Erfahren Sie, wie eine CNAPP-Lösung ein ganzheitlicheres Bild der Risiken im Anwendungsentwicklungsprozess liefern kann.
InsightCloudSec entdeckenEine Plattform zum Schutz cloudnativer Anwendungen (Cloud Native Application Protection Platform, CNAPP) ist ein Cloud-Sicherheitsarchetyp , der einen integrierten Lebenszyklusansatz verfolgt und sowohl Hosts als auch Workloads für wirklich cloudnative Anwendungsentwicklungsumgebungen schützt. Diese Umgebungen haben ihre eigenen einzigartigen Anforderungen und Herausforderungen. Aus diesem Grund überrascht es nicht, dass neue Sicherheitsproduktkategorien entstanden sind, um entsprechende Bedenken auszuräumen.
Gartner führte CNAPP 2021 als offizielle Kategorie für Cloud-Sicherheit ein und erklärte damals, dass die „optimale Sicherheit cloudnativer Anwendungen einen integrierten Ansatz erfordert, der bei der Entwicklung beginnt und sich bis zur Laufzeit erstreckt“. DevOps-Unternehmen, die Anwendungen in einer kurzlebigen Umgebung wie der Cloud entwickeln, benötigen einen vollständigen Echtzeit-Einblick in den Prozess, um Fehlkonfigurationen oder Sicherheitslücken zu erkennen, sobald sie auftreten. Viele betrachten CNAPP-Sicherheit als Synonym für eine frühe und möglichst enge Integration von Sicherheit in den Entwicklungszyklus.
Wenn Unternehmen eine End-to-End-Anwendungssicherheit in der Cloud in Betracht ziehen, können sie beginnen, Vorteile wie tiefgreifendere Abwehrmaßnahmen und einen häufigeren Zugriff auf Workloads zu realisieren. Eine CNAPP bietet darüber hinaus umfangreiche Automatisierungsfunktionen, die bei richtiger Kalibrierung die Effizienz von Cloud-Administratoren erheblich verbessern können. Bisher isolierte Ansätze zur Anwendungssicherheit werden in einer CNAPP zusammengeführt und haben die Messlatte für jene Anbieter höher gelegt, die Lösungen und Tools für die Anwendungssicherheit der nächsten Generation anbieten.
Die Komponenten und Funktionen einer CNAPP-Lösung herauszuarbeiten, kann schwierig sein. Gartner hat jedoch Mindestanforderungen definiert, die eine Lösung erfüllen muss. Schauen wir uns im Folgenden einige der Kernfunktionen an, die diese Anforderungen definieren:
Eine CSPM-Lösung identifiziert und beseitigt Bedrohungen in der Cloud-Umgebung eines Unternehmens. Sie nutzt Automatisierung, um Sicherheitsrisiken so schnell wie möglich zu beheben und fördert die Zusammenarbeit zwischen Entwicklern und IT-Sicherheitsteams. Weitere wichtige Funktionen von CSPM sind die Bewertung von Sicherheitsrisiken, Incident Response und die Integration mit DevOps. CSPM-Lösungen sind mit hybriden und containerisierten Cloud-Umgebungen kompatibel, funktionieren aber am effektivsten, wenn sie in Multi-Cloud-Umgebungen eingesetzt werden. Hier können sie einen beispiellosen Einblick in die Cloud-Assets eines Unternehmens und ihre jeweiligen Konfigurationen bieten.
Eine Schutzplattform für Cloud-Workloads (Clout Workload Protection Platform, CWPP) muss die Möglichkeit bieten, alle derzeit auf den Cloud-Plattformen eines Unternehmens eingesetzten Workloads zu verwalten. Entwicklungsunternehmen können CWPPs in die automatisierten Prozesse ihrer CI/CD-Pipeline integrieren, in der Regel im Rahmen des Build-Prozesses. Diese Vorgehensweise wird bei Organisationen, die nach den DevOps- oder DevSecOps-Methoden arbeiten, immer alltäglicher. Jede CWPP muss sich nahtlos in andere Teile der SecOps-Infrastruktur des Unternehmens einfügen, aber es verbessert die Fähigkeiten des Security Operations Center (SOC) und hilft ihm, komplexe Cloud-basierte Cyberangriffe effektiver zu erkennen und zu analysieren.
Eine CIEM- Lösung ist identitätszentriert und konzentriert sich auf die Verwaltung von Cloud-Zugriffsrisiken. CIEM-Lösungen nutzen Kontrollmechanismen zur Verwaltung von Berechtigungen und Data Governance in hybriden und Multi-Cloud IaaS-Architekturen. Diese Tools regeln die Identity Governance für dynamische Cloud-Umgebungen. Dabei kommt in der Regel das „Least Privilege“-Prinzip zum Einsatz, nach dem Nutzer und Entitäten ausschließlich Zugriffsrechte erhalten, die sie aktuell tatsächlich benötigen.
Container-Sicherheit ist die Praxis der Implementierung von Mechanismen und Prozessen zur Sicherung containerisierter Anwendungen und Workloads auf Plattformen wie Kubernetes. In heutigen Cloud-Umgebungen ist es von entscheidender Bedeutung, einen maximalen Einblick in Aspekte wie den Standort des Container-Hosts zu haben, laufende oder gestoppte Container zu identifizieren, Container-Hosts zu erkennen, die nicht den CIS-Benchmarks entsprechen, und Schwachstellenanalysen durchzuführen. Containersicherheit sollte so früh wie möglich in der CI/CD-Pipeline implementiert werden, um Anwendungsrisiken schneller aufzudecken und die Reibung im Entwicklungsprozess so weit wie möglich zu reduzieren.
Unter Infrastructure as Code (IaC) versteht man die Nutzung von Code – in Form von vorgefertigten Vorlagen – zur Bereitstellung von Infrastruktur-Ressourcen, die zur Unterstützung von Cloud-basierten Anwendungen erforderlich sind. Entwickler können diese hochgradig reproduzierbare Vorgehensweise nutzen, um Code zu schreiben, zu testen und zu veröffentlichen, der die Infrastruktur schafft, auf der Anwendungen ausgeführt werden. Die Sicherung dieses Prozesses ist von entscheidender Bedeutung, denn je später im Prozess der Anwendungsentwicklung Sicherheitskontrollen implementiert werden, desto wahrscheinlicher sind Fehlkonfigurationen oder Schwachstellen, die von Angreifern ausgenutzt werden könnten.
In einem kürzlich veröffentlichten Marktbericht für CNAPP (Cloud-Native Application Protection Platform) hat Gartner eine umfassendere und kategorisierte Liste von Kern-, empfohlenen und optionalen Fähigkeiten skizziert.
Eine CNAPP löst Probleme wie die Sichtbarkeit über den gesamten Lebenszyklus von Anwendungen, die Herausforderungen des Cloud-Risikomanagements und die Priorisierung von erkannten Schwachstellen. Schauen wir uns einige spezifische Anwendungsfälle an:
Die Sichtbarkeit über den gesamten Entwicklungslebenszyklus hinweg ist seit langem die größte Herausforderung für Sicherheitsteams. Deshalb ist es so wichtig, die Sicherheit so früh wie möglich einzubinden, um Fehltritte früher im Prozess und vor dem Deployment zu erkennen. Im Hinblick auf die Sichtbarkeit sollte die Zeit nach dem Deployment und bis zur Laufzeit nicht außer Acht gelassen werden. Aus diesem Grund ist es für einen CNAPP-Anbieter wichtig, den Schwerpunkt auf den gesamten Lebenszyklus zu legen. Die Quantifizierung und Priorisierung von Risiken für die Behebung kann ohne die verbesserte Sichtbarkeit, die eine CNAPP bieten kann, schwierig sein.
Die perfekte Lösung wäre eine, bei der alle Probleme im Entwicklungsprozess erfasst würden, unterstützt durch vollständige Sichtbarkeit und kontextbezogene Priorisierung. Kein CNAPP-Angebot wird dies jedoch zu 100 % leisten können. Ein guter Anbieter sollte aber eine Lösung anbieten können, die mit den schnellen Cloud-Wachstumszielen von DevOps Schritt halten kann und die Sicherheit auf die Entwickler zuschneidet, ohne den Prozess ständig zu unterbrechen.
Gartner sagt, dass „CNAPPs die Erfahrung von Entwicklern verbessern können, indem sie sich so nahtlos und transparent wie möglich in ihr natives Entwicklungs-Toolset integrieren, indem sie Falschmeldungen und Rauschen reduzieren, indem sie ihre Bemühungen zur Behebung von Risiken priorisieren und indem sie spezifische Anleitungen zur Behebung der identifizierten Risiken bereitstellen.“ Die Idee dabei ist, den Entwicklungsprozess zu ergänzen, ohne die Geschwindigkeit zu beeinträchtigen, die einer der Hauptgründe für die Einführung der Cloud war. Genauso wichtig ist es für SecOps, die Entwicklungsumgebung zu verstehen und Schlüsselbereiche zu identifizieren, um das Scannen von Schwachstellen früher in den Prozess zu integrieren.
Eine CNAPP-Lösung kann ein ganzheitlicheres Bild der Risiken im Anwendungsentwicklungsprozess vermitteln. Seine Möglichkeiten sind weitreichend, sollten aber nicht überbewertet werden. Wie bereits erwähnt, gibt es keine perfekte Lösung, aber eine leistungsfähige CNAPP-Plattform sollte die folgenden Vorteile bieten:
Die Reduzierung der Komplexität ist kein Konzept, das auf den Bereich der Cybersicherheit beschränkt ist. Das Innovationstempo erfordert jedoch eine kontinuierliche Ausmusterung veralteter Lösungen, die keine echte Wirkung mehr haben und das Unternehmen finanziell belasten können. Potenzielle CNAPP-Kunden versuchen zunehmend, Abläufe zu vereinfachen, indem sie die Sicherheit in einer Lösung von einem einzigen Anbieter konsolidieren, die Lösungen bündeln, dem Kunden Geld sparen und eine vollständige Sichtbarkeit über den gesamten Lebenszyklus hinweg bieten kann.
Im besten Fall sollte eine CNAPP-Lösung ein umfassender Ansatz für die Cloud-Sicherheit sein – sowohl hinsichtlich der von den Anbietern bereitgestellten Technologie als auch der von den Praktikern umgesetzten Strategie –, der den Prozess der Überwachung und Behebung von Risiken in riesigen, komplexen Cloud-Umgebungen durchgängig vereinfacht. Verteilte Dienste können weitgehend der Vergangenheit angehören, wenn Sie sich für eine CNAPP-Lösung entscheiden, die die Sicherheit von Microservices-basierten Architekturen vereinfacht.
Wir haben es bereits angesprochen: Eine echte Partnerschaft mit einer DevOps-Organisation, um sicherzustellen, dass der Entwicklungszyklus organisch abläuft, ist wirklich der beste Weg zur Risikominderung in diesem Prozess. Zu diesem Zweck kann eine CNAPP fortschrittliche Analysen nutzen, um einen besseren Einblick in das Risiko zu erhalten. Somit können die Sicherheitsexperten besser einschätzen, wo sie suchen müssen und wie sie dies schneller tun können. Dies kann zur Schaffung einer DevSecOps-Kultur beitragen, die eine schnellere Behebung und Priorisierung ermöglicht.
CNAPP kann bei der Bereitstellung von Leitplanken für den Entwicklungsprozess und auch bei der organischen Integration von Sicherheit helfen. Auf diese Weise können Entwickler so schnell arbeiten, wie sie wollen, automatisieren, entwickeln und bereitstellen, solange dies innerhalb der Einschränkungen der auf die Umgebung zugeschnittenen Sicherheitsleitplanken erfolgt. Durch die Nutzung dieses Frameworks müssen Innovation und Geschwindigkeit nicht mehr so stark eingeschränkt werden – sie können ein echter Gewinn für den Entwickler sein.