Frost & Sullivan vient de publier le résultat de l’étude 2026 sur les Cloud Workload Protection Platforms (CWPP). Microsoft est positionné parmi les Visionary Leaders, aux côtés notamment de CrowdStrike, Palo Alto Networks, Wiz, SentinelOne et Fortinet. Microsoft obtient notamment l'un des meilleurs scores sur l'axe Growth et Frost & Sullivan estime que Microsoft est aujourd'hui le premier fournisseur mondial de CWPP en chiffre d'affaires, avec une part de marché mondiale estimée à plus de 21,8 %. Le marché du CWPP continue par ailleurs de progresser rapidement avec un chiffre d'affaires mondial estimé par Frost & Sullivan à 6,43 milliards de dollars en 2025 et près de 7,95 milliards en 2026, avec une croissance annuelle moyenne attendue de 19,1 % jusqu'en 2030. Cette croissance est notamment portée par l'adoption du Cloud, des conteneurs, de Kubernetes et désormais des workloads IA.
Pour Microsoft, la solution CWPP est intégrée à Microsoft Defender for Cloud, sa plateforme CNAPP qui combine notamment CWPP, CSPM, sécurité IaC et DevOps, CIEM et protection des environnements IA dans une approche Cloud hybride et multicloud.
Parmi les forces :
- Couverture étendue : Frost & Sullivan met en avant la couverture de Microsoft Defender for Cloud sur les infrastructures, workloads, identités, permissions, données et applications. La solution couvre Azure, AWS, GCP et les environnements hybrides avec une combinaison d'approches avec et sans agent.
- Protection Runtime : Microsoft a considérablement renforcé la protection des conteneurs et environnements Kubernetes. Defender for Containers utilise notamment un capteur basé sur eBPF permettant de collecter les événements Kubernetes ainsi que la télémétrie liée aux processus et au réseau pour détecter les menaces pendant l'exécution.
- Protection Kubernetes : Microsoft propose notamment la détection DNS pour Kubernetes sur AKS, Amazon EKS et Google GKE, la détection et le blocage antimalware des conteneurs, la protection Runtime d'EKS Bottlerocket ainsi que la détection et le blocage du Binary Drift.
- Prévention avant la mise en production : le mécanisme de Kubernetes Gating permet d'appliquer des stratégies au niveau du cluster ou du namespace afin de bloquer une image risquée ou non conforme avant son exécution en production. Frost & Sullivan considère cette approche comme particulièrement pertinente pour les scénarios CWPP.
- Intégration avec le SOC : les informations issues de la Runtime Protection, des audits Kubernetes, de l'activité des processus et du réseau, du Control Plane Cloud et des identités peuvent être corrélées puis transmises à Microsoft Defender XDR et Microsoft Sentinel pour les opérations de détection et de réponse.
- Intégration DevSecOps : Defender for Cloud relie les informations issues du Runtime, l'exploitabilité des vulnérabilités et l'analyse des chemins d'attaque aux workflows des développeurs via GitHub Advanced Security et Copilot Autofix. Ceci permet notamment de faire remonter un problème découvert en production vers le développeur responsable du code concerné.
- Sécurité des workloads IA : Microsoft étend les capacités de Defender for Cloud avec l'analyse des modèles et la Runtime Threat Protection pour Azure AI Foundry et Azure OpenAI, notamment face aux attaques par Prompt Injection ou aux accès suspects. Des fonctions d'AI Security Posture Management sont également proposées pour Google Vertex AI et Amazon Bedrock.
- Intégration avec l'écosystème Microsoft : Frost & Sullivan considère l'intégration avec Defender XDR, Microsoft Sentinel, GitHub et Security Copilot comme l'un des principaux avantages de Microsoft, particulièrement dans les grandes entreprises utilisant déjà Azure et les solutions de sécurité Microsoft.
Parmi les faiblesses :
- Application Runtime Security : Frost & Sullivan considère que Microsoft doit continuer à étendre ses capacités de sécurité au niveau du Runtime applicatif afin de renforcer davantage son positionnement en matière d'innovation.
- Analyse Runtime des APIs : Microsoft doit approfondir ses capacités d'analyse du comportement des APIs en cours d'exécution afin de compléter la couverture apportée par la protection actuelle des workloads.
- Application Behavior Baselining : Frost & Sullivan identifie l'établissement de profils de comportement des applications comme un autre axe d'amélioration permettant à Microsoft d'approfondir son approche Runtime Security.
- Exploit-to-Code Mapping : Microsoft peut encore améliorer la capacité à relier directement l'exploitation d'une vulnérabilité observée au Runtime avec le code à son origine.
- Corrélation des signaux : Frost & Sullivan recommande de continuer à enrichir la corrélation entre le comportement des workloads, l'utilisation des identités, l'activité applicative et les mouvements de données sensibles.
- Positionnement hors Azure : malgré les investissements réalisés pour AWS et GCP, Frost & Sullivan recommande à Microsoft de mieux mettre en avant la valeur de Defender for Cloud dans les scénarios multicloud et de poursuivre son développement auprès des PME et des entreprises dont l'infrastructure n'est pas principalement basée sur Azure.
Le rapport souligne plus globalement une évolution importante du marché : le CWPP ne se limite plus à l'analyse des vulnérabilités et au durcissement des workloads. Les entreprises recherchent désormais une plateforme capable de déterminer si une vulnérabilité est réellement accessible ou exploitable, de détecter les attaques en cours d'exécution et de corréler les informations provenant des workloads avec celles liées aux identités, aux données et au Cloud Control Plane.
Cette évolution explique également la convergence progressive entre CWPP, CNAPP, Cloud Detection and Response (CDR) et XDR, avec une intégration toujours plus importante des opérations de Cloud Security au niveau du SOC. La sécurité des workloads IA devient également un nouveau facteur de différenciation entre les différents acteurs du marché.
Vous pouvez accéder au rapport Frost & Sullivan.
