クラウドネイティブアプリケーション保護プラットフォーム (CNAPP)

TL;DR

クラウドネイティブアプリケーション保護プラットフォーム (CNAPP) はセキュリティソリューションです。クラウドポスチャーマネジメント (CSPM)、ワークロード保護 (CWPP)、コードセキュリティ (ASPM) などのツールを一つに統合します。

開発から本番まで、クラウドネイティブアプリケーションのライフサイクル全体を保護します。

このプラットフォームは以下のことを支援します:

• ツールの統合: 複数の個別のセキュリティツールを単一の統合ダッシュボードに置き換えます。
• 実際のリスクの優先順位付け: コードの脆弱性をランタイムの露出と結びつけます。これによりノイズをフィルタリングできます。
• 修正の自動化: 単純なアラートを超えて、AIと自動化によって実際にセキュリティ問題を修正します。

CNAPPはコード、クラウド、コンテナを含むクラウド環境全体を保護するための単一のビューを提供することを目指しています。

CNAPPとは何か？

CNAPP (クラウドネイティブアプリケーション保護プラットフォーム) は統合されたセキュリティモデルです。クラウドセキュリティポスチャーマネジメント (CSPM)、クラウドワークロード保護 (CWPP)、クラウドインフラストラクチャーエンタイトルメントマネジメント (CIEM)、アプリケーションセキュリティポスチャーマネジメント (ASPM) を組み合わせます。

コードスキャン、クラウド監視、コンテナ保護のために個別のツールに頼るのではなく、CNAPPはこれらの機能を統合します。開発と本番の両方からデータを接続し、脅威の全体像を把握します。

簡単に言うと:

CNAPPはクラウドセキュリティの「オペレーティングシステム」のようなもので、コードとクラウドをリンクしてエンドツーエンドで保護します。1つのダッシュボードでコード、クラウド、コンテナをまとめて管理できます。

CNAPPが重要な理由

現代のクラウド環境は複雑で常に変化しています。セキュリティチームは、複数の分断されたスキャナーを使用するため、ツールやアラートが多すぎることに悩まされることがよくあります。

CNAPPが重要な理由は以下の通りです:

• ツールの乱立は盲点を作ります。 コード（SAST）とクラウド（CSPM）に別々のツールを使用すると、コンテキストを見逃します。コードの脆弱性がインターネットに公開されていない場合は無害かもしれません。CNAPPは両方の側面を見て、その違いを理解します。
• アラート疲労がセキュリティチームを圧倒します。 従来のツールは数千の低優先度のアラートを生成します。CNAPPはデータを関連付けて、実際に攻撃経路を持つ重要な1％の脅威を優先し、平均検出時間を数日から数時間に大幅に短縮できます。このリスクベースのアプローチにより、チームは迅速に真の脅威に集中でき、運用効率を向上させ、全体的なリスク露出を低減します。
• DevSecOpsにはスピードが必要です。 開発者はセキュリティレビューを待つことができません。CNAPPはセキュリティをCI/CDパイプラインに組み込み、デプロイメントを遅らせることなく早期に問題をキャッチします（Shift Left）。
• コンプライアンスは継続的です。 SOC 2、HIPAA、ISO 27001のようなフレームワークは、インフラストラクチャとワークロードの継続的な監視を要求します。CNAPPはこの証拠収集を自動化します。

CNAPPの仕組み

CNAPPはクラウドスタックのあらゆる層をスキャン、関連付け、保護することで機能します。

1. 統一された可視性 (接続)

プラットフォームは、APIを介してクラウドプロバイダー（AWS、Azure、GCP）およびコードリポジトリ（GitHub、GitLab）に接続します。インフラストラクチャ、コンテナ、サーバーレス関数、ソースコードを含むすべてをスキャンし、重いエージェントを必要としません。

目標: すべてのクラウド資産とリスクのリアルタイムインベントリを作成する。

2. コンテクスト関連付け (分析)

CNAPPは、資産間の関係を積極的に分析し、情報に基づいたセキュリティ決定を行います。例えば、CVE-Xのような既知の脆弱性を持つコンテナがインターネットに面している場合、CNAPPはそれを即座に重大なリスクとしてフラグ付けします。同様に、リソースにアクセスするアイデンティティが管理者権限を持っている場合、特権昇格の可能性を強調します。

目標: ノイズをフィルタリングし、実際の攻撃経路を作成する「有毒な組み合わせ」を特定する。

3. 統合された修正 (修正)

リスクが発見されると、Plexicus AIのような高度なCNAPPソリューションは、単に警告を出すだけでなく、修正を支援します。これは、コードを修正するための自動プルリクエストやクラウド設定を更新するためのコマンドである可能性があります。

目標: 修正までの平均時間 (MTTR) を自動化によって短縮する。

4. 継続的なコンプライアンス

プラットフォームは、規制フレームワーク (PCI DSS、GDPR、NIST) に対して継続的に発見をマッピングし、常に監査準備が整っていることを保証します。

目標: 手動のコンプライアンススプレッドシートと監査前の「パニックモード」を排除する。

CNAPPのコアコンポーネント

真のCNAPPソリューションは、これらの主要技術を統合します。

• CSPM (クラウドセキュリティポスチャ管理): 開かれたS3バケットのようなクラウドの誤設定をチェックします。
• CWPP (クラウドワークロード保護プラットフォーム): 実行中のワークロード（VM、コンテナ）をランタイム脅威から保護します。
• ASPM (アプリケーションセキュリティポスチャ管理): コードと依存関係（SAST/SCA）をスキャンして脆弱性を検出します。
• CIEM (クラウドインフラストラクチャ権限管理): アイデンティティと権限を管理します（最小特権）。
• IaCセキュリティ: デプロイ前にインフラストラクチャコード（Terraform、Kubernetes）をスキャンします。

実践例

DevOpsチームがKubernetesを使用してAWSに新しいマイクロサービスをデプロイします。

CNAPPなしの場合:

• SASTツールがライブラリの脆弱性を発見しますが、「低優先度」とマークします。
• CSPMツールがインターネットに開かれたセキュリティグループを検出しますが、その背後にあるアプリケーションを特定できません。
• 結果: チームは両方のアラートを無視し、アプリケーションが侵害されます。

Plexicus CNAPPを使用した場合:

• プラットフォームが発見を関連付けます。この「低優先度」の脆弱性が、開かれたセキュリティグループを介してインターネットに露出しているコンテナで実行されていることを特定します。
• リスクがクリティカルに格上げされます。
• Plexicus AIが自動的に修正を生成します。ライブラリを修正するためのプルリクエストを開き、セキュリティグループを閉じるためのTerraform変更を提案します。

結果: チームはクリティカルな攻撃経路を即座に確認し、数分で修正をマージします。

CNAPPを使用する人

• クラウドセキュリティアーキテクト: 全体的なセキュリティ戦略を設計し監督する。
• DevSecOpsチーム: セキュリティスキャンをCI/CDパイプラインに統合する。
• SOCアナリスト: 実行時の脅威を完全なコンテキストで調査する。
• CTO & CISO: リスクとコンプライアンスの姿勢を高レベルで把握する。

CNAPPを適用するタイミング

CNAPPはクラウドセキュリティ戦略の基盤であるべきです:

• 開発中: コードとIaCテンプレートの誤設定をスキャンする。
• CI/CD中: 重大な脆弱性や秘密情報を含むビルドをブロックする。
• 本番環境で: ライブワークロードを監視し、疑わしい動作やドリフトを検出する。
• 監査のために: SOC 2、ISO 27001などの即時レポートを生成する。

CNAPPツールの主な機能

ほとんどのCNAPPソリューションは以下を提供します:

• エージェントレススキャン: 各サーバーにソフトウェアをインストールせずに迅速な可視性を提供。
• 攻撃経路分析: 攻撃者がクラウドを移動する方法を視覚化する。
• コードからクラウドへのトレーサビリティ: 生産問題を正確なコード行に遡る。
• 自動修復: 問題を発見するだけでなく修正する能力。
• アイデンティティ管理: 過剰な権限を視覚化し制限する。

例: Wiz、Orca Security、またはPlexicus。Plexicusは、発見した脆弱性に対してコード修正を自動生成するAIエージェントを使用することで差別化されています。

CNAPP実装のベストプラクティス

• 可視性から始める: クラウドアカウントを接続して、資産の完全なインベントリを取得します。
• コンテキストによる優先順位付け: 露出していて悪用可能な1%の問題に焦点を当てて修正します。
• 開発者を支援する: 開発者にビルドをブロックするだけでなく、修正を提案するツールを提供します。
• 左にシフトする: コード（IaC）での誤設定をクラウドでアラートを発生させる前にキャッチします。
• すべてを自動化する: ポリシーを使用して、単純な誤設定を自動的に修正します。

関連用語

• CSPM (クラウドセキュリティポスチャ管理)
• ASPM (アプリケーションセキュリティポスチャ管理)
• DevSecOps
• コードとしてのインフラストラクチャ (IaC) セキュリティ