CNAPPとは何を指す仕組みか
CNAPPは特定の一製品の商品名ではなく、クラウド環境を守る複数の機能を一つにまとめた製品分野の呼び名です。まずは正式名称と成り立ち、守る範囲を押さえておくと、似た響きのセキュリティ用語との違いを整理しやすくなります。
正式名称と「シーナップ」という呼び方
CNAPPは、Cloud Native Application Protection Platform（クラウドネイティブアプリケーション保護プラットフォーム）の頭文字をとった言葉で、日本では「シーナップ」と読まれます。クラウドネイティブとは、コンテナやサーバーレスなど、クラウドの仕組みを前提に設計されたアプリケーションの作り方を指します。
この呼び名は、調査会社のガートナーが2021年に公表したレポートで示され、その後に広く使われるようになったとされています。単独の新技術というより、クラウド向けの防御機能を束ねた製品カテゴリーを表す言葉だと捉えると理解しやすくなります。名称に「プラットフォーム」と付くのも、複数の機能を載せる土台という位置づけを表しているためです。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
なぜ機能をまとめる必要が生じたのか
クラウド利用が広がるなかで、設定の点検、脆弱性の管理、権限の管理、実行時の監視と、目的ごとに別々のツールを導入する運用が広がりました。ツールが増えるほど管理画面も通知先も分かれ、同じ危険が別々の言葉で何度も知らされる状態が起きます。
加えてクラウドには責任共有モデルという考え方があり、基盤そのものの安全は事業者が、設定やデータ、権限の管理は利用者が担います。利用者が受け持つ範囲を一望できないと、単体では小さく見える不備が重なった危険な状態を見落としがちです。CNAPPは、こうした分断を一つの土台にまとめ直す発想から生まれました。
守る範囲はコードの段階から実行中まで
CNAPPが扱う範囲は、開発時に書く構成のコードや、アプリに組み込む部品の点検から始まり、クラウド上の設定、実際に動いているワークロード、利用者やサービスに与えた権限にまで及びます。作る工程と動かす工程を切り離さずに追える点が、従来型の対策との違いです。
例えば、公開前のコンテナイメージに古い部品が含まれていないかを調べ、公開後はその弱点に外部から到達できる状態かどうかまで合わせて確認します。実行環境で見つかった問題を、元になった定義ファイルまでさかのぼれるため、対処を早い工程へ戻しやすくなります。
CNAPPを構成する主な機能
CNAPPの内側は、目的の異なる複数の機能で成り立っています。略語が並ぶため難しく見えますが、「設定を見る」「動いているものを見る」「権限とコードを見る」の三つに分けて考えると、役割を把握しやすくなります。
設定の崩れを見つけるCSPMとKSPM
CSPMはCloud Security Posture Management（クラウドセキュリティポスチャー管理）の略で、クラウドの設定状態を継続的に点検する機能です。公開範囲が広すぎる保管領域、暗号化されていないデータベース、必要以上に開いた通信許可といった設定の崩れを洗い出します。
KSPMはKubernetes Security Posture Managementの略で、コンテナをまとめて動かす基盤であるKubernetesの設定に絞って同じ点検を行います。いずれも、公開されている設定基準や社内規程と照らし合わせ、現状がどれだけ離れているかを一覧で示せる点が利点です。設定変更の多い環境ほど効果を感じやすい機能といえます。
動いているワークロードを守るCWPP
CWPPはCloud Workload Protection Platformの略で、仮想マシン、コンテナ、サーバーレスの関数など、実際に処理を行う単位を保護します。稼働中の環境に残る脆弱性の検出に加え、見慣れないプロセスの起動や重要ファイルの書き換えといった、動き出してからの異常を捉える役割を担います。
近年は、こうした実行時の検知と初動対応をCDR（Cloud Detection and Response）と呼び、機能として備える製品もあります。情報の集め方には、対象に小さなプログラムを入れる方式と、クラウドの管理インターフェース経由で外から調べる方式があり、得意な場面が異なります。
権限とコードを点検するCIEMとIaCスキャン
CIEMはCloud Infrastructure Entitlement Managementの略で、利用者やシステムに与えられた権限を棚卸しする機能です。付与されているだけで実際には使われていない強い権限を見つけ、必要最小限へ絞り込む判断材料を示します。認証情報が盗まれた際の被害範囲を狭める備えとして重要です。
IaCスキャンは、インフラの構成をコードで管理する方式（Infrastructure as Code）のテンプレートを、適用前に検査する機能です。あわせて、ソースコードに紛れ込んだ鍵やパスワードの検出、ソフトウェア部品表（SBOM）の作成に対応する製品もあり、問題の芽を早い段階で摘み取れます。
個別ツールを並べる運用との違い
同じような機能を別々の製品でそろえても、目的は果たせそうに見えます。しかし一つの土台に載ると情報のつながり方が変わり、危険の見極めと修正の速さに差が生まれます。ここでは、まとめる価値が表れる場面を二つの角度から見ていきます。
危険度の順位付けが前後関係から決まる
別々のツールで監視していると、脆弱性、設定不備、過剰な権限がそれぞれ独立した指摘として届きます。件数が積み上がるほど、どれが本当に危ないのかを人手で見極める負担が増し、重大な兆候が通知の山に埋もれてしまいます。
CNAPPは、これらを同じ資産に紐づく情報として突き合わせます。例えば、外部に公開された仮想マシンに悪用の実績がある脆弱性が残り、さらに強い権限が結び付いている、という重なりを一続きの侵入経路として示せます。結果として、限られた人手を危険な組み合わせから順に充てる判断がしやすくなります。
複数クラウドと開発・運用の間を橋渡しする
事業部ごとに異なるクラウドを使っていると、用語も画面も違うため全体像がつかめません。CNAPPは複数の環境から情報を集め、共通の見方で並べ直すため、どの環境にどれだけ危険が残っているかを同じ尺度で比べられます。
また、実行環境で見つかった問題を、元になったコンテナイメージや構成ファイルの置き場所まで結び付けて示せます。どの定義をどう直せば同じ問題が再び起きないかがはっきりするため、開発担当と運用担当の間で修正の宛先をめぐる押し付け合いが起きにくくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でクラウドセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
導入前に確かめたい検討観点
CNAPPは守る範囲が広いぶん、自社環境との相性で使い勝手が大きく変わります。機能一覧の多さだけで判断せず、いま動いている環境をどこまで覆えるか、情報の集め方が運用に合うかという二点から確かめることが大切です。
自社の環境をどこまで覆えるか
最初に確認したいのは、対応するクラウド事業者やコンテナ基盤の範囲です。主要なパブリッククラウドに一通り対応していても、機能ごとに対応状況が異なる場合があり、片方の環境では設定点検しか使えないというずれが起こり得ます。
あわせて、社内に残る仮想基盤や物理サーバーを対象にできるか、サーバーレスやデータベースサービスまで見られるかも確認しておきましょう。対象外の領域が残ると、結局は別のツールを併用することになり、一つにまとめた利点が薄れてしまいます。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
情報の集め方と検知の深さのバランス
クラウドの管理インターフェース経由で調べる方式は、対象に手を加えずに短期間で広く可視化できる点が利点です。一方で、取得のタイミングが定期的になりやすく、動いている最中の細かな挙動までは追いにくいという性質があります。
対象に小さなプログラムを入れる方式は、プロセスの動きや通信を継続的に捉えられる半面、導入の手間や動作環境への負荷を見込む必要があります。全体は手を加えない方式で広く見て、重要なシステムだけ深く見るという組み合わせが現実的です。試用期間が用意されている場合は、通知の量と精度を確かめておくと判断しやすくなります。
運用を始める前に押さえたい注意点
CNAPPは導入して終わりではなく、日々出てくる指摘をさばき続ける運用が前提です。費用の決まり方と、見つけた後に誰が直すのかという二点を先に固めておくと、導入後に想定と違ったという事態を避けられます。
費用と対象数の数え方を先に確認する
料金の決まり方は製品によって異なり、守るワークロードの数、サーバーの処理能力、クラウドアカウントの数などが単位として使われます。自動で台数が増減する環境では、単位の取り方によって見積りが大きくぶれるため、算定の根拠をあらかじめ確認しておきましょう。
機能ごとに料金が分かれている製品もあり、設定点検だけで始めて後から実行時の監視を足す形も選べます。最初から全機能をそろえるのではなく、対象を重要なシステムに絞って始め、運用が回ることを確かめてから広げる進め方が無理のない方法です。
見つけた後に誰が直すのかを決めておく
検出は仕組みが自動で行いますが、設定やコードを直すのは人の作業です。クラウドの設定はインフラ担当、アプリの部品は開発担当、権限は情報システム部門と所管が分かれるため、通知の宛先と対応期限を決めないまま始めると、指摘だけが積み上がってしまいます。
導入時には、どの水準の指摘をいつまでに直すか、直せない場合に誰が例外を認めるかという基準を用意しておきましょう。小規模な組織では専任を置くことが難しいため、重要度の高い指摘だけを通知する設定から始め、運用の負担を見ながら広げる方法が現実的です。
この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。
「自社に合うクラウドセキュリティを診断してみたい」、「どんな観点で選べばいいかわからない」という方向けの診断ページもあります。
ITトレンドで過去資料を請求した方の、リアルなお悩みや要望から作成した簡単な質問に答えるだけで、最適な製品・サービスをご案内します。
無料で今すぐ利用できますので、下のリンクから診断を開始してください。
クラウド上のアプリを守る製品を見る
ここでは、クラウド上で動くアプリケーションや環境の保護に関わる製品を取り上げます。記事で触れた実行時の防御、統合的な管理、複数クラウドの可視化といった観点に対応する製品を選びました。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、クラウド型のWebアプリケーション防御サービスです。独自の検知エンジンを用いたWAFに加え、ネットワーク層とアプリケーション層のDDoS対策、APIの通信保護、不正なボットの判別と遮断、脅威IPの遮断、SSL証明書の自動発行・更新といった機能をまとめて提供します。24時間365日の監視を伴うマネージドサービスとして利用でき、PCI DSS v4.0.1への準拠が示されています。クラウド上で公開するWebサイトやAPIの実行時の防御を整えたい場合に検討しやすい構成です。
OrcaSecurity （株式会社日立ソリューションズ）
- 主要クラウドに幅広く対応
- 迅速導入と包括的可視化をエージェントレスで実現。
- CI/CD統合で開発初期からセキュリティ確保
CheckPointCloudGuard （チェックポイント・ソフトウェア・テクノロジーズ株式会社）
- マルチクラウド環境の可視化・一元管理
- クラウドネイティブな脅威検出と自動修復
- コンプライアンス遵守を支援する自動レポート機能
まとめ
CNAPPは、クラウドネイティブなアプリケーションを、コードの段階から動いている状態まで一つの土台で守る仕組みです。設定を点検するCSPMやKSPM、稼働中を守るCWPP、権限を棚卸しするCIEMなどを束ね、情報を突き合わせることで、本当に危ない組み合わせから順に手を打てる点が価値といえます。検討の際は、自社の環境を覆えるか、情報の集め方が運用に合うか、そして見つけた指摘を誰が直すのかを先に整理しておきましょう。
