自 Gartner 在 2021 年提出云原生应用保护平台（CNAPP）的概念以来，这个领域的发展势头一直非常迅猛。
根据 Zion Market Research 的研究报告，预计到 2030 年，市场规模将从 2021 年的 59 亿美元飙升至 231 亿美元。 这充分表明，企业高度重视云原生应用从开发到生产过程中的安全和防护。
无论您的云环境自动化程度如何或动态性如何，CNAPP 都能将安全功能和合规性整合，并融入安全设计中，从而抵御网络攻击。
随着企业采用 DevOps 和 DevSecOps 模式，在 CI/CD 应用生命周期中，降低复杂性的软件应确保开发过程的安全，增强可见性，并量化风险。 对许多企业而言，这标志着他们从被动安全转向主动安全的转变。
云技术在众多企业中扮演着至关重要的角色，彻底改变了应用负载中的数据流动方式。 因此，我们需要采用一种新的方法，利用与动态基础设施兼容的安全解决方案来应对不断变化的威胁形势。 这正是 CNAPP 的用武之地。
接下来，我们将深入探讨云原生应用保护平台，包括其概念、优势以及为何您应将其视为对公司的明智投资。 让我们开始吧。
什么是 CNAPP？
CNAPP 描述的是一个围绕安全性、合规性以及如何预防、检测和响应云安全威胁而构建的平台。 简单来说，它整合了许多传统上分散的云安全解决方案，并通过一个统一的用户界面简化了企业保护其整个云应用足迹的方式。 为了更好地理解 CNAPP 的存在原因，我们将这个术语分解为云原生和应用保护。
云技术的应用开辟了简化业务的新时代。 然而，随着动态环境的兴起，不可预测的交互也随之增加。 基于传统安全方法难以适应容器化和无服务器环境等新技术。
在应用安全方面，云安全工具侧重于帮助 IT 团队了解其基础设施的安全级别。 但这是否足够？ 显然不是。 首先，有许多因素会导致应用在云环境中面临风险，从权限过度授予到暴露于公共互联网。
其次，各个独立的解决方案专注于少数安全问题，可能无法与您的云解决方案集成以无缝关联安全信号。 在这种情况下，许多人优先处理低优先级警报，反而成了阻碍因素。
为什么需要 CNAPP？
Gartner 发布了一份关于云原生应用保护平台创新见解的报告。 但 CNAPP 不仅仅是一个炒作的安全工具。 这类软件旨在用一个专门为现代企业云工作负载设计的单一、整体的安全结构，替代多个独立的工具。 由于需要整合工具和安全性，CNAPP 将合规性和安全性视为一个连续统一体，这是 DevOps 和“左移”安全的逻辑演变。
虽然多个独立的解决方案可以实现与 CNAPP 相同的目标，但您通常会面临可见性差距或集成复杂性的问题。 因此，您的 DevOps 团队将在组织工作负载中承担更多的工作，但可观察性却更少。
使用 CNAPP 的好处包括：
- 云原生安全性——传统的安全方法适用于定义明确的网络边界，但不适用于云原生应用。 CNAPP 是围绕容器和无服务器安全性构建的，它通过集成 CI/CD 管道保护，无论您的工作负载是位于本地云、私有云还是公共云。
- 更好的可见性——如上所述，存在许多安全扫描和可观察性工具。 CNAPP 的优势在于它可以将信息置于上下文中，同时提供对整个云基础设施的端到端可见性。 一个典型的应用场景是，当您需要以细粒度级别查看云系统并收集关于技术栈的见解时，CNAPP 会优先处理您企业中最紧迫的风险。
- 严格控制 – 如果您错误配置机密、云工作流程、Kubernetes 集群或容器，则会给企业应用带来风险。 在 CNAPP 的帮助下，您可以主动扫描、检测并快速采取有关安全性和合规性配置的纠正措施。
此外，CNAPP 可以自动执行安全任务，以减少人为错误并提高可靠性。 DevOps 的效率和生产力也得到了提高。 首先，可以自动识别错误配置。 其次，无需维护多个高度复杂的安全工具。
CNAPP 的关键组成部分
尽管市场上涌现出各种 CNAPP，它们各自都具有独特且显著的功能，但所有 CNAPP 都具有一些核心功能，可以为您的云基础设施和应用提供强大的保护。 无论您选择哪种解决方案，都应集成以下功能：
云安全态势管理 (CSPM)
CSPM 侧重于可视化和安全评估。 它是配置云资源并持续监控它们的通道。 通过验证云和混合环境是否符合配置规则，它可以找出配置错误的实例并向安全团队发出警报。 该系统通过内置的自定义标准和框架来遵守法规，并纠正不合规之处。
除了分析安全风险外，CSPM 还适用于在发生成功攻击的情况下进行事件响应。 此外，CSPM 还可以帮助您跨基础设施即服务 (IaaS)、软件即服务 (SaaS) 和平台即服务 (PaaS) 架构对库存资产进行分类。
这反过来可以自动检测和修复可能导致数据泄露的安全威胁。 简而言之，CSPM 可以确保错误的配置不会将开发模式引入生产环境。
云工作负载保护平台 (CWPP)
CWPP 保护跨私有云、公共云和混合云部署的工作负载。 通过 CWPP，DevOps 团队可以采用左移安全方法。 因此，团队可以在整个应用开发生命周期中尽早并持续集成安全解决方案和最佳实践。
该领域下的解决方案可以帮助您查看和降低跨虚拟机 (VM)、容器、Kubernetes、数据库（SQL 和 NoSQL）、应用程序编程接口 (API) 和无服务器基础设施的风险，而无需依赖代理。
此外，CWPP 还会扫描工作负载、检测安全性并指导您如何解决漏洞。 通过这种方式，团队可以在运行时功能、网络分段之间进行快速调查，检测工作流程中的恶意软件（在 CI/CD 管道中），并通过无代理的可见性来丰富数据。
云基础设施授权管理 (CIEM)
CIEM 管理云环境中的权限特权，并优化访问和权利。 这里的理想目标是防止恶意或意外滥用权限。
通过采用最小权限原则并扫描您的基础设施配置，CIEM 可以检查对资源的不必要访问并生成报告。 该系统分析权限原则，以检测可能危及云资产的凭据和密钥的潜在泄露。
CIEM 的一个很好的应用场景是，当您需要识别对资源操作具有完全访问权限的用户，而预期权限是只读时。 在实际应用中，可以考虑这样一种情况：您必须在使用后执行即时访问操作以撤销临时权限。 这就是您如何通过持续监控身份权限和用户活动来降低公共云工作流程中潜在数据泄露的风险。
数据安全态势管理 (DSPM)
DSPM 保护云环境中的敏感数据。 无论数据位于数据卷、存储桶、操作系统环境、非操作系统环境还是托管和非托管数据库上，它都会查找敏感数据并提供其目录的可见性。
通过与敏感数据及其底层云架构交互，DSPM 可以监督谁有权访问这些数据、如何使用这些数据以及它们的风险因素。 这包括评估数据安全状态、查明系统漏洞、启动安全控制以应对风险，以及定期监控以更新整体状况，确保其有效性。
当集成到您的云解决方案中时，DSPM 会揭示潜在的攻击路径，使您能够优先预防违规行为。
云检测和响应 (CDR)
CNAPP 中的云检测和响应 (CDR) 通过持续监控云环境来检测高级威胁、进行调查并提供事件响应。 通过利用云工作负载保护平台和云安全态势管理工具等其他技术，它可以概述您的云资产、配置和活动。
它监视和分析云日志、网络流量和用户行为，以揭示入侵指标 (IoC)、可疑活动和异常情况，从而识别违规行为。
在发生数据泄露或攻击的情况下，CDR 通过自动或分步方法启动快速事件响应以应对事件。 推动安全威胁的遏制、补救和调查有助于企业最大限度地降低风险。
当集成到 CNAPP 中时，CDR 会覆盖漏洞管理、主动云安全控制、最佳编码实践、持续监控和响应功能。 这样，它可以确保云应用从开发模式到生产的整个生命周期都受到保护，并保持稳固的安全态势。
云服务网络安全（CSNS）
CSNS 解决方案通过提供对云基础设施的实时保护来增强 CWPP。 虽然没有被明确地识别为 CNAPP 的一部分，但它的目标是云原生工作负载的动态参数。
通过实施细粒度的分段，CSNS 包含许多工具，包括负载均衡器、下一代防火墙 (NGFW)、DDOS 保护、Web 应用和 API 保护 (WAAP) 以及 SSL/TLS 检查。
奖励：多管道 DevOps 安全性和基础设施即代码扫描
云原生应用生态系统可以自动执行应用运行所需的一切：Kubernetes、docker 文件、CloudFormation 模板或 Terraform 计划。 您必须保护这些资源，因为它们协同工作以保持应用的运行。
DevOps 安全管理允许开发人员和信息技术团队从中央控制台处理跨 CI/CD 管道的安全操作。 这通过最大限度地减少错误配置并在新代码库交付生产时对其进行扫描，提供了保障。
在 DevOps 中实施基础设施即代码 (IaC) 时，您可以使用实际代码和配置文件来构建云架构。 通过 IaC 扫描，可以在云工作流程投入生产之前消除其中的安全缺陷。
与代码审查类似，它通过在 CI/CD 管道阶段扫描程序，验证新代码库的安全性来确保一致的代码质量。 您可以使用 IaC 扫描来断言您的配置文件（例如 Terraform HCL 文件）没有漏洞。
此外，您可以使用这些工具来检测易受影响的网络暴露合规性违规行为，并在管理资源附件时应用最小权限原则。
CNAPP 如何运作？
CNAPP 发挥着四个关键作用。 概述如下：
#1. 云环境的完整可见性
CNAPP 提供跨云工作负载的可见性，无论是在 Azure、AWS、Google Cloud 还是任何其他解决方案上。 在资源方面，CNAPP 提供对所有环境的监控，包括容器、数据库、虚拟机、无服务器功能、托管服务和任何其他云服务。
在评估风险因素时，CNAPP 利用恶意软件、身份和漏洞的整体可见性来提供清晰的安全态势。 最后，CNAPP 通过扫描资源、工作负载和云服务提供商的 API 来消除盲点，以实现顺利的维护和配置。
#2. 统一独立的安全解决方案
CNAPP 使用一个平台来统一流程并在所有环境中提供一致的控制。 这意味着所有模块都是完全集成的，而不是使用耦合的独立模块。 所有关键 CNAPP 组件（上一节中介绍的组件）都统一在一个风险评估引擎中。
对于防御策略，全面的 CNAPP 涵盖预防措施、监控服务和检测解决方案，从而为整体安全提供有效的方法。
此外，CNAPP 解决方案具有在统一后端上运行的单个前端控制台，无需在多个控制台之间切换。
#3. 优先考虑情境风险
当 CNAPP 识别出您架构中的威胁时，它会提供围绕该威胁的上下文信息。 这意味着找到攻击路径并确定与风险相关的严重性。
利用安全图，CNAPP 使您能够了解云环境中各个元素之间的关系。 在评估威胁的严重性时，CNAPP 会优先考虑风险，使您能够专注于补救威胁，而不是将时间浪费在干扰上。
#4. 连接开发和安全团队
当集成到开发过程中时，CNAPP 会在整个软件开发生命周期中提供安全检查。 开发人员使用 CNAPP 的见解来确定优先级并解决上下文中的安全漏洞，而无需外部审计的额外指导或帮助。 这反过来使开发人员能够更快地交付安全的数字产品。
未来是光明的
尽管云安全很复杂，但云原生应用保护平台可以简化它，并通过简化 DevOps 团队工作流程的新方法来解决它。 开发团队可以通过发现动态云环境中的安全风险和潜在威胁来交付安全的产品。
由于该领域不断发展和演变，并且您可能正在寻找可靠的解决方案，请考虑使用结合所有突出安全组件的综合平台。
您选择的服务应该是动态的、高度可扩展的，并提供跨流行云服务（例如 Google Cloud、Amazon Web Services 和 Azure Cloud 服务）的所有工作负载的端到端安全性。
随着新技术在多个领域的兴起和发展，在识别新出现的威胁时，请确保您的选择借鉴了行业领先的全球见解。
接下来，请查看最佳 CNAPP 平台，以获得更好的云安全性。