云原生应用 保护平台 建设指南 (2024年12月) 主编单位 青藤云安全 中国信通院云大所 浙江大学 编写说明 2024年是网络强国战略提出10周年，也是完成“十四五”规划 目标任务的关键年。在此背景下，光明网网络安全频道携手中国信息 通信研究院云计算与大数据研究所、《信息安全研究》，在浙江大学网 络空间安全学院、《中国金融电脑》、青藤云安全等单位支持下，联合 推出《安全洞察·大咖说》云原生安全专题访谈活动，邀请来自政府、 金融、通信、交通、能源、制造、互联网等行业相关负责人，分享数 字化转型持续深化路径、新技术应用安全风险防范策略等内容；同时， 聚焦前沿趋势及行业实践调研，撰写发布《云原生应用保护平台 （CNAPP）建设指南（2024）》，旨在积极发挥行业示范引领作用，降 低重复试错成本，为各行业用户提升安全防护策略提供借鉴参考。 参编单位： 青藤云安全 中国信通院云大所 浙江大学 天翼云科技有限公司 北京车和家信息技术有限公司 光明网网络安全频道 《信息安全研究》杂志社 参编人员（排名不分先后）： 胡俊、李漫、尹贺杰、杨冬富、杜岚、仇保琪、申文博、 李爱民、宋志明、张乐、凌杰、赵东、李超、崔岩、 李政葳、刘昊、潘静 前言 随着云计算技术的飞速发展，云原生应用已成为推动企业数字化转 型的核心力量。然而，随着企业架构向云原生的迁移，传统的安全防护 措施面临着前所未有的挑战。云原生环境的动态性、分布式特征以及对 微服务架构的依赖，使得安全威胁更加隐蔽和复杂。为了应对这些挑 战，云原生应用保护平台（CNAPP）应运而生，它提供了一种全新的安 全解决方案，旨在为云原生应用的整个生命周期提供全面的保护。 本报告全面介绍了CNAPP的概念定义、价值和技术架构，结合国 内外市场的发展现状与技术进展，分析了企业在CNAPP实施过程中面 临的挑战和机遇。指南深入解析了开发安全、基础设施安全和运行时安 全等核心技术，提供了企业CNAPP建设的框架内涵、原则和方法。此 外，结合运营商、政务、金融、制造业等行业的实践案例，该指南为各 类企业提供了CNAPP 建设的最佳路径和经验借鉴，并展望了未来发展 趋势。该指南为企业构建云原生安全体系提供了宝贵的参考，帮助其应 对云环境下的复杂安全挑战。 通过本报告的深入分析和实践指导，企业能够构建起一个强大的云 原生安全体系，有效应对云环境下的复杂安全挑战，确保业务的连续性 和数据的安全性。希望本报告能为企业的云原生安全建设提供宝贵的参 考和指导。 目录 CONTENTS 01 概述 01 （一）概念定义 01 （二）价值阐述 01 02 发展现状 03 一）国内外市场发展现状 03 （二）技术发展现状 - 04 (三）现有的挑战和机遇 - 05 03 ）核心技术和能力解析 07 （一）开发安全 07 （二）云原生基础设施安全 - 12 (三）运行时安全 21 04 企业CNAPP建设路径 27 一）框架内涵 27 （二）建设原则 28 (三）建设方法 29 05 行业实践 35 （一）运营商 35 （二）保险业 38 (三）制造业 42 (四）互联网 46 06 CNAPP未来发展趋势和展望 49 《云原生应用保护平台（CNAPP）建设指南(2024)》 概述 01 （一）概念定义 随着云原生技术在越来越多的企业中获得应用，企业的业务灵活性和效率显著提升，然而，与传统本 地的数字化架构相比，云原生技术面临着更多复杂的安全威胁。云环境的动态性、多租户特性以及容器和 微服务等新兴架构增加了潜在的攻击面，传统的安全策略和工具无法充分应对这些新威胁。因此，企业必 须采取更加全面和集成的安全解决方案，以保障云原生架构的安全性。在这一背景下，云原生应用保护平 台（CNAPP)应运而生。 云原生应用保护平台（CNAPP)的全称是Cloud-NativeApplication Protection Platform，这一概念 最早由 Gartner公司在2021年提出。Gartner在其报告中引入了CNAPP的概念，旨在通过集成一系列云 原生安全能力来提供从开发到运行的全生命周期的安全保护，包括云安全配置管理、云工作负载保护、容 器安全等功能。CNAPP的目标是通过统一的视角和自动化手段来应对现代云原生应用的复杂性和安全挑 战。Gartner对云原生应用保护平台（CNAPP）的定义是：CNAPP是一组集成的安全与合规能力，旨在保 护云原生应用的整个生命周期，从开发到部署及运行时安全。它通过整合云安全配置管理（CSPM)、云工作 负载保护平台（CWPP）、身份和访问管理（IAM）、DevSecOps集成以及运行时安全等功能，提供对云环境 的统一可视化和控制。CNAPP帮助企业摆脱使用多个分散安全工具的复杂性，以更全面的方式应对云原 生架构中的独特安全挑战。 （二）价值阐述 云原生应用保护平台（CNAPP)为企业提供了从开发到运营的全面安全解决方案，简化了安全管理，提 升了合规性，降低了安全风险和运维成本，成为企业应对云原生架构安全挑战的核心工具。 首先在安全性方面，云原生应用保护平台（CNAPP)为企业提供全生命周期的安全防护，特别是针对云 原生架构中的现代化安全威胁。它在开发阶段落实安全左移的理念，确保在应用设计和开发之初就引入必 要的安全措施，同时覆盖应用在生产环境中的持续监控与防护，减少安全盲区。同时，CNAPP支持企业将 安全集成到开发流程中，推动DevSecOps的实践。通过在开发阶段引入自动化的安全扫描和风险检测工 具，CNAPP能帮助开发人员及早发现和修复安全问题，实现安全左移，减少后期修复漏洞的成本和风险。 01 《云原生应用保护平台（CNAPP)建设指南(2024)》 通过集成多层次的安全功能（如身份和访问管理、微服务通信加密、容器镜像扫描等），应对现代化的安全 威胁，确保应用的安全性和合规性。 其次在管理效率方面，CNAPP整合了云安全配置管理（CSPM)、云工作负载保护（CWPP)、容器和 Kubernetes安全等功能，通过统一的平台提供全局的安全可视化视图，便于企业实时监控和响应安全威 胁，提升了安全运营的效率。传统的安全工具通常需要大量手动操作和管理，增加了企业的运维负担。 CNAPP的自动化和整合性大幅减少了复杂的运维流程，简化了安全策略的实施与调整。此外，CNAPP提 供了集中化的管理平台，减少了多工具协作中的信息孤岛现象，从而提升整体安全运营效率并降低运维成 本。 最后在合规方面，CNAPP利用自动化技术帮助企业持续监测其云环境的安全配置，确保符合行业标 准和法律法规的合规性要求。通过自动识别错误配置和潜在风险，CNAPP可以减少人工干预，降低错误发 生的可能性，确保云环境始终保持在合规状态下运行。 02 《云原生应用保护平台（CNAPP)建设指南(2024)》 02发展现状 （一）国内外市场发展现状 云原生安全关注度提升，CNAPP建设价值逐步凸显。目前越来越多公司对云原生应用程序所暴露的 风险尤为重视，通过部署CNAPP产品来保护云原生应用程序，并应对不断扩大的攻击面。通过对CNAPP 输出的检测结果运营，可防止运行时环境中的威胁，减轻云基础设施中的错误配置，并在整个开发过程中 将安全嵌入。 根据Frost&Sullivan最近对2360多名首席信息安全官和C-level级别的领导者进行的客户研究，大 多数的组织(31%)都部署云安全技术来防止漏洞的产生，并检测和应对云上各类威胁(30%)。许多公司还 投身于云安全解决方案，以应对未知威胁(24%)和监管合规性（12%)。这表明全球企业都对云安全的认识 有了显著提高。 48%的受访组织目前使用CWPP，而41%的组织计划在未来两年内部署类似产品，只有10%的组 织表示，他们不打算在未来几年增加解决方案。这些发现与采用其他云安全解决方案相一致，包括CSPM、 SaaS安全态势管理(SSPM)、CIEM和CNAPP。 2023年，全球CNAPP市场收入为38.784亿美元，同比增长31.3%。Frost&Sullivan预计接下来的 五年，这一势头将以22.8%的复合年增长率持续下去，由于对整体云原生安全解决方案的需求不断增加， 2028年的收入将达到108.188亿美元。 Gartner对CNAPP市场也做出相应预测,具体预测内容如表1所示。 产品类型 2023年底市场规模 2024年预测增长 CSPM 14亿 26.3% 应用安全测试软件 18亿 27% CWPP 39亿 27.9% 22亿 14.8% 漏洞管理工具 WEB应用和API保护 17亿 16.2% 表1Gartner CNAPP市场预测 03