云工作负载生命周期缩短，运行时防护模型面临调整

端点检测与响应工具是为监视固定不动的宿主而构建的。今天的云工作负载过于动态，这种模式难以适应。现有运行时防护是为持久化基础设施设计的，但今天的工作负载运行在按设计就是瞬态的宿主上，自动创建、自动销毁，往往在几分钟之内。指望传统工具在这种情况下依然有效并不公平。有些云实例在运行时工具还没来得及登记它们存在之前就已经消失了。安全行业一直在逐步调整运行时防护的思路以应对这一现实，Wiz是引领这一转变的公司之一。

云基础设施打破了EDR模型

传统运行时防护建立在一个如今已不再成立的关键假设之上。EDR（端点检测与响应）和TDR（威胁检测与响应）工具是为那些知道工作负载托管在哪里、哪些位置需要持续监控的安全团队构建的。这在云计算时代相当长一段时间内是成立的，当时云基础设施相对稳定、生命周期较长，但今天的云环境已截然不同。基础设施通过API创建和管理，工作负载自行启停，没有服务器可以走过去看，也没有固定地址可以一直守着。与此同时，身份可以在服务之间移动，几乎不留痕迹。

Wiz的Tal Moriah指出，攻击面已经扩展到端点之外。传统TDR是为持久化服务器和已知网络边界构建的，而现代环境引入了瞬态工作负载、基于身份的访问和API驱动的基础设施，这些都不是遗留工具被设计来监控的对象。他举例说，攻击者使用窃取来的凭证，通过一次合法的API调用把数据带走，不会产生任何端点告警。如果检测能力不覆盖身份、网络和API这几层，这类攻击就是隐形的。

问题还不止于看不见的工作负载。保护云环境需要的不只是知道存在短命的云托管工作负载，还需要看清工作负载、身份、网络和API之间的全部关系。这种关系视图，静态的、只看配置的分析在结构上就给不出来，哪怕它盯的是对的基础设施。

Wiz在构建什么

Wiz的云原生应用保护平台（CNAPP）旨在把整个云环境作为保护对象，而不是从某一个端点向外扩展。这是它与EDR的核心差异：Wiz从云本身出发，从第一天起就把目光放到端点之外，而不是把端点当作起点。

该平台最初是一个无代理的云安全方案，检查并评估所有云工作负载，梳理它们的漏洞、配置、权限、暴露面、敏感数据和相互关系，不管这些工作负载活多久。无代理方式不需要在服务器或主机上安装软件，就能评估整个环境的风险。

实时行为监控来自另一个可选的独立层——Wiz Sensor。这是一个代理，Wiz Defend用它来观察工作负载活动，在确认出问题时执行响应或遏制动作。

此外，Wiz通过动态运行时防护超越了静态分析。Wiz Defend构建在Wiz安全图谱之上，把运行时信号和云工作负载活动的更广泛上下文关联起来。把无代理可见性和运行时防护放进同一张图谱，意味着可疑活动会被放到可能的攻击路径和风险背景中去看，而不是像传统方案那样把每个工作负载孤立起来判断。

这一差别有实际数字支撑：在Wiz于运行时监控的云环境中，每六个就有一个，加入运行时上下文后会暴露出一个此前被纯配置分析忽略掉的高危或严重级别攻击路径。

变化战场上的不同打法

这并不是说Wiz是唯一在应对新现实的工具。CrowdStrike、微软的Defender或Sentinel这些现有EDR方案并没有作废，它们都为持久化基础设施提供了很强的主机级检测与响应能力，这仍然是刚需。

而且这些厂商同样意识到了适配新型瞬态云基础设施的必要。微软、CrowdStrike等EDR厂商已经开始开发云原生检测能力：CrowdStrike扩展了实时云检测与响应（CDR）功能，微软则为Defender for Cloud增加了云原生集成，把检测推到传统端点之外。

所有迹象都指向一个共识：市场既需要广泛的云可见性，也需要对实时工作负载活动做深度、有关联的上下文分析。EDR和CNAPP不是分道扬镳，而是从两个相反方向往中间靠——EDR原生的厂商在端点基础上叠加云上下文，而像Wiz这样的CNAPP平台则在云优先、不依赖端点的路线上叠加更深的运行时防护。

结语

云基础设施的变化速度，超过了为保护它而建立的安全模型。那些建立在“服务器和容器会运行数年”预期之上的安全方案，不适合只活几分钟甚至几秒的主机，也不适合由API动态创建的基础设施。

行业正在做出回应。一个越来越被广泛接受的判断是：短生命周期、瞬态的云基础设施，需要一套为它的现实而建的安全模型，而不是从端点出发再往外推的模型。随着攻击路径持续演化，从一开始就把目光放到端点之外的CNAPP平台，比事后才扩展到云里的EDR工具更有条件跟上变化。