• 2022-10-06

無服務器計算存在安全后果

1 月 20, 2022

至少有五分之一的組織(21%)已將無服務器計算作為其基于云的基礎架構的一部分。這是Datamation最近對108名IT經理進行的調查結果。另有39%的人正在計劃或考慮無服務器資源。問題是,無服務器計算很快會獲得大多數企業使用的臨界質量嗎?除此之外,安全的后果是什么?現有的本地系統和應用程序 – 您可以將其中一些稱為“遺留” – 仍需要更傳統的護理和喂養。即使是現有的基于云的應用程序仍然圍繞更加服務器化的開發和交付模式構建。

這就是許多企業現在正在處理的事情 – 即使在他們開始向無服務器模式過渡時,也需要管理大量傳統應用程序。AttivoNetworks的創始人兼副總裁Marc Feghali表示,即使應用程序或系統位于云端,仍然比傳統IT更接近傳統IT而不是無服務器。“傳統的IT架構使用服務器基礎架構,需要管理應用程序運行所需的系統和服務,”他說。如果服務器恰好是內部部署或基于云的,則無關緊要。“應用程序必須始終運行,并且組織必須啟動應用程序的其他實例以處理更多負載,這往往是資源密集型的。”

無服務器架構比傳統云安排更加深入,傳統云安排仍然以服務器模型為模型。Feghali說,無服務器更精細,“而是專注于由第三方提供基礎設施,組織只為分解為第三方托管的功能的應用程序提供代碼。這使應用程序可以擴展基于功能使用情況。由于第三方對應用程序使用該功能的頻率收費,而不是讓應用程序一直運行,因此它更具成本效益。“

如何逐步淘汰現有或遺留架構?它是一個瞬間切換,還是應該是一個更漸進的遷移?Feghali敦促逐步遷移,密切關注安全要求。“有一些具體的用例仍然需要現有的遺留架構,”無服務器計算“受到性能要求,資源限制和安全問題的限制,”Feghali指出。無服務器提供的優勢在于它“擅長降低計算成本。可以說,在可行的情況下,應該逐步遷移到無服務器基礎架構,以確保它能夠在逐步淘汰傳統基礎架構之前處理應用程序需求。”

Feghali說,重要的是,無服務器架構要求以新的方式查看安全性,“通過新服務或解決方案,需要對安全框架進行評估,以了解自身會出現哪些新的差距和風險。然后他們需要重新評估其控制以及完善它們以解決這些新風險模型的流程。“

安全協議和進程在無服務器環境中有所不同。也就是說,通過使用無服務器計算,企業的攻擊面擴大了。“攻擊界面要大得多,因為攻擊者可以利用應用程序的每個組件作為切入點,”Feghali說,其中包括“應用程序層,代碼,依賴關系,配置以及應用程序運行正常所需的任何云資源。”沒有操作系統擔心安全,但沒有辦法安裝端點或網絡級別的檢測解決方案,如防病毒或[入侵防護或預防系統[。這種缺乏可見性允許攻擊者保持不被發現,因為他們利用易受攻擊的功能進行攻擊,無論是竊取數據還是破壞證書,密鑰和憑據以訪問組織。“

此時,根據埃里克喬納斯領導的加州大學伯克利分校的一項研究,引入更好地保護無服務器環境所需的安全措施可能會增加更多的成本和開銷。“無服務器計算重新調整了安全責任,將其中許多人從云用戶轉移到云提供商,而沒有從根本上改變他們,”他們的報告指出。“然而,無服務器計算也必須應對多租戶資源共享的應用程序分解中固有的風險。”

保護無服務器的一種方法是“遺忘算法”,加州大學伯克利分校的團隊繼續說道。“將無服務器應用程序分解為許多小功能的趨勢加劇了這種安全風險。雖然主要的安全問題來自外部攻擊者,但通過采用不經意的算法可以保護網絡模式免受員工的影響。不幸的是,這些往往會產生很高的開銷。”

無服務器資源和功能的物理隔離是另一種方法 – 但這當然來自云提供商的高價定價。Jonas和他的團隊也看到了生成非常快速的無服務器功能實例的可能性。“提供功能級沙盒的挑戰是保持較短的啟動時間,而不會以重復的函數調用之間共享狀態的方式緩存執行環境。一種可能性是本地快照實例,以便每個函數都可以從干凈狀態開始“。

Feghali的公司Attivio Networks專注于采用“欺騙技術”,旨在提供無服務器堆棧中各種組件的更大可見性,“作為一種了解安全控制何時無法正常工作的方法,檢測具有以下功能的攻擊:通過它們,并通知內部人員,供應商或外部威脅行為者違反政策。“

底線是將服務器堆棧的密鑰移交給第三方云提供商并不意味著外包安全性。安全需要仍然是企業客戶的責任,因為在發生違規時他們需要回答。