ענן · CNAPP
CNAPP בלי סוכן — לראות את הענן מבפנים ומבחוץ
כלים כמו Wiz שינו את אבטחת-הענן בעיקרון אחד: agentless — מתחברים ל-API של הענן בקריאה-בלבד, בלי להתקין שום דבר על ה-workloads. בנינו את אותו מודל, לכל ענן שמאפשר גישה כזו, ובמסך אחד שמחבר את "מבפנים" ל"מבחוץ".
13 ספקים, אפס סוכנים
כל ספק שמאפשר גישת-API לקריאה מחובר דרך role/token מוגבל שהלקוח יוצר בעצמו, ונסרק agentless על ה-scan-box:
- ענן (CSPM): AWS · Azure · Google Cloud · Kubernetes · Oracle OCI · Alibaba Cloud
- זהויות (CIEM): Microsoft 365 · Google Workspace · Okta
- קוד ומאגרים (SCM): GitHub
- נתונים: MongoDB Atlas · Cloudflare
הכל דרך מנוע-סריקה אחד (Prowler) — הוספת ספק היא שורת-קטלוג, לא ארכיטקטורה חדשה. שום סוכן לא רץ על ה-workloads שלך.
המפתחות נשארים אצלך. ה-creds נשמרים מוצפנים במפתח-הארגון (הצפנת-מעטפה), ומשוחררים ל-scan-box רק לסריקה הספציפית שרצה כרגע — לא כמפתח-אב. אפשר לסובב או למחוק בכל רגע.
מסך אחד: מבפנים × מבחוץ
מסך ה-Cloud Security מאחד את כל העננים לתמונה אחת:
- ציון-ענן אחד + פילרים: תצורה (CSPM), זהויות (CIEM), קוד (SCM) — כל אחד עם ציון וממצאים לפי חומרה.
- מבפנים — תצורות-שגויות, buckets פתוחים, IAM רחב-מדי, MFA חסר, סודות ב-repo.
- מבחוץ — סריקת החשיפה הציבורית של הנכסים (footprint): פורטים, TLS, מוניטין.
נתיבי-תקיפה: החיבור שעושה את ההבדל
המבדל של CNAPP אמיתי הוא לא רשימת-ממצאים — אלא קורלציה. כשאותו ענן מציג גם ממצאים חמורים פנימיים וגם חשיפה חיצונית על אותם נכסים, המערכת מסמנת נתיב-תקיפה: זה בדיוק המקום שבו תוקף ייכנס מבחוץ וינצל את התצורה מבפנים. במקום 200 ממצאים מנותקים — כמה נתיבים ממוקדים לתעדף.
למה זה חשוב: עסק שחושש (בצדק) להתקין סוכן על ה-workloads שלו, יכול לקבל אבטחת-ענן מלאה בקריאה-בלבד. ובמקומות הנדירים שבהם באמת אין API-agentless — אפשר להוסיף את הסוכן המקומי שלנו. מוח-ענן, לא סוכנים.