În funcție de implementare, acele sarcini de lucru pot include mașini virtuale, containere, sarcini de lucru Kubernetes și unele funcții serverless. Domeniul CWPP acoperă în mod obișnuit evaluarea vulnerabilităților, întărirea sarcinilor de lucru, monitorizarea fișierelor sau proceselor, detectarea malware-ului, controale de rețea și detectarea amenințărilor la rulare; acoperirea nu este standardizată.
CWPP se concentrează pe sarcina de lucru în execuție și artefactele sale, nu doar pe configurația planului de control al contului cloud. Poate colecta dovezi prin agenți instalați, integrări cu gazda sau orchestratorul, instrumentarea sarcinilor de lucru, scanarea imaginilor și discurilor sau snapshot-uri cloud. Aceste abordări au puncte forte diferite: analiza snapshot-urilor poate găsi software dormant fără a implementa un agent, în timp ce detectarea la rulare poate observa procese și conexiuni live, dar trebuie să fie efectiv prezentă și compatibilă.
Puncte esențiale
Înainte de execuțieScanați imagini, pachete, secrete și configurație; aplicați surse aprobate; și reduceți software-ul inutil înainte de implementare.
La implementareAcolo unde este suportat, evaluați sau aplicați setări întărite ale sarcinilor de lucru și integrați cu mecanismele native de identitate, admitere, segmentare și control al resurselor.
În timpul execuțieiObservați procese, fișiere, apeluri de sistem și comportament de rețea acolo unde este suportat; alertați sau răspundeți conform politicii testate.
Pe tot ciclul de viațăMapați constatările la proprietarii sarcinilor de lucru, prioritizați riscul accesibil, reconstruiți sau aplicați patch-uri artefactelor afectate și verificați că versiunile corectate sunt implementate.
Limitare importantăCWPP nu este o specificație uniformă. Abordările fără agenți, bazate pe agenți și la rulare nu furnizează dovezi identice, iar sarcinile de lucru de scurtă durată, criptate, privilegiate sau nesuportate pot crea unghiuri moarte.