Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
CWPPは、「Cloud Workload Protection Platform」の略称で、クラウド環境で稼働する仮想マシン（VM）、コンテナ、Kubernetes、サーバレスなどの多様なワークロードを保護するためのセキュリティプラットフォームです。クラウド上のワークロードをリアルタイムに監視し、脅威の検知、脆弱性管理、ランタイム保護、侵入検知・防止、コンテナ・サーバレス環境への対応などを支援します。
クラウドネイティブ化が進む現在、ワークロードは固定的なサーバー上で動くものではなく、短時間で生成・変更・削除される動的な存在になっています。そのため、従来型の境界防御だけでは、実行中のコンテナやVMの内部で発生する異常な挙動を十分に捉えきれません。
CWPPは、こうしたクラウド特有の動的な環境において、ワークロードの実行時、つまりランタイム段階の挙動を可視化し、攻撃兆候や異常動作を検知・防御するための重要なカテゴリです。
CWPP（Cloud Workload Protection Platform）とは？
CWPPは、クラウド環境で稼働するワークロードを保護するためのセキュリティ製品カテゴリです。対象となるワークロードには、仮想マシン、コンテナ、Kubernetes、サーバレス、マルチクラウド環境上のアプリケーションなどが含まれます。
クラウドネイティブ時代のセキュリティを「コードから実行時まで」のライフサイクルで捉えた場合、CWPPは主にワークロードが実際に稼働している実行時、すなわちランタイム段階を守る役割を担います。
つまりCWPPは、ビルド前やデプロイ前にリスクを検出するシフトレフトとは役割が異なります。コンテナやVMが「動いている瞬間」に何が起きているのかを把握し、ワークロード内部の不審な挙動を検知・防御するためのプラットフォームです。
一般的に、CWPPは次のような機能を提供します。
- ワークロードの可視化
- 脆弱性管理
- ランタイム保護
- 侵入防止
- コンテナ・サーバレス環境への対応
- ネットワーク可視化とマイクロセグメンテーション
- CI/CDとの連携
特に重要なのは、クラウド環境で稼働するワークロード内部の挙動まで観測できる点です。従来型の境界防御では捉えきれない攻撃兆候や異常動作を検知できるため、CWPPはクラウドネイティブ時代のセキュリティ基盤として欠かせない存在になっています。
なお、「実行時にワークロード内部の挙動を捕捉する」仕組みには、システムコール監視、Falco、eBPFなどの技術が関係します。これらの技術的な詳細は、「コンテナランタイムセキュリティとは？Falcoによるリアルタイム検知の仕組み」で詳しく解説しています。
ここで押さえておきたいのは、FalcoやeBPFはCWPPのランタイム保護を実現するための技術の一例であり、CWPPそのものを指すわけではないという点です。CWPPは製品カテゴリの名称であり、FalcoやeBPFはそれを支える検知技術です。この関係を整理しておくと、CWPPとランタイムセキュリティ技術を混同せずに理解できます。
CWPPの主な機能
CWPPの本質は、実行時のワークロード保護にあります。ただし、現在の多くのCWPP製品はCNAPPの一部として提供されており、ランタイム保護を中核にしながら、脆弱性管理やCI/CD連携などの隣接機能も併せ持つケースが一般的です。
そのため、以下の機能一覧は、CWPP単体の厳密な定義というよりも、CNAPP製品の中で実装されるCWPP機能群として捉えるとわかりやすいでしょう。
ワークロードの可視化とインベントリ管理
CWPPは、クラウド環境全体で稼働しているワークロードを自動的に検出し、どこで何が動いているのかを可視化します。
仮想マシン、コンテナ、Kubernetesクラスタ、サーバレス関数などが複数のクラウド環境に分散している場合でも、ワークロードの状態を一元的に把握できることが重要です。これにより、管理対象から漏れているリソースや、想定外に稼働しているワークロードを発見しやすくなります。
脆弱性管理とコンプライアンス
CWPPは、ワークロードに含まれるOSパッケージ、ライブラリ、ミドルウェア、アプリケーション依存関係などを分析し、既知の脆弱性を検出します。
また、CISやNISTなどのセキュリティ基準に対する準拠状況を評価し、コンプライアンス上のリスクを把握する機能を備える製品もあります。単に脆弱性の件数を列挙するのではなく、実行中のワークロードで実際に悪用される可能性があるリスクを優先的に示せるかどうかが、運用上の重要なポイントになります。
ランタイム保護
ランタイム保護は、CWPPの中核機能です。
実行中のワークロードに対して、プロセスの挙動監視、ファイル改ざんの検知、ネットワーク通信の分析、異常検出、自動応答などを行い、侵害の兆候をリアルタイムに捉えます。
たとえば、通常は実行されないプロセスの起動、コンテナ内での不審なシェル実行、想定外の外部通信、C&Cサーバーとの通信、横方向への侵害拡大などを検知することで、攻撃が拡大する前に対応できます。
具体的な検知パターンや自動応答の仕組みについては、「コンテナランタイムセキュリティとは？Falcoによるリアルタイム検知の仕組み」をご参照ください。
マイクロセグメンテーションとネットワーク可視化
CWPPは、ワークロード間の通信関係を可視化し、不審な横移動を防ぐためのマイクロセグメンテーションを支援します。
クラウド環境では、アプリケーションやマイクロサービスが複雑に連携しているため、どのワークロードがどの通信を行っているのかを把握することが重要です。通信経路を可視化し、必要な通信だけを許可することで、侵害発生時の被害範囲を最小化できます。
CI/CDとの統合
CWPPはランタイム保護を中心とするカテゴリですが、現在のCNAPP製品では、CI/CDパイプラインとの連携機能を備えることも一般的です。
ビルド段階で脆弱性や設定ミスを検出し、本番環境にリスクを持ち込ませないシフトレフトの取り組みと、実行時の観測結果を組み合わせることで、より精度の高い保護が可能になります。
CI/CDへのセキュリティ組み込みについては、「シフトレフト（Shift Left）とは？コンテナセキュリティをCI/CDに組み込む実践ガイド」で詳しく解説しています。
CWPPに関してSysdigが注目される理由
CWPPは多くのベンダーが提供していますが、Sysdigには、クラウドネイティブ環境における深い可視性という大きな特長があります。
Sysdigの強みは、単にワークロードの存在やメタデータを把握するだけでなく、実行中のプロセス、システムコール、ネットワーク通信など、ワークロード内部の詳細な挙動まで観測できる点にあります。
Wireshark技術を源流とする深い可視性
Sysdigの創業者は、世界的なパケット解析ツールであるWiresharkの共同開発者の一人です。その技術思想をクラウドネイティブ環境に適用することで、Sysdigはパケット、システムコール、プロセスの挙動といった詳細なデータをリアルタイムに収集・分析できます。
クラウド環境では、攻撃者の挙動は必ずしも外部からの明確な侵入として現れるわけではありません。コンテナ内での不審なコマンド実行、認証情報の探索、想定外のプロセス起動、外部への不審な通信など、ワークロード内部の小さな異常として表れることもあります。
Sysdigは、こうした実行時の詳細な挙動を可視化できるため、クラウドワークロードに対する攻撃をより早く、より正確に検知できます。
深いデータがあるから、意味のあるアラートに絞り込める
クラウドセキュリティ運用では、アラートの多さが大きな課題になります。脆弱性や設定ミス、異常検知のアラートが大量に発生すると、セキュリティチームやSREは、どれを優先して対応すべきか判断できなくなります。
一部のCWPP製品では、コンテナ名、イメージタグ、クラウドリソースのメタデータなどを中心に分析するため、判断材料が限られ、誤検知や優先度の低いアラートが増えやすくなる場合があります。
一方、Sysdigは、プロセスの挙動、システムコール、ネットワーク通信など、実行時の詳細なコンテキストを直接観測できます。観測できる情報が多いほど、「そのプロセスが通常どのように振る舞うのか」「その通信は本当に危険なのか」「その脆弱性は実行中のワークロードで悪用される可能性があるのか」といった判断がしやすくなります。
その結果、単純なシグネチャ一致だけではなく、挙動ベースで正常・異常を判断し、意味のあるアラートに絞り込むことができます。これは、セキュリティチームの負荷を軽減し、本当に危険な挙動への対応を早めるうえで重要です。
まとめ：CWPPの価値は、実行中のワークロードをどこまで深く見られるかにある
クラウド環境では、「見えないものは守れない」という原則がこれまで以上に重要になっています。
CWPPは、仮想マシン、コンテナ、Kubernetes、サーバレスなど、クラウド上で稼働する多様なワークロードを保護するためのセキュリティカテゴリです。特に重要なのは、ワークロードが実際に稼働しているランタイム段階で、内部の挙動をどこまで正確に可視化できるかです。
Sysdigは、Wiresharkを源流とする深い可視性をクラウドネイティブ環境にもたらし、プロセス、システムコール、ネットワーク通信などの実行時データをもとに、ランタイム攻撃をリアルタイムに検知・対応します。
これにより、誤検知やノイズを抑えながら、本当に危険な挙動に優先して対応できるようになります。Kubernetes、コンテナ、VM、サーバレスを含むクラウドワークロード全体を安全に運用するうえで、CWPPは現代のクラウドセキュリティに欠かせない基盤といえるでしょう。
CWPPカテゴリの背後にあるランタイム検知技術、Falco、eBPF、io_uring回避攻撃への対応、ノイズ削減の考え方をさらに深く理解したい場合は、「コンテナランタイムセキュリティとは？Falcoによるリアルタイム検知の仕組み」もあわせてご覧ください。