云原生应用保护平台（CNAPP）能力要求

■制定 □修订

□IDT □MOD □NEQ

□FTP

35.210

中国信息通信研究院

阿里云计算有限公司,腾讯云计算（北京）有限责任公司,中国移动通信集团有限公司,新华三技术有限公司,深信服科技股份有限公司

随着云原生技术在全行业普及应用并深入到企业的生产环境，如何用好云原生成为企业关注的重点。云原生是先进软件架构技术和管理方法的思想集合，更加灵活的软件架构和应用管理模式在带来降本增效等好处的同时，也增加了企业对云上应用运维保障的门槛。发展初期，云原生应用保护方案通常由多个针对研发运营不同阶段的独立工具组合而成，一方面工具之间缺乏联动，难以实现端到端的可观测性，应用保护存在盲点；另一方面多个独立工具的管理也给企业协同运维增加了难度。2020年，Gartner提出了云原生应用保护平台（CNAPP）模型，要求将多种云原生保护功能集成到一起，同时强调应用研发与运营阶段全流程的信息反馈和一体化管控能力，实现价值流动，促进开发与运维团队的配合，使云原生应用更加可靠、稳定、高效。国内外服务商也推出了云原生应用保护平台产品和解决方案。但是，目前行业对云原生应用保护平台的框架及范围缺少清晰的界定，对其能力要求缺乏标准规范，因此需要联合服务商以及用云企业多方共同参与联合制定云原生应用保护平台能力要求标准，弥补行业标准空缺，规范云原生应用保护能力建设，为企业上云用云提供保障。

本标准定义了云原生应用保护平台（CNAPP）的框架并对每个功能模块提出了能力要求，内容包含制品管理、基础设施配置管理、运行时保护、双向反馈机制与环境适配能力，覆盖云原生应用的开发运营全流程，适用于指导企业云原生应用运维保护能力建设，规范和测评云原生应用保护产品质量。

2020年，美国IT调研与咨询服务公司Gartner定义了云原生应用保护平台（CNAPP）模型，通过融合多个云原生运维防护组件，扫描开发中的工作负载和配置，并保护工作负载和运行时的配置，旨在为具有云原生工作负载的现代企业用单一的整体运维防护解决方案替换多个独立工具。 国内无暂无相关标准。