CWPP

Eine Cloud Workload Protection Platform (CWPP) schützt die Workloads in der Cloud selbst. Dazu gehören virtuelle Maschinen, Container und serverlose Funktionen.

So funktioniert es

Eine CWPP überwacht, was auf den Workloads läuft. Sie erkennt verdächtige Prozesse, Schadsoftware und ungewöhnliche Netzwerkverbindungen. Viele Lösungen prüfen zusätzlich Images auf Schwachstellen, bevor sie ausgerollt werden. Je nach Produkt arbeitet sie mit einem Agenten auf dem System oder ohne Agent über Schnappschüsse der Festplatten.

Ein Beispiel aus der Praxis

Ein Webserver in der Cloud hat eine ungepatchte Schwachstelle. Ein Angreifer nutzt sie und startet einen Krypto-Miner. Die CWPP erkennt den unbekannten Prozess mit hoher CPU-Last und Verbindungen zu einem Mining-Pool. Das SOC isoliert die Instanz und sichert sie für die Untersuchung.

Worauf Sie achten sollten

• Prüfen Sie, ob alle Workload-Typen abgedeckt sind: VMs, Container und Funktionen.
• Schwachstellen-Scans vor dem Ausrollen sind günstiger als Korrekturen im Betrieb.
• Kurzlebige Container verschwinden schnell. Die Telemetrie muss ausserhalb gespeichert werden.
• Binden Sie die Alerts ins SOC ein, damit sie mit Cloud-Logs und Identitäten verknüpft werden.

Abgrenzung

Eine CWPP ist vergleichbar mit einem EDR für Cloud-Workloads. Viele EDR-Hersteller decken Cloud-Server inzwischen ebenfalls ab. CSPM prüft dagegen die Konfiguration der Cloud, nicht die Vorgänge auf den Systemen. Zusammen mit CIEM ergeben diese Funktionen eine CNAPP.

Typische Fehler

Häufig wird nur die Produktion geschützt. Test- und Entwicklungsumgebungen haben aber oft Verbindungen zur Produktion und schwächere Kontrollen. Ein zweiter Fehler sind Workloads ohne klare Zuständigkeit. Bei einem Alert weiss dann niemand, wer das System betreibt und ob eine Isolation erlaubt ist.

So setzen wir es um

Wir binden Alerts aus Ihrer CWPP oder Ihrem EDR für Cloud-Server ins SOC ein. Die Eindämmung erfolgt innerhalb des Mandats, das Sie festlegen.