォームは、規制フレームワーク（PCI DSS、GDPR、NIST）に対して継続的に発見をマッピングし、常に監査準備が整っていることを保証します。
目標: 手動のコンプライアンススプレッドシートと監査前の「パニックモード」を排除する。
CNAPPのコアコンポーネント
真のCNAPPソリューションは、これらの主要技術を統合します。
- CSPM (クラウドセキュリティポスチャ管理): オープンなS3バケットなどのクラウドの誤設定をチェックします。
- CWPP (クラウドワークロード保護プラットフォーム): 実行中のワークロード（VM、コンテナ）をランタイムの脅威から保護します。
- ASPM (アプリケーションセキュリティポスチャ管理): コードと依存関係（SAST/SCA）をスキャンして脆弱性を検出します。
- CIEM (クラウドインフラストラクチャ権限管理): アイデンティティと権限を管理します（最小特権）。
- IaCセキュリティ: デプロイ前にインフラストラクチャコード（Terraform、Kubernetes）をスキャンします。
実践例
DevOpsチームがKubernetesを使用してAWSに新しいマイクロサービスをデプロイします。
CNAPPなしの場合:
- SASTツールがライブラリの脆弱性を発見しますが、「低優先度」とマークします。
- CSPMツールがインターネットに公開されたセキュリティグループを検出しますが、その背後にあるアプリケーションを特定できません。
- 結果: チームは両方のアラートを無視し、アプリケーションが侵害されます。
Plexicus CNAPPを使用した場合:
- プラットフォームが発見を関連付けます。この「低優先度」の脆弱性が、オープンなセキュリティグループを介してインターネットに公開されているコンテナで実行されていることを特定します。
- リスクはクリティカルにアップグレードされます。
- Plexicus AIが自動的に修正を生成します。ライブラリをパッチするためのプルリクエストを開き、セキュリティグループを閉じるためのTerraformの変更を提案します。
結果: チームはクリティカルな攻撃経路を即座に確認し、数分で修正をマージします。
CNAPPを使用する人々
- クラウドセキュリティアーキテクト: 全体的なセキュリティ戦略を設計し監督する。
- DevSecOpsチーム: セキュリティスキャンをCI/CDパイプラインに統合する。
- SOCアナリスト: 実行時の脅威を完全なコンテキストで調査する。
- CTO & CISO: リスクとコンプライアンスの姿勢を高レベルで把握する。
CNAPPを適用するタイミング
CNAPPはクラウドセキュリティ戦略の基盤であるべきです。
- 開発中: コードとIaCテンプレートの誤設定をスキャンする。
- CI/CD中: 重大な脆弱性や秘密情報を含むビルドをブロックする。
- 本番環境で: ライブワークロードの不審な動作やドリフトを監視する。
- 監査のために: SOC 2、ISO 27001などの即時レポートを生成する。
CNAPPツールの主要機能
ほとんどのCNAPPソリューションは以下を提供します。
- エージェントレススキャニング: 各サーバーにソフトウェアをインストールせずに迅速な可視性を提供。
- 攻撃経路分析: 攻撃者がクラウドをどのように移動できるかを視覚化。
- コードからクラウドへのトレーサビリティ: 本番環境の問題を正確なコード行に遡る。
- 自動修復: 問題を見つけるだけでなく修正する能力。
- アイデンティティ管理: 過剰な権限を視覚化し制限する。
例: Wiz、Orca Security、またはPlexicus。これは、見つけた脆弱性に対してAIエージェントを使用して自動的にコード修正を生成することで差別化しています。
CNAPP実装のベストプラクティス
- 可視性から始める: クラウドアカウントを接続して、完全な資産インベントリを取得します。
- コンテキストによる優先順位付け: 露出していて悪用可能な1%の問題の修正に集中します。
- 開発者を支援する: 開発者にビルドをブロックするだけでなく、修正を提案するツールを提供します。
- 左シフト: クラウドでアラートを生成する前に、コード（IaC）での誤設定をキャッチします。
- すべてを自動化する: ポリシーを使用して、単純な誤設定を自動的に修正します。
関連用語
FAQ: クラウドネイティブアプリケーション保護プラットフォーム (CNAPP)
1. CSPMとCNAPPの違いは何ですか？
CSPMはクラウド設定（例：AWS設定）だけを見ます。CNAPPはCSPMを含みますが、ワークロード（CWPP）やコード（ASPM）も見ます。CSPMは機能であり、CNAPPはプラットフォームです。
2. CNAPPにはエージェントが必要ですか？
ほとんどの最新のCNAPP（例えばPlexicus）は、可視性のためにエージェントレスであり、クラウドAPIを使用して環境を即座にスキャンします。一部は、ランタイム保護を深く行うために軽量エージェントを使用することがあります（CWPP）。
3. CNAPPは私のSAST/DASTツールを置き換えることができますか？
包括的なCNAPPには、スタンドアロンのSAST、SCA、および秘密スキャンツールを置き換え、それらを1つのワークフローに統合できるASPM機能が含まれていることが多いですが、多くのチームは依然としてより深いアプリケーションテストのために専用のDASTツールを使用しています。
4. CNAPPは開発者にどのように役立ちますか？
コンテキストを提供することによってです。開発者に1,000件のバグが記載されたPDFレポートを渡す代わりに、CNAPPはインターネットに露出しているいくつかのバグを修正するように指示します。また、それらを修正するためのコードを頻繁に提供します。
5. CNAPPは小規模チームに適していますか？
もちろんです。小規模チームは、10種類の異なるツールを管理するスタッフがいないため、最も恩恵を受けます。CNAPPは、単一のダッシュボードでエンタープライズグレードのセキュリティを提供します。