Workload Protection の概要

IBM Cloud® Security and Compliance Center Workload Protection これは、AIワークロードを含め、ハイブリッド・マルチクラウド環境およびオンプレミス環境にわたるワークロードのセキュリティ確保を支援する、クラウドネイティブ・アプリケーション保護プラットフォーム（CNAPP）です。脆弱性の特定、構成・権限・コンプライアンスの検証、実行時の脅威の検知とブロック、およびインシデントへの対応が可能です。 Workload Protection は、クラウド、オンプレミスインフラ、ホスト、仮想マシン、コンテナ環境など、多様なプラットフォームに対応しています。

Workload Protection Sysdig Secureの機能を利用しています。このコンテンツのあちこちで、 Sysdig Secure のドキュメントへのリンクが表示される場合がありますが、その情報は Workload Protection にも当てはまるためです。

Workload Protection IBM Cloud アカウントとリソースを、主に以下の2つの方法でサポートします：

クラウド・セキュリティー体制管理 (CSPM): IBM Cloud Framework for Financial Services などのフレームワークに照らして、構成、リソース設定、およびIDの権限を検証することにより、コンプライアンスを評価・監視します。
エージェントベースの保護機能を備えたクラウドワークロード保護プラットフォーム（CWPP）: エージェントを使用して、実行時に脆弱性を検知し、アクティビティを監視し、脅威に対応することで、ワークロードへの保護範囲を拡大します。

これらの機能を組み合わせることで、AIワークロードを含め、ハイブリッド・マルチクラウド環境およびオンプレミス環境全体において、構成やコンプライアンスの検証から実行時のセキュリティに至るまで、一貫した可視性と保護を実現します。

CSPMへの準拠管理

CSPMは、 IBM Cloud、その他のクラウド、およびオンプレミスで実行されるアプリケーション、ワークロード、インフラストラクチャのセキュリティとコンプライアンスを管理するための統合プラットフォームを提供します。

Workload Protection IBM Cloud に加え、やなど、複数のクラウドプロバイダーに対応しています。 AWS Azure 詳細については、クラウドアカウント連携するをご覧ください。

App Configuration 接続

Workload Protection でCSPMを有効にするには、 IBM Cloud アカウント App Configuration のインスタンスが必要です。 App Configuration は、構成アグリゲーターを使用して IBM Cloud アカウント構成情報を収集します。これにより、 Workload Protection がリソースにアクセスし、コンプライアンスのスキャンを行うことが可能になります。

デフォルトでは、 Workload Protection ではCSPMが有効になっています。ただし、 Workload Protection のプロビジョニング前に CSPM を無効にした場合、または既存の App Configuration インスタンスを使用したい場合は、手動で接続を設定することができます。

コンプライアンスの枠組み

DORA、NIST、 IBM Cloud Framework for Financial Services など、すぐに利用できる標準的なフレームワークが用意されています。これらの事前定義されたポリシーを活用することで、業界標準や規制を満たすために必要な統制措置を導入し、その有効性を検証することができます。 Workload Protection は、インフラストラクチャおよびアプリケーションの両レベルで自動設定チェックを実行し、監査対応済みのレポートを提供します。詳細については、「検知から是正措置までのコンプライアンス状況の分析」をご覧ください。

ポリシー管理

独自のポリシーを作成・管理することで、ワークロードが組織のポリシーに準拠していることを確保できます。たとえば、ワークロードが特定のリージョンで実行されるようにしたり、特定のバージョンのデータベースを使用するようにしたりするためのポリシーを作成できます。また、ワークロードが暗号化や多要素認証などの特定のセキュリティ機能を利用していることを保証するためのポリシーを作成することもできます。詳細については、「カスタムポリシーの作成」を参照してください。

不具合への対応

コントロールに不備が発見された場合、その不備に対処するための詳細な是正手順が提供されます。 Workload Protection では、不備のあるコントロールに対してリスク受容フローも提供されており、リスクを受容する理由や受容の有効期限を指定するオプションが用意されています。 1つのコントロールから、特定のリソースレベルでのリスクを受け入れることも、すべてのリソースに対してグローバルにリスクを受け入れることも可能です。詳細については、「リスク」をご覧ください。

エージェントを使用したコンテナおよびホストのセキュリティ対策

セキュリティをさらに強化するには、コンテナやホストにエージェントを追加して、ワークロードの可視性を高めてください。 Workload Protection は、サーバー向けエンドポイント検出・対応（EDR）機能を活用し、包括的な実行時保護と脅威の検出を実現します。

サーバー向けエンドポイント検出・対応（EDR）: Workload Protection 本ツールは、 eBPF テクノロジーを通じて、ホスト、VM、および Kubernetes または Red Hat OpenShift on IBM Cloud クラスターを監視し、パフォーマンスへの影響を最小限に抑えながら、システムコールを通じてすべてのシステムアクティビティを検査します。この詳細な可視性により、インフラストラクチャ全体にわたって脅威をリアルタイムで検知し、対応することが可能になります。
脅威の検知と対応: Sysdigの脅威調査チームによって毎週更新される、数千ものすぐに使えるポリシーにより、最新の脅威から即座に保護されます。ランタイムセキュリティのオープンソース・クラウドネイティブ標準である「Falco」言語を使用して、既存のルールをカスタマイズしたり、新しいルールを作成したりすることができます。ルールベースの検知に加え、行動分析により、暗号通貨マイニング活動などの一般的な脅威の特定が可能になります。また、ワークロードプロファイリングにより、想定される動作が自動的に定義され、検知機能が強化されます。詳細については、「脅威」を参照してください。
脅威の積極的な防止: Workload Protection 検知にとどまらず、先制的なブロック機能を提供します。コンテナイメージ内に含まれる、特定されたマルウェアやドリフトしたバイナリなど、ブラックリストに登録されたバイナリや悪意のあるバイナリの実行を防ぐことができます。高度な修復機能により、プロセスの強制終了、コンテナの強制終了や一時停止などの是正措置を自動的に実行することができます。
ファイル整合性監視（FIM）: スコープごと（パス、ファイル名、コマンド、ユーザーなど）に検出ルールを定義し、ファイルの読み取り、書き込み、ディレクトリの作成、その他の操作など、発生しうるあらゆるファイル操作をソース側で検出します。これにより、重要なシステムファイルの整合性を維持し、不正な変更を検知することができます。
ライフサイクルに応じたポリシー: サプライチェーンポリシー、脅威検知ポリシー、およびネットワークセキュリティポリシーが連携して、コンテナとホストの包括的なセキュリティを確保します。サプライチェーンポリシーは、信頼できるコードのみが環境内に導入されるよう確保するのに役立ち、脅威検知ポリシーは実行時の悪意のある動作を監視し、ネットワークセキュリティポリシーはワークロード間の通信方法を制御します。
Kubernetes Security Posture Management (KSPM): Workload Protection Kubernetes クラスターの状況を可視化し、構成の監視、セキュリティポリシーの適用、および設定ミスやベストプラクティスへの違反の検出を支援します。詳細については、「コンプライアンス」をご覧ください。