Cloud Workload Protection

Définition

Cloud Workload Protection (CWP) ou CWPP (Cloud Workload Protection Platform) est une catégorie de solutions de sécurité protégeant les workloads cloud (VMs, conteneurs, fonctions serverless) contre les menaces en production. Contrairement au CSPM qui évalue la configuration de l'infrastructure, le CWPP protège les workloads à l'exécution, détectant les comportements malveillants, les exploitations de vulnérabilités, et les mouvements latéraux. Les capacités principales d'une plateforme CWPP incluent : la protection runtime (détection comportementale des processus, connexions réseau, et accès fichiers anormaux), le scanning de vulnérabilités (CVEs dans les packages OS et les bibliothèques d'application), la conformité (vérification des configurations OS contre les CIS Benchmarks), la détection des menaces réseau (communications vers des IPs C2 connues, scan de ports depuis le workload), la protection de l'intégrité des fichiers (FIM - File Integrity Monitoring sur les fichiers système critiques), et la protection anti-malware (détection de malwares dans les fichiers et processus). Les solutions CWPP leaders du marché incluent des plateformes dédiées (Aqua Security, Sysdig Secure, Falco/Falcosidekick pour les conteneurs) et des solutions intégrées dans les CNAPPs (Palo Alto Prisma Cloud CWPP, Wiz, Orca Security). Microsoft Defender for Servers (Azure) et Amazon GuardDuty + Inspector (AWS) sont les offres natives cloud correspondantes. L'agent CWPP est déployé dans les workloads (sur les VMs Linux/Windows, comme DaemonSet dans Kubernetes) et collecte les données d'exécution via des hooking kernel (eBPF ou LKM - Loadable Kernel Module). Ces données permettent une visibilité complète sur les comportements à l'exécution sans modifier les applications. La convergence CSPM + CWPP dans les CNAPPs (Cloud Native Application Protection Platforms) comme Wiz, Prisma Cloud, et Orca simplifie l'architecture de sécurité en remplaçant plusieurs outils ponctuels par une plateforme unifiée avec une vue de risque contextuelle combinant la posture de l'infrastructure et la protection des workloads.