Was ist eine cloudnative Plattform für den Anwendungsschutz (CNAPP)?
Cloudnative Plattformen für den Anwendungsschutz (CNAPPs) integrieren und zentralisieren andernfalls separate Sicherheitsfunktionen in einer einzigen Benutzerschnittstelle. CNAPP ist eine Kategorie, die von Gartner eingeführt wurde und Lösungen beschreibt, die wir bei Palo Alto Networks zuvor als cloudnative Sicherheitsplattformen (CNSP) bezeichnet hatten. Sie kombinieren Funktionen für das Management des Cloud-Sicherheitsniveaus (CSPM), das Management von Zugriffsrechten in Cloud-Infrastrukturen (CIEM) und die CI/CD-Sicherheit sowie Funktionen aus Plattformen zum Schutz von Cloud-Workloads (CWPP) in einer einheitlichen End-to-End-Lösung, um cloudnative Anwendungen über den gesamten Lebenszyklus hinweg zu schützen.
Mit diesem Ansatz lassen sich sämtliche voneinander isolierten Umgebungen von zentraler Stelle aus überwachen, damit die Cloud-Infrastruktur- und DevOps-Teams den gesamten IT-Stack schützen können. Eine CNAPP-Lösung ermöglicht den Anwendungsschutz zur Laufzeit über eine zentrale Plattform aus und sorgt dafür, dass Sicherheitsmaßnahmen in die Entwicklungsabläufe eingebunden sind. Dies erleichtert die frühzeitige Identifizierung und Behebung von Problemen.
Von der Codeerstellung bis zur Cloud-Nutzung: Warum Sie eine CNAPP brauchen
Eine Herausforderung für Organisationen ist der bisherige reaktive Ansatz. Anstatt die cloudnative Sicherheit ganzheitlich zu betrachten und proaktiv vorzugehen, wird jedes Problem einzeln behoben und jeweils mit einem neuen Tool oder Verfahren gelöst. So entsteht ein Flickwerk, aus dem sich ganz neue Schwierigkeiten ergeben, zum Beispiel:
Punktlösungen erfordern zusätzlichen Aufwand: Die Verwaltung eines immer größer werdenden Tool-Stacks kann zu einer tagesfüllenden Aufgabe werden und da die meisten Lösungen nicht miteinander kommunizieren (jedenfalls nicht ohne zeitaufwendigen Konfigurationsaufwand), fehlt es an flächendeckender Transparenz und umfassendem Schutz.
Sicherheitsmaßnahmen lassen sich nicht konsistent anwenden: Zwar können Sie mit Dutzenden von Sicherheitstools Kontrollen an einzelnen Punkten im Anwendungslebenszyklus durchführen, aber ohne konsistente Sicherheitsmaßnahmen, die in den verschiedenen Phasen (Entwicklung, Bereitstellung und Laufzeit) greifen, müssen sich Sicherheits- und Risikomanagementteams bei Schwachstellen- und Fehlkonfigurationsprüfungen mit dem Vergleich unterschiedlich aufbereiteter Ergebnisse abmühen.
Es entstehen tote Winkel: Die meisten Cloud-Sicherheitsteams müssen Bedrohungen für Cloud-Services, Workloads, Anwendungen, Netzwerke, Daten und Berechtigungen analysieren. Ohne eine übergreifende Lösung entstehen Lücken zwischen den Lösungen, die zu toten Winkeln führen.
CNAPPs bieten in allen Punkten klare Vorteile.
Verteilte Verantwortungsbereiche? Integration ist die Antwort
Eins der wichtigsten Argumente für die Umstellung auf eine umfassende und integrierte Sicherheitsplattform ist die Tatsache, dass sich mehrere Teams um die Cloud-Sicherheit kümmern und dabei ein komplexes Gefüge aus nuancierten und sich zum Teil zwischen den Verantwortungsbereichen überschneidenden Aufgaben entsteht.
Infrastruktur
Bei einem Modell der gemeinsamen Verantwortung müssen Teams wissen, wo ihr Verantwortungsbereich beginnt und wo er aufhört. Umfragen zeigen immer wieder, dass Organisationen das Ausmaß überschätzen, in dem CSPs Schutzmechanismen und Alarme bieten. Darüber hinaus gibt es Überschneidungen bei den Netzwerk-, Speicher- und Ressourcenanforderungen, die sich im Zusammenhang mit dem Management des Cloud-Sicherheitsniveaus (CSPM) ergeben, wobei in jedem dieser Bereiche jeweils Sicherheitsmaßnahmen für Management von Zugriffsrechten und Berechtigungen in Cloud-Infrastrukturen (CIEM) erforderlich sind.
Workloads und Anwendungen
Auch die Workloads und Anwendungen in einer Infrastruktur erfordern Maßnahmen in puncto Schwachstellenmanagement, Compliance-Überwachung, Richtliniendurchsetzung und Laufzeitschutz und diese Pflichten obliegen meist entweder dem Sicherheits- oder dem DevOps-Team. Dabei ist es wichtig, dass die dafür genutzten Tools mit Daten aus den CI/CD-Pipelines gespeist werden und auch Laufzeitkomponenten wie Webanwendungen und APIs abdecken.
Netzwerke
Für diese Anwendungen ist ein Netzwerk erforderlich, das zuverlässige, sichere Konnektivität bietet, und damit die Datenübertragung im Netzwerk sicher ist, muss der Zugriff von Workloads auf andere Workloads mit dem Least-Privilege-Prinzip geschützt werden. Zudem sind Inline-Funktionen für die Abwehr von Bedrohungen notwendig.
Identitäten und Berechtigungen
In all den zuvor genannten Bereichen müssen Sie mit Berechtigungen und Zugriffsrechten für cloudbasierte Infrastrukturen und Services dafür sorgen, dass bei der Vergabe des notwendigen dezentralen Zugriffs risikospezifische Überlegungen berücksichtigt werden, damit Ihre ganzen Bemühungen nicht durch übermäßig großzügige oder veraltete Zugriffsrechte gefährdet werden.
Codeerstellung und Entwicklung
Entwickler und DevOps-Teams sind für die Ausarbeitung qualitativ hochwertigen Codes erforderlich, was normalerweise synonym mit sicherem Code ist. Allerdings obliegt es den Sicherheitsteams, die dafür erforderlichen Erkenntnissen bereitzustellen. Um Sicherheitsvorkehrungen so früh wie möglich im Entwicklungszyklus zu implementieren, benötigen Sie aufeinander abgestimmte Tools, die in allen Phasen des Anwendungslebenszyklus nutzbar sind.
Jedes einzelne Team ist für die konsistente Durchsetzung dieser Sicherheitsmaßnahmen verantwortlich und mit einer CNAPP lassen sich die Grenzen zwischen diesen Teams überwinden.
Warum eine CNAPP die logische Lösung ist
Die Entwicklung cloudnativer Anwendungen ist inzwischen so weit ausgereift, dass bestimmte Annahmen als Tatsachen hingenommen werden können. Es wurde schon früh erkannt, dass Cloud-Umgebungen von Natur aus verschiedenartig und weit verteilt sind, weshalb sich viele der für die Verwaltung dieser dynamischen, komplexen Umgebungen verantwortlichen Fachkräfte berechtigterweise dafür einsetzen, Konsistenz und Einheitlichkeit zu erzwingen. Die Logik dahinter ist, dass das Risikomanagement weiter erschwert wird, wenn zahlreiche, für die Erfüllung bestimmter Anforderungen genutzte Punktlösungen miteinander koordiniert werden müssen.
Wenn Organisationen cloudnative Anwendungen und Infrastrukturen effektiv schützen möchten, müssen sie agiler und integrationsfähiger werden. Sie müssen in der Lage sein, Bedrohungen schon in der Entwicklungsphase proaktiv vorzubeugen und über den gesamten Lebenszyklus hinweg – bis hin zu Laufzeitumgebungen – für kontinuierliche Sicherheit zu sorgen. Dafür benötigen sie innovative Tools, die speziell für cloudnative Umgebungen konzipiert sind, alle Phasen der Anwendungsentwicklung abdecken und kritische Sicherheitsinformationen zur richtigen Zeit an der richtigen Stelle bieten.
Wir sind davon überzeugt, dass Prisma Cloud die von Gartner beschriebenen Anforderungen einer CNAPP erfüllt. Wenn Sie sämtliche dieser Empfehlungen im Detail prüfen möchten, laden Sie einfach den kostenlosen Bericht hier herunter.
Video: zur Sicherung cloudnativer Umgebungen mit Prisma Cloud
