Belajar Cloud Security Engineer - Cloud-Native Security Tools (CNAPP)

#Pendahuluan

Sepanjang series kita memakai tool terpisah untuk tiap masalah: Prowler/Security Hub untuk posture (episode 7), GuardDuty untuk threat (episode 8), cloudsplaining untuk izin (episode 18). Industri lalu menyatukan semuanya dalam satu platform: CNAPP (Cloud-Native Application Protection Platform). Vendor seperti Wiz, Prisma Cloud, dan Defender for Cloud mendominasi RFP security cloud 2026 — memahami kategorinya bukan lagi opsi.

Mengapa episode ini penting? Karena CNAPP mahal dan keputusan pembeliannya sering jatuh ke engineer. Kalian harus bisa membaca jebakan marketing: fitur yang sudah punya gratis di native tools, klaim "AI-powered" yang kosong, dan pricing model yang berubah setelah pilot. Sebaliknya, platform tepat bisa menggantikan empat tool sekaligus dan mengurangi noise triage drastis.

#Peta Kategori: Dari CSPM sampai CNAPP

Istilah pasar meruncing begini:

CNAPP = bundel semua kategori dengan tambahan pembeda sesungguhnya: security graph — database relasi antara identitas, resource, eksposur, dan data. Nilainya bukan jumlah temuan, tapi kemampuannya menjawab: "jalur mana dari internet menuju data pelanggan?" — persis pertanyaan episode 18, otomatis dan kontinu.

#Agentless vs Agent-Based

Dua pendekatan pengumpulan data dengan trade-off fundamental:

Agentless: snapshot disk + API read-only berkala.

• Plus: deploy hari pertama, nol overhead runtime, tidak bisa dimatikan malware.
• Minus: snapshot berkala = titik-in-time; tak ada telemetri proses/jaringan real-time; biaya snapshot di fleet besar.

Agent-based: daemon/daemonset di tiap host/pod.

• Plus: telemetri kontinu (proses, syscall, koneksi), deteksi runtime kaya.
• Minus: operational burden (upgrade, crash, kompatibilitas kernel), bisa ditargetkan attacker, coverage gap saat agent mati.

Praktik terbaik 2026 adalah hybrid: agentless untuk inventory & posture cepat, agent hanya di workload kritikal yang butuh runtime detection. Pertanyaan wajib ke vendor: apa persisnya yang hilang jika kami menolak agent?

#Security Graph: Mengapa Korrelasi Mengubah Kerja

Perbandingan kerja harian menjelaskan nilai CNAPP:

Tanpa graph (tool terpisah):

• CSPM: 400 finding HIGH.
• CIEM: 60 role over-permissioned.
• Vulnerability scanner: 2.300 CVE. Total: ribuan item, tim menebak mana yang nyata.

Dengan graph: "Ada 3 attack path dari internet ke data klasifikasi restricted; path #1: ALB publik → pod dengan role read-secrets → secret DB prod." Tiga tiket prioritas, bukan ribuan.

Inilah alasan triage berbasis eksposur dari episode 7 dan attack path dari episode 18 bergabung jadi satu produk — dan kenapa fondasi teknis yang kalian bangun (tagging klasifikasi, least privilege) langsung meningkatkan kualitas output platform.

#Evaluasi Vendor Tanpa Terjebak

Kriteria objektif untuk PoC (proof of concept) 30 hari:

1. Coverage: dukung semua cloud + Kubernetes + registry yang benar-benar kalian pakai (tanya versi minimum, bukan "supported").
2. Kualitas graph: uji dengan skenario yang kalian tahu jawabannya (buat attack path sengaja di sandbox) — apakah platform menemukannya?
3. False positive rate pada triage minggu pertama — angka ini lebih menentukan nilai daripada daftar fitur.
4. Integrasi keluar: SIEM, ticketing, EventBridge/webhook — data harus bisa keluar, bukan dikunci dashboard.
5. Pricing transparency: unit hitung (per-workload? per-core?), efek autoscaling, biaya agent management.
6. Roadmap vs vaporware: fitur demo yang belum GA biasanya tak masuk kontrak tahun pertama.

Vendor landscape singkat: Wiz (agentless-first, graph kuat), Prisma Cloud/Palo Alto (paling luas modul termasuk code-to-cloud), Defender for Cloud (native Azure, multi-cloud decent, harga integrasi Microsoft), Orca/Lacework/Sysdig (variasi agentless/runtime). Native stack (Security Hub + GuardDuty + Inspector) tetap kompetitif untuk AWS-only dengan budget ketat.

#Memulai Tanpa Beli: Stack Open Source

Sebelum budget turun, kalian bisa merakit "poor man's CNAPP" untuk memahami domain:

# posture multi-cloud
prowler aws --output-mode json -o findings/
 
# entitlement analysis
cloudsplaining scan --input-file auth-details.json
 
# inventory & relasi
steampipe query "select name, public_ip, tags from aws_ec2_instance where public_ip is not null"

Steampipe layak diperhatikan: ia mengekspos seluruh cloud sebagai tabel SQL — kalian bisa menulis sendiri query "public instance with admin role" sebagai proto-security-graph. Pengalaman ini juga membuat kalian buyer yang cerdas: tahu persis mana bagian platform yang trivial dan mana yang sulit direplikasi.

#Integrasi ke Workflow

Nilai platform finalnya ada di workflow, bukan dashboard: temuan attack path masuk ticketing dengan owner otomatis (dari tag), SLA per severity organisasi, dan auto-remediation untuk kelas deterministik via webhook → Lambda (pola episode 7). Ukur sukses adopsi dengan metrik episode 17: MTTR turun, temuan aktif turun, jam triase manual turun.

#Penutup

Inti yang harus dibawa pulang:

• CNAPP = CSPM + CWPP + CIEM + CD + IaC scanning dengan security graph sebagai pembeda nyata.
• Hybrid agentless+agent adalah pola pragmatis 2026; pahami apa yang hilang di masing-masing.
• Nilai platform = kualitas korrelasi (attack path), bukan panjang daftar temuan.
• Evaluasi vendor lewat PoC terukur: coverage, false positive, integrasi keluar, transparansi harga.
• Bersihkan fondasi (tagging, struktur akun, log) sebelum membeli; coba stack open source dulu untuk paham domainnya.

Di episode 22 selanjutnya kita masukkan AI ke dalam pekerjaan: AI-assisted cloud security — triage otomatis, auto-remediation cerdas, natural language query ke log, dan guardrails untuk kode hasil generasi AI. Sampai jumpa!