クラウドワークロード保護プラットフォーム (CWPP)

Cloud Workload Protection Platform (CWPP)とは、パブリッククラウド内のサーバーワークロードを保護するためのクラウドセキュリティソリューションです。CWPPソリューションは、脆弱性、マルウェア、リスクにさらされている機密データなど、クラウドワークロードにおけるリスクを特定し検出します。CWPP機能は、スタンドアロンソリューション、またはCNAPPの一部として提供されます。

パブリッククラウドサービスは、クラウドサービスプロバイダーと顧客の合意事項である責任共有モデルに基づいて運用されます。このモデルにより、各当事者がクラウドセキュリティの特定の側面に対して責任を負います。

• クラウドサービスプロバイダーは、サービスの物理的なアクセスとインフラストラクチャに対して責任を負います。
• 組織は、クラウドインスタンス上で実行・保存されるアプリケーション、サービス、データの保護に責任を負います。

CWPPツール（単独ソリューションまたはより包括的なCNAPPの一部として）は、ワークロードの可視化とセキュリティ確保に必要であり、責任共有モデルの義務を果たすために不可欠です。

CWPPは、クラウドネイティブなワークロードの保護に不可欠です。従来のCWPPは監視対象の全資産にエージェントのインストールを必要とし、不完全なカバレッジ、高いTCO、パフォーマンス低下を招いていました。一方、Orca Platformなどの最新のCWPPソリューションは、エージェントを一切必要とせずに、ワークロードの100%をカバーします。

CWPPツールは重要なクラウドセキュリティソリューションですが、以下のような重大な限界があります。

• コントロールプレーンへの可視性なし：CWPPはワークロードの可視化とセキュリティのみを提供し、公開設定になっているストレージバケットなどの設定ミスを含むクラウドコントロールプレーンは対象外です。
• リスクのコンテキスト化が不可能：CWPPソリューションはクラウドコントロールプレーンを可視化できないため、リスクの深刻度を左右するコンテキスト要因を考慮できません。その結果、チームに効果的にアラートを通知し、最も重要なリスクに集中できるよう優先順位を付けることができません。
• 限定的なカバレッジ：従来のCWPPはエージェントベースであるため、すべてのクラウド資産に個別のエージェントをインストールして保守する必要があります。これがクラウドセキュリティの死角を生みます。しかし、Orcaプラットフォームのような最新のCWPPは、即座に100%のワークロードカバレッジを提供し、CWPPをCSPM、CIEM、DSPMなどの他のクラウドセキュリティ機能と統合します。
• ラテラルムーブメント（横方向の移動）の検出不可：追加のソリューションがなければ、CWPPツールはハッカーが悪用して横方向に移動し、他の資産にアクセスするための鍵を特定できません。

エージェントベースのCWPPは、ワークロードごとの煩雑な導入と管理が必要であり、TCOの高騰を招きます。エージェント型とagentless型を選択できると謳うベンダーは複雑さを増すだけで、その「agentless」機能には隠れた制限があることが少なくありません。さらに、CWPPはクラウドワークロードのみを対象とするため、設定ミスや過剰な権限を持つアイデンティティなど、クラウドコントロールプレーンのリスクを見逃してしまいます。

この限定的な可視性は、ツールの完全なセキュリティカバレッジの提供や、効果的なアラート優先順位付けの能力に影響を与えます。クラウドの設定ミス（「root」ユーザーアカウントでMFAが有効になっていない、KMS暗号化キーがローテーションされていないなど）に起因するリスクは、CWPPでは検出できません。また、可視性の欠如は、CWPPにセキュリティ問題の全体像を理解するために必要なコンテキストが不足していることを意味し、環境のコンテキストに基づいたアラートの優先順位付けができません。これにより「スィーベルチェア」式のアラート選別が発生し、アラート疲れを招きます。

Orcaプラットフォームは、単一のエージェントも必要とせずに、クラウドインフラ、OS、アプリケーション、データレイヤーにわたるクラウド資産のフルスタックな可視性を提供し、即座かつ継続的な100%のクラウド資産カバレッジを実現します。