Segurança Serverless num mundo cheio de Clouds

A computação serverless requer das organizações uma mudança de paradigma quanto à forma como encaram a segurança das suas aplicações. Este modelo prevê que as organizações, além de investirem na segurança que rodeia a aplicação, através de firewalls de próxima geração, assegurem ainda as funções da mesma que se encontrem à responsabilidade de fornecedores cloud terceiros. Esta camada adicional de segurança garante a robustez das aplicações e confere o mínimo de privilégios de acesso, fazendo com que cada função faça apenas o que foi projetada para fazer.

Uma arquitetura serverless oferece a possibilidade de escala automatizada e quase infinita. Estreita-se, assim, a distância entre os programadores e o código implementado, diminuindo-se o tempo de chegada ao mercado e facilitando o teste e a manutenção das funções individuais. Além disso, os recursos aplicacionais consumidos influenciam ainda os preços, o que, neste caso, significa que os custos são minimizados, já que o utilizador paga apenas pelo que utiliza.

Esta mudança de gestão de infraestrutura para um fornecedor cloud resulta num decréscimo da sobrecarga de operações, libertando os responsáveis das organizações para se focar nas soluções que melhor se ajustam às restantes necessidades da empresa.

A segurança de uma infraestrutura serverless garante melhorias significativas, pois:

Em primeiro lugar, ao ceder o controlo das aplicações ao fornecedor cloud significa que a organização deixa de estar responsável pela proteção do sistema operativo, deixando de ter os direitos de administração, SSH e segmentação. Assim, os fornecedores cloud gerem o sistema operativo, a segurança runtime e o Patching. Sendo projetados especialmente para esse propósito, a tarefa estará certamente muito melhor entregue.

Por outro lado, a natureza efémera e “nómada”, da computação serverless dificulta a vida dos cibercriminosos. Funções como a AWS Lambda correm por alguns segundos e depois morrem. As funções do servidor não têm memória, vão e vêm, o que reduz, evidentemente, o risco de ataques a longo prazo.

Este tipo de computação oferece ainda uma visibilidade ímpar sobre as aplicações. O facto das aplicações serverless estarem estruturadas como um grande número de pequenas funções na cloud beneficia em muito a segurança, uma vez que permite uma visibilidade profunda e detalhada do fluxo interno de cada uma.

Recorrer a microserviços permite um IAM (Identity and Access Management) mais preciso. Possibilita a aplicação de políticas de segurança específicas para cada função, o que minimiza as superfícies de ataque.

A maior eficácia da segurança serverless não significa, contudo, que não existem desafios. A estrutura em mudança das aplicações serverless dá lugar a novas dificuldades que não devem ser relegadas para segundo plano.

A visibilidade para a segurança torna-se mais difícil, uma vez que a quantidade de informação e recursos aumenta. A capacidade de utilizar os dados que uma organização terá a seu dispor de forma inteligente e eficaz será prejudicada caso não seja adotada uma solução unificadora que mostre todo os pontos da infraestrutura.

O carácter específico de cada função pode resultar na multiplicação dos pontos de ataque, o que requer abordagens exclusivas por parte dos fornecedores cloud. O facto de existirem mais recursos significa que existem também mais permissões a gerir, o que dificulta o processo de determinar permissões para todas estas interações. A tecnologia automatizada pode minimizar este desafio ao detetar riscos de configuração, gerando automaticamente permissões

---