Serverless 架构下的系统安全问题

Serverless 架构是一种新型的应用架构方式，它提供了许多优秀的优点，例如弹性、强大的 scaling 能力、降低操作和维护成本等。虽然 Serverless 架构很受欢迎，但是在这样的环境下也会带来一些安全问题。这篇文章将介绍 Serverless 架构下的安全问题，并提供一些可能的解决方案。

Serverless 架构概述

在 Serverless 架构下，应用程序被分解为更小、独立的功能块，以便更灵活地管理和扩展。每个功能块都是一个微服务，它们是无状态的，即它们不会保留任何会话或状态信息。

Serverless 无服务器架构的运行环境主要是云计算平台，例如 AWS Lambda、Azure Functions、Google Cloud Functions 等。不同于传统的部分或整个服务器被租用的计算机环境，这些 Serverless 平台是事件驱动的，系统通常会自动扩展实例以适应流量。

在此方案下，开发者无需考虑硬件资源，仅仅关注自己的业务逻辑和代码实现，通过事件进行触发，并自动扩展、自动管理。这带来了极大的便捷，也让开发者能够专注于核心业务逻辑的实现。

但同时，Serverless 也存在于许多安全问题。

Serverless 架构中存在的安全问题

Serverless 架构下的系统安全问题主要有以下几种：

1. 功能安全

拥有完善的功能安全机制能够有效防范攻击，主要需要从代码层面上考虑。

在 Serverless 架构下，每个功能被拆成一个微服务，如果每个服务都对应一个 Lambda 函数，那么相当于对于每个微服务，攻击者都需要独立地找到攻击入口，就算其中某一个服务受到攻击，整个系统也不会被影响太多。相比于传统的单体架构，这种多服务的架构方式能够大大减小风险。

但仍然不应该松懈，建议在代码最开始的时候，提前设定好权限控制，设定好执行者机制，限制访问流量，以防止攻击者访问到不应该获得的资源。并且，在声明 Lambda 函数前，可以指定只有某些特定的执行者才能触发该函数。这一点在 AWS Lambda 上的实现是很简单的：在创建 Lambda 函数的时候，创建对应的 API Gateway，之后权限控制、访问流量控制均在 API Gateway 上进行。

2. 数据安全

Serverless 架构需要保证数据传输的安全性，数据传输是指在应用程序之间或与远程服务之间传输的数据。

在 Serverless 架构下，一般会使用 HTTPS 协议传输数据，以保证通信的加密和身份识别。同时，应该确保系统内部所有应用程序之间使用的协议也是加密的。这些措施能够有效防止中间人攻击和数据泄漏。

3. 数据库安全

Serverless 架构中通常使用反向代理或独立的数据存储服务来存储数据。

在存储数据时，我们需要保证数据库是安全可靠的，这意味着必须配置好权限认证、安全性协议等基本的安全措施，尽量避免 SQL 注入攻击。在使用数据库的过程中，需要保证 SQL 语句以及其他查询和操作是明确且安全的。其次，对于所有服务器应用程序，需要确保数据库应用程序使用远程接口的身份验证和加密传输，以保证安全性。

4. 认证和授权安全

在 Serverless 架构中，我们需要保证有足够的控制和权限管理，以避免攻击者越权操作，访问敏感的系统资源。

例如，我们需要确保用户可以访问系统的特定部分而不受到限制，系统管理员可以配置帐户权限并监控攻击行为，只有特定角色的用户才能访问敏感数据等。这些都是需要关注的问题。

Serverless 架构下的安全解决方案

1. 实施访问控制

对于 Serverless 架构中的 Lambda 函数，我们建议执行 Select Minimally Privileged Methodology (SMPM) 原则，即功能能访问的资源是严格限定的。

例如，您可能只需要让某些 Lambda 函数访问 S3 存储桶、RDS 数据库或 DynamoDB 表等资源。所以，您需要为每个函数分配适当的IAM(Identity and Access Management) 角色和权限，以限制访问，降低并发请求或某些请求不被信任的角色或实体使用。

2. 使用安全加密的协议

为了保证安全性，我们必须使用安全加密的协议（例如 SSL / TLS）来对数据通信，并对于所有应用程序之间的通信都使用 HTTPS 协议，这些措施能够有效防止中间人攻击和数据泄漏。

3. 实施防火墙

防火墙与访问控制的概念相似，都是需要实现保护网络、应用程序和客户端的安全性，减少入侵风险。

我们应该优先考虑使用安全团队配置的防火墙，以便保护本地资产、应用程序和数据存储。随着线上服务器的运行，请配置 AWS Security Groups 和 Network ACLs，以逐步制定更严格的规则，并监控部署后的流量和其他安全事件。

4. 实现强密码策略

密码策略是保证实施强密码，只有受信任的用户才能访问系统的另一种方法。

避免太过于信任某个用户在使用弱密码，这容易成为攻击者的目标。除此之外，还需要定义强身份验证策略，例如多因素身份验证，以加强用户名和密码的访问限制，在保护负载均衡器、代理和网络应用程序过程中，可以添加内置身份验证，并在应用程序层面使用 OAuth2。

示例代码：

Node.js 代码示例

AWS Lambda 示例

----- --- - -------------------

--------------- - ----- ------- -------- -- -
  --- -
    ----- -- - --- ---------
    ----- ---------- - ------------
    ----- -------- - --------------
    ----- ---- - ----- --------------
      ------- -----------
      ---- --------
    -------------
    ----- ---- - ---------------------
    ------ -----
  - ----- --- -
    ---------------
    ------ -
      ----------- ----
      ----- --- ----- -------- ----- ---------- ---- ---- ----
    --
  -
--

Azure Functions 示例

-------------- - ----- -------- --------- ---- -
  ----------------------- ---- ------- -------- --------- - -----------

  ----- ---- - --------------- -- --------- -- ----------------
  ----- --------------- - ----
    - ------- - - ---- - -- ---- ---- --------- -------- -------- --------------
    - ----- ---- --------- -------- -------- ------------- ---- - ---- -- --- ----- ------ -- -- --- ------- ---- --- - ------------ -----------

  ----------- - -
    -- ------- ---- -- -------- -- --- --
    ----- ---------------
  --
-

Go 代码示例

AWS Lambda 示例

------- ----

------ -
    ---------
    ---------------

    -------------------------------------
    -------------------------------------
-

---- ------- ------ -
    --------- ------ -------------------
    --------  ------ ------------------
-

---- -------- ------ -
    ------- ------ ----------------
-

---- ----------- ---------------- ------- ------------------------------ -------------------------------- ------ -
    --- --- -------
    --- -- ------------------------------------ -----
    -- --- -- --- -
        ------ ------------------------------------------ ----- ---
    -

    -- ------------- -- -- -- ------------ -- -- -
        ------ ------------------------------------------ ----- ------------------- ------- --------------
    -

    ---- -- ----------------- ------- - - ------------- - - - - ------------ - ----
    --------- --- -- ------------------
    -- --- -- --- -
        ------ ------------------------------------------ ----- ---
    -

    ------ -------------------------------
        ----------- ----
        --------    --------------------------------- --------------------
        -----       -----------------
    -- ---
-

---- ------ -
    ---------------------
-

Azure Functions 示例

------- ----

------ -
    ----------

    --------------------------
-

---- ------- ------ -
    --------- ------ -------------------
    --------  ------ ------------------
-

---- -------- ------ -
    ------- ------ ----------------
-

---- ------ -
    - -- -------------
    ---------------- ------ ------------- -
        --- --- -------
        -- --- -- ----------------------- --- -- --- -
            ----------------------------- -------------- -------- ----------
            ------
        -

        -- ------------- -- -- -- ------------ -- -- -
            ----------------------------- -------------- -------- ------- ---------------
            ------
        -

        ---- -- ----------------- ------- - - ------------- - - - - ------------ - ----
        --------------------- -----
    --

    -------
-

总结

在 Serverless 架构环境下，安全问题仍然是至关重要的。因此，我们应该确保系统拥有完善的安全措施和详细的记录来收集、监控和解决各种安全问题，关闭不必要的端口、禁用访问控制表和使用安全套接字等措施，以免被攻击者利用系统漏洞进行恶意攻击。

来源：JavaScript中文网 ，转载请联系管理员！ 本文地址：https://www.javascriptcn.com/post/6453760e968c7c53b07d73ff

阅读全文

猜你喜欢

  • Socket.io 在 React 中的使用指南

    什么是 Socket.io Socket.io 是一个 JavaScript 库，让实时双向通信变得容易。它包含了两个部分：服务器部分和客户端部分。服务器部分运行在 Node.js 环境中，客户端部分...

    1 年前
  • TypeScript 编码建议和最佳实践

    TypeScript 是一门由 Microsoft 推出的开源编程语言，它是 JavaScript 的超集，意味着不仅支持 JavaScript 的所有语法和特性，还额外提供了类型注解、接口、泛型等强...

    1 年前
  • AngularJS 的 $scope 和 Controller 的关系详解

    前言 在学习 AngularJS 的过程中，$scope 和 Controller 是两个非常重要的概念。$scope 是一个可以用于页面上展示的对象，它包含了页面上的数据和方法，而 Controll...

    1 年前
  • Web Components 如何为 Web 开发带来革命性变化

    Web Components 是一种创建可复用和可扩展的定制 HTML 元素的技术。它们是由标准 Web API 和新的 HTML 标准规范组成的，而不是任何框架或库。

    1 年前
  • 从零开始搭建 Serverless 应用

    Serverless 是一种新兴的云计算模式，它允许开发者以函数为中心来构建和部署应用程序，而无需管理任何基础设施。通过 Serverless，您可以更快速、更简单地开发和部署应用程序，并且节省更多的...

    1 年前
  • Server-sent Events 和 AJAX/Long Polling 的区别

    在现代 web 应用开发中，前端与后端的实时通信变得越来越必要。通常我们会使用轮询（polling）技术，即客户端定期向服务器发送请求来查看是否有新数据。不过，这种方式会导致无谓的网络流量和资源浪费。

    1 年前
  • SASS 中如何处理重复的样式代码

    SASS 是一种强大的 CSS 预处理器，使用它可以让前端开发变得更加高效。其中一个重要的功能就是处理重复的样式代码，我们可以使用 SASS 提供的 mixin 和 extend 这两个功能来实现。

    1 年前
  • Redux 中间件开发实战

    Redux 是一个流行的 JavaScript 应用程序状态管理库。它可以轻松地跟踪应用程序的状态并使得状态的修改易于管理。Redux 为应用程序提供了一个单一的状态存储器，使得所有状态都集中在一个地...

    1 年前
  • Sequelize 如何重命名表格？

    在前端开发中，Sequelize 是一种流行的 ORM（Object-Relational Mapping）工具，用于连接关系型数据库并进行数据库操作，如查询、添加、更新和删除数据等。

    1 年前
  • Promise 中 then 和 catch 的执行顺序

    Promise 中 then 和 catch 的执行顺序 在 JavaScript 中，Promise 是异步编程的一种解决方案，它可以优雅地处理异步操作，避免传统回调函数的回调地狱（callback...

    1 年前
  • Tailwind 如何实现响应式布局？

    响应式布局是为了让网页能够自适应不同设备的屏幕尺寸而设计的一种布局方式。在前端开发中，我们经常需要实现响应式布局来适配不同的设备。Tailwind 是一款 CSS 工具库，提供了很多实用的 CSS 类...

    1 年前
  • 如何解决 PM2 在应用启动时卡顿的问题

    问题描述 在使用 Node.js 开发应用时经常会用到进程管理器，而目前比较流行的进程管理器之一就是 PM2。但是，有些开发者会发现在使用 PM2 启动应用时，会出现一定的卡顿现象，尤其是在应用比较大...

    1 年前
  • PWA 应用中如何优化性能

    Progressive Web App (PWA) 应用是一种跨平台的应用程序，它采用了网页应用程序的优点，同时也具备了原生应用程序的体验。为了让 PWA 应用能够快速响应和加载，需要进行性能优化。

    1 年前
  • 使用 Hapi.js 和 Joi 作为请求参数验证

    在 Web 开发中，请求参数的验证和过滤是非常重要的，可以有效地保证系统的安全和稳定。在前端类技术中，Hapi.js 和 Joi 是两个非常常用的工具，可以方便地进行请求参数验证。

    1 年前
  • 如何使用 Next.js 实现图片懒加载

    前端开发需要保证页面性能，其中图片的加载是一个重要的性能问题。传统的加载图片的方法是在页面加载时一次性加载所有图片，但这种方法会影响用户的体验，特别是在移动设备上，因为移动设备的带宽较小，加载速度会更...

    1 年前
  • 如何在 Mongoose 中创建复合索引

    如何在 Mongoose 中创建复合索引 在数据库中创建索引是提高查询速度和性能的一种常见方式，尤其是在处理大量数据时。在 Mongoose 中，我们可以使用 Schema Indexes 来创建索引...

    1 年前
  • 用 Material Design Lite 构建交互式表单

    前言 在现代网站和应用程序中，表单是非常重要的。它们是用户和网站之间的主要交互方式。因此，构建一个易于使用且美观的交互式表单至关重要。在这篇文章中，我们将介绍利用 Material Design Li...

    1 年前
  • 使用 Mocha 进行测试时遇到 Mock 数据不生效的问题解决办法

    在前端开发中，测试是非常重要的一部分，而在测试时，经常需要用到 Mock 数据来模拟真实数据。然而，有时我们会发现，用 Mocha 进行测试时，Mock 数据不生效的问题。

    1 年前
  • 如何在 LESS 中使用字体图标

    在前端开发中，我们经常需要在网页中使用字体图标来美化页面样式。字体图标使用方便、易于扩展和定制化，因此广受前端开发者的喜爱。 LESS 是一种动态样式语言，它拓展了 CSS 语言并使其更加灵活和强大。

    1 年前
  • Koa 实现 WebSocket 通信

    WebSocket 是一种在 Web 应用程序中进行双向通信的通信协议，使用它可以非常方便地实现实时的数据推送、聊天室等功能。而 Koa 则是一个在 Node.js 平台上构建 Web 应用程序的框架...

    1 年前

相关推荐

    暂无文章