ニュース
パロアルトがCNAPPの新版「Prisma Cloud 3.0」を提供、エージェントレススキャンやIaCセキュリティなどの新機能を搭載
2022年2月1日 06:15
パロアルトネットワークス株式会社（以下、パロアルト）は1月31日、クラウドネイティブアプリケーション保護プラットフォーム（Cloud Native Application Protection Platform：CNAPP）である「Prisma Cloud」の新版「同 3.0」を提供開始したと発表した。
Prisma Cloudは、アプリケーションやデータ、クラウドネイティブのテクノロジースタック全体に対して、開発ライフサイクルやマルチ／ハイブリッドクラウド環境にまたがるセキュリティとコンプライアンス監視を提供する、包括的なクラウドネイティブセキュリティプラットフォーム。
テクノロジースタック、クラウド、アプリケーションコンポーネント間で一貫性を持った包括性を持っていること、各機能の性能を高め、統合によりさらに高まる最高クラスの性能を持っていること、ランタイム時だけではなく、シフトレフトの実現を支援する、すべてのアプリケーションライフサイクルを保護するといった点を基本ビジョンとしている。
新版であるPrisma Cloud 3.0では、新たに「エージェントレススキャン」機能に対応した。クラウドワークロードとアプリケーションのリスクを可視化し、既存のエージェントベースの保護を補完できるという。なお、単一UIでルールや結果を可視化・管理でき、クラウド環境全体で異なるセキュリティを組み合わせて選択できる。また同社によれば、単一プラットフォームにおいて、エージェントレス方式とエージェント方式のセキュリティの双方に対応するのは初めてとのこと。
さらに、開発者やセキュリティチームが早期からクラウドリスクに対処できるよう、IaC（Infrastructure as Code）スキャンとコード修正を、開発ライフサイクル全体で開発者ツールに直接組み込んで提供する「IaCセキュリティ」機能も特徴とした。
このほか新版では、Microsoft AzureとAzure Active Directory連携時における権限分析を含む、Azureのクラウドインフラストラクチャ権限管理（CIEM）機能を提供。過剰権限を持つユーザーや未定義の権限といった、クラウド全体におけるID管理の問題を解決するとしている。なお同機能は、従来はAmazon Web Services（AWS）に対する機能として提供されていたものが、Azureまで拡張されたものである。
加えて、導入アドバイザーであるAdoption Advisor機能も用意された。Prisma Cloudの運用を支援するダッシュボードにより、製品機能を適切に活用するためのガイダンスと、実装後の効果測定を提供する。現時点ではPrisma CloudのCSPM（Cloud Security
Posture Management）機能が対象となり、将来的にはほかの領域にも拡張される予定となっている。
同社 クラウドセキュリティ技術本部のCTOであるミスラ・アジェイ氏は、一連の新機能について、「今回の新機能の目玉はエージェントレススキャン機能。インストールの手間がないので、作業者の負担を軽減することになる。ただし攻撃を考えると、エージェントレスになっただけですべてが解決するわけではない。IaCにより、コードに何らかの問題があった時にはつぶすといった継続的なカバレッジと、修正を繰り返していくことが必要となる」と述べた。
またパロアルトでは、Prisma Cloud 3.0リリース後も新機能開発を続けている。AWS上において、仮想マシン（VM）の優先的なリスクをエージェントなしで検知するエージェントレススキャン機能の強化、AWSの仮想マシンのスキャン機能をはじめ、Microsoft AzureとGoogle Cloudへの対応、攻撃の追加分析のためにホスト、コンテナ、サーバーレスのインシデントデータを統合型セキュリティ基盤「Cortex XDR」に送信するといった機能が、今後追加される予定とした。
新製品を提供する背景としては、パロアルトのチーフサイバーセキュリティストラテジスト 染谷征良氏が、「国内でもビジネス基盤としてクラウドの利用が増加し、さらに、少なくとも2社以上のクラウドサービスを利用するケースが増えている。結果としてセキュリティリスクが増加しているが、そこにコロナが発生し、ビジネス要求を最優先した結果、クラウド成熟度が低いクラウド利用も増加したことで、セキュリティトラブルが増えた」と指摘する。
その一方で、クラウド移行の際、一番の懸念材料をセキュリティ面とする企業が多いものの、「さまざまなセキュリティツールが提供されているが、設定、保護、管理といった作業をセキュリティベンダーごとに取り組むのは企業にとって負荷が大きい。一元的に設定や管理を行える、クラウドネイティブなセキュリティが求められている。クラウドのワークロード上での危険を減らし、ユーザーにとって価値があるセキュリティサービスを提供することを、当社は目指していく」と述べ、クラウド環境を安全に利用できるセキュリティサービスの提供を行っていくという点を強調した。
なお、Prisma Cloudは全世界で業種に偏りなく導入が進んでいるというが、説明会では、国内における2つの導入事例が発表された。1つ目は、みんなの銀行に導入された事例で、フルクラウドバンキングシステムのセキュリティ強化と可視化を行い、DevSecOpsを実践しているという。
同様に、JCBの次世代システム基盤への導入も決定しているとのことで、この事例にといては、クラウドネイティブであり、包括的なCNAPPとしての機能も拡充していることなどが評価されたとしている。
またアジェイ氏は、2021年後半にセキュリティ脅威として話題になったApache Log4jの脆弱性について、「この脆弱性は、たった一行のHTTP Requestを送るだけで、log4jを実行する環境が人質となる。Prisma Cloudは開発ライフサイクル全体を保護し、log4j脆弱性に対応する」と述べ、この脆弱性にも対応できるとアピールしていた。