无服务器安全风险的十二要素(上）

无服务器安全风险的十二要素(上）

1.功能事件

无服务器功能可以消费来源于不同类型事件源的输入，但每个事件源都有属于其独特的消息格式和编码体系。正因为他们的独特性，所以事件消息的各个部分都有可能包含着攻击者控制的输入或者不可信输入，每个部分都需要仔细检查。

2.验证出错

无服务器的模式一惯提倡的是面向微服务的系统设计。其应用中可能包含了数十乃至数百个功能函数，一旦在执行中发生失误，很容易导致在验证的应用上出错。

3.不安全的无服务器部署配置

为了用户的操作简易性，云提供商常常会提供多套配置设置，用户可根据特定需求调整服务。但现今越来越多的公司企业将业务迁移到云端，云配置的漏洞也变得越发普遍，所以现成的设置不一定都是安全的。

4.功能权限和角色权限过高

因为开发人员的“惰性”，导致应用的“通用”权限模型是一种很常见的情况。但是这种情况也是公司企业想要将应用部署到云端面临的最困难的问题。

5.功能监视与日志记录不足

相信绝大多数的云供应商都可以提供非常强大的日志功能，但是在应用层想要执行全面的安全事件审计跟踪时，这些日志却未必都是适用的。

6.不安全第三方库

不安全的第三方库应该不是无服务器所特有的问题，但因为无法应用网络和行为的安全控制，使得在无服务器的环境中检测恶意包变得更为复杂。