La sécurité du cloud reste un sujet difficile, et les outils qui peuvent être utilisés pour la garantir sont de plus en plus complexes et difficiles à comprendre, en partie grâce à l'amour éternel du secteur pour les acronymes. Avec le CNAPP, un autre vient désormais s'ajouter.

CNAPP – Définition

L'abréviation signifie Cloud Native Application Protection Platform et combine les fonctions de quatre outils de sécurité cloud indépendants :

• Cloud Infrastructure Entitlement Management (CIEM) pour gérer toutes les mesures de contrôle d’accès et les tâches de gestion des risques.
• Cloud Workload Protection Platform (CWPP) pour protéger le code dans tous les référentiels basés sur le cloud et garantir la protection de l'exécution dans l'environnement de développement et les pipelines de code.
• Cloud Access Security Broker (CASB) pour les tâches d'authentification et de chiffrement.
• Cloud Security Posture Management (CSPM), qui combine veille sur les menaces et mesures correctives.

À partir de ces quatre éléments « classiques », le CNAPP s'est désormais étendu à d'autres domaines. Par exemple:

• Sécurité des API, scripts, supply chain et infrastructure as code (IaC),
• La sécurité des conteneurs et sans serveur également
• d'autres outils de gestion de posture, y compris des applications de données et SaaS.

Du point de vue de l’utilisateur, CNAPP est difficile à comprendre et à évaluer et, par conséquent, à acheter, comme le suggère Andras Cser, analyste en chef de Forrester, dans un article de blog sur le sujet. Les options de sécurité hors cloud étant également partiellement couvertes, chaque décision d'achat et de mise en œuvre de CNAPP est également une tâche entre équipes ou départements, selon l'analyste.

En d’autres termes : lorsqu’il s’agit du CNAPP, une grande quantité de logiciels doivent être coordonnés, gérés, intégrés et compris. Pour vous permettre d'avoir plus facilement une vue d'ensemble, nous avons rassemblé dans ce guide d'achat des détails sur les fournisseurs et les offres les plus importants.

Le marché CNAPP

La catégorie de produit (ou plutôt l’acronyme) a été une fois de plus influencée par Gartner. Le cabinet d’analystes a utilisé pour la première fois le terme CNAPP dans son rapport « Innovation Insight » d’août 2021.

La clé pour comprendre cette catégorie de produits réside dans les défis d'intégration pour les utilisateurs d'entreprise : dans le rapport sur l'état d'observabilité de VMware, 57 % des personnes interrogées ont déclaré que jusqu'à 50 technologies différentes sont utilisées dans une application cloud typique, gérées avec une moyenne de dix outils de surveillance.

Et selon le « Rapport d'observabilité 2024 » de Dynatrace (télécharger pour les données), un environnement d'entreprise typique se compose en moyenne d'une douzaine de plates-formes cloud différentes, avec un mélange de stratégies de cloud privé, public et hybride régulièrement utilisées. Il existe également diverses instances de machines virtuelles, des conteneurs Kubernetes, ainsi que des microservices et des outils sans serveur.

Ce fardeau d'intégration important pourrait également être l'une des raisons pour lesquelles le marché CNAPP a atteint un volume total de 700 millions de dollars au deuxième trimestre 2024, soit une croissance de 42 % sur un an, comme le rapportent les analystes du groupe Dell'Oro.

Les prestataires CNAPP et leurs offres

Idéalement, une solution CNAPP devrait :

• réduire les erreurs de configuration,
• optimiser le niveau de sécurité du processus de développement, ainsi que
• automatiser efficacement.

Les prestataires suivent deux approches différentes du CNAPP : soit ils se concentrent sur celui-ci DevSecOps– ou ça point de vue traditionnel de la sécurité informatique. La première se traduit par une plus grande concentration sur la protection des applications elles-mêmes (CIEM/CWPP), la seconde par une extension des mesures de protection traditionnelles au niveau du réseau (CASB/CSPM). À ce jour, aucune offre du CNAPP ne couvre véritablement les quatre domaines de manière cohérente.

Bien entendu, l’intelligence artificielle (IA) joue également un rôle de plus en plus important dans cet espace : plusieurs fournisseurs CNAPP intègrent ou combinent des agents IA et des solutions sans agent dans leurs produits pour offrir un suivi plus complet et la plus grande couverture et évolutivité possible.

Plateforme de sécurité aquatique

Se concentrer: DevSecOps

Forme : Plateforme unifiée avec plusieurs produits ;

Fonctionnalités spéciales/intégrations : « Garantie de non-exécution » jusqu'à un million de dollars ;

Structure tarifaire : essai gratuit ; à partir de 850 $ par mois ;

Sécurité du cloud CrowdStrike Falcon

Thème : DevSecOps / Sécurité informatique

Forme : Plateforme unifiée avec plusieurs produits ;

Fonctionnalités/intégrations en vedette : Détection et réponse dans le cloud (CDR), AppSec, évaluation de la vulnérabilité des images de conteneurs ;

Structure tarifaire : Le prix de l'abonnement dépend des produits sélectionnés ;

théorème des données

Focus : DevSecOps

Forme : Produits distincts pour le cloud, le Web et la chaîne d'approvisionnement ;

Fonctionnalités spéciales/intégrations : politiques d'attaque principales, analyse d'artefacts, moteur d'analyse principale, prise en charge de Kubernetes ;

Structure tarifaire : complexe et coûteuse ; des tarifs différents pour chaque produit ;

FortiCNAPP Dentelle

Focus : Sécurité informatique

Forme : Plateforme unifiée avec plusieurs produits ;

Fonctionnalités spéciales/intégrations : règles de protection basées sur le comportement, SOAR, AppSec, analyses des pipelines de construction et de déploiement ;

Structure tarifaire : essai gratuit ; dépend de la durée d'utilisation et des vCPU utilisés ;

Orque CNAPP

Focus : Sécurité informatique

Forme : Plateforme unifiée avec plusieurs produits ;

Fonctionnalités spéciales/intégrations : analyse latérale, priorisation des risques, pipelines AppSec, fonctionnalités d'IA ;

Structure tarifaire : basée sur les charges de travail, les compartiments de stockage et les analyses de bases de données, ainsi que les capteurs utilisés ;

Nuage Cortex de Palo Alto Networks

Focus : Sécurité informatique

Forme : Plateforme unifiée avec plusieurs produits ;

Fonctionnalités/intégrations spéciales : CDR, intégration AppSec, protection d'exécution et DSPM, prise en charge prévue des cloud IBM et Akamai ;

Structure tarifaire : complexe et coûteuse ; dépend des modules sélectionnés et des charges de travail assurées ;

Qualys Total CNAPP Cloud

Focus : Sécurité informatique

Forme : Plateforme unifiée ;

Fonctionnalités/intégrations spéciales : CDR, sécurité des conteneurs et IaC, gestion de la posture SaaS, fonctionnalités d'IA ;

Structure tarifaire : essai gratuit ; Modèle d'abonnement basé sur la charge de travail ;

Sysdig sécurisé

Focus : DevSecOps

Forme : produit unique ;

Fonctionnalités/intégrations spéciales : CDR « nouvelle génération », priorisation des risques, capacités d'IA et d'analyse ;

Structure tarifaire : prix fixe par modèle d'hôte ; à partir d'environ 500 $ par mois ;

Sécurité cloud durable

Focus : Sécurité informatique

Forme : solution autonome ou dans le cadre de la plateforme de gestion de l'exposition Tenable One ;

Fonctionnalités spéciales/intégrations : gestion de l'exposition, DSPM, sécurité IA, prise en charge de Kubernetes et IaC ;

Structure tarifaire : essai gratuit ; modèle de tarification complexe qui peut être aligné sur les nœuds ou les charges de travail ;

Nuage Tigera Calico

Focus : DevSecOps

Forme : produit unique ;

Fonctionnalités spéciales/intégrations : principalement axé sur la sécurité des conteneurs et de Kubernetes ;

Structure tarifaire : version open source gratuite ; options commerciales avec modèle de facturation par abonnement ou par nœud horaire ;

Uptycs

Focus : Sécurité informatique

Forme : Plateforme unifiée ;

Fonctionnalités/intégrations spéciales : fonctionnalités XDR, AppSec, DSPM, AI et ML ;

Structure tarifaire : diverses options ; à partir d'environ 5 000 $ par an (200 actifs cloud) ;

Monstre

Focus : Sécurité informatique

Forme : Plateforme unifiée avec plusieurs produits ;

Fonctionnalités spéciales/intégrations : priorisation des risques avec des visualisations et des analyses basées sur des graphiques, du code au cloud en passant par l'exécution, les capacités d'IA, la prise en charge des conteneurs et de Kubernetes ;

Structure tarifaire : différents plans tarifaires en fonction des charges de travail ;

5 questions avant d'investir au CNAPP

Avant de choisir l’un de ces prestataires CNAPP, vous devez vous poser les questions suivantes :

1. Quels artefacts cloud peuvent être analysés avec la solution choisie ? Certains produits (Lacework) se concentrent sur les trois principaux fournisseurs IaaS, d'autres (Tigera) ne prennent en charge que les services Kubernetes des hyperscalers. D'autres (Sysdig) se concentrent principalement sur les conteneurs et les différents serveurs Linux sur lesquels ils s'exécutent. Mais il est surtout important de pouvoir contrôler les artefacts en continu et (presque) en temps réel.
2. Comment les incidents de sécurité sont-ils signalés ? Existe-t-il des règles d'accès distinctes afin que différents employés puissent se concentrer sur des domaines spécifiques ? Existe-t-il des politiques de sécurité prédéfinies distinctes ou combinées pour la capture des données avec et sans agents ? Que signifient les tableaux de bord et les visualisations qu’ils fournissent ?
3. Dans quelle mesure les quatre domaines des outils de gestion sont-ils couverts ?? Certaines offres proposent des éléments CWPP et CSPM, mais ceux-ci doivent être étendus, par exemple, pour prendre en charge Kubernetes.
4. Quels frameworks DevOps sont pris en charge ? Qu’en est-il des référentiels open source ?
5. Combien coûte exactement la solution ? Peu de prestataires CNAPP proposent une tarification véritablement transparente. Une clarification est donc nécessaire, notamment dans le cas de modèles de tarification complexes (Data Theorem, Qualys, Orca).

(fm)

Souhaitez-vous lire des articles plus intéressants sur le thème de la sécurité informatique ? Notre newsletter gratuite fournit tout ce que les experts en sécurité et les décideurs doivent savoir directement dans leur boîte de réception.