クラウドセキュリティ

CWPP（Cloud Workload Protection Platform）しーだぶりゅーぴーぴー

クラウドワークロードコンテナセキュリティ脆弱性スキャンランタイム保護CSPMゼロトラスト

CWPPについて教えて

簡単に言うとこんな感じ！

クラウドで動かしているアプリやサーバー（＝ワークロード）を守るためのセキュリティ専門ツールだよ！「クラウド上の用心棒」みたいな存在で、脆弱性のチェックから動作中の不審な動きの検知まで、ワークロードをまるごと守ってくれるんだ！

CWPPとは

CWPP（Cloud Workload Protection Platform） とは、クラウド環境で動作するアプリケーションやサーバーなどの「ワークロード」を保護するためのセキュリティプラットフォームです。仮想マシン・コンテナ・サーバーレス関数など、クラウド特有の多様な実行形態に対応しており、それぞれに適した防御を提供します。

従来のオンプレミス向けセキュリティツールはクラウドの柔軟な構造に追いつけないケースが多く、クラウドネイティブな脅威への対応に特化したツールが求められるようになりました。CWPPはまさにそのギャップを埋める存在です。ガートナー社が2017年に定義・命名し、現在では多くのクラウドセキュリティ製品の標準的なカテゴリとして認知されています。

実務的には、開発チームが新しいコンテナをデプロイするたびに自動でセキュリティスキャンを走らせたり、本番稼働中のワークロードへの不正アクセスをリアルタイムで検知したりといった用途で使われます。「作る前」「動かす前」「動かしている最中」の3フェーズすべてをカバーするのがCWPPの特徴です。

CWPPが守る対象と主な機能

CWPPが保護するワークロードの種類と、それぞれに提供する機能を整理すると以下のようになります。

保護対象	具体例	主な機能
仮想マシン（VM）	EC2、Azure VM	脆弱性スキャン、マルウェア検知、パッチ管理
コンテナ	Docker、Kubernetes Pod	イメージスキャン、ランタイム保護、ネットワーク制御
サーバーレス	AWS Lambda、Azure Functions	権限の最小化、インジェクション攻撃の防止
物理サーバー	オンプレミスとのハイブリッド環境	エンドポイント保護、ログ収集

CWPPの機能を「時系列」で覚える

CWPPの機能は 「Shift Left（左シフト）＝開発の早い段階に検知を前倒し」 というキーワードで理解すると整理しやすいです。

[開発フェーズ]   [デプロイ前]     [本番稼働中]
     │               │                │
コードの          イメージの        ランタイムの
脆弱性スキャン    整合性チェック    異常検知・遮断
     │               │                │
  Shift Left ──────────────────▶ Runtime Protection

主要機能の一覧

脆弱性スキャン — OSやライブラリの既知の脆弱性（CVE）を検出
ランタイム保護（RASP） — 実行中のプロセスを監視し、不審な動きをブロック
ネットワークマイクロセグメンテーション — ワークロード間の通信を細かく制御
整合性監視 — ファイルや設定が勝手に変更されていないかを監視
マルウェア対策 — クラウド環境向けのアンチウイルス・EDR連携
CIパイプライン統合 — DevSecOpsとしてCI/CDに組み込み、自動チェックを実現

歴史と背景

2010年代前半 — クラウド移行が加速。従来のアンチウイルスや侵入検知システム（IDS）はクラウドの動的な環境に対応しきれないという問題が顕在化
2017年 — ガートナー社がCWPPという概念を定義・命名。クラウドワークロードに特化したセキュリティカテゴリとして業界に広まる
2018〜2019年 — Kubernetes・コンテナの普及に伴い、コンテナ特化のセキュリティ機能がCWPPの主戦場に。Aqua Security、Twistlock（後のPrisma Cloud）などの専業ベンダーが台頭
2020年 — ガートナーがCNAPP（Cloud-Native Application Protection Platform）という上位概念を提唱。CWPPとCSPMを統合したプラットフォームへの進化が始まる
2021年以降 — AWS・Azure・GCPが自社プラットフォームにCWPP機能を標準搭載し始め、「クラウド標準のセキュリティ機能」として普及が加速

CWPPと関連ツールの比較・位置づけ

クラウドセキュリティには似た名前のツールが多く、混乱しやすいのが悩みのタネです。以下で整理しましょう。

ツール	正式名称	守る対象	一言で言うと
CWPP	Cloud Workload Protection Platform	ワークロード（VM・コンテナなど）	「動くもの」を守る
CSPM	Cloud Security Posture Management	クラウドの設定・構成	「設定ミス」を見つける
CIEM	Cloud Infrastructure Entitlement Management	IAMの権限・アクセス管理	「権限の過剰付与」を防ぐ
CNAPP	Cloud-Native Application Protection Platform	上記すべてを統合	クラウドセキュリティの「全部入り」

規格・フレームワーク	内容
CIS Benchmarks	クラウドワークロードのセキュリティ設定ベースライン。CWPPのスキャン基準として広く使われる
NIST SP 800-190	コンテナ技術のセキュリティガイドライン。CWPPのコンテナ保護機能の設計根拠になる
SOC 2	クラウドサービスの信頼性基準。CWPPの導入が監査証跡として活用されることがある
CSA STAR	クラウドセキュリティの認証フレームワーク。CWPPはその要件を満たすための手段の一つ