“无服务器”就像将日常任务外包给专业的开发团队。
您可以获得更高的灵活性、更快的创新速度和更低的架构成本。所有这些超棒的福利都包含在构建终极用户体验中。
听起来不错吧？好吧，这太好了，难以置信。
管理复杂的基础设施总是需要付出代价的。
在无服务器基础设施的情况下，其分布式特性为网络攻击提供了许多黄金机会。
事实证明，无服务器的主要区别也在于它的敌人，它为攻击者提供了更多的切入点。话虽如此，让我们来讨论一下当今安全问题的五个主要问题。
无服务器——恶意软件找到了新家
总的来说，许多众所周知的软件风险（例如错误配置的凭据或SQL 注入）在无服务器中 卷土重来，但它们的表现方式不同。
风险1：函数事件数据注入
当不可靠或攻击者控制的输入被传递给解释器并运行或评估时，就会发生这种风险。
主要原因是我们并不总是确保输入是预期的数据类型。而且由于大多数无服务器架构都有大量事件源，因此触发无服务器功能并不难。
风险 2：身份验证失败
由于无服务器促进了面向微服务的系统设计，应用程序通常包含大量功能，每个功能都有一个独特的目标。
这些功能相互交织，构成了整体系统逻辑。然而，有些功能可能会泄露公共 Web API，而其他功能则会从各种来源获取事件。因此，在这种情况下，未经授权的访问是理所当然的。
风险 3：不安全的无服务器部署配置
云提供商提供许多自定义和配置设置，以便根据每个特定需求或任务进行微调。其中一些现成的配置设置对整体安全而言会产生令人担忧的后果。
因此，云存储的一个常见弱点是云存储身份验证配置不正确。如果配置不加以控制，可能会严重破坏您的安全。
风险 4：功能权限和角色过高
无服务器函数具有访问权限，例如访问数据库的权限。如果您拥有许多函数，则您将拥有相同数量的权限。在理想情况下，这些权限都应该是尽可能受限制的不同权限。
但谁有时间管理无数个函数授权呢？大多数情况下，开发人员通过应用“通配符”权限模型来找到捷径。在这种情况下，无服务器函数可能会落入坏人之手并用于计划外的操作。
风险五：功能监控和记录不足
即时记录和监控安全相关事件至关重要，因为这有助于发现入侵者攻击并阻止数据损坏。然而，此架构将这些功能托管在云环境中，超出了用户数据中心的边界。
尽管许多无服务器提供商提供了高效的日志记录功能，但这些日志都处于基本配置状态，通常无法提供完整的安全事件审计跟踪。
评论