|
新聞中心
當(dāng)前位置：網(wǎng)站首頁 > 新聞中心
無服務(wù)器云安全：如何保護(hù)無服務(wù)器計算
無服務(wù)器計算是云計算發(fā)展的最新趨勢之一，也是最復(fù)雜的趨勢之一。與任何一個新技術(shù)一樣，無服務(wù)器計算也帶來了新的技術(shù)風(fēng)險。因此，組織需要了解無服務(wù)器是什么，以及其需要采取的安全步驟，以使無服務(wù)器工作負(fù)載安全運行。
通過無服務(wù)器計算，云計算能夠以最原始的級別表達(dá)，無需組織運行自己的物理服務(wù)器。無服務(wù)器計算的倡導(dǎo)者稱贊其純粹服務(wù)的方法，而懷疑論者則表示將面臨復(fù)雜性和安全性的問題。
那么無服務(wù)器的云計算到底是什么?也許更重要的是，組織如何采取主動措施來保護(hù)它?什么是無服務(wù)器計算?
無服務(wù)器計算有時也被稱為“功能即服務(wù)”，這可能是一個更具描述性的術(shù)語。無服務(wù)器也被一些供應(yīng)商稱為事件驅(qū)動計算。
借助云計算，組織不需要自己采用物理服務(wù)器，而是采用提供運行應(yīng)用程序的虛擬服務(wù)器計算實例。在無服務(wù)器模型中，服務(wù)組件更進(jìn)一步提升，其服務(wù)器本身被抽象了。
簡而言之，對于無服務(wù)器的情況，與其他云計算服務(wù)一樣，不需要長時間運行的服務(wù)器或容器，而是執(zhí)行簡單的功能來基于事件觸發(fā)器實現(xiàn)給定的任務(wù)。
例如，不需要長時間運行的電子郵件服務(wù)，而是使用無服務(wù)器電子郵件功能，只需要發(fā)送電子郵件，就可以觸發(fā)電子郵件功能。
無服務(wù)器計算是AWS lambda服務(wù)的先驅(qū)者，現(xiàn)在它也可以在微軟的Azure公共云和谷歌云平臺(GCP)上使用。還有多個開放源代碼選項，支持私有云和Kubernetes容器編排系統(tǒng)部署的無服務(wù)器。
無服務(wù)器計算：優(yōu)點和缺點
雖然無服務(wù)器計算為組織提供了一種更敏捷的不同服務(wù)交付方法，但它也是一種不同的部署和管理范例，可能會帶來新的風(fēng)險。組織應(yīng)考慮的無服務(wù)器計算風(fēng)險包括：供應(yīng)商安全性：無服務(wù)器功能在提供商的基礎(chǔ)設(shè)施上執(zhí)行，這可能安全也有可能不安全。
多租戶：無服務(wù)器服務(wù)中的功能通常運行在為多個客戶運行代碼的共享基礎(chǔ)設(shè)施上；當(dāng)涉及敏感數(shù)據(jù)時，這可能是一個問題。
注入攻擊：在注入攻擊中，未經(jīng)授權(quán)或意外的內(nèi)容或數(shù)據(jù)被注入應(yīng)用程序流；而在無服務(wù)器模型中，注入攻擊可以來自無服務(wù)器功能調(diào)用以執(zhí)行的事件。
加密：無服務(wù)器功能通?？梢哉{(diào)用數(shù)據(jù)庫和其他特權(quán)資源；如果連接未加密，則可能會泄露數(shù)據(jù)。
安全性錯誤配置：為了能夠訪問不同的資源，開發(fā)人員可能會直接將訪問密鑰、令牌、密碼輸入到該功能中；而沒有保護(hù)這些秘密是一種風(fēng)險。
功能權(quán)限：通常無服務(wù)器功能被授予與服務(wù)器可能獲得的相同權(quán)限。但是，無服務(wù)器功能只需要最低限度的權(quán)限即可執(zhí)行，而過度配置權(quán)限會使該功能面臨潛在風(fēng)險。
組件漏洞：功能通常依賴于第三方庫和組件的供應(yīng)鏈。如果其中一個組件中存在已知(或未知)漏洞，則可能會利用無服務(wù)器功能。如何管理無服務(wù)器安全性
管理無服務(wù)器安全性就是要有適當(dāng)?shù)目刂坪筒呗浴ｋm然云計算服務(wù)器安全策略可能對云中的虛擬計算服務(wù)器實例有效，但無服務(wù)器計算需要額外的控制級別、粒度、可見性。
減少無服務(wù)器權(quán)限：無服務(wù)器計算的最大風(fēng)險是具有比所需更多權(quán)限的功能。通過無服務(wù)器，可以通過為所有已部署的功能實施最小權(quán)限模型顯著地減少攻擊面。在功能的開發(fā)階段，可以在暫存環(huán)境中設(shè)置自動檢查，從而減少權(quán)限數(shù)量。通過分析功能行為，還可以查看正在運行的功能實際使用的特權(quán)。通過該可見性，管理員可以具有訪問權(quán)限以僅啟用所需權(quán)限。
實施身份驗證：調(diào)用服務(wù)的所有功能，無論是否在同一云計算提供商內(nèi)部，都必須要求訪問控制和身份驗證才能幫助限制風(fēng)險。云計算提供商提供有關(guān)如何實施無服務(wù)器身份驗證的最佳實踐的指導(dǎo)，管理員應(yīng)遵循這些實踐。
使用云平臺提供程序控件：云計算提供商還具有多種內(nèi)置服務(wù)，可幫助用戶識別潛在的錯誤配置。
日志功能活動：由于無服務(wù)器功能是事件驅(qū)動和無狀態(tài)的，因此查看實時活動通常會錯過大多數(shù)活動。通過對無服務(wù)器使用云計算提供程序(或第三方)日志記錄和監(jiān)視，可以在需要威脅搜索時使用審計跟蹤。
監(jiān)控功能層：功能可以有多個層，可以調(diào)用不同的代碼和第三方數(shù)據(jù)庫。通過監(jiān)控功能層，管理員可以識別注入和惡意活動的嘗試。
考慮第三方安全工具：雖然無服務(wù)器平臺提供商通常集成了一些安全控制，但它們的范圍往往有限，只關(guān)注運行這些功能的平臺。有多種第三方工具和技術(shù)可為無服務(wù)器計算提供額外的可見性和控制層。
|
