无服务器计算是云计算发展的最新趋势之一，也是最复杂的趋势之一。与任何新技术一样，无服务器计算带来了新的技术风险。因此，组织需要了解无服务器是什么以及为使无服务器工作负载安全运行而需要采取的安全步骤。
无服务器云安全：如何保护无服务器计算
通过无服务器计算，云计算可以在最原始的级别表达，而无需组织和运行自己的物理服务器。无服务器计算的倡导者称赞他们纯粹的服务方法，而怀疑论者表示他们将面临复杂性和安全问题。
那么无服务器云计算到底是什么？也许更重要的是，组织如何采取积极主动的措施来保护它？
什么是无服务器计算？
无服务器计算有时被称为“作为服务的功能”，这可能是一个更具描述性的术语。某些供应商也没有将服务器称为事件驱动计算。
通过云计算，组织本身不需要采用物理服务器，而是使用提供运行应用程序的虚拟服务器计算实例。在无服务器模型中，服务组件得到进一步改进，服务器本身被抽象化。
简而言之，对于无服务器情况，与其他云计算服务一样，您不需要长时间运行的服务器或容器，而是执行简单的功能以基于事件触发器实现给定任务。
例如，您可以通过简单地发送电子邮件来使用无服务器电子邮件功能来触发电子邮件功能，而不是长时间运行的电子邮件服务。
无服务器计算是AWS lambda服务的先驱，现在也可以在Microsoft的Azure公共云和Google Cloud Platform（GCP）上使用。还有一些开源选项支持无服务器部署私有云和Kubernetes容器编排系统。
无服务器计算：优点和缺点
无服务器计算风险
虽然无服务器计算为组织提供了更灵活的方法来实现不同的服务交付，但它也是一种可以引入新风险的不同部署和管理范例。
组织应考虑的无服务器计算风险包括：
供应商安全性：无服务器功能在提供商的基础架构上执行，可能安全也可能不安全。多租户：无服务器服务中的功能通常在为多个客户运行代码的共享基础架构上运行；当涉及敏感数据时，这可能是一个问题。
注入攻击：在注入攻击中，未经授权或意外的内容或数据被注入应用程序流；在无服务器模型中，注入攻击可以来自无服务器功能要执行的事件。
加密：无服务器功能通常可以调用数据库和其他特权资源；如果连接未加密，则可能泄漏数据。
安全性错误配置：为了能够访问不同的资源，开发人员可以直接在该功能中输入访问密钥，令牌和密码；不保护这些秘密是一种风险。
功能权限：通常不会授予服务器功能与服务器可能获得的相同权限。但是，无服务器功能需要最少的权限才能执行，而过度配置权限会将该功能暴露给潜在的风险。
组件漏洞：功能通常依赖于第三方库和组件的供应链。如果其中一个组件中存在已知（或未知）漏洞，则可以使用无服务器功能。
如何管理无服务器安全性
管理无服务器安全意味着拥有正确的控制和策略。虽然云计算服务器安全策略可能对云中的虚拟计算服务器实例有效，但无服务器计算需要额外的控制级别，粒度和可见性。
减少无服务器权限
无服务器计算的最大风险是能够拥有比所需更多的权限。如果没有服务器，您可以通过为所有已部署的功能实施最小权限模型来显着减少攻击面。在该功能的开发阶段，您可以在暂存环境中设置自动检查以减少权限数。通过分析功能行为，您还可以查看正在运行的功能实际使用的权限。通过此可见性，管理员可以访问以仅启用所需的权限。
实施身份验证
无论是在同一个云计算提供商内部还是外部，调用服务的所有功能都需要访问控制和身份验证来帮助限制风险。云提供商提供有关如何实施无服务器身份验证的最佳实践的指导，管理员应遵循这些实践。
使用云平台提供程序控件
云提供商还提供各种内置服务，以帮助用户识别潜在的错误配置。例如，AWS Trusted Advisor是运行AWS Lambda的选项。
记录功能活动
由于无服务器功能是事件驱动和无状态的，因此查看实时事件通常会错过大多数活动。通过将云计算提供程序（或第三方）日志记录和监视用于无服务器使用，您可以在需要进行威胁搜索时使用审计跟踪。
监控功能层
功能可以有多个层，可以调用不同的代码和第三方数据库。通过监控层，管理员可以识别注入和恶意注入的企图。考虑第三方安全工具
虽然无服务器平台提供商通常集成了一些安全控件，但它们的范围通常有限，仅关注运行这些功能的平台。有各种第三方工具和技术可为无服务器计算提供额外的可见性和控制层。
无服务器计算安全供应商
无服务器计算安全工具市场是一个相对较新的市场，但该领域已有许多供应商。与容器安全供应商存在一些重叠（请参阅eSecurity Planet的顶级容器安全供应商列表），因为无服务器技术通常涉及使用短期无状态容器。
Aqua Security
Aqua Security提供完整的容器和无服务器安全平台，帮助组织评估和减轻无服务器风险。
Nuweba
Nuweba是无服务器行业的新手，于2019年2月脱颖而出，拥有自己的安全即服务平台，可与主要公共云提供商的无服务器服务集成。
Puresec
PureSec无服务器安全平台专为无服务器安全性的挑战而构建，可以集成到组织现有的持续集成/持续开发（CI/CD）工作流程中。
Protego实验室
Protego Labs还专注于无服务器安全性，旨在提供从开发到部署的完整生命周期安全性。
Snyk
Snyk平台使组织能够持续扫描功能，以帮助识别任何潜在风险。
扭锁
Twistlock的平台在整个开发和部署生命周期中为容器和无服务器功能提供安全性。

• 上一篇: 蓝盟IT外包，元宇宙：四梁八柱是什么
  下一篇: 混合云与多云：哪种解决方案最适合您的业务？

• 分享到：