您是否正在构建或已经构建了无服务器应用？您有没有认真考虑过如何保护它们的安全？您能确信自己的应用程序坚不可摧吗？
随着无服务器应用的日益普及，其面临的安全风险也随之增加。 许多潜在的错误和在线威胁都可能影响您的应用。以下是一些需要特别注意并加以防范的主要风险：
- 拒绝服务 (DoS) 攻击
- 业务逻辑漏洞利用
- 资源滥用
- 数据注入
- 不安全的身份验证
- 不安全的存储
- 易受攻击的第三方 API 或工具集成
无服务器应用的安全策略与传统应用略有不同，它更侧重于保护各个功能模块。 因此，您需要一个专业的平台来提供全方位的安全防护，并且需要采用不同类型的监控和调试方法。
我强烈建议您查阅 PureSec 的这份指南，其中详细介绍了无服务器应用面临的 12 项最关键的风险。
接下来，让我们一起来探讨一些解决方案。
PureSec
PureSec 为 AWS Lambda、Google Cloud Functions、IBM Cloud Functions 和 Azure Functions 提供端到端的安全保护。 它能够与多种主流平台和工具无缝集成。
- GitLab
- Splunk
- Sumo Logic
- Jenkins
- AWS CloudFormation
- Serverless Framework
PureSec 的无服务器应用防火墙在功能事件数据层检测并阻止攻击，且不会影响应用性能。 其强大的检测引擎能够检查事件触发类型，例如 NoSQL 数据库、API、云存储、发布/订阅消息传递等。
他们的 Function Shield 安全库允许开发人员实施安全机制，以应对一些常见的安全问题。 您可以将它与 Node.js、Python 和 Java 等多种编程语言一起使用。
使用 Function Shield 的一些主要优势包括：
- 通过监控功能的出站网络流量来防止数据泄露
- 防止处理程序源代码泄露
- 子进程执行控制
- 可以选择配置为警报模式，记录安全事件，或配置为阻止模式，在违反安全策略时立即停止执行。
它为整体执行增加了不到 1 毫秒的延迟，几乎可以忽略不计。
Snyk
Snyk 是一个广受欢迎的开源解决方案，用于监控、发现和修复应用程序依赖项中的漏洞。 最近，他们推出了与 AWS Lambda 和 Azure Functions 的集成功能，允许您连接并检查已部署的应用程序是否存在安全漏洞。
对于检测到的任何漏洞，您可以配置为通过电子邮件或 Slack 接收通知。
您还可以根据需要自定义测试频率。
Aqua
Aqua 提供一体化的安全解决方案，能够同时保护无服务器容器和功能。
它会扫描容器镜像和函数，以查找库、配置和权限中的已知和未知漏洞。 Aqua 还可以集成到 CI/CD 管道中，实现自动化安全检测。
Twistlock
Twistlock 旨在在应用程序生命周期的每个阶段为其提供安全保护。
它实时扫描并保护您帐户中的所有功能，以确保您的应用不受攻击。 Twistlock 的一些主要功能包括：
- 支持 Python、.Net、Java 和 Node.js 等多种编程语言
- 云原生防火墙，用于持续威胁监控和预防
- 符合 HIPAA 和 PCI 合规性的安全模板
- 与 TeamCity、Jenkins 等 CI/CD 工具集成
- 全面的漏洞管理
Twistlock 还利用机器学习技术来提供自动化的运行时保护和策略创建。
总结
无论是无服务器应用还是传统应用，安全防护都至关重要。 好消息是这些平台通常会提供免费试用，您可以亲自体验一下，看看哪种方案最适合您的应用。 如果您是新手，并且对 AWS Lambda 和无服务器框架的实践操作感兴趣，我建议您查看这个优秀的 在线课程。
您喜欢这篇文章吗？欢迎分享给更多人！