W zależności od implementacji te obciążenia mogą obejmować maszyny wirtualne, kontenery, obciążenia Kubernetes i niektóre funkcje serverless. Zakres CWPP zwykle obejmuje ocenę podatności, wzmacnianie obciążeń, monitorowanie plików lub procesów, wykrywanie złośliwego oprogramowania, kontrole sieciowe i wykrywanie zagrożeń w czasie działania; pokrycie nie jest wystandaryzowane.
CWPP koncentruje się na wykonującym się obciążeniu i jego artefaktach, a nie tylko na konfiguracji płaszczyzny sterowania konta chmurowego. Może zbierać dowody przez zainstalowanych agentów, integracje z hostem lub orkiestratorem, instrumentację obciążenia, skanowanie obrazów i dysków lub migawki chmurowe. Te podejścia mają różne mocne strony: analiza migawek może znaleźć uśpione oprogramowanie bez wdrażania agenta, podczas gdy detekcja runtime może obserwować żywe procesy i połączenia, ale musi być faktycznie obecna i kompatybilna.
Najważniejsze punkty
Przed wykonaniemSkanuj obrazy, pakiety, sekrety i konfigurację; wymuszaj zatwierdzone źródła; i ograniczaj niepotrzebne oprogramowanie przed wdrożeniem.
Przy wdrożeniuTam, gdzie obsługiwane, oceniaj lub wymuszaj wzmocnione ustawienia obciążeń i integruj z natywnymi mechanizmami tożsamości, admisji, segmentacji i kontroli zasobów.
Podczas wykonaniaObserwuj procesy, pliki, wywołania systemowe i zachowanie sieciowe tam, gdzie obsługiwane; alarmuj lub reaguj zgodnie z przetestowaną polityką.
Przez cały cykl życiaMapuj wyniki na właścicieli obciążeń, ustalaj priorytety osiągalnego ryzyka, odbudowuj lub łataj dotknięte artefakty i weryfikuj, że poprawione wersje są wdrożone.
Istotne ograniczenieCWPP nie jest jednolitą specyfikacją. Podejścia bezagentowe, agentowe i runtime nie dostarczają identycznych dowodów, a krótkotrwałe, szyfrowane, uprzywilejowane lub nieobsługiwane obciążenia mogą tworzyć ślepe punkty.