无服务器计算是云计算的趋势之一，也是最复杂的趋势之一。与任何新技术一样，无服务器计算也会带来新的技术风险。因此，组织需要了解什么是无服务器以及他们需要采取哪些安全措施来使无服务器工作负载安全运行。通过无服务器计算，云计算可以在其最原始的水平上表达，而不需要组织运行自己的物理服务器。无服务器计算的拥护者称赞其纯服务方法，而怀疑者则表示在复杂性和安全性方面存在问题。那么无服务器云计算到底是什么？也许更重要的是，组织如何采取主动措施来保护它？什么是无服务器计算？无服务器计算有时被称为“功能即服务”，这可能是一个更具描述性的术语。Serverless也被一些厂商称为事件驱动计算。通过云计算，组织不再使用物理服务器本身，而是提供运行应用程序的虚拟服务器计算实例。在无服务器模型中，服务组件更进一步，服务器本身被抽象出来。简而言之，无服务器与其他云计算服务一样，不需要长时间运行的服务器或容器，而是基于事件触发器实现给定任务的简单函数。例如，使用无服务器电子邮件功能代替长时间运行的电子邮件服务，只需发送一封电子邮件即可触发电子邮件功能。由AWSlambda服务开创的无服务器计算现在也可以在Microsoft的Azure公共云和谷歌云平台(GCP)上使用。还有多个开源选项支持私有云的无服务器和Kubernetes容器编排系统部署。无服务器计算：无服务器计算的利弊风险虽然无服务器计算为组织提供了一种不同且更敏捷的服务交付方法，但它也是一种不同的部署和管理范例，可能会带来新的风险。组织应考虑的无服务器计算风险包括：供应商安全：无服务器功能在供应商的基础设施上执行，可能安全也可能不安全。多租户：无服务器服务中的功能通常运行在为多个客户端运行代码的共享基础设施上；当涉及敏感数据时，这可能是个问题。加密：无服务器功能通常可以调用数据库和其他特权资源；如果连接未加密，数据可能会暴露。安全配置错误：为了能够访问不同的资源，开发人员可能会直接在函数中输入访问密钥、令牌、密码；不保护这些秘密是一种风险。函数权限：通常，无服务器函数被授予与服务器可能获得的相同权限。但是，无服务器函数只需要最少的权限即可执行，而过度配置的权限会使该函数面临潜在风险。组件漏洞：功能通常依赖于第三方库和组件的供应链。如果其中一个组件中存在已知（或未知）漏洞，则可能会利用无服务器功能。如何管理无服务器安全性管理无服务器安全性就是要有适当的控制和策略。虽然云计算服务器安全策略可能对云中的虚拟计算服务器实例有效，但无服务器计算需要额外级别的控制、粒度和可见性。减少无服务器权限无服务器计算的风险是拥有比所需更多权限的能力。使用无服务器，可以通过对所有已部署功能实施最小权限模型??来显着减少威胁。在功能的开发阶段，可以在暂存环境中设置自动检查，减少权限数量。通过分析函数行为，还可以查看正在运行的函数实际使用了哪些权限。通过这种可见性，管理员可以访问以仅启用所需的权限。实施身份验证所有调用服务的功能，无论是否在同一云提供商内，都必须要求访问控制和身份验证以帮助限制风险。云计算提供商提供了有关如何实施无服务器身份验证实践的指南，管理员应遵循这些指南。使用云平台供应商控制云计算供应商也有各种内置服务，可以帮助用户识别潜在的错误配置。例如，AWSTrustedAdvisor是运行AWSLambda的一个选项。记录功能活动由于无服务器功能是事件驱动和无状态的，因此查看实时活动通常会错过大部分活动。通过使用无服务器的云提供商（或第三方）日志记录和监控，可以在需要威胁搜寻时使用审计跟踪。监控功能层功能可以有多层，可以调用不同的代码和第三方数据库。通过监控功能层，管理员可以识别注入尝试和恶意活动。考虑第三方安全工具虽然无服务器平台提供商通常会集成一些安全控件，但它们的范围通常是有限的，只关注运行这些功能的平台。有多种第三方工具和技术可为无服务器计算提供额外的可见性和控制层。无服务器计算安全供应商无服务器计算安全工具市场相对较新，但该领域已经有多家供应商。与容器安全供应商有一些重叠（请参阅eSecurityPlanet的容器安全供应商列表），因为无服务器技术通常涉及使用短期无状态容器。AquaSecurityAquaSecurity提供了一个完整的容器和无服务器安全平台，可帮助组织评估和减轻无服务器风险。NuwebaNuweba是无服务器行业领域的新成员，于2019年2月推出，拥有自己的安全功能即服务平台，该平台与主要公共云提供商的无服务器服务集成。PuresecPureSec无服务器安全平台专为应对无服务器安全挑战而构建，可以集成到组织现有的持续集成/持续开发(CI/CD)工作流程中。ProtegoLabsProtegoLabs也专注于无服务器安全，旨在提供从开发到部署的全生命周期安全。SnykSnyk平台使组织能够持续扫描功能以帮助识别任何潜在风险。TwistlockTwistlock的平台在整个开发和部署生命周期中为容器和无服务器功能提供安全性。
