Cloud Workload Protection Platform (CWPP) – auf Deutsch etwa „Plattform zum Schutz von Cloud-Workloads“ – ist eine Sicherheitslösung, die Workloads in der Cloud zur Laufzeit schützt. Gartner definiert CWPPs als workload-zentrierte Sicherheitsprodukte, die Server-Workloads in Hybrid- und Multi-Cloud-Rechenzentren absichern.
Was ist ein Workload?
Ein Workload ist eine lauffähige Einheit, die eine Anwendung oder einen Dienst erbringt – etwa eine virtuelle Maschine, ein Container in Kubernetes oder eine Serverless-Funktion. Klassische Netzwerk-Firewalls schützen die Grenzen des Netzes, sehen aber nicht, was innerhalb eines Containers oder einer VM geschieht. Genau dort setzt ein CWPP an.
Was ein CWPP leistet
- Image-Scanning: Container-Images und VM-Images werden vor dem Start auf bekannte Schwachstellen geprüft – oft direkt in der Container Registry.
- Runtime-Schutz: Zur Laufzeit überwacht das CWPP das Verhalten der Workloads – etwa mit eBPF-basierten Agenten, die Privilege Escalation, Container-Escape oder ungewöhnlichen Netzwerkverkehr erkennen.
- Schwachstellen-Management: Befunde werden mit CVE-Datenbanken abgeglichen und priorisiert – ähnlich dem Vulnerability Management klassischer Rechenzentren.
- Agentlos oder mit Agent: Moderne CWPPs scannen viele Umgebungen agentlos über die Cloud-APIs; für tiefen Runtime-Schutz kommen zusätzlich leichtgewichtige Agenten zum Einsatz.
Einordnung
Ein CWPP schützt die Workloads selbst und ergänzt damit die Firewall und andere Netz-Sicherheitskomponenten. Abgrenzung: Während CSPM die Konfiguration der Cloud-Umgebung prüft, kümmert sich das CWPP um die darin laufenden Einheiten. In modernen Plattformen ist das CWPP ein Baustein einer CNAPP. Während ein CWPP die Workloads in der Cloud schützt, isoliert Remote Browser Isolation das Surfen am Endgerät. Verwandte Grundlagen: Cloud Computing, Virtualisierung.