CyberGlossary

Облачная безопасность

Безопасность serverless

Также известно как: Безопасность FaaS, Безопасность Lambda

Определение

Практика защиты событийно-ориентированных функциональных нагрузок (AWS Lambda, Azure Functions, Google Cloud Functions), где базовые серверы управляются провайдером.

Serverless переносит патчинг и безопасность хоста на провайдера, но создаёт новые риски: множество мелких функций, эфемерное выполнение, разнообразие источников событий (S3, SQS, EventBridge, API Gateway) и тесно связанные IAM-разрешения. Ключевые меры: роли исполнения по функции с минимальными правами, подписанные пакеты деплоя с SBOM, сканирование зависимостей (SCA), валидация недоверенных событий, шифрование переменных окружения, короткие таймауты и лимиты concurrency для сдерживания злоупотреблений, RASP или eBPF-телеметрия платформы. OWASP Serverless Top 10 и руководства Cloud Security Alliance описывают типичные проблемы: инъекции событий, чрезмерные права функций и небезопасные настройки развёртывания.

Примеры

  • AWS Lambda с IAM-ролью, дающей s3:* по всем бакетам из-за опечатки в CloudFormation.
  • Datadog или Snyk сканируют зависимости Lambda и помечают уязвимые npm-пакеты.

Связанные термины