Cloud Security: Die Herausforderung der CNAPP

Cloud-Security bleibt ein komplexes und vielschichtiges Thema, das für Unternehmen und IT-Sicherheitsministerien zunehmend herausfordernd wird. Die Tools zur Gewährleistung dieser Sicherheit entwickeln sich ständig weiter und werden durch die Vorliebe der Branche für Akronyme noch unübersichtlicher. Ein neuer Begriff, der in diesem Kontext an Bedeutung gewinnt, ist CNAPP – die Abkürzung für Cloud-Native Application Protection Platform.

Was ist CNAPP?

CNAPP kombiniert die Funktionen von vier grundlegenden Cloud-Security-Werkzeugen:

1. Cloud Infrastructure Entitlement Management (CIEM): Diese Technologie wird verwendet, um sämtliche Zugriffsrechte und Risikomanagement-Aufgaben zu steuern.

2. Cloud Workload Protection Platform (CWPP): Ein Ansatz, der darauf abzielt, den Code in cloudbasierten Repositories abzusichern und den Laufzeitschutz in der gesamten Entwicklungsumgebung sowie über alle Code-Pipelines hinweg zu gewährleisten.

3. Cloud Access Security Broker (CASB): Diese Plattform ist für Authentifizierungs- und Verschlüsselungsaufgaben zuständig.

4. Cloud Security Posture Management (CSPM): Diese Lösung kombiniert Bedrohungsintelligenz mit Maßnahmen zur Behebung identifizierter Sicherheitsrisiken.

CNAPP hat sich darüber hinaus auch auf zusätzliche Bereiche ausgeweitet. Dazu gehören API-Sicherheit, Skript- und Supply-Chain-Sicherheit sowie die Absicherung von Infrastructure-as-Code (IaC)-Umgebungen. Auch Container- und Serverless-Sicherheit fallen zunehmend unter den CNAPP-Bereich.

Herausforderungen für Anwender

Die Komplexität von CNAPP stellt eine besondere Herausforderung für Unternehmen dar. Andras Cser, Chief Analyst bei Forrester, hebt in einem Blogbeitrag hervor, dass CNAPP-Lösungen oft so konzipiert sind, dass sie Funktionen außerhalb der Cloud abdecken. Dies macht jede Kaufentscheidung und Implementierung in der Regel zu einer abteilungsübergreifenden Angelegenheit, die sorgfältige Abstimmungen und integrierte Ansätze erfordert. Die Anwender müssen eine Vielzahl von Softwarelösungen verstehen und administrieren, was es schwierig macht, den Überblick zu behalten.

Der CNAPP-Markt

Der CNAPP-Markt hat sich unter dem Einfluss führender Analysten, insbesondere Gartner, schnell entwickelt. Den Begriff CNAPP hat Gartner in einem „Innovation Insight“-Report erstmals im August 2021 verwendet. Die Integration vieler verschiedener Technologien innerhalb typischer Cloud-Anwendungen ist eine zentrale Herausforderung für die Anwender. Laut dem „State of Observability Report“ von VMware nutzen 57 Prozent der Berichterstatter in typischen Cloud-Anwendungen bis zu 50 verschiedene Technologien, die mit durchschnittlich zehn Monitoring-Tools überwacht werden.

Eine Analyse von Dynatrace zeigt, dass eine typische Unternehmensumgebung eine Mischung aus Private-, Public- und Hybrid-Cloud-Strategien umfasst und aus verschiedenen Instanzen virtueller Maschinen, Kubernetes-Containern sowie Serverless- und Microservices-Tools besteht. Diese hohe technologischen Fragmentierung hat dazu geführt, dass der CNAPP-Markt im zweiten Quartal 2024 ein Gesamtvolumen von 700 Millionen Dollar erreichte – ein Wachstum von 42 Prozent im Vergleich zum Vorjahr, so die Analysten der Dell’Oro Group. Diese Zunahme ist ein Beleg für die hohe Priorität, die Cloud-Sicherheit in der Unternehmensstrategie innehat.

CNAPP-Anbieter und deren Angebote

Ein idealer CNAPP-Anbieter sollte eine Lösung zur Reduzierung von Fehlkonfigurationen, zur Optimierung des Sicherheitsniveaus in der Entwicklungspipeline und zur effektiven Automatisierung von Sicherheitsprozessen anbieten. Doch die Ansätze der Anbieter unterscheiden sich erheblich. Während einige Anbieter, wie Aqua Security und Data Theorem, den Fokus auf DevSecOps legen, konzentrieren sich andere auf traditionelle IT-Security-Ansätze.

Einige prominente CNAPP-Anbieter sind:

• Aqua Security Platform: Diese Lösung zeichnet sich durch eine umfassende (No-)Breach-Garantie aus und richtet sich an DevSecOps-Teams.

• CrowdStrike Falcon Cloud Security: Eine Plattform, die App-Sicherheit und Schwachstellenanalyse für Container-Images integriert.

• Orca CNAPP: Bietet Features wie Side Scanning und Risikopriorisierung und ist stark auf IT-Security fixiert.

• Wiz: Diese Lösung kombiniert dabei Risikopriorisierung mit umfassenden Visualisierungen und KI-Funktionen.

Fünf Fragen vor dem CNAPP-Investment

Bevor Unternehmen in eine CNAPP-Lösung investieren, sollten sie einige entscheidende Fragen klären:

1. Welche Cloud-Artefakte werden unterstützt?
2. Wie erfolgt die Meldung von Sicherheitsvorfällen?
3. Inwieweit werden die vier Management-Bereiche abgedeckt?
4. Welche DevOps-Frameworks werden unterstützt?
5. Wie transparent ist die Preisgestaltung?

Diese Überlegungen sind für Unternehmen von entscheidender Bedeutung, um die geeignete Lösung auszuwählen und langfristig erfolgreich zu sein.

Die zunehmend veränderten Anforderungen und technologische Komplexität in der Cloud erfordern von Unternehmen, dass sie ihre Sicherheitsstrategien wiederholt evaluieren und anpassen. CNAPP bietet eine vielversprechende Lösung, doch die Herausforderungen und Komplexitäten, die mit ihrer Implementierung einhergehen, dürfen nicht unterschätzt werden.

Source link