サーバーレスセキュリティ
サーバーレスセキュリティ とは何ですか?
サーバーレスセキュリティAWS Lambda、Azure Functions、Google Cloud Functions のように、基盤サーバーを事業者が管理するイベント駆動・関数ベースのワークロードを守る実践。
サーバーレスではパッチ適用やホストのセキュリティが事業者側に移る一方で、新たなリスクが生まれます。多数の小さな関数、短命な実行、増え続けるイベントソース(S3、SQS、EventBridge、API Gateway)、関数と密結合した IAM 権限などです。重要な統制は、関数ごとの最小権限実行ロール、SBOM 付きで署名されたデプロイパッケージ、依存関係スキャン(SCA)、信頼できないイベントペイロードの検証、暗号化された環境変数、悪用を抑える短いタイムアウトと並列数上限、そしてプラットフォームの RASP や eBPF テレメトリです。OWASP Serverless Top 10 や Cloud Security Alliance のガイドが、イベントインジェクション、過剰権限関数、安全でないデプロイ構成などの代表的問題を示しています。
● 例
- 01
CloudFormation のタイプミスで、ある AWS Lambda の IAM ロールに全バケットに対する s3:* が付与されてしまう。
- 02
Datadog や Snyk が Lambda の依存関係をスキャンし、脆弱な npm パッケージを検出する。
● よくある質問
サーバーレスセキュリティ とは何ですか?
AWS Lambda、Azure Functions、Google Cloud Functions のように、基盤サーバーを事業者が管理するイベント駆動・関数ベースのワークロードを守る実践。 サイバーセキュリティの クラウドセキュリティ カテゴリに属します。
サーバーレスセキュリティ とはどういう意味ですか?
AWS Lambda、Azure Functions、Google Cloud Functions のように、基盤サーバーを事業者が管理するイベント駆動・関数ベースのワークロードを守る実践。
サーバーレスセキュリティ からどのように防御しますか?
サーバーレスセキュリティ に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
サーバーレスセキュリティ の別名は何ですか?
一般的な別名: FaaS セキュリティ, Lambda セキュリティ。