Podle implementace mohou tyto úlohy zahrnovat virtuální stroje, kontejnery, úlohy Kubernetes a některé serverless funkce. Rozsah CWPP běžně zahrnuje posouzení zranitelností, zpevnění úloh, monitorování souborů či procesů, detekci malwaru, síťové kontroly a detekci hrozeb za běhu; pokrytí není standardizováno.
CWPP se soustředí na běžící úlohu a její artefakty, nikoli pouze na konfiguraci řídicí roviny cloudového účtu. Důkazy může sbírat nainstalovanými agenty, integracemi hostitele či orchestrátoru, instrumentací úloh, skenováním imagí a disků nebo cloudovými snapshoty. Tyto přístupy mají různé silné stránky: analýza snapshotů dokáže najít spící software bez nasazení agenta, zatímco runtime sensing může pozorovat živé procesy a spojení, ale musí být skutečně přítomen a kompatibilní.
Klíčové body
Před spuštěnímSkenujte image, balíčky, tajné údaje a konfiguraci; vynucujte schválené zdroje; a před nasazením redukujte zbytečný software.
Při nasazeníKde je podporováno, hodnoťte či vynucujte zpevněná nastavení úloh a integrujte s nativními mechanismy identity, přijetí, segmentace a řízení prostředků.
Za běhuPozorujte procesy, soubory, systémová volání a síťové chování tam, kde je podporováno; generujte výstrahy či reagujte podle otestované politiky.
Napříč životním cyklemMapujte nálezy na vlastníky úloh, prioritizujte dosažitelné riziko, přestavujte či opravujte postižené artefakty a ověřujte, že opravené verze jsou nasazeny.
Důležité omezeníCWPP není jednotná specifikace. Bezagentové, agentové a runtime přístupy neposkytují identické důkazy a krátkodobé, šifrované, privilegované či nepodporované úlohy mohou vytvářet slepá místa.