Cloud Native Security Platform

Définition

Une Cloud Native Security Platform (CNSP) est une solution de sécurité intégrée couvrant l'ensemble du cycle de vie des applications cloud-native : du code source jusqu'à l'exécution en production. Elle converge les capacités de CSPM (Cloud Security Posture Management), CWPP (Cloud Workload Protection Platform), CIEM (Cloud Infrastructure Entitlement Management), DSPM (Data Security Posture Management), et la sécurité des applications (code scanning, SCA) dans une plateforme unifiée. Les CNSPs sont aussi connues sous l'acronyme CNAPP (Cloud Native Application Protection Platform), terme introduit par Gartner. Les leaders du marché incluent Wiz (valorisé à 12 milliards $ lors de son acquisition par Google), Orca Security, Palo Alto Prisma Cloud (qui a intégré plusieurs acquisitions), Lacework, Aqua Security, et Sysdig Secure. L'approche agentless des CNSPs modernes est une différenciation majeure : Wiz et Orca scannent les workloads cloud sans déployer d'agents dans les VMs ou les pods en se connectant directement aux APIs du cloud provider et en effectuant des snapshots des disques et des images conteneurs pour analyse. Cette approche offre une couverture immédiate de 100% des workloads existants sans effort d'instrumentation. Les CNSPs avec approche agent (Aqua Security, Sysdig) offrent en contrepartie des capacités de détection runtime que l'approche agentless ne peut pas fournir : comportements anormaux des processus en temps réel, interception des syscalls suspects, et réponse automatisée (kill du process, isolation réseau). La combinaison agentless (couverture large) + agent (profondeur runtime) est la stratégie recommandée pour les environnements critiques. L'analyse de chemin d'attaque (Attack Path Analysis) est la fonctionnalité phare des CNSPs comme Wiz : elle cartographie les chemins exploitables depuis Internet vers les données sensibles, en combinant vulnérabilités, permissions IAM excessives, et exposition réseau. Plutôt que de présenter des milliers de findings isolés, l'Attack Path Analysis identifie les combinaisons critiques (CVE exploitable + rôle IAM admin + accès à des données sensibles) représentant un risque réel.