Hinweis: Der folgende Artikel hilft Ihnen dabei: 5 Best Practices für die Implementierung eines serverlosen Sicherheitsschutzes zum Schutz Ihrer Apps
Wenn Sie wissen möchten, wie Sie den Schutz Ihrer serverlosen Apps am besten verbessern können, sind Sie hier genau richtig.
Einführung serverloser Apps in der IoT-Landschaft Schätzungen zufolge wird es in naher Zukunft stetig wachsen.
Obwohl die meisten Cloud-Dienstanbieter robuste Sicherheitsfunktionen für serverlose Architekturen anbieten, stellen bestimmte Cyber-Bedrohungen dennoch Risiken für Software und Web-Apps dar.
Aus diesem Grund benötigen Sie die besten Cloud-Sicherheitslösungen und befolgen Best Practices bei der Implementierung serverlosen Sicherheitsschutzes. Es kann Ihre Abwehrkräfte gegen moderne Cyber-Bedrohungen stärken.
Serverlose Sicherheit: Was ist das?
„Serverlos“ bezieht sich auf ein Cloud-Computing-Betriebsmodell, bei dem Anwendungen auf verwaltete Dienste angewiesen sind.
Durch den verwalteten Service entfällt die Notwendigkeit, Ihre Infrastruktur und virtuellen Maschinen zu verwalten, zu patchen und zu sichern.
Serverlose Apps basieren häufig auf einer Kombination aus Function-as-a-Service (FaaS) und verwalteten Cloud-Diensten.
In einem serverlosen Modell müssen Sie sich nicht um infrastrukturbezogene Vorgänge kümmern.
Allerdings müssen Sie das tun Beheben Sie spezifische Sicherheitsbedenken und stellen Sie einen serverlosen Sicherheitsschutz bereit aus folgendem Grund:
- Die meisten serverlosen Modelle verwenden keine Erkennungssystemsoftware (Intrusion Detection System oder IDS-Tools) und keine Firewalls.
- In der serverlosen Architektur können Instrumentierungsagenten oder Schutzmethoden wie Dateiübertragungsprotokolle und Schlüsselauthentifizierung fehlen.
Eine serverlose Architektur speichert vom Benutzer angeforderte Daten auf der Clientseite, was bedeutet, dass sich Ihr Unternehmen mehr auf Folgendes konzentrieren kann:
- Kundenzufriedenheit
- Steigerung der Produktivität
- Die Kernfunktionen Ihres Produkts
- Entwicklungspraktiken
- Qualität verbessern
- Verkürzung der Markteinführungszeit
Der Haken daran ist, dass sich Ihr Unternehmen wahrscheinlich weniger auf Folgendes konzentriert:
- Laufzeitumgebung
- Betriebssystem
- Komplexität und Bedienbarkeit der Infrastruktur
Allerdings müssen Sie die Sicherheit Ihrer serverlosen App bewerten und Best Practices implementieren, um Ihren Schutz zu stärken.
Sie müssen die notwendigen Vorkehrungen treffen, um Ihre serverlosen Apps zu sichern, da die Architektur häufig einen kleineren Ansatz als Microservices verwendet.
Einsatz von Microservices Miniaturisierte, unabhängige Softwareteile, die mit mehreren APIs verbunden sind die bei der Interaktion mit Cloud-Anbietern öffentlich werden.
Dadurch können Sicherheitslücken entstehen, die es Cyberangreifern erleichtern, auf die APIs zuzugreifen und die Sicherheit serverloser Apps zu durchbrechen.
5 Tipps für die serverlose Sicherheitsbereitstellung
Ihre Organisation trägt gemeinsam die Verantwortung für die Sicherung Ihrer Apps in einem serverlosen Modell.
Das bedeutet, dass Sie zuverlässige Methoden implementieren müssen, um Ihre serverlosen Anwendungen besser zu schützen und zu sichern, beginnend mit den unten aufgeführten Best Practices.
1. Nutzen Sie benutzerdefinierte Funktionsberechtigungen
Das Einrichten von Berechtigungen kann bei serverlosen App-Funktionsebenen entmutigend sein, aber vermeiden Sie es, auf einen einheitlichen Ansatz zurückzugreifen, um die Dinge zu beschleunigen.
Sie sollten nicht in die Falle tappen, umfangreichere und freizügigere Funktionsrichtlinien zu konfigurieren, da dies Ihre Angriffsfläche größer machen kann, als sie sollte.
Der Schlüssel liegt darin, dass Ihr DevSecOps-Team mit Entwicklern zusammenarbeitet, die die Funktionen geschrieben haben, und den Zweck jeder Funktion überprüft.
Das Endziel besteht darin, eine ordnungsgemäße Berechtigung auf Funktionsebene zu entwickeln.
Nachdem Sie den Zweck jeder Funktion festgelegt haben, erstellen Sie eine entsprechende Berechtigungsrichtlinie, einschließlich eindeutiger Rollen für jede Funktion. Mit zuverlässigen Tools können Sie diesen Prozess automatisieren.
2. Vermeiden Sie es, sich nur auf den WAF-Schutz zu verlassen
Firewalls auf Anwendungsebene können nur den HTTPS-Verkehr (Hypertext Transfer Protocol Secure) überprüfen. Das bedeutet, dass eine Web Application Firewall (WAF) nur durch API Gateway ausgelöste Funktionen schützt.
WAF schützt Ihre serverlosen Apps nicht vor anderen Ereignisauslösertypen. Es hilft auch nicht, wenn Ihre Funktionen von separaten Ereignisquellen ausgelöst werden, wie zum Beispiel:
-
- Cloud-Speicherereignisse (Azure Blob Storage, Google Cloud Storage und AWS S3)
- Benachrichtigungen (Internet der Dinge oder IoT, E-Mails und SMS)
- Datenbankänderungen (Azure CosmosDB und AWS DynamoDB)
- Codeänderungen (AWS CodeCommit)
- Stream-Datenverarbeitung (AWS Kinesis)
Obwohl WAF von entscheidender Bedeutung ist, sollten Sie es nicht zur einzigen Verteidigungslinie für die Sicherung Ihrer serverlosen Anwendungen machen, um klaffende Sicherheitslücken zu verhindern.
3. Stellen Sie sicher, dass Sie für Ihre Funktionen eine Zeitüberschreitung vornehmen
Alle Funktionen müssen ein enges Laufzeitprofil haben. Allerdings ist es oft nicht intuitiv, geeignete Timeouts für serverlose Funktionen zu erstellen.
Die maximale Dauer einer Funktion kann funktionsspezifisch sein.
Ihre DevSecOps-Teams müssen das konfigurierte Timeout mit dem tatsächlichen vergleichen.
Wenn Sie wie die meisten Entwickler sind, können Sie das Timeout auf den maximal zulässigen Wert festlegen, da ungenutzte Zeit nicht zu zusätzlichen Kosten führt.
Dieser Ansatz kann jedoch zu massiven Sicherheitsrisiken führen, da Angreifer, die erfolgreiche Code-Injektionen durchführen, mehr Zeit haben, Schaden anzurichten.
Kürzere Timeouts bedeuten, dass Angreifer häufiger angreifen können (Murmeltier-Tag-Angriff), wodurch die Angriffe sichtbarer werden. Daher ist es wichtig, Ihre Funktionen mit einer Zeitüberschreitung zu versehen, um den Erfolg der Angriffe zu verhindern.
4. Behalten Sie die Kontrolle über die Funktionen
Sorgfältiges CI/CD kann Code-Schwachstellen mindern (auch wenn dies nahezu unerreichbar erscheint).
Schädliche Funktionen können sich auf verschiedene Weise einschleichen, beispielsweise durch den Einsatz betrügerischer Mitarbeiter.
Angreifer zielen wahrscheinlich auch auf Entwickler-Workstations und nicht auf bereitgestellte Apps ab, da sie dadurch schädliche Funktionen über legitime Kanäle ausführen können.
Die Funktionen können unbemerkt eingeschleust werden und Ihre serverlosen Apps verwüsten.
Um dies zu verhindern, benötigen Sie eine Richtlinie und Strategie zur Durchführung einer Codeanalyse während des Builds.
Wenn Sie dies tun, bevor Ihre Apps live gehen, können Sie sicherstellen, dass jede Funktion CI/CD durchlaufen hat.
5. Führen Sie ein Code-Audit durch
Während Open-Source-Software ein Segen für Entwickler sein kann, kann sie auch ein Fluch sein, da sie Sicherheitslücken enthalten kann (einige Fehler sind mehrere Jahre alt).
Dies macht die Authentizität und den Besitz von Code zu einem kritischen Sicherheitsrisiko, da Sie nicht vertrauen können, was nicht Ihnen gehört.
Angreifer nutzen häufig einen Upstream-Angriff, um eine langfristigere Persistenz Ihrer Apps zu erreichen (Vergiftung des Brunnens).
Cloud-native Apps verfügen über viele Module (einschließlich anderer Module) und Bibliotheken, was bedeutet, dass eine serverlose Funktion Tausende von Codezeilen aus mehreren externen Quellen enthalten kann.
Angreifer nutzen dies aus, indem sie ihre Schadcodes in gängige Projekte einbinden.
Sobald sie ihren Angriff ausgeführt haben, warten Angreifer darauf, dass die neueren Versionen in Ihre Cloud-Apps eindringen und die Kontrolle über sie übernehmen.
Sie müssen eine Sicherheitsüberprüfung durchführen, um die Schadcodes zu erkennen und umgehend zu handeln, um die Sicherheit Ihrer serverlosen App zu verbessern.
Stärken Sie Ihren serverlosen Sicherheitsschutz
Die serverlose Architektur hat Ihrer App-Entwicklung neue Möglichkeiten eröffnet, bringt aber auch einzigartige Sicherheitsherausforderungen mit sich.
Ergreifen Sie vorbeugende Maßnahmen, minimieren Sie Risiken durch die Implementierung von Best Practices für serverlosen Sicherheitsschutz und investieren Sie in einen zuverlässigen serverlosen Sicherheitsanbieter.
