CNAPP : plateforme unifiée de sécurité cloud-native (CSPM, CWPP, CIEM)

Le problème de la fragmentation des outils cloud security

Pendant longtemps, la sécurité cloud était assurée par une multitude d'outils spécialisés : un scanner de configuration AWS (CSPM), un outil de protection des workloads (CWPP pour les VMs/containers), un gestionnaire des permissions cloud (CIEM), un scanner d'images Docker (Trivy), et un outil de détection runtime (Falco). Cette fragmentation créait des angles morts, des alertes sans contexte, et une charge opérationnelle excessive.

Le CNAPP (Cloud-Native Application Protection Platform) est né de ce constat : consolider toutes ces capacités dans une plateforme unique, capable de corréler les risques à travers les couches (infrastructure, workloads, données, identités) et de prioriser les risques réellement exploitables.

Les composants d'un CNAPP

• CSPM (Cloud Security Posture Management) : détection des mauvaises configurations cloud (buckets S3 publics, security groups trop permissifs, MFA non activé, chiffrement désactivé) selon les benchmarks CIS, NIST, ISO 27001
• CWPP (Cloud Workload Protection Platform) : protection des workloads (VMs, containers, fonctions serverless) — scan d'images, protection runtime, détection de malware, analyse comportementale
• CIEM (Cloud Infrastructure Entitlement Management) : analyse des permissions cloud (IAM) pour détecter les droits excessifs, les permissions non utilisées, les chemins d'escalade de privilèges
• DSPM (Data Security Posture Management) : découverte et classification des données sensibles dans le cloud (PII, secrets, données financières) — composant de plus en plus intégré aux CNAPP
• Code Security / Supply Chain : analyse des IaC (Terraform, CloudFormation) et des pipelines CI/CD pour détecter les vulnérabilités avant le déploiement

L'innovation clé : le graphe de risque et l'attack path

La différence entre un CNAPP et une collection d'outils séparés est sa capacité à corréler les risques pour identifier les chemins d'attaque réellement exploitables. Un bucket S3 public est un problème, mais s'il contient des credentials qui donnent accès à une base de données RDS avec des données critiques, c'est une priorité absolue.

• Graphe de risque : modélisation de l'environnement cloud comme un graphe (assets, permissions, flux réseau, données) permettant d'identifier les chemins d'attaque multi-étapes
• Effective permissions : calculer les permissions effectives d'une identité cloud en tenant compte des politiques SCP, les boundaries, les permissions inline — différentes des permissions déclarées
• Prioritization contextuelle : un CNAPP classe les risques en tenant compte de l'exploitabilité réelle, de l'accès Internet, de la criticité des données — pas juste du score CVSS
• Lateral movement paths : identifier comment un attaquant peut se déplacer d'un asset compromis vers des assets critiques (ex. pod Kubernetes → metadata API → rôle IAM → S3 data)

Comparatif des principales solutions CNAPP

Wiz

• Forces : agentless (connexion via API cloud sans installer d'agents), graphe de risque le plus avancé du marché, vitesse de déploiement (connecté en heures), excellent DSPM intégré
• Couverture : AWS, Azure, GCP, OCI, Alibaba Cloud — multi-cloud natif
• Idéal pour : organisations cherchant un déploiement rapide sans agents, équipes sécurité réduites, environnements multi-cloud complexes
• Limitation : prix élevé, protection runtime moins mature que les solutions avec agents (Wiz Defend comble progressivement ce gap)

Prisma Cloud (Palo Alto Networks)

• Forces : suite la plus complète du marché (CSPM + CWPP + CIEM + DSPM + Code Security), protection runtime éprouvée, compliance reporting exhaustif, intégration Cortex XDR
• Couverture : tous les clouds majeurs, Kubernetes, serverless, IaC multi-frameworks
• Idéal pour : grandes entreprises avec des équipes sécurité matures, organisations Palo Alto, besoins de compliance réglementaire stricts (PCI-DSS, HIPAA, SOC 2)
• Limitation : complexité de configuration élevée, prix parmi les plus élevés du marché, courbe d'apprentissage importante

Lacework

• Forces : détection comportementale basée sur le ML (anomaly detection), polygraph des comportements normaux vs anormaux, excellent pour la détection des menaces runtime
• Idéal pour : organisations prioritisant la détection des comportements anormaux plutôt que la compliance posture
• Limitation : CSPM moins riche que Wiz ou Prisma, CIEM en cours de maturation

Orca Security

• Forces : agentless comme Wiz, SideScanning propriétaire (analyse les snapshots de disques sans impact sur les workloads), bon DSPM, interface intuitive
• Idéal pour : PME et mid-market cherchant une alternative à Wiz avec un meilleur rapport qualité-prix
• Limitation : graphe de risque moins avancé que Wiz, couverture runtime limitée en agentless

Solutions cloud natives

• Microsoft Defender for Cloud : CNAPP natif Azure avec couverture AWS/GCP. Idéal pour les environnements Microsoft 365/Azure. Inclus dans certaines licences M365.
• AWS Security Hub + GuardDuty + Inspector : stack AWS native. Moins de corrélation cross-service que les CNAPP tiers mais sans coût supplémentaire pour les clients AWS.

Déploiement et intégration

• Agentless vs avec agents : l'agentless (Wiz, Orca) se connecte via API cloud et analyse les snapshots — déploiement rapide mais runtime protection limitée. Les agents (Prisma Cloud Defender, Lacework agent) offrent une protection runtime complète mais nécessitent un déploiement sur chaque workload.
• Intégration CI/CD : les CNAPP modernes incluent un composant "shift left" pour scanner l'IaC et les images dans les pipelines CI/CD avant le déploiement — feedback loop rapide pour les développeurs
• Intégration SIEM/SOAR : exporter les alertes CNAPP vers le SIEM (Splunk, Microsoft Sentinel, Elastic) pour corrélation avec d'autres sources de logs et automatisation de la réponse
• Ticketing : intégration avec Jira, ServiceNow, PagerDuty pour le routing automatique des alertes vers les équipes responsables
• Proof of Value : la plupart des CNAPP offrent un PoV de 30 jours — commencer par un compte cloud de production non-critique pour évaluer la couverture réelle

Comment choisir son CNAPP

• Taille et maturité : PME sans équipe sécurité dédiée → Wiz ou Orca (déploiement rapide, interface intuitive). Grande entreprise avec SOC → Prisma Cloud (fonctionnalités complètes) ou Lacework (détection comportementale).
• Cloud principal : Azure-first → Defender for Cloud à considérer. AWS-only → Inspector + Security Hub peut suffire. Multi-cloud → CNAPP tiers indispensable.
• Compliance : si la compliance est prioritaire (PCI-DSS, HIPAA, SOC 2, ISO 27001), choisir une solution avec des frameworks de compliance prêts à l'emploi et du reporting automatisé.
• Budget : les CNAPP sont onéreux (Wiz et Prisma Cloud commencent à 6 figures annuels). Pour les budgets limités : Microsoft Defender for Cloud (inclus Azure) ou stack open source (Trivy + Falco + CloudSploit).

Conclusion

Le CNAPP représente l'évolution naturelle de la sécurité cloud, en réponse à la complexité croissante des environnements cloud-native. La valeur d'un CNAPP n'est pas dans la somme de ses composants, mais dans sa capacité à corréler les risques et à identifier les chemins d'attaque réellement exploitables — permettant aux équipes sécurité de prioriser efficacement. L'évaluation sur votre propre environnement reste la meilleure façon de comparer les solutions, car la couverture et la qualité des alertes varient significativement selon votre stack cloud.