CNAPP 란?

출처 : https://youtu.be/Jg97A7vJrkQ?si=RvlPY2GDVZvHGZqy

1. CNAPP 이란?

 

 CNAPP는 Cloud-Native Application Protection Platform의 약자로 클라우드 네이티브 애플리케이션의 전체 수명 주기를 포괄적으로 보호하기 위해 보안•컴플라이언스 기능을 단일 플랫폼에 통합한 솔루션이다.
    
  기존의 CSPM, CWPP 등 개별 도구들이 분리되어 운영되며 발생하던 사일로(정보 단절)를 해소하고, 개발(Dev) 단계부터 배포•운영(Ops) 단계에 이르기까지 연속적인 가시성•통제•모니터링을 제공한다.
    
  이 개념은 2021년 가트너(Gartner)가 처음 제시했으며, 클라우드 네이티브 환경의 폭발적 확장과 마이크로서비스•서버리스•IaC(Infrastructure as Code) 채택으로 인해 보안 위협 표면이 급격히 넓어진 데 대한 대응책으로 등장했다. 개별 보안 도구를 조합해 사용하는 과정에서 발생하는 운영 비효율과 정책 불일치 문제를 해결하고, '*시프트 레프트(Shift-Left)' 전략을 통해 개발 초기에 보안을 내재화할 수 있도록 설계되었다.

 

 

2. CNAPP 구성요소

 

• CSMP (Cloud Security Posture Management) : 클라우드 인프라 설정 오류와 *컴플라이언스 위반을 실시간 모니터링•검증하고, 자동화된 수정 권고를 제공
• CWPP (Cloud Workload Protection Platform) : VM•컨테이너•서버리스 워크로드의 런타임 위협 탐지•차단 기능
• IaC 보안 (Shift-Left Security) : 코드 레벨에서 인프라 설정•애플리케이션 취약점을 사전 검사하여 개발 단계에서 문제 해결
• CIEM (Cloud Infrastructure Entitlement Management) : 권한•정책 관리를 중앙화하여 최소 권한 원칙(Least Privilige)을 적용
• 런타임 보호 및 위협 분석 : 행위 분석•공격 경로 탐지를 통해 배포 후 환경에서도 지속적 보호
• 외에도 Artifact Scanning, 위협 인텔리전스 통합, 자동화된 거버넌스•컴플라이언스 보고, DevSecOps 워크플로우 통합 등, 개발•운영•보안팀이 하나의 인터헤이스에서 협업하며 보안을 자동화할 수 있는 기능을 제공한다.

 

 

3. 도입 이점

 

1. 통합 가시성 : 분산된 툴 체인 대신 단일 대시보드로 전체 클라우드 애플리케이션 공간을 한눈에 파악 가능 
2. 비용 절감 : 중복•파편화된 보안 도구 유지 관리 비용 감소
3. 시프트 레프트 : 개발 초기 취약점 해결로 이후 보완 비용 및 리스크 감소
4. 효율적 협업 : DevOps•SecOps 통합 워크플로우를 통해 조직 전반의 대응 속도 향상

 

 

4. 결론

 결론적으로 CNAPP은 클라우드 네이티브 시대의 복잡•동적 환경에서 보안 사일로를 제거하고, 개발부터 운영까지 보안을 일원화•자동화하여 혁신 속도를 저해하지 않으면서도 위협을 효과적으로 관리할 수 있는 차세대 보안 플랫폼이다.

 

 

 

용어 정의

*시프트 레프트(Shift-Left) : 시프트 레프트는 소프트웨어 개발 수명 주기에서 보안을 왼쪽으로 당겨오는 전략이다. 전통적으로 보안 검사는 QA나 운영 단계에서 이루어졌지만, 시프트 레프트를 적용하면 코드 작성 단계부터 자동화된 도구로 보안 취약점을 검출하고 바로잡을 수 있다.

*컴플라이언스 : 조직이 사업을 수행하면서 지켜야 할 법률•규제•산업  표준•내부 정책 등을 준수하는 상태를 뜻한다. 쉽게 말해, '해야 할 일'을 빠뜨리지 않고 지키는 것이다.