無服務(wù)器技術(shù)將面臨著什么樣的安全風(fēng)險(xiǎn)
掃描二維碼
隨時(shí)隨地手機(jī)看文章
(文章來源:至頂網(wǎng))
最近幾年,無服務(wù)器計(jì)算技術(shù)實(shí)現(xiàn)了顯著的增長,同時(shí)也伴隨著新解決方案生態(tài)系統(tǒng)的蓬勃發(fā)展。這些新的解決方案提供了可觀察性、實(shí)時(shí)追蹤、部署框架、以及應(yīng)用安全性。
隨著無服務(wù)器安全風(fēng)險(xiǎn)逐漸引發(fā)人們的關(guān)注,那些嘲笑者和憤世嫉俗者們所謂“FUD”——恐懼、不確定、懷疑——的習(xí)慣又一次發(fā)作,他們指出,盡管無服務(wù)器技術(shù)在軟件快速部署和大幅降低TCO方面有著巨大的價(jià)值,但同時(shí)也帶來了新的安全挑戰(zhàn)。
衡量一項(xiàng)成熟技術(shù)的關(guān)鍵指標(biāo)之一,是該技術(shù)的生態(tài)系統(tǒng)。是否擁有蓬勃發(fā)展的社區(qū)、廣泛的文檔、最佳實(shí)踐指南和工具,決定了企業(yè)組織是否會信任并采用新的技術(shù)。
最近,云安全聯(lián)盟(Cloud Security Alliance,CSA)聯(lián)合PureSec公司合作撰寫了一份無服務(wù)器安全指南,這份指南從去年的版本中汲取了大部分的內(nèi)容,同時(shí)增加了兩個(gè)重要的風(fēng)險(xiǎn)等級。這份題為《無服務(wù)器應(yīng)用12個(gè)最嚴(yán)重的風(fēng)險(xiǎn)》的指南,是針對那些處理無服務(wù)器應(yīng)用的安全和開發(fā)受眾編寫的,但內(nèi)容并不僅限于指出這些風(fēng)險(xiǎn)的存在,還為所有主流平臺提供了最佳實(shí)踐。
無服務(wù)器技術(shù)可以采用不同事件源輸入的數(shù)據(jù),而且每個(gè)事件源都有自己特有的消息格式和編碼機(jī)制。這些事件消息中,可能包含了受攻擊者控制的、或者不受信任的數(shù)據(jù)輸入,這些是需要經(jīng)過嚴(yán)格審查的。
由于無服務(wù)器改善了面向微服務(wù)的系統(tǒng)設(shè)計(jì),因此應(yīng)用可能包含數(shù)十個(gè)甚至數(shù)百個(gè)功能。如果不謹(jǐn)慎執(zhí)行的話,身份驗(yàn)證過程中就很容易出現(xiàn)錯(cuò)誤。云提供商提供了很多設(shè)置選項(xiàng),可以根據(jù)特定需求調(diào)整服務(wù)。開箱即用的設(shè)置不一定是最安全的選擇。隨著越來越多的企業(yè)組織遷移到云端,云配置出現(xiàn)漏洞也越來越普遍。
管理功能權(quán)限和角色,是企業(yè)組織在把應(yīng)用部署到云端時(shí),面臨的最艱巨的安全挑戰(zhàn)之一。有時(shí)候開發(fā)人員想走捷徑,采用“通吃”的權(quán)限模型,這是很常見的。
雖然大多數(shù)云廠商都提供了非常強(qiáng)大的日志記錄功能,但這些日志并不一定適合于在應(yīng)用層提供完整的安全事件審計(jì)跟蹤功能。雖然第三方庫的不安全性,并不是只有無服務(wù)器技術(shù)才有的缺點(diǎn),但由于缺乏應(yīng)用網(wǎng)絡(luò)和行為安全控制能力,無服務(wù)器環(huán)境中檢測出的惡意軟件包要更加復(fù)雜一些。
應(yīng)用秘密存儲最常出現(xiàn)的問題之一,就是把這些秘密信息簡單地保存成某個(gè)軟件項(xiàng)目中的一個(gè)純文本文件,或者是把這些秘密信息保存成一個(gè)作為環(huán)境變量的純文本文件。無服務(wù)器架構(gòu)具有自動可擴(kuò)展和高可用性等特點(diǎn),但是,與任何其他類型的應(yīng)用一樣,無服務(wù)器需要采用最佳實(shí)踐和良好的設(shè)計(jì)以避免出現(xiàn)瓶頸,是至關(guān)重要的。