【摘要】从信息化到数字化，企业系统建设思路也逐步的迭代演进，考虑的不再是一个点，而是一个体系，不再是信息化时代走一步看一步的方式，系统建成后再重复去集成。云原生应用保护平台(CNAPP)的提出从云原生应用安全保护角度，勾勒了一个体系化的安全平台建设思路，本文对这一趋势应用进行了详细的解读。

【作者】汪照辉，专注于容器云、微服务、DevOps、数据治理、数字化转型等领域，对相关技术有独特的理解和见解。擅长于软件规划和设计，提出的“平台融合”的观点越来越得到认同和事实证明。发表了众多技术文章探讨容器平台建设、微服务技术、DevOps、数字化转型、数据治理、中台建设等内容，受到了广泛关注和肯定。

从信息化到数字化，企业系统建设思路也逐步的迭代演进。从云底座、PaaS平台、云原生体系到平台工程，企业系统建设考虑的不再是一个点，而是一个体系，关注体系中系统之间、系统与子系统、各子系统或组件之间等的关系和联系。体系中这些系统、子系统和组件等无缝构成一个彼此联系、相互影响而又相辅相成复杂系统体系，所以在建设之初，就需要考虑体系的规划和实施路径，做到可扩展和无缝融合，而不再是信息化时代走一步看一步的方式，系统建成后再重复去集成。CNAPP(Cloud-Native Application Protection Platform, 云原生应用保护平台)的提出从云原生应用安全保护角度，勾勒了一个体系化的安全平台建设思路。

认识CNAPP

CNAPP 是Gartner 于2021年提出的 、 用于描述一个保护云原生应用的一体化平台，该平台将安全性 、合规性 、管理功能等统一起来，用于管理、预防 、检测和响应云原生系统中的安全风险和威胁。CNAPP将传统上独立存在的多个云安全解决方案集成到一个统一的用户界面中，使企业更容易感知风险和威胁， 保护其整个云体系范围内应用程序安全稳定地运行 。

CNAPP包括传统网络安全、授权管理和访问控制、云资产保护，以及云原生生命周期安全也就是DevOps安全，还有一个从下到上、从左到右、实时的、全面的云安全态势平台。另外企业涉及到的安全管理和治理相关工作也需要融合到这个体系中，从而构建成一个完整的一体化平台或系统(如下CNAPP思维导图示例)。

云原生应用程序是在云计算环境中设计、开发和构建的程序。它的设计和交付方式不同于传统的单体式应用程序，通常采用分布式微服务化架构和自动化流水线方式，开发交付速度更快，部署于云原生容器环境，具有更高的可伸缩性和可移植性，但同时也使应用程序的暴露面增大，潜在风险和漏洞增多。CNAPP提出了云原生应用一体化安全防护思路，可以说是保护云原生应用程序的最佳方式。CNAPP需要实现从开发到运行阶段对应用程序的保护 ，将安全性 、 合规性 、可观测性功能等统一在一个平台上，以更好地预防、检测和应对云安全威胁 ， 使用单个用户界面可让 相关人员跨多个云环境和工作负荷全面了解威胁。它还允许开发人员和安全团队在开发生命周期的早期将安全性嵌入应用程序中。它可帮助开发人员和安全团队在整个开发生命周期内增强安全性。可以实现 多云环境的集中式威胁可见性、合规性和权限管理等 。

最重要的一点是，CNAPP可以通过实时的安全态势感知让相关的系统或应用程序负责人员、开发人员等了解系统的安全态势和漏洞和潜在风险，增强安全意识。看得到才能有直观的安全意识和感觉，才能关注安全并提升安全意识和赠强安全保护手段。

CNAPP子系统及相互关系

CNAPP 使将安全性嵌入 云原生 应用生命周期过程中 ，同时为云工作负荷和数据提供保护。其需要具备几项关键功能组件：

云安全态势管理 (CSPM) 平台

CSPM(Cloud Security Posture Management )是企业的安全中枢平台，持续提供企业资产、资源总量视图和应用系统运行的总体安全状况等。CSPM需支持合规安全基线配置，接收各安全工具对各类资产、资源的自动梳理清点数据并汇总展示，对漏洞、弱密码、病毒等各种风险进行分析，对异常登录、可疑操作等可疑行为进行跟踪监控分析等，并基于分析采取告警、隔离、封停等响应措施。

CSPM接收各安全系统或组件的事件和数据，进行处理并展示，可以说CSPM是应用安全的可观测平台。看得见才能心中有数，传统单体系统建设往往各自为政，有多少资产常常谁也说不清楚，这也是一体化安全体系建设的关键价值所在。

CSPM需要分层对接各个安全系统或组件，所以安全体系架构规划是一个前期非常关键的工作。这也和企业平台化、一体化的能力和进度有关。

DevSecOps和软件供应链安全

DevOps安全旨在将安全性嵌入应用程序的设计、编码和构建阶段中 ，尽可能消除代码中的漏洞和潜在风险，将“安全左移”，以 防止众多漏洞进入生产环境。不过提了多年的DevOps安全大多也仅仅是代码检查审计、镜像扫描，DevOps更是多做成研发效能，不但没有ops ，dev也不完整，更遑论安全。CNAPP继承了DevOps 安全的一些思想，其主要目标之一是将安全性嵌入应用程序开发过程的最早阶段 ，使设计、 开发人员在应用程序的开发过程中尽早发现并修复安全 风险和漏洞， 特别是让Dev阶段的相关人员具备应用安全意识，增强应用安全、可靠能力。如同可观测性一样，需要在设计研发阶段就需要考虑，这也是云原生应用和传统单体应用的不同之处。

DevOps安全关注代码安全、镜像安全，配置基线，以及软件供应链安全、平台安全、运行安全等。通过将安全工具融合到自动化的流程中，降低工具栈的复杂性，提升安全检测效率并尽可能减少安全漏洞和风险到生产环境中。DevOps安全不只是研发安全，重点是在运行时安全。

云原生应用程序开发过程中引入了大量的开源组件和工具，也使软件供应链安全成为了一个不得不考虑的问题。软件供应链安全可以看作是DevOps 安全的一部分，关注DevOps过程中开源软件的软件成分分析、软件溯源和风险分析等，需要集成或融合到DevOps 安全系统中。

DevOps安全和软件供应链安全是云原生工作负载保护的基础，云工作负载从云资产保护的角度提供了另外一种视角。

云工作负载保护平台 (CWPP)

云原生环境有众多的云工作负载或资产 (如节点 、 Pod、 容器、Kubernetes集群 、数据库、 中间件、服务、accounts、 networks 、IP、Ports 和Processes等 ) ，需要对这些资产进行保护， 提供对威胁的实时检测和响应。CWPP (Cloud Workload Protection Platform) 能力包括应用的静态检测SAST、动态监测DAST和交互式监测等，涉及主机安全、镜像安全、容器安全、K8s 平台安全等静态和动态的监测防护能力。CWPP 可帮助应用管理人员和安全团队提升提供对威胁的实时检测和响应 ， 并减少 对应用 的攻击面。

CWPP是云原生应用运行时防护的重要支撑。其实工具叫什么平台不重要，重要的是需要融合相应的能力。CWPP和研发安全及软件供应链安全可以看作是DevOps安全体系的内容。

云基础设施授权管理 (CIEM)

CIEM(Cloud Infrastructure Entitlements management )主要实现云原生环境基础设施授权管理和访问控制。授权管理和访问控制也分多个层次，其实不止基础设施，比如服务接口API访问控制、应用系统的授权访问等，其实我多年前也提出过统一认证和集中权限管理思路，构建一体化的认证和权限管理系统，而不是传统单体每个系统、每个工具都重新开发一遍认证权限等，否则不但重复建设，更难以融合，集成成本高昂。通过CIEM 可以在云原生环境实现统一的权限管控，应用更方便有机构建成一个体系。CIEM 强调最小权限原则，并定义权限管理的合规基线等 。

在CNAPP 中，授权管理可以扩展下范围，不限于CIEM 。目前各家云原生安全厂商CNAPP 的方案也有区别，都不够完善。通过探讨和讨论也驱动安全厂商提供更完善的方案。

云服务网络安全 (CSNS)

CSNS (Cloud Service Networks Security )侧重传统网络安全， 通过实时保护云基础 设施 来补充 和支持 CWPP 云资产保护 。CSNS可以包括各种安全工具，例如分布式拒绝服务保护、Web 应用程序防火墙、传输层安全检查和负载均衡。

安全治理

CNAPP中我觉得很重要的一部分是云原生安全的管理和治理。安全很多功能和能力是交互的、相互联系的，所以独立去构建组件会面临着重复建设和集成的问题，这就需要对整个安全体系进行规划和设计，并复用相关的能力。

安全治理涉及相关安全规范、工具流程的建设，漏洞库、病毒库、基线库、威胁情报库等的建设维护，并服务于而不是管理企业云原生应用安全需求。

从CNAPP到企业一体化平台建设

过去我们谈安全往往只侧重网络安全，所以很多公司到目前为止安全建设依然以传统网络安全为主，相关人员也缺乏一体化安全的建设意识。国内安全厂商大多规模较小，往往难以规划和实施一体化的安全体系，甚至没有一体化安全体系建设的意识和思路。CNAPP虽然侧重云原生应用安全体系，不过其思想不限于云原生安全体系的建设，对于企业的安全能力构建非常有参考意义。

企业一体化平台建设不仅仅是一体化安全平台，我曾经也提出过一体化监控平台的建设，以及以应用为中心的一体化PaaS平台建设，一体化资源支撑平台(云底座)的建设等。这既是架构发展和演进的趋势，也是企业数字化效率提升的支撑。