みなさまこんにちは！SB C&Sの豆野です。
今回の記事では、近年グローバルで注目のセキュリティ領域である「CNAPP」についてご紹介をいたします。

パンデミックや働き方改革なども一つの原因となり、最近では環境をクラウドシフト（パブリッククラウドへの移行）する企業が日本でも増えてきております。
パブリッククラウドは柔軟に利用ができ便利である反面、企業が管理すべき環境がまるっと一つ増えるため、当然セキュリティリスクも付随してしまいます。業務環境だけでなくアプリケーションやシステムの開発環境としてもパブリッククラウドを活用するとなると、有事の際のビジネスインパクトはさらに拡大されるでしょう。。。
そんなパブリッククラウドへのセキュリティ対策として提唱されたのが「CNAPP」となります。

■CNAPPとは？

CNAPP（Cloud Native Application Protection Platform）は、クラウドに関する様々な脅威やリスクから環境を保護するための領域となります。
ざっくり言えば、「クラウド上のアプリやワークロード（仮想マシン、コンテナなど）やインフラを"まるっと"守ってくれるセキュリティプラットフォーム」です。

以下のように大きく3つのファンクションに分類することが可能です。
これらが一つのプラットフォームで提供されることにより、クラウドにおける開発～運用環境まで包括的に保護することが可能となります。

・Artifact Scanning・・・
開発プロセスにおけるアーティファクト（IaCやコンテナイメージなど）をスキャンし、脆弱性や設定ミスを検出します。いわゆる"シフトレフト"の考え方に基づき、問題を本番環境に持ち込む前に対処することができます。

・Cloud Configuration・・・
クラウドインフラやワークロードの構成を継続的に監視し、セキュリティポリシーに基づいたチェックを行います。誤った権限設定や公開設定などを早期に検知・是正することができるほか、業界標準や規制などフレームワークへの適応状況の監査などにも役立てることが可能です。

・Runtime Protection・・・
コンテナや仮想マシンが本番環境で稼働している間も継続的な保護を実現します。マルウェアなどからの防御の他、ワークロード実行中の状態を監視し不正な挙動や侵入の兆候をリアルタイムで検知・対応します。

■なぜCNAPPが必要なのか？

端的にお伝えすると、ここまでご説明した通り、「パブリッククラウド利用時のセキュリティ対策」のためとなります。

そもそもパブリッククラウドにおける脅威とはどんなものが考えられるでしょうか？
いくつか答えはあるかと思いますが、「脆弱性」「構成ミス」「マルウェア・サイバー攻撃」などの種類があるかと思います。
特にオンプレミスからのクラウドシフトにおいては「構成ミス」への対策は見逃されがちであり、クラウドを狙ったサイバー攻撃の大半は「構成ミス」により発生してしまっているというデータもあります。
「本来公開すべきでない仮想マシンが公開設定になっていた」「誰が何の権限を持っているのかわからない」「データの暗号化漏れ」など、パブリッククラウド特有のセキュリティリスクを見逃さないためにも、CNAPPの導入が重要となるのです。

■具体的に何から始めるべきなのか？

パブリッククラウドを活用され始めたお客様は、まず自社の環境がどのようになっているかなど把握できておらず、そもそもの管理がキチンとできていない方々も多くいらっしゃるかと思います。

CNAPPのなかの一つの機能としてよくあげられる「CSPM（Cloud Security Posture Management）」は、「Cloud Configuration」に分類される主要機能であり、構成・設定の監査やコンプライアンスチェックなど、リスクを特定して修正することを目的としたものとなります。

パブリッククラウドに限らずどんな環境においても、まずは自社の状況を知らねば適切なセキュリティ対策をとることが難しいため、CSPMなどの機能から導入を進めることを推奨いたします。
その後、クラウド上でアプリケーション開発をゴリゴリにされている企業は「Artifact Scanning」を、クラウドワークロードの多くが外部通信をしているなど攻撃からの侵入などに懸念がある場合には「Runtime Protection」を、といった形で広げていかれるのが良いのではないかと考えております。

■まとめ

CNAPPは、パブリッククラウドを積極的に活用している企業にとって非常に重要なセキュリティ対策です。
昨今様々な業界のガイドラインやフレームワークでパブリッククラウドの活用が推奨されており、いずれは企業の重要なデータがパブリッククラウド上で保管されるという状況も考えられるかと思います。
もちろんパブリッククラウドを活用されているからといって、全ての企業が「いきなりCNAPPをフル導入！」というわけではないと思いますが、まずは「クラウドのセキュリティを一元管理したい」「今の対策で本当に足りてるか不安...」といった課題感を持つところから、CNAPPという選択肢を考えてみてはいかがでしょうか？

今回は具体的なメーカーについてはご紹介しておりませんが、SB C&SではCNAPP製品を複数取り扱っている他、それぞれの特徴などについての勉強会なども行っております。
もしご興味がございましたら、ぜひともSB C&Sまでお問い合わせくださいませ！