無服務(wù)器系統(tǒng)架構(gòu)：應(yīng)用安全范式轉(zhuǎn)換

所謂“范式轉(zhuǎn)換”（ParadigmShift）是指長期形成的思維習(xí)慣、價值觀的轉(zhuǎn)移。而“無服務(wù)器”（Serviceless）系統(tǒng)架構(gòu)打破了人們的習(xí)慣思維，使服務(wù)器看不見，使整個開發(fā)部署過程更加安全高效，為所有開發(fā)部署運維人員帶來了軟件架構(gòu)和應(yīng)用部署的新大陸。不過，“無服務(wù)器”相反，它也會導(dǎo)致一系列新的安全問題和挑戰(zhàn)。

如果你問軟件開發(fā)人員什么是軟件架構(gòu)，你可能會得到各種各樣的答案：軟件架構(gòu)“藍(lán)圖或計劃”、“概念模型”或“大局”，不一而足。毫無疑問，架構(gòu)或架構(gòu)的缺與軟件的成敗有關(guān)。良好的架構(gòu)有助于擴展Web或移動應(yīng)用程序，不良的結(jié)構(gòu)可能會導(dǎo)致嚴(yán)重的問題，必然需要重寫，成本高。

而“無服務(wù)器”系統(tǒng)架構(gòu)最大的安全優(yōu)勢之一是，它可以幫助開發(fā)者擺脫運行后端應(yīng)用程序所需的服務(wù)器設(shè)備的設(shè)置和管理更新。這些任務(wù)由無服務(wù)器系統(tǒng)架構(gòu)提供商負(fù)責(zé)，然后通過數(shù)據(jù)庫、身份驗證等服務(wù)方式為開發(fā)者提供所需的功能。

然而，盡管開發(fā)人員不再需要對無服務(wù)器云提供商處理的許多安全任務(wù)負(fù)責(zé)，但他們?nèi)匀恍枰?fù)責(zé)為具有服務(wù)器邏輯的應(yīng)用程序編寫強大的代碼，并確保這些應(yīng)用程序代碼沒有應(yīng)用程序?qū)勇┒础，F(xiàn)在看來，這項任務(wù)不會很快消失。

至于云供應(yīng)商，將負(fù)責(zé)提供用于運行這些代碼的服務(wù)器，必要時縮放服務(wù)器。執(zhí)行完成后，承擔(dān)這些功能的容器將立即停止，執(zhí)行過程將以100毫秒為單位測量。用戶只需要為運行代碼過程中消耗的資源付費。有些人稱這種模式為功能，即服務(wù)（FaaS）。

此外，任何與應(yīng)用程序本身或云服務(wù)相關(guān)的配置也需要安全保護(hù)。由于任何錯誤的設(shè)置和云服務(wù)的錯誤配置都可能成為無服務(wù)器系統(tǒng)架構(gòu)的攻擊入口，導(dǎo)致敏感機密信息泄露，并攻擊潛在的中間人（MiTM）提供入口點。同樣，該任務(wù)也是應(yīng)用程序所有者的責(zé)任。

在“無服務(wù)器”在這個世界上，云供應(yīng)商將與您分擔(dān)安全責(zé)任。下圖顯示了共享無服務(wù)器安全責(zé)任模型：

為“云內(nèi)部”的所有者（Owner"in"theCloud）負(fù)責(zé)。包括客戶端、云數(shù)據(jù)、傳輸數(shù)據(jù)（包括在公共或不可信網(wǎng)絡(luò)上流動的信息，以及在私人網(wǎng)絡(luò)中流動的數(shù)據(jù)，如企業(yè)或企業(yè)局域網(wǎng)）、應(yīng)用程序、身份和訪問管理、云服務(wù)配置等。

FaaS(功能即服務(wù))供應(yīng)商:“構(gòu)成云”的所有者（Owner"of"theCloud）負(fù)責(zé)；包括操作系統(tǒng) 虛擬設(shè)備 容器、計算、存儲、數(shù)據(jù)庫、網(wǎng)絡(luò)、區(qū)域、可用性區(qū)域（AZ）、邊緣位置（edgelocation）等。

雖然無服務(wù)器系統(tǒng)結(jié)構(gòu)簡單高效，但也引入了一系列新問題和應(yīng)用挑戰(zhàn)：

1.攻擊面不斷增加。

無服務(wù)器功能消耗來自各種事件源的數(shù)據(jù)，如HTTPAPIs、消息隊列（messagequeues）、云存儲和物聯(lián)網(wǎng)（IoT）設(shè)備通信等。而且，無服務(wù)器系統(tǒng)架構(gòu)幾乎不同Web在環(huán)境中，開發(fā)人員知道哪些消息不應(yīng)該被理解和信任（GET/POST參數(shù)、HTTP標(biāo)頭等）。這大大增加了無服務(wù)器系統(tǒng)結(jié)構(gòu)的潛在攻擊，特別是當(dāng)消息使用協(xié)議和復(fù)雜的消息架構(gòu)時，許多不能通過標(biāo)準(zhǔn)的應(yīng)用程序?qū)舆M(jìn)行保護(hù)（如Web檢查應(yīng)用防火墻)。

2.攻擊面的復(fù)雜性

有些人可能很難理解無服務(wù)器系統(tǒng)架構(gòu)中的攻擊，因為這樣的系統(tǒng)架構(gòu)相對較新。許多軟件開發(fā)人員和架構(gòu)師沒有獲得足夠的安全風(fēng)險經(jīng)驗，以及保護(hù)此類應(yīng)用程序所需的適當(dāng)保護(hù)措施。

3.整個系統(tǒng)的復(fù)雜性

無服務(wù)器系統(tǒng)架構(gòu)的可視化和監(jiān)控仍比監(jiān)控標(biāo)準(zhǔn)軟件環(huán)境復(fù)雜。在偵察攻擊階段，威脅實施者試圖打破網(wǎng)絡(luò)防御和弱點，這也是檢測可疑行為并關(guān)閉網(wǎng)絡(luò)安全解決方案的關(guān)鍵。由于無服務(wù)器架構(gòu)停留在云環(huán)境中，“本地”實時網(wǎng)絡(luò)安全解決方案是多余的，這意味著可能會錯過早期攻擊的發(fā)現(xiàn)。雖然無服務(wù)器系統(tǒng)通常提供日志記錄功能，但可能不適合安全監(jiān)控或?qū)徲嫛?/p>

4.安全試驗不足

無服務(wù)器系統(tǒng)架構(gòu)的安全測試比測試標(biāo)準(zhǔn)應(yīng)用程序更復(fù)雜，特別是當(dāng)這些應(yīng)用程序與遠(yuǎn)程第三方服務(wù)或后端云服務(wù)（如NoSQL數(shù)據(jù)庫、云存儲或流處理服務(wù))交互。此外，自動掃描工具不適用于掃描無服務(wù)器應(yīng)用程序。

傳統(tǒng)的安全防護(hù)措施不適用：由于無服務(wù)器系統(tǒng)架構(gòu)的組織無法訪問物理（或虛擬）服務(wù)器或其操作系統(tǒng)，因此無法部署基于主機的端點保護(hù)、入侵防御等傳統(tǒng)保護(hù)層Web防火墻或應(yīng)用程序RASP（實時應(yīng)用程序自我保護(hù)）解決方案——它是安全保護(hù)技術(shù)的新應(yīng)用，它將保護(hù)程序像疫苗一樣注入應(yīng)用程序，并與應(yīng)用程序集成，可以實時檢測和阻斷安全攻擊，使應(yīng)用程序具有自我保護(hù)能力。當(dāng)應(yīng)用程序遇到特定的漏洞和攻擊時，可以自動重新配置，無需人工干預(yù)。

這是最后一條要求在沒有服務(wù)器系統(tǒng)架構(gòu)的應(yīng)用程序安全性方面進(jìn)行大范式轉(zhuǎn)換(即傳統(tǒng)的安全防護(hù)措施不適用)。在無服務(wù)器系統(tǒng)架構(gòu)中，您只能控制應(yīng)用程序的代碼，而且它幾乎是您所擁有的。這意味著，如果您需要保護(hù)您的無服務(wù)器代碼，唯一的選擇是確保您編寫了安全代碼，并將其集成到應(yīng)用程序中。

其實這不是壞事——無服務(wù)器計算迫使軟件架構(gòu)師和開發(fā)人員解決安全問題，而不是在出現(xiàn)問題時進(jìn)行安全保護(hù)。顯然，這是一種更積極的方式。（資料來源：安全牛）

騰友科技運營理念：15年后，致力于建設(shè)國內(nèi)外規(guī)模最大、質(zhì)量最好、成本最低的互聯(lián)網(wǎng)絡(luò)，根據(jù)客戶的不同業(yè)務(wù)需求，提供國內(nèi)外服務(wù)器托管或租賃、柜租賃、大帶寬租賃、防御攻擊服務(wù)等增值服務(wù)和業(yè)務(wù)解決方案。機房資源遍布世界各地：數(shù)據(jù)中心分布在世界200多個國家和地區(qū)，選擇資源，密切合作。