Serverless hesaplama temel olarak gelişim ekiplerinin uygulamaları nasıl inşa ettiğini ve dağıtmalarını değiştirdi, altyapı katmanını soyutlama, böylece mühendisler piyasaya iş mantığı ve hızına odaklanabiliyorlar. Ancak, bu paradigma değişimi aynı zamanda yeni bir saldırı yüzeyi de getiriyor, API'ler ile AWS Lambda, Azure işlevleri gibi birincil arayüze sahip, veya Google Cloud Functions.Demek için bu uç noktaların artık bir sonraki güvenlik kontrollerine odaklanmıyor - üretim-grad uygulamaları için temel bir gerekliliktir.Bu makale, sunucusuz API'leri korumak için kanıtlanmış en iyi uygulamaları genişletiyor, doğrulama, güvenli iletişim, oranı sınırlama, giriş doğrulama, doğrulama, doğrulama, doğrulama, doğrulama, güvenlik kontrolleri ve bugün uygulamanız için uygulamanız gereken güvenlik kontrolleri.

Serverless Security Modelini Anlayın

Geleneksel altyapıda, güvenlik ağ perimeters'a dayanıyor: Güvenlik duvarları, VPN'ler ve sertleştirilmiş sunucular.Bu modeldeki sunucuda sabit olmayan bir sunucu yok; bunun yerine, her bir davetin potansiyel olarak tedavi edilmesi gerekir ve bulut sağlayıcı, iş zaman ortamınızı yönetir.Bu kimlik doğrulama, veri ve kimlik doğrulamanızı sağlar - sağlayıcı temel ev sahibi olan mimariye dayalı olarak yeni bir şekilde yönlendirilir.

Serverless API'lere Tehditler

Savunmalara girmeden önce, sunucusuz uç noktaları hedef alan en yaygın saldırı vektörlerini tanımanın kritik bir yolu:

  • [FONT=0)Injeksiyon saldırıları[DÜDÜDÜDÜDÜDÜDÜDÜDÜDÜDÜDÜSÜŞÜNÜ - SQL, NoSQL, OS komut veya LDAP enjeksiyonu, nonsanitized input ile fonksiyonlara geçti.
  • [FONT=0)Broken doğrulama[[Dönetici: 1)) - Weak veya geçerlilik, zayıf anahtar yönetim veya uygunsuz erişim noktaları.
  • [[Düzücü veri maruziyeti[[Dönetici:0)[Dönetici:0)Excessive data maruziyeti[[Dönetici:0)[Dönetici: API'ler yalnızca kısmi verilere ihtiyaç duyulduğu zaman tam nesne ödeme yüklerini geri döndürür, hassas alanları sızdırır.
  • [FONT:0) Hizmet (DoS))[Uygunluk sınırlarına uygun olmayan saldırılar veya pahalı soğuk algınlığı tetikler.
  • [FONT:0)Misimarı[[[Dönetici: 1)[[[Dönetici:0))[[[değiştir | kaynağı değiştir]

Bu tehditlerin her biri kasıtlı tasarım ve dağıtım hattınıza entegre edilmiş araçla azaltılabilir.

Endpointlerinizi Korumak için En İyi Uygulamalar

1. Güçlü Kimlik Doğrulama ve Yetkilendirme

Her API'nin sunucusuz bir işlevine isteği gerçekleştirilebilir ve yetkili olmalıdır. endüstri standart protokolleri her işlevinin (veya API Gateway yazarlayıcısı ile) içinde eksiksiz veya eksiksiz bir şekilde doldurulmuş olmasını sağlamak için geçerlidir.[DÜye Olmayanlar için, API anahtarlarını güvenli bir şekilde veya bir yöneticide depolayın.

Temel doğrulamanın ötesine geçin:0)role tabanlı erişim kontrolü (RBAC)) veya hatta [[Dönetici:2))[Dönetici erişim kontrolü (ABAC)[DÜye Olmayan Kimlikler İçin)[Döneticileri, sunucusuz çerçevelerle entegre eden kimlik katmanları sağlar.

2. Güvenli İletişim

Tüm API trafiği geçişte şifrelenmelidir.UseENFLT:0)HTTPS (TLS 1.2 veya 1.3)) Yalnızca API Gateway veya bakiyenizi geliştirme isteklerine göre dengelemek için yükleyin. ekledi güvenlik, uygulama:2).

Eğer işlevleriniz birbirleriyle iletişim kurarsa (örneğin, olay otobüsleri veya kuyruklar aracılığıyla), trafik de şifrelenir. Çoğu bulut sağlayıcı, hizmet mesajlaşması için varsayılan olarak şifreleme sağlar, ancak ürün yapılandırmalarınızın bunu kilitlediğini doğrulayın.

3. Limitleme ve Throttling

API'lerinizi kötüye kullanan kullanıcılardan ve kazara iş dışı süreçlerden sınırlarınızı kısıtlayın. API Gateway seviyesinde, patlama oranları ve sürekli devlet talepleri için sınırları tanımlayın (örneğin, kullanıcı başına dakika başına 100 talep).Hataya uygun trafik aksanı izin vermek için kova veya kaydırakları kullanın.

Doğrulama durumuna göre farklı sınırlar. Anonim kullanıcılar 10 talep / dakika ton alabilir, ancak gerçekleştirilmiş kullanıcılar daha yüksek bir limit alırlar.[Döneticileri kullanarak) kullanım planlarınızla ilgili olarak [DDDDDDDDD4|Döneticileri:0) AWS API Gateway veya [[Döneticileri[Döneticileri ile sınırlı kurallar[Dönlendirmek için) bir DoS saldırınızı önlemek için kullanıcılarınızın şifresi ile ilgili olarak kullanılabilir.

throttle olaylarına giriş ve uyarıyı unutmayın, böylece meşru trafik aksanları ve kötü niyetli girişimler arasında ayrım yapabilirsiniz.

4. Geçerlilik ve Tüm Giritleri Değiştirin

Müşteri veya bir üst düzey hizmetten gelen verilere asla güvenmeyin. Bir şema geçerliliği kütüphane kullanın (örneğin, Joi, Pydantic veya JSON Schema) her işlev için izin verdi ve kullanıcı girişini asla değerlendirmeyin.Reject any input that does not match the expected form. For SQL or NoSQLT:1).

Ek olarak, içerik tipi geçerliliği uygulayın. Eğer son noktanız JSON'u beklerse, desteklenmeyen MIME tiplerini veya dosya yüklemeleri için MIME tipini, dosya boyutunu ve AWS GuardDuty veya üçüncü taraf virüs tarayıcıları gibi özel hizmetleri kullanarak yazılımlar için tarama yapın.

Ek Güvenlik Önlemleri

Web Uygulama Güvenlikleri (WAF)

API Gateway'nizin önünde bir WAF, SQL enjeksiyonu, trans-site senaryosu (XSS), ve IP itibarı tehditleri gibi ortak saldırı modellerini otomatik olarak filtrelemek için WAF'lerinizi (AWS WAF, Azure WAF, Cloud Armor) etkinleştirin. Uygulamanızın özel uç noktaları için uygulamanızın belirli uç noktaları için özel kural setlerini yapılandırın.

Kapsamlı İzleme ve Logging

Viability, güvenlik için elverişli değildir. Tüm API talepleri ve davetleri için ayrıntılı girişler. AWS CloudTrail, Azure Monitor veya Google Cloud Logging gibi hizmetleri kullanarak hangileri, ne zaman ve bir SIEM aracına eriştir.

  • Tekrarlanan 401/403 yanıt (olası brute kuvveti)
  • Sudden, iş yürütme zamanında veya hata oranlarında artışlar
  • olağandışı mücevherlerden veya IP aralıklarından erişim
  • API Gateway'yi (yönetici URL invokasyon) atlayan davetler

Katmanlar arasında korelasyon logları – yönlü, işlev ve veri mağazası – tam saldırı zincirini takip etmek.

Bağlanma ve Patch Yönetimi

Serverless fonksiyonlar üçüncü taraf kütüphanelere güvenir. Tek bir savunmasız bağımlılık tüm uygulamanızı tehlikeye atabilir.UseETHFLT:0)yuware kompozisyon analizi (SCA)) araçlar (e.g[D, Snyk, Trivy, Bağırsak) CI/CD boru hattınızı bilinen açık açık açıklıkları kullanmak yerine belirli sürümlere bağlı olarak.)

Düzenli olarak gözden geçirme ve güncelleme fonksiyonu runtimes and base images (fork tabanlı sunucusuz) Ayrılma değişiklikleri önlemek için testlerle otomatik bağımlılık güncellemelerini ayarlayın.Relamental olmayan bağımlılıklar ile ilgili fonksiyonlar için onları izole edin ve WAF veya katı giriş gibi ekleme kontrolleri uygulayın.

Ağ Güvenliği ve Yok Edilmesi

Sunucusuz fonksiyonlar çok katmanlı bir bulut ortamında çalışırken, özel yük dengesine veya kullanımlara ihtiyaç duyan API Gateway proxylerini ekleyebilirsiniz. Place functions that process sensitive data (e.g., ödeme bilgileri, sağlık kayıtları) in aİLFLT:0V[PC[PC güvenli servis-tavap iletişim için ücretsiz olarak hizmet veren bir API Gateway.

Kullanım:0)IP beyaz listeleme[Dönetici uç noktaları veya iç araç için kullanılan bir üçüncü taraf API'si için geçerlidir.Demekli güvenlik grupları ve ağ ACLs, yalnızca gerekli limanlara ve kaynak IP'lere sınırlı tutmak için.For functions that require internet access (e.g., call a third-party API), yol trafiği kontrol edilen bir alt ağ üzerinden.

Bir CI /CD Boru Hattında Güvenlik Uygulamasını Uygulamayı

Güvenlik, geliştirmede otomatik ve entegre olmalıdır.BirÜyetim:0) Güvenlik kapısı[CI/CD boru hattınızda aşağıdaki işlemleri uygulamanız gerekir:

  • Statik uygulama güvenlik testleri (SAST) fonksiyon kodunda güvensiz kalıpları tespit etmek için.
  • Kritik kırılganlık kritik kırılganlara karşı başarısızlıkla tarama.
  • Altyapı kod (IaC) tarama (e.g., 03.03.2012) yanlış yapılandırılmış IAM rolleri için, şifreleme eksikliği veya kamu maruziyeti eksikliği.
  • Kimlik doğrulama, yetkilendirme ve giriş doğrulama mantığını doğrulamayı doğrulamayı sağlayan bir birim ve entegrasyon testleri.

Üretime girmeden önce gerçek sunucusuz uç noktalarına karşı güvenlik testleri yürütmek için ephemeral ortamlar (sting or önizleme dağıtımları) kullanın. API güvenlik test araçlarını kullanarak algılamayı düşünün.Postman veya ).OWASP ZAP)

Sonuç Sonuç Sonuç Sonuç Sonuç Sonuç Sonuç Sonuç

Serverless Computing inanılmaz hız ve ölçeklenebilirlik sunar, ancak proaktif bir güvenlik zihniyetini talep eder. API'leri yeni perimeter olarak tedavi ederek, sağlam kimlik doğrulama ve izinli, şifrelemeyi uygulamanız, throttling kötü niyetli trafik, titiz bir şekilde WAF'lerde girişlerinizi ve katmanız, izleme ve ağ kontrollerinizi talep eder, modern saldırıların çoğunluğuna karşı son noktalarınızı koruyabilirsiniz.