Serverless 보안 모범 사례: Cloud Technologies의 종합 가이드

7월 18, 2025 | 독서시간: 13분 37초

• DevOps 엔지니어와 클라우드 전문가를 위해 디자인된 이 포괄적인 가이드를 가진 Master serverless 안전. 기본 보안 원칙에서 고급 위협 완화 기술에 이르기까지이 상세한 기술 가이드는 AWS, Azure 및 Google Cloud 플랫폼에서 서버리스 응용 프로그램을 확보하기 위해 필요한 필수 지식과 실용적인 전략을 제공합니다. *필수

소개: Serverless 보안의 중요한 중요성

Serverless 컴퓨팅은 서버 관리 오버 헤드를 제거하여 현대 애플리케이션 개발을 혁명화하고 비례없는 확장성 및 비용 효율성을 가능하게합니다. 그러나, 이 패러다임 변화는 전문 지식과 접근법을 요구하는 독특한 보안 문제를 소개합니다. 클라우드 공급자가 인프라 보안을 처리하는 동안 애플리케이션 수준의 취약점은 개발자와 DevOps 팀의 책임에 남아 있으며, 종합적인 보안 관행을 더욱 중요하게 만듭니다.

Serverless 보안 풍경은 전통적인 애플리케이션 보안 모델에서 크게 다릅니다. 서버 없는 기능의 ephemeral 성격, 공유 책임 모형 및 사건 몬 건축술은 새로운 공격 벡터 및 안전 고려를 창조합니다. 현대 서버리스 응용 프로그램은 종종 여러 클라우드 서비스와 통합, 분산 시스템의 민감한 데이터를 처리, 멀티텐트 환경에서 작동, 보안 취약점의 잠재적 영향을 증폭.

이 포괄적 인 가이드는 오늘날 조직에 직면하는 가장 중요한 서버가없는 보안 문제를 해결하고 주요 클라우드 플랫폼에서 서버리스 응용 프로그램을 확보하기위한 실용적인 전략과 구현 기술을 제공합니다. 이러한 보안 모범 사례를 이해하고 구현하는 것은 생산 환경에서 견고하고 준수하며 탄력있는 서버리스 아키텍처를 유지하는 데 필수적입니다.

Fundamental Serverless 보안 원칙

공유 책임 모델 이해

Serverless 공용 책임 모델은 기본적으로 조직이 보안에 접근하는 방법을 변경합니다. AWS, Microsoft Azure 및 Google Cloud Platform은 물리적 보안, 네트워크 제어, 호스트 운영 체제 패치 및 하이퍼바이저 보안을 포함하여 인프라 보안을 처리합니다. 그러나 고객은 코드 보안, 데이터 보호, 정체성 및 액세스 관리 및 구성 보안을 포함한 애플리케이션 수준의 보안을 담당합니다.

책임의 이 부문은 클라우드 공급자 보안 기능을 활용하면서 애플리케이션 레이어 보호에 중점을 둔 새로운 보안 전략을 개발해야 합니다. 책임 경계 거짓말이 효과적인 보안 프로그램을 개발하는 것이 중요합니다. 예를 들어 AWS는 Lambda 실행 환경을 관리하면서, 고객은 기능 코드를 보안해야 하며, IAM 권한을 관리하고, 해당 애플리케이션 내에서 민감한 데이터를 보호합니다.

공유 책임 모형은 또한 수락 요구에 확장합니다. 조직은 서버가 없는 애플리케이션이 SOC 2, PCI DSS, HIPAA 및 GDPR과 같은 규제 표준을 준수해야 하며, 그 중 일부 인프라를 통제하지는 않습니다. 이것은 애플리케이션 수준에서 적절한 제어를 구현하고 클라우드 공급자 보안 기능 지원 준수 목표를 이해해야합니다.

Serverless의 Zero Trust 아키텍처

Serverless 환경에서 Zero 신뢰 원칙을 구현하는 것은 소스에 상관없이 잠재적으로 신뢰할 수 없는 모든 함수를 처리해야 합니다. 이 접근법은 내부 네트워크에 접근을 얻은 외부 공격자, 손상된 내부 시스템, 악의적 인 내부를 포함한 어디에서나 위협이 발생할 수 있음을 가정합니다. Zero trust serverless 아키텍처는 지속적인 검증, 최소 권한 접근 및 모든 상호 작용 지점에서 종합적인 모니터링을 구현합니다.

Zero trust Serverless 구현은 일반적으로 모든 기능 인발적, 모든 데이터의 암호화 및 모든 활동의 포괄적 인 로깅 및 모니터링 및 컨텍스트 및 위험 평가를 기반으로 동적 정책 시행을 포함합니다. 이러한 원칙은 인식된 감도 또는 내부 versus 외부 노출에 관계없이 모든 서버가 없는 기능에서 지속적으로 적용되어야 합니다.

Serverless 기능의 stateless 성격은 실제로 각 invocation에 대한 명시적 인 연결을 제거하여 Zero 신뢰 원칙을 지원합니다. 그러나 기존의 네트워크 기반 보안 컨트롤이 덜 효과적이며 조직이 응용 프로그램 및 데이터 레이어에서 보안 제어를 구현하는 데 필요한 조직이 필요합니다.

심층 전략의 방어

Serverless 보안은 다양한 공격 벡터를 보호하기 위해 보안 제어의 여러 레이어를 구현해야 합니다. API 게이트웨이 및 웹 애플리케이션 방화벽, 보안 코딩 관행 및 입력 검증, 암호화 및 액세스 제어를 통한 데이터 보안, 모니터링 및 사고 응답 기능을 통해 운영 보안을 통해 깊이 전략의 종합 방어가 포함됩니다.

각 보안 층은 특정 목적이며 다른 유형의 위협에 대한 보호를 제공합니다. API Gateways는 악의적 인 요청을 필터링하고 제한 속도를 구현하여 방어의 첫 줄을 제공합니다. Application-level 통제는 주입 공격과 사업 논리 취약점에 대하여 보호합니다. Data Encrypt는 다른 제어가 실패하더라도 민감한 정보를 보호합니다. 모니터링 및 로깅은 잠재적 인 보안 사고 및 지원 forensic 분석을 제공합니다.

서버 없는 기능의 ephemeral 성격은 깊이 전략에 방어에 특별한 고려사항을 요구합니다. 전통적인 호스트 기반 보안 제어는 적용되지 않습니다. 따라서 조직은 애플리케이션 수준 제어 및 클라우드 기반 보안 서비스에 크게 의존해야합니다. AWS GuardDuty, Azure Security Center 및 Google Cloud Security Command Center와 같은 클라우드 공급자 보안 서비스가 위협 탐지 및 응답을 위한 포함됩니다.

ID 및 액세스 관리 (IAM) 보안

Least Privilege 액세스 구현

최소 권한의 원칙은 Serverless 보안에 기초하여 각 함수가 의도한 작업을 수행하는 데 필요한 최소한의 권한을받습니다. 이 접근법은 공격자가 함수를 타협하면 접근할 수 있는 보안 위반의 잠재적 영향을 크게 줄 수 있습니다. Serverless 환경에서 최소한의 권한 구현은 각 기능의 요구 사항 및 정기적 인 검토의 주의적 분석이 적절하게 유지되도록합니다.

효과적인 최소한의 권한 구현은 각 함수가 접근해야 하는지 정확히 이해하기 시작하며 어떤 작업을 수행해야 합니다. 이것은 특정한 데이터베이스, 저장 물통, 외부 APIs 및 기능이 상호 작용하는 다른 클라우드 서비스를 식별합니다. 다양한 권한을 부여하는 것보다, 조직은 필요한 리소스에만 액세스 할 수있는 특정 정책을 작성해야하며 필요한 작업 만.

정기적 인 권한 감사는 시간에 최소한의 권한 액세스를 유지하기위한 필수적입니다. 응용 프로그램 진화 및 요구 사항 변경으로, 필요한 경우 한 번 초과 될 수있다. 자동화된 도구는 사용되지 않는 권한과 과실 넓은 정책을 식별할 수 있으며, 조직을 지속적으로 액세스 제어를 제거할 수 있습니다. 많은 클라우드 제공 업체는 IAM 구성의 잠재적 인 보안 위험을 식별 할 수있는 액세스 분석 도구를 제공합니다.

기능 특정 IAM 제품정보

각 서버가 없는 기능 또는 밀접한 관련 그룹을 위한 전용 IAM 역할을 하는 것은 허가에 관대한 통제를 제공하고 안전 자세를 개량합니다. 이 접근법은 접근 자원에서 기능을 방지하고 추적 및 감사 접근 패턴을 쉽게 만들 수 없습니다. 기능별 역할은 문제 해결을 단순화하고 특권 에스컬레이션 공격의 위험을 줄일 수 있습니다.

함수별 역할 설계시, 조직은 함수의 목적, 데이터 처리, 외부 서비스를 고려해야 합니다. 예를 들어, 결제 데이터를 처리하는 기능은 보고서를 생성하는 것보다 다른 권한이 있어야 합니다. 같은 응용 분야의 기능은 특정 책임에 따라 다른 액세스 수준이 필요할 수 있습니다.

Function-specific 역할은 또한 더 나은 감시 및 감사 기능을 지원합니다. 각 기능에는 자체 역할을 할 때 보안 팀은 리소스에 액세스하고 보안 사고를 나타내는 비정상적인 액세스 패턴을 식별하는 기능을 쉽게 추적 할 수 있습니다. 이 과립상 시정은 Serverless 환경에서 효과적인 보안 모니터링 및 사건 응답에 필수적입니다.

Cross-Account 및 Cross-Service 액세스 제어

많은 서버가 없는 애플리케이션은 여러 AWS 계정, Azure 구독, 또는 Google Cloud 프로젝트, 크로스 계정 액세스 제어의 주의적인 관리가 필요합니다. 이러한 시나리오는 추가 복잡성 및 보안 고려 사항을 도입, 조직은 보안 모범 사례와 작업 요구 사항을 균형 잡힌다. Proper cross-account access controls는 합법적인 비즈니스 운영을 가능하게 하는 동안 무단 액세스를 방지합니다.

Cross-account 액세스는 임시 자격 증명을 사용하여 구현하고 장기 액세스 키보다 역할 메커니즘을 가정해야합니다. 이 접근법은 credentials의 일생을 제한하여 더 나은 보안을 제공하고 접근 권한을 통해 더 많은 과립 통제를 가능하게 합니다. 조직도 가능한 다중 요인 인증을 포함하여 크로스 계정 액세스에 대한 강력한 인증 요구 사항을 구현해야합니다.

Cross-account 액세스 권한의 일반 리뷰는 보안을 유지하는데 필수적입니다. 비즈니스 관계 변경 및 응용 프로그램 진화로, 크로스 계정 액세스 요구 사항도 변경할 수 있습니다. 조직은 정기적으로 검토 및 중단을 위해 프로세스를 수행해야합니다.

비밀 및 구성 관리

보안 비밀 저장 및 Retrieval

기능 코드 또는 환경 변수에 직접 저장 비밀은 가장 일반적인 위험한 serverless 보안 실수 중 하나를 나타냅니다. API 키, 데이터베이스 암호, 암호화 키, 제 3 자 서비스 자격 증명을 포함한 비밀은 전용 비밀 관리 서비스 및 런타임에 안전하게 보호됩니다. 이 접근법은 코드 저장소, 배포 artifacts 및 기능 구성에 노출에서 비밀을 보호합니다.

현대 클라우드 플랫폼은 서버가 없는 애플리케이션을 위해 특별히 설계된 강력한 비밀 관리 서비스를 제공합니다. AWS Secrets Manager and Systems Manager Parameter Store, Azure Key Vault 및 Google Secret Manager는 안전한 스토리지, 자동 회전 및 민감한 정보에 대한 정밀한 편두 액세스 제어를 제공합니다. 이 서비스는 serverless 기능으로 원활하게 통합되며 비밀 액세스를 위한 감사 트레일을 제공합니다.

안전한 비밀의 retrieval을 구현하는 것은 성능과 보안 거래의주의 고려 사항이 필요합니다. 모든 기능 invocation에 비밀을 검색하는 것은 가장 높은 보안을 제공하지만 성능과 증가 비용에 영향을 미칠 수 있습니다. 기능 실행 중 메모리에서 캐싱 비밀은 성능 향상하지만 비밀 교체 및 캐시 무효의주의 관리가 필요합니다. 조직은 보안 요구 사항 및 성능 요구 사항에 따라 적절한 캐싱 전략을 구현해야합니다.

환경 변수 보안

환경변수가 민감한 비밀을 저장하지 못하는 동안, 그들은 Serverless 구성 관리에 중요한 역할을하고 적절한 보안 고려사항을 요구합니다. 환경 변수는 종종 구성 정보를 포함하지만, 직접 민감하지 않는 동안, 공격자에 대한 귀중한 정보를 제공하거나 타협하는 경우 특권을 사용할 수 있습니다. Proper 환경 변수 관리는 검증, 위생 및 모니터링을 포함합니다.

환경 변수 검증은 구성 값이 예상되는 형식과 제약을 충족하는 것을 보장합니다. 이것은 구성 기반 공격을 방지하고 배포 과정에서 잠재적 인 보안 문제를 조기 식별하는 데 도움이됩니다. 모든 구성 매개 변수에 대한 데이터 유형, 값 범위 및 형식 요구 사항을 확인해야합니다.

조직은 환경 변수 변경 및 액세스 패턴을 모니터링해야합니다. 환경 변수에 대한 예상 변경은 보안 사건이나 구성을 표시할 수 있습니다. 자동화된 감시는 잠재적인 문제점 및 지원 사건 응답 노력에 보안 팀을 경보할 수 있습니다.

구성 Drift 예방

Serverless 환경에서의 설정은 보안 취약성을 도입할 수 있습니다. 이 드립은 수동 변경을 통해 발생할 수 있습니다, 잘못된 구성으로 자동화 된 배포, 또는 제대로 검토되지 않은 구성 변경의 점차 축적. 설정 drift 방지는 코드 관행 및 지속적인 모니터링으로 인프라를 구현해야 합니다.

AWS CloudFormation, Azure Resource Manager 템플릿 및 Google Cloud Deployment Manager와 같은 코드 도구로 구성된 인프라는 모든 서버가 없는 기능을 통해 일관된 구성을 정의하고 유지할 수 있습니다. 이 도구는 버전 컨트롤, 변경 추적, 자동화 된 배포 기능을 제공합니다. 무단 또는 무인화 된 구성 변경을 방지하는 데 도움이.

연속 구성 모니터링은 승인 된 기본 및 경고 팀에 대한 실제 기능 구성을 비교합니다. 이 모니터링은 IAM 권한, 네트워크 구성, 환경 변수 및 기타 보안 관련 설정을 포함해야 합니다. 자동화된 치료는 drift가 검출될 때 적당한 윤곽을 빨리 복원할 수 있습니다.

입력 검증 및 주입 공격 방지

종합 입력 Sanitization

입력 검증은 Serverless 애플리케이션에서 주입 공격에 대한 방어의 첫 줄을 나타냅니다. API 요청, 이벤트 트리거 또는 외부 통합 여부에 관계없이 serverless 기능을 입력하는 데이터의 모든 조각은 처리하기 전에 철저히 검증되고 위생해야합니다. 이것은 직접 사용자 입력뿐만 아니라 신뢰할 수있는 소스의 데이터뿐만 아니라이 소스는 타협되거나 악의적 인 콘텐츠를 포함 할 수 있습니다.

효과적인 입력 유효성 검사는 Whitelist와 blacklist 둘 다 접근을 실행하고, whitelist 검증은 보안 크리티컬 애플리케이션을 선호합니다. Whitelist validation은 입력 형식과 값이 허용되는 것을 정확히 정의하며 다른 모든 것을 거부합니다. 이 접근법은 블랙리스트 유효성 검사보다 더 안전하지만, 악성 입력을 식별하고 차단하려고 시도하지만 새로운 또는 알 수없는 공격 벡터를 놓치지 않을 수 있습니다.

입력 유효성 검사는 serverless 신청 내의 다수 수준에서 일해야 합니다. API 게이트웨이는 요청 형식 및 기본 매개 변수 검사의 초기 검증을 제공 할 수 있습니다. Application-level validation은 사업 논리 제약 및 상세한 형식 검사를 실행해야 합니다. 데이터베이스 및 저장 층 검증은 데이터 지속력 전에 최종 검사를 제공합니다. 이 다중 계층 접근은 악의적 인 입력이 이전 유효성 검사 단계를 우회하는 경우에도 잡음을 보장합니다.

SQL 주입 예방

SQL Injection attacks는 데이터베이스와 상호 작용하는 Serverless 응용 프로그램에 가장 일반적인 위험 위협 중 하나입니다. 이 공격은 사용자 입력이 적절한 위생없이 SQL 쿼리에 직접 통합되면 공격자가 임의 데이터베이스 명령을 실행 할 수 있습니다. SQL 주입을 방지하기 위해서는 매개 변수화된 쿼리, 저장된 절차 및 애플리케이션 전체에 적절한 입력 유효성을 구현해야 합니다.

매개 변수화된 쿼리, 또한 준비된 문으로 알려진, 사용자 데이터에서 별도 SQL 코드, 악성 SQL 명령을 주입하는 공격자를 위해 불가능한 만들기. 현대 데이터베이스 드라이버 및 ORM 프레임 워크는 매개 변수화된 쿼리에 대한 내장 지원을 제공합니다. SQL 주입을 방지하기 위해 선호하는 접근 방식을 만듭니다. 조직은 모든 데이터베이스 상호 작용을 위해 매개 변수화된 쿼리를 요구하는 코딩 표준을 수립해야 합니다.

데이터베이스 액세스 제어는 SQL Injection attacks에 대한 추가 보호를 제공하여 작업 손상된 기능을 수행 할 수 있습니다. 공격자가 SQL 명령을 성공적으로 주사하더라도 적절한 데이터베이스 권한은 민감한 데이터에 액세스하거나 파괴적인 작업을 수행 할 수 있습니다. 이것은 적절한 권한 제한을 가진 다른 기능을 위한 별도의 데이터베이스 사용자를 구현합니다.

NoSQL 주입 완화

NoSQL 데이터베이스는 전통적인 SQL 데이터베이스와 다른 동안 데이터 무결성 및 기밀성을 손상시킬 수있는 주사 공격에 취약합니다. NoSQL 주입 공격은 일반적으로 쿼리 매개 변수 또는 문서 구조를 조작하여 우회 인증, 액세스 권한 데이터, 또는 무인 운영을 수행합니다. NoSQL 주입 방지는 각 데이터베이스 유형에 대한 특정 공격 벡터를 이해하고 적절한 대책을 구현합니다.

Mongo의 DB Injection attacks 종종 쿼리 연산자를 조작하거나 데이터베이스 내에서 JavaScript 실행 상황에 악용. 예방 전략은 데이터베이스 쿼리 내에서 JavaScript 실행을 피하고 적절한 인증 및 인증 컨트롤을 구현하는 쿼리 매개 변수 일치와 형식을 보장하기 위해 입력 검증을 포함합니다. Mongo의 조직 DB는 쿼리 로그를 활성화하고 의심스러운 쿼리 패턴에 대한 모니터링을 고려해야합니다.

DynamoDB 및 기타 키 값은 파티션 키와 정렬 키 조작의 주위에 주로 다른 주입 위험에 직면합니다. 공격자는 키 값을 조작하거나 빈번하게 설계 된 액세스 패턴을 악용하여 무단 데이터를 액세스 할 수 있습니다. 예방은 데이터 액세스 패턴, 모든 키 값에 적합한 입력 유효성 검사 및 IAM 정책을 사용하여 미세 곡물 액세스 제어의 구현을 요구합니다.

명령 주입 보호

명령 주입 취약점은 serverless 함수가 적절한 위생 없이 사용자 보호 입력을 사용하여 시스템 명령을 실행할 때 발생합니다. 이러한 취약점은 공격자가 대기 실행 환경에서 임의 명령을 실행할 수 있으며, 잠재적으로 데이터 도난, 시스템 손상 또는 클라우드 환경에서 측면 이동을 이끌 수 있습니다. 명령 주입을 방지하면 시스템 명령 실행을 피하고 필요한 경우 엄격한 입력 유효성을 구현해야합니다.

명령 주입을 방지하는 가장 좋은 방법은 기본 언어 라이브러리 및 클라우드 서비스 API를 사용하여 실행 시스템 명령 altogether를 방지하는 것입니다. 필요한 작업을 수행 할 수 있습니다. 예를 들어, 파일 조작을 위해 명령줄 도구를 사용하는 것보다, 응용 프로그램은 라이브러리를 처리하는 내장 파일 사용해야 합니다. 시스템 명령 실행이 불가할 때, 조직은 엄격한 입력 유효성을 구현하고 안전한 명령 실행 방법을 사용합니다.

안전한 명령 실행은 인자에서 별도의 명령을 실행하는 매개 변수화 명령 실행 방법을 사용하여 예상 문자와 형식 만 허용하는 엄격한 입력 검증을 구현하고 고립 된 환경에서 최소 권한으로 명령을 실행합니다. 조직은 명령 실행 활동을 모니터링하고 의심되는 명령 주입 공격에 대한 사건 응답 절차를 수립해야합니다.

인증 및 인증

Multi-Factor 인증 구현

Multi-factor 인증(MFA)은 서버가 없는 애플리케이션에 대한 필수 보호를 제공합니다. 이 접근법은 비밀번호가 피싱, 데이터 침해 또는 기타 공격 방법을 통해 손상된 경우에도 무단 액세스의 위험을 크게 줄일 수 있습니다. Serverless 환경에서 MFA를 구현하는 것은 사용자 경험, 성능 및 기존 정체 시스템과의 통합을 고려해야 합니다.

현대 서버리스 응용 프로그램은 일반적으로 AWS Cognito, Azure Active Directory 또는 Google Identity Platform과 같은 ID 공급자와 통합을 통해 MFA를 구현합니다. 이 서비스는 SMS, 이메일, 인증기 앱 및 하드웨어 토큰을 포함한 내장 MFA 기능을 제공합니다. 조직은 보안 요구 사항, 사용자 기반 및 운영 제약을 기반으로 MFA 방법을 선택해야합니다.

MFA 구현은 사용자 경험 영향을 고려하고 인증 장치에 액세스하는 사용자를위한 적절한 낙하 메커니즘을 제공합니다. 이 계정 복구 절차를 구현, 여러 MFA 옵션을 제공, 그리고 MFA 요구 사항은 합법적 인 사용자에 대한 장벽을 만들 수 없습니다. 조직은 MFA 우회 시도 및 특이한 인증 패턴을 모니터링해야합니다.

토큰 기반 인증

토큰 기반 인증은 암호화 서명 토큰을 사용하여 서버가 없는 응용 프로그램에 대한 안전하고 확장 가능한 인증을 제공하여 사용자의 정체성과 권한을 검증합니다. 이 접근법은 강력한 보안 보장을 제공하면서 stateless Serverless 기능의 세션 상태 관리에 대한 필요성을 제거합니다. 토큰 기반 인증은 토큰 수명주기 관리, 검증 절차 및 보안 관리의주의 고려사항을 요구합니다.

JSON Web Tokens (JWT)는 서버리스 응용 프로그램에 가장 일반적인 토큰 형식을 나타냅니다. 암호화 서명 형식으로 사용자 ID 및 권한을 인코딩하는 표준화 된 방법을 제공합니다. JWT 토큰은 외부 인증 서비스 호출을 요구하지 않고 Serverless 기능에 의해 로컬로 검증 될 수 있으며 성능 향상 및 의존성을 감소시킵니다. 그러나 JWT 구현은 토큰 만료, 서명 검증 및 청구 검증에주의를 기울여야 합니다.

Token Lifecycle 관리에는 토큰을 새로 고침 메커니즘을 제공하는 적절한 토큰 만료 시간을 구현하고 토큰 재발급 기능을 유지하고 있습니다. Short-lived 토큰은 토큰 타협의 영향을 줄이고 더 빈번한 재생 작업을 요구합니다. 조직은 토큰 수명주기 정책을 설계 할 때 사용자 경험 고려 사항과 보안 요구 사항을 충족해야합니다.

역할 기반 액세스 제어 (RBAC)

역할 기반 액세스 제어는 서버리스 응용 프로그램의 허가를 관리하는 확장 가능한 접근 방식을 그룹화하여 사용자가 역할과 개별 사용자보다 역할에 대한 권한을 할당합니다. 이 접근법은 권한 관리를 단순화하고 보안 일관성을 개선하고 준수 요구 사항을 지원합니다. Serverless 환경에서 RBAC 구현은 주의적인 역할 설계, 권한 매핑 및 지속적인 역할 관리가 필요합니다.

효과적인 RBAC 구현은 사용자의 다른 유형과 액세스 요구 사항을 식별하는 것입니다. 이 사업 역할, 기술 책임 및 데이터 액세스 필요 이해. 조직은 업무의 적절한 분리와 최소한의 특권 원칙을 유지하면서 비즈니스 기능을 정렬하는 역할을 설계해야합니다. 역할 계층은 명확성과 관리성을 유지하면서 복잡한 권한 구조를 관리할 수 있습니다.

RBAC 구현은 일반 역할 리뷰 및 권한 감사를 포함해야합니다. 그 역할은 적절하고 사용자가 필요로하는 액세스 만 있어야합니다. 조직이 진화하고 사업 요구 사항 변경으로, 역할 정의는 보안 및 운영 효율성을 유지하기 위해 업데이트 될 수 있습니다. 자동화된 도구는 역할 충돌, 과도한 권한 및 사용되지 않는 역할을 식별할 수 있습니다.

API 게이트웨이 보안

API 게이트웨이는 많은 서버리스 응용 분야에 대한 기본 항목 포인트로 제공되며 인증, 인증, 권한 부여, 제한, 요청 유효성을 포함한 중요한 보안 기능을 제공합니다. Proper API Gateway 구성은 인증된 액세스 및 악의적 인 요청에서 serverless 기능을 보호하는 데 필수적입니다. 이에는 적절한 인증 메커니즘, 구성 비율 제한 정책 및 포괄적 인 로깅 및 모니터링이 포함됩니다.

API Gateway 인증은 조직 정체 시스템과 통합하여 클라이언트 요구 사항에 따라 여러 인증 방법을 지원합니다. 이 API 키는 서비스 서비스 통신, OAuth 2.0 사용자 인증, 높은 보안 시나리오에 대한 상호 TLS를 포함 할 수 있습니다. 조직은 민감성 및 액세스 요구 사항에 따라 각 API 엔드포인트에 적합한 인증 방법을 구현해야합니다.

denial-of-service 공격으로부터 serverless 함수를 제한하고, throttling은 과도한 함수 호출을 방지하여 제어 비용을 돕습니다. API 게이트웨이는 예상 사용 패턴과 용량 제약을 기반으로 한 클라이언트 및 글로벌 속도 제한을 모두 구현해야 합니다. 조직은 효율성을 제한하고 실제 사용 패턴과 보안 사고를 기반으로 정책을 조정해야합니다.

모니터링, 로깅 및 Observability

종합 보안 Logging

Serverless 환경에서의 효과적인 보안 로깅은 기능 실행, 액세스 패턴 및 보안 이벤트에 대한 자세한 정보를 캡처하고 로그 데이터의 볼륨과 비용을 관리합니다. Serverless 애플리케이션은 이벤트 중심의 자연과 미세 곡물 실행 모델로 인해 로그 데이터의 상당한 금액을 생성합니다. 조직은 압도적인 모니터링 시스템 또는 예산 제약을 초과하지 않고 보안 관련 정보를 캡처하는 전략적 로깅 접근법을 구현해야합니다.

보안 로깅은 성공적이고 실패한 로그인 시도, 권한 변경 및 민감한 리소스에 대한 액세스를 포함하여 인증 및 권한 이벤트를 캡처해야합니다. 기능 실행 로그는 입력 유효성 검사 결과, 오류 조건 및 보안 문제를 나타내는 특정 실행 패턴을 포함해야합니다. 네트워크 액세스 로그는 API 게이트웨이 요청, 데이터베이스 연결 및 외부 서비스 상호 작용을 캡처하여 데이터 흐름 및 잠재적 인 공격 벡터로 가시성을 제공합니다.

Log 데이터 구조 및 형식 일관성은 효과적인 보안 모니터링 및 분석에 중요합니다. 조직은 타임스탬프, 사용자 식별자, 소스 IP 주소 및 요청 식별자와 같은 필수 보안 메타 데이터를 포함하는 표준화 된 로깅 형식을 구현해야합니다. JSON 또는 유사한 형식을 사용하여 구조화된 로깅은 여러 기능과 서비스를 통해 자동화된 분석 및 상관관계를 가능하게 합니다.

실시간 보안 모니터링

실시간 보안 모니터링은 조직이 발생하고 잠재적 인 손상을 최소화하고 복구 시간을 줄임으로써 보안 사고에 대해 감지하고 응답 할 수 있습니다. Serverless 환경은 분산 된 자연 및 급속한 스케일링 특성 때문에 전문 모니터링 접근 방식을 요구합니다. 기존의 호스트 기반 모니터링 도구는 적용되지 않고 조직이 애플리케이션 레벨 및 클라우드 기반 모니터링 솔루션을 구현할 필요가 없습니다.

효과적인 실시간 모니터링은 비정상적인 기능 실행 패턴, 의심스러운 로그인 활동을 위한 인증 모니터링, 잠재적인 denial-of-service 공격에 대한 성능 모니터링을 포함합니다. 기계 학습 기반 모니터링 도구는 전통적인 규칙 기반 경고를 트리거 할 수없는 미묘한 공격 패턴을 식별 할 수 있습니다. 조직은 실시간 가시성을 보안 메트릭으로 제공하고 신속한 사건 대응을 가능하게 하는 대시보드를 모니터링해야 합니다.

Alert 관리는 Serverless 애플리케이션으로 효과적인 실시간 모니터링을 위해 중요하며 보안 팀을 압도할 수 있는 알림의 큰 볼륨을 생성할 수 있습니다. 조직은 높은 심각성 사건, 관련 사건을 전개하고, 거짓 긍정적을 감소시키는 지적인 경고를 실행해야 합니다. Alert 피로는 보안 효과에 크게 영향을 줄 수 있으며 보안 팀의 효율성을 유지하기위한 적절한 경고를 튜닝합니다.

지원 및 지원

Serverless 환경에서의 사용 응답은 기능 실행의 ephemeral 성격 및 서버리스 응용의 분산 된 아키텍처로 인해 전문 절차 및 도구가 필요합니다. 전통적인 사건 응답은 host-based forensics와 persistent 체계 상태에 의존하는 접근은 serverless 환경에 적용되지 않습니다. 조직은 클라우드 기반 도구 및 Serverless-specific forensic 기술을 활용한 새로운 사건 응답 기능을 개발해야 합니다.

Serverless 사건 응답 절차는 더 손상을 방지하기 위하여 급속한 기능 고립 기능을 포함해야 합니다, 포괄적인 통나무 수집 및 분석 공구는 공격 범위와 방법을 이해하기 위하여, 및 보안 사건을 포함하는 자동화한 응답 기능을 포함합니다. 조직도 신속하게 손상된 기능 및 데이터를 복원 할 수있는 백업 및 복구 절차를 구현해야합니다.

Serverless 환경에서의 포렌식 분석은 로그 데이터 및 클라우드 서비스 감사 트레일에 크게 의존합니다. 전통적인 디스크 및 메모리 포렌식은 불가능합니다. 조직은 포렌식 분석에 대한 충분한 세부 사항을 캡처 포괄적 인 로깅 및 감사 흔적 수집을 구현해야합니다. 이 기능은 실행 로그, API 게이트웨이 액세스 로그, 데이터베이스 감사 로그 및 AWS CloudTrail, Azure Activity Log 및 Google Cloud Audit Log와 같은 서비스에서 클라우드 서비스 감사 흔적을 포함합니다.

성능 및 보안 상관

성능 모니터링 및 보안 모니터링은 Serverless 환경에서 밀접하게 관련되어 있으며 보안 사고는 종종 성능 분석으로 나타납니다. Denial-of-service 공격은 증가된 기능 실행 시간 또는 더 높은 오류율로 나타날 수 있습니다. 자원 배기 공격은 timeout 또는 실패에 함수를 일으킬 수 있습니다. 조직은 성능과 보안 메트릭을 통합하여 애플리케이션 건강 및 보안 자세에 대한 종합적인 가시성을 제공합니다.

성능 기반 보안 모니터링에는 코드 주입 또는 자원 배기 공격을 표시 할 수있는 특이한 패턴에 대한 추적 기능 실행 시간을 포함, 공격 시도를 표시 할 수있는 스파이크에 대한 오류율을 모니터링, 및 암호 화폐 광업 또는 기타 무단 활동의 징후를 분석 자원 활용 패턴. 이 메트릭은 보안 이벤트와 관련이 있어야 합니다.

비용 감시는 또한 증가한 자원 소비 및 더 높은 구름 서비스 비용에 있는 많은 공격 결과로 보안 통찰력을 제공할 수 있습니다. 예상 비용 증가는 denial-of-service 공격, 자원 남용, 또는 타협된 기능에 따라 무단 활동을 수행 할 수 있습니다. 조직은 전체 보안 모니터링 전략의 일환으로 비용 모니터링 및 경고를 수행해야합니다.

데이터 보호 및 암호화

나머지 및 Transit에서 암호화

Data Encrypt는 다른 보안 제어가 실패한 경우에도 데이터가 보호되는 것을 보장함으로써 serverless 애플리케이션의 민감한 정보에 필수적인 보호를 제공합니다. 포괄적 인 암호화 전략은 적절한 암호화 알고리즘 및 키 관리 관행을 사용하여 나머지와 transit에서 데이터를 보호해야합니다. Serverless 애플리케이션은 모든 데이터 저장 및 전송 지점에서 일관된 암호화 접근을 필요로하는 여러 클라우드 서비스에서 데이터를 처리합니다.

나머지의 암호화는 데이터베이스, 파일 시스템 및 기타 영구 저장 서비스에 저장된 데이터를 보호합니다. 현대 클라우드 플랫폼은 자동 암호화 키 관리 및 회전을 포함한 대부분의 저장 서비스에 대한 내장 암호화 기능을 제공합니다. 조직은 모든 데이터 저장 서비스에 대한 암호화를 활성화하고 클라우드 공급자 암호화를 넘어 추가 보호가 필요한 매우 민감한 데이터에 대한 추가 응용 수준 암호화를 구현해야합니다.

transit의 암호화는 서버가 없는 기능, 외부 서비스 및 클라이언트 애플리케이션 간의 이동으로 데이터를 보호합니다. TLS 암호화는 모든 API 통신을 구현하고 데이터베이스 액세스 암호화 연결을 사용하여 내부 서비스 통신이 적절한 암호화 프로토콜을 사용합니다. 조직은 암호화 인증서가 유효하고 올바르게 구성되도록 인증 관리 절차를 실행해야합니다.

핵심 관리 최고의 연습

암호화 키 관리는 Serverless 환경에서 데이터 보호의 가장 중요한 측면 중 하나입니다. Poor 키 관리는 데이터 보안을 유지하기위한 적절한 키 수명주기 관리를 만드는 가장 강력한 암호화 구현조차 할 수 있습니다. 조직은 키 생성, 배포, 회전 및 모든 serverless 응용 프로그램 및 서비스 전반에 걸쳐 파괴를 해결하는 포괄적 인 키 관리 전략을 구현해야합니다.

AWS Key Management Service (KMS), Azure Key Vault 및 Google Cloud Key Management와 같은 Cloud-native 키 관리 서비스는 클라우드 애플리케이션을 위해 특별히 설계된 강력한 키 관리 기능을 제공합니다. 이 서비스는 하드웨어 보안 모듈 (HSM) 보호, 자동 키 교체 및 서버가 없는 기능과 완벽하게 통합되는 미세 곡물 액세스 제어를 제공합니다. 조직은 사용자 정의 키 관리 솔루션을 구현하는 것보다 이러한 서비스를 활용해야합니다.

주요 교체 정책은 작업 복잡성으로 보안 요구 사항을 균형을 유지해야하며, 특수 상황에서 수동 회전 기능을 제공하는 동안 대부분의 키에 대한 자동 회전을 구현합니다. 조직은 키 사용 패턴에 대한 모니터링을 수행하고 의심되는 타협의 경우 비상 키 교체에 대한 절차를 수립해야합니다. 주요 백업 및 복구 절차는 비즈니스 연속성을 유지하기위한 필수적입니다.

데이터 분류 및 취급

Data 분류는 데이터 감도 및 규제 요건을 기반으로 적절한 보안 제어를 구현하는 기반을 제공합니다. Serverless 응용 프로그램은 종종 다른 데이터 유형에 대한 다른 보호 측정을 필요로하는 다양한 감도 수준으로 데이터를 처리합니다. 조직은 민감한 데이터를 식별하고 각 분류 수준에 적합한 처리 요구 사항을 지정하는 포괄적 인 데이터 분류 계획을 구현해야합니다.

데이터 분류는 PCI DSS와 같은 규제 요건을 고려해야 합니다. 지불 데이터, HIPAA for Healthcare information, GDPR for personal data. 각 분류 수준은 암호화 요구 사항, 액세스 제어, 유지 정책 및 처리 절차를 지정해야합니다. 조직은 민감한 데이터를 식별하고 적절한 보호를 자동으로 적용 할 수있는 자동화 된 데이터 발견 및 분류 도구를 구현해야합니다.

데이터 처리 절차는 데이터 수집, 처리, 저장 및 데이터 수명주기 전반에 걸쳐 처리해야 합니다. Data minimization 원칙을 적용하여 필요한 데이터, 데이터 보존 정책을 수집하여 긴 데이터가 유지되는 방법을 지정하고 민감한 데이터를 보장하는 안전한 데이터 처리 절차는 더 이상 필요하지 않을 때 제대로 파괴됩니다. 조직은 데이터 액세스 또는 전송을 모니터링하는 데이터 손실 방지 (DLP) 도구를 구현해야합니다.

개인정보취급방침

GDPR, CCPA 및 유사한 법과 같은 개인 규정은 조직 수집, 프로세스 및 개인 데이터를 보호하는 방법에 대한 특정 요구 사항을 부과합니다. Serverless 애플리케이션은 적용 가능한 규정을 준수해야 합니다. 이 데이터는 접근, 정정 및 삭제, 개인 정보 보호 정책과 같은 데이터 주제 권리를 구현합니다.

규제 요건은 종종 특정 보안 통제 및 감사 절차를 준수해야 합니다. Serverless 응용 프로그램은 적절한 로깅, 액세스 제어 및 데이터 보호 측정을 통해 준수 요구 사항을 지원하도록 설계되었습니다. 조직은 규제 요건을 준수하고 잠재적 준수 격차를 식별하는 준수 모니터링을 구현해야합니다.

개인정보의 수집 및 이용목적이 달성된 후에는 해당 정보를 지체없이 파기합니다. 이 평가는 서버가 없는 응용 프로그램의 분산된 성격과 데이터의 잠재력을 고려해야 하며 여러 클라우드 서비스 및 지리적 영역에서 처리할 수 있습니다. 조직은 또한 개인 정보 보호 요구 사항을 이해하고 적절한 보호를 구현하기 위해 개발 팀에 대한 개인 정보 보호 교육을 실시해야합니다.

네트워크 보안 및 고립

가상 프라이빗 클라우드(VPC) 구성

가상 개인 Cloud 구성은 개인 자원 또는 향상된 보안 자세에 대한 액세스를 요구하는 serverless 기능에 대한 네트워크 수준의 고립 및 보안 제어를 제공합니다. 많은 serverless 기능은 클라우드 공급자의 관리 네트워크 환경에서 효과적으로 작동 할 수 있지만 민감한 데이터를 처리하거나 VPC 배포에서 개인 데이터베이스 및 서비스 혜택을 누릴 수있는 응용 프로그램입니다. Proper VPC 구성은 네트워크 아키텍처, 보안 그룹 및 라우팅 정책을주의 깊게 고려해야 합니다.

VPC-deployed serverless 함수는 private subnets, 전용 네트워크 인터페이스 및 향상된 네트워크 보안 컨트롤에 대한 액세스를 얻습니다. 이 배포 모델은 공공 인터넷에 노출되지 않는 개인 데이터베이스, 내부 API 및 기타 리소스에 액세스 할 수있는 기능을 제공합니다. 그러나 VPC 배포도 냉연 성능 영향 및 네트워크 구성 요구 사항을 포함하여 추가 복잡성을 소개합니다.

네트워크 보안 그룹 및 액세스 제어 목록은 네트워크 트래픽을 통해 서버가 없는 기능으로 정밀한 곡물 제어를 제공합니다. 이 제어는 최소한의 권한 원칙을 구현해야하며 필요한 네트워크 통신만 허용하고 다른 모든 트래픽을 차단합니다. 조직은 정기적으로 검토 및 감사 네트워크 보안 구성을 검토하고 응용 프로그램 진화 및 요구 사항 변경으로 적절하게 유지해야합니다.

API Gateway 및 웹 애플리케이션 방화벽

API 게이트웨이는 대부분의 서버리스 애플리케이션에 대한 기본 네트워크 입력 지점 역할을 하며 요청 필터링, 속도 제한 및 프로토콜 시행을 포함한 필수 보안 기능을 제공합니다. Proper API 게이트웨이 구성은 네트워크 기반 공격으로부터 serverless 기능을 보호하고 합법적 인 요청 도달 기능 코드를 보장합니다. 이에는 적절한 인증 메커니즘, 요청 검증 및 보안 헤더를 구현합니다.

Web Application Firewalls (WAF)는 SQL Injection, Cross-site scripting 및 기타 OWASP Top 10 취약점과 같은 일반적인 웹 애플리케이션 공격에 대한 추가 보호를 제공합니다. AWS WAF, Azure Web Application Firewall 및 Google Cloud Armor와 같은 Cloud-native WAF 서비스는 API 게이트웨이와 원활하게 통합되며 알려진 공격 패턴을 보호하는 관리형 세트를 제공합니다. 조직은 모든 public-facing serverless API를 위한 WAF 보호를 실행해야 합니다.

WAF 구성은 일반적인 공격 및 사용자 정의 규칙에 대해 보호하는 관리 된 규칙 세트를 포함해야 애플리케이션 별 보안 요구 사항을 해결. 조직은 정기적으로 WAF 로그와 메트릭스를 검토하여 공격 패턴을 이해하고 규칙을 조정해야합니다. False 긍정적 인 관리는 효과적인 보안 보호를 제공하는 동안 애플리케이션 가용성 유지에 중요합니다.

네트워크 세그먼트 및 Micro-Segmentation

서버 환경의 네트워크 세그먼트는 보안 침해의 잠재적 영향을 제한하기 위해 다른 애플리케이션 구성 요소 및 데이터 흐름을 격리합니다. 전통적인 네트워크 세그먼트는 물리적 또는 가상 네트워크 경계에 의존하지만, Serverless 세그먼트는 일반적으로 보안 그룹, IAM 정책 및 서비스 서비스 인증과 같은 클라우드 고유 컨트롤을 사용합니다. 효과적인 세분화는 적절한 고립 경계를 구현하기 위해 애플리케이션 아키텍처 및 데이터 흐름을 이해해야합니다.

Micro-segmentation은 기존의 세그먼트 개념을 확장하여 개별 기능 또는 관련 기능의 작은 그룹 간의 미세 곡물 고립을 제공합니다. 이 접근 제한 공격자의 측면 이동 기회와 보안 사건의 더 나은 포함을 제공합니다. Serverless 환경에서의 Micro-segmentation은 일반적으로 IAM 정책, 네트워크 보안 그룹 및 기능 간의 통신을 제어하는 서비스 메쉬 기술을 사용합니다.

Segmentation 전략은 과도한 운영 복잡성을 창조하지 않고 적절한 고립을 구현하는 보안 및 운영 요구 사항을 고려해야 합니다. 조직은 문서의 세분화 정책을 작성하고 그 세분화 통제가 시간 동안 효과적인 유지되도록 모니터링을 구현해야합니다. 세그먼트 효과의 일반 테스트는 잠재적 인 우회 방법 및 구성 문제를 식별하는 데 도움이됩니다.

콘텐츠 전달 네트워크 (CDN) 보안

Content Delivery Networks는 서버리스 응용 프로그램에 대한 성능과 보안 혜택을 제공합니다. 콘텐츠가 사용자들에게 가까이 있고 네트워크 가장자리에서 추가 보안 컨트롤을 제공합니다. CDN 보안 기능에는 DDoS 보호, 지리적 차단 및 다양한 공격 유형의 서버리스 응용 프로그램을 보호 할 수있는 필터링이 포함됩니다. Proper CDN 구성은 애플리케이션 기능을 유지하면서 이러한 보안 혜택을 극대화하는 데 필수적입니다.

CDN 보안 구성은 보안 요구 사항, 서버리스 API에 직접 액세스를 방지하는 원산지 보호, 고위험 지역에서 트래픽을 차단하는 지리적 제한을 준수하는 적절한 캐싱 정책을 포함해야합니다. 조직은 공격 패턴과 CDN 효과에 가시성을 제공하기 위해 CDN 모니터링 및 로깅을 구현해야합니다.

현대 CDNs에 의해 제공된 Edge 보안 기능은 사용자가 더 가까운 보안 처리를 제공할 수 있는 가장자리 위치에 Serverless 기능 실행을 포함합니다. 이 가장자리 기능은 요청하기 전에 요청 유효성 검사, 인증 및 봇 탐지와 같은 보안 제어를 구현할 수 있습니다. 조직은 serverless 애플리케이션 아키텍처를 설계할 때 가장자리 보안 기능을 고려해야 합니다.

신뢰성 및 공급망 보안

제3자 도서관 관리

타사 라이브러리 및 의존성은 서버가 없는 애플리케이션에서 중요한 보안 위험을 나타내며, 이러한 구성 요소의 취약점은 사용자 정의 코드가 보안되는 경우에도 애플리케이션 보안을 손상시킬 수 있습니다. Serverless 응용 프로그램은 종종 수많은 타사 라이브러리를 사용하여 기능을 신속하게 구현하고주의적인 관리를 필요로하는 큰 공격 표면을 만듭니다. 조직은 취약성 검사, 라이센스 준수 및 일반 업데이트를 포함하는 포괄적 인 의존성 관리 관행을 구현해야합니다.

의존성 취약성 검사는 생산 환경에 도달하기 전에 알려진 취약성을 식별하기 위해 개발 및 배포 파이프라인에 통합해야합니다. 현대 스캐닝 공구는 직접적인 의존성 둘 다에 있는 취약점을 확인하고 잠재적인 안전 위험으로 포괄적인 시정을 제공하. 조직은 severity 레벨과 잠재적 영향에 따라 식별 취약점에 대한 정책을 수립해야합니다.

라이브러리 업데이트 관리는 애플리케이션 안정성 및 호환성 문제로 보안 요구 사항을 균형을 잡는다. 조직은 신뢰할 수 있는 업데이트 후 애플리케이션 기능을 검증하고 문제 발생을 위한 롤백 절차를 수립해야 합니다. 자동화된 의존성 갱신 공구는 적합한 테스트 및 검증 기능을 제공하는 동안 현재 버전을 유지할 수 있습니다.

Container 이미지 보안

많은 serverless 플랫폼은 컨테이너 기반 배포 모델을 지원합니다. 추가 유연성과 실행 환경을 제어합니다. 컨테이너 이미지 보안은 기본 이미지 또는 컨테이너 구성의 취약점으로 이러한 배포 모델에 중요합니다. serverless 기능 보안을 손상시킬 수 있습니다. 조직은 이미지 스캔, 구성 관리 및 실행 보안을 해결하는 포괄적 인 컨테이너 보안 관행을 구현해야합니다.

컨테이너 이미지 스캔은 기본 운영 시스템 구성 요소, 런타임 환경 및 응용 범위의 취약점을 식별해야합니다. 스캔은 빌드 프로세스 중 모두 발생하고 지속적으로 생산에서 새로 발견 된 취약점을 식별해야합니다. 조직은 식별 취약점에 대한 정책을 시행하고 필요한 경우 업데이트 및 중복 컨테이너 이미지에 대한 절차를 수립해야합니다.

컨테이너 구성 보안은 적절한 사용자 권한, 파일 시스템 보호 및 네트워크 구성을 구현합니다. 컨테이너는 최소한의 권한으로 실행하고 공격 표면을 줄이기 위해 필요한 구성 요소를 포함해야합니다. 조직은 CIS Docker Benchmark와 같은 컨테이너 보안 벤치 마크를 구현하여 모든 컨테이너 배포에 걸쳐 일관된 보안 구성을 보장합니다.

자료의 소프트웨어 빌 (SBOM)

DataPlus는 수천개의 금속 및 비금속 소재의 부식 데이터, 소재 접합 관련 정보, 소재 치수 및 공차 및 코팅 정보를 제공하는 부가적인 데이터 모듈입니다. SBOM 생성 및 관리는 보안 및 준수 목적으로 점점 중요해지고 조직이 소프트웨어 공급망 위험을 이해하고 새로 발견 된 취약점에 신속하게 대응해야합니다.

SBOM 세대는 구조 및 배포 프로세스의 일부로 자동화되어 정확성과 완전성을 보장합니다. 현대 건축 공구와 콘테이너 플랫폼은 모든 성분 및 그들의 버전을 확인할 수 있는 붙박이 SBOM 세대 기능을 제공합니다. 조직은 모든 응용 프로그램과 배포를 통해 빠른 검색 및 취약점 상관관계를 가능하게하는 SBOM 스토리지 및 관리 시스템을 구현해야합니다.

SBOM 활용은 새로운 취약점이 발견될 때 신속하게 영향을 미칠 수 있는 취약점 관리 프로세스, 소프트웨어 구성요소 시정을 보여준 준수 보고 및 잠재적 보안 문제의 범위를 신속하게 평가할 수 있는 사건 응답 절차를 포함합니다. 조직은 SBOM 데이터를 보안 모니터링 및 사건 대응 시스템을 사용하여 가치를 극대화해야합니다.

공급 체인 공격 예방

공급망 공격은 악성 코드 또는 타협 소프트웨어 무결성을 주사하기 위해 소프트웨어 개발 및 배포 파이프라인을 대상으로합니다. 이 공격은 Serverless 애플리케이션의 분산된 성격과 제3자 서비스 및 구성 요소에 대한 신뢰성 때문에 서버가 없는 환경에서 특히 위험할 수 있습니다. 조직은 개발 수명주기 전반에 걸쳐 다양한 공격 벡터를 보호하는 종합 공급망 보안 조치를 시행해야 합니다.

Code 무결성 검증은 사용자 정의 응용 프로그램에 대한 코드 서명, 타사 구성 요소에 대한 서명 확인, 신뢰할 수있는 저장소를 사용하여. 조직은 타협에서 개발 및 배포 시스템을 보호하는 환경 보안을 구축하고 공인 된 인력 만 응용 코드 및 구성을 수정할 수 있도록해야합니다.

Deployment 파이프라인 보안은 모든 배포 활동에 대한 보안 통신 채널을 사용하여 배포 시스템에 적합한 액세스 제어를 구현하고 배포 프로세스를 위한 종합 로깅 및 모니터링을 구현합니다. 조직은 생산 배포 전에 애플리케이션 무결성 및 기능을 검증하는 배포 검증 절차를 실행해야합니다.

고급 보안 기술

런타임 어플리케이션 Self-Protection (RASP)

Runtime 신청 Self-Protection은 실시간 위협 탐지 및 응답 기능을 제공하기 위해 Serverless 애플리케이션에 보안 제어를 구현하는 새로운 보안 접근 방식을 나타냅니다. RASP 솔루션은 실행 중에 애플리케이션 동작을 모니터링하고 발생시 자동으로 차단하거나 mitigate 공격을 차단할 수 있습니다. 이 접근법은 전통적인 네트워크 기반 보안 제어가 덜 효과적 일 수 있는 서버가 없는 환경에서 특히 귀중합니다.

Serverless 환경에서 RASP 구현은 일반적으로 SQL 주입 시도, 명령 주입 및 특이한 데이터 액세스 패턴과 같은 의심스러운 활동을 모니터링하는 기능 코드로 보안 라이브러리 또는 에이전트를 통합합니다. 이 솔루션은 외부 보안 인프라 또는 복잡한 구성 관리가 필요없는 즉각적인 응답 기능을 제공할 수 있습니다. 현대 RASP 솔루션은 포괄적인 보안 적용을 제공하면서 성능 영향을 최소화하도록 설계되었습니다.

RASP 효과는 보안 적용을 유지하면서 적절한 구성 및 조정에 따라 false Positive를 최소화합니다. 조직은 RASP 솔루션을 점차적으로 구현해야 하며, 모니터링 모드로 시작하여 기능을 차단하기 전에 애플리케이션 동작을 이해해야 합니다. RASP 정책의 일반 검토 및 조정은 응용 프로그램 진화 및 새로운 위협으로 인해 보호가 효과적임을 보장합니다.

Behavioral Analytics 및 Anomaly 탐지

Behavioral analytics는 일반 응용 행동의 기본 설정 및 보안 사고를 나타내는 편차를 식별하여 고급 위협 탐지 기능을 제공합니다. 이 접근법은 Serverless 애플리케이션의 역동적이고 분산된 자연으로 인해 기존의 시그니처 기반 탐지 방식이 덜 효과적일 수 있는 Serverless 환경에서 특히 귀중합니다.

기계 학습 기반 행동 분석은 전통적인 보안 제어를 트리거 할 수없는 미묘한 공격 패턴을 식별 할 수 있습니다. 이 시스템은 함수 실행 시간, 자원 활용, API 호출 패턴 및 잠재적 보안 사고를 식별하는 데이터 액세스 동작을 분석합니다. 고급 분석은 여러 기능과 서비스를 통해 복잡한 공격 캠페인을 식별 할 수 있습니다.

Behavioral analytics 구현은 기본 설정 기간, false 긍정적 인 관리 및 경고 우선 순위를 신중하게 고려해야합니다. 조직은 보안 위협에 대한 감도를 유지하면서 애플리케이션 행동을 변경할 수 있는 분석 시스템을 구현해야 합니다. 사건 응답 시스템과의 통합은 신속한 대응을 가능하게 합니다.

Zero-Day 취약점 제품 정보

Zero-day vulnerabilities는 패치나 서명이 없는 이전에 알려지지 않은 취약점을 악용하면서 가장 도전적인 보안 위협 중 하나입니다. Serverless 응용 프로그램은 클라우드 공급자 인프라에 분산 된 자연 및 신뢰성 때문에 제로 일 보호에 대한 전문 접근을 요구합니다. 조직은 감지하고 알 수없는 위협을 완화 할 수있는 보호의 여러 층을 구현해야합니다.

Zero-day 보호 전략은 적용중인 특정 취약점에 관계없이 많은 공격 시도를 차단할 수있는 포괄적 인 입력 검증을 구현하고 성공적인 악용의 영향을 제한하고, Zero-day 악용을 나타내는 특정 활동을 감지 할 수있는 행동 모니터링을 구현하는 포괄적 인 입력 검증을 포함합니다.

고급 위협 인텔리전스 통합은 Serverless 애플리케이션을 대상으로 할 수있는 새로운 위협 및 공격 기술의 조기 경고를 제공 할 수 있습니다. 조직은 새로운 공격 방법 및 타협의 지표에 대한 정보를 제공하는 위협 인텔리전스 피드를 구현해야합니다. 이 인텔리전스는 보안 모니터링 시스템과 통합되어 신속한 탐지 및 신흥 위협에 대한 응답을 가능하게합니다.

보안 자동화 및 Orchestration

보안 자동화 및 관현은 조직이 보안 사건에 더 신속하고 일관되게 대응할 수 있도록 보안 팀의 부담을 줄임. Serverless 환경은 특히 클라우드 네이티브 서비스로 이벤트 중심의 자연과 통합으로 보안 자동화에 적합합니다. 조직은 위협을 포함 할 수있는 자동화 된 보안 응답을 구현해야하며, 증거를 수집하고, 인간 개입없이 구제 절차를 시작합니다.

자동화된 사건 응답은 급속하게 사건 범위 및 충격을 평가할 수 있는 자동화한 기능 고립 기능, 자동화된 통나무 수집 및 분석, 및 중요한 사건에 안전 팀을 경고하는 자동화한 통보 체계를 실행합니다. 이 기능은 기존의 보안 도구 및 사건 응답 절차와 통합되어야 합니다.

보안 관현 플랫폼은 여러 시스템 및 서비스를 통해 복잡한 응답 활동을 조정할 수 있습니다. 이 플랫폼은 보안 사고의 다른 유형에 대한 단계별 응답 절차를 정의하는 재생북을 구현할 수 있습니다. Orchestration 기능은 클라우드 공급자 API, 보안 도구 및 통신 시스템과 통합하여 종합적인 사고 대응을 가능하게 합니다.

준수 및 규제 고려 사항

업계 표준 준수 요구 사항

Serverless 애플리케이션 보안 설계 및 구현에 영향을 미치는 특정 규제 요건을 충족합니다. 의료 조직은 환자 건강 정보 보호에 대한 HIPAA 요구 사항을 준수해야하며 금융 서비스 조직은 지불 카드 데이터 보호를위한 PCI DSS 요구 사항을 충족해야하며 정부 계약자는 클라우드 서비스에 대한 FedRAMP 제어를 구현해야합니다. 적절한 준수 제어를 이해하고 구현하는 것은 규제 산업 분야에서 운영하는 조직에 필수적입니다.

Serverless 환경에서의 준수 구현은 특정 기술 제어에 대한 규제 요구 사항을 매핑하고 이러한 제어가 제대로 구현되고 유지되도록 보장합니다. 이것은 적절한 데이터 암호화, 액세스 제어, 감사 로깅 및 규제 표준을 충족하는 사건 응답 기능을 포함합니다. 조직은 모든 적용 가능한 요구 사항을 충족하는 serverless 구현을 보장하기 위해 준수 전문가와 함께 작동해야합니다.

규정 준수 모니터링 및 보고는 지속적 통제 효과 및 규정 준수 상태의 문서가 필요합니다. 조직은 지속적으로 제어 구현을 평가하고 잠재적 인 준수 간격을 식별 할 수있는 자동화 준수 모니터링을 구현해야합니다. 일반 준수 감사 및 평가는 서버가없는 응용 프로그램은 요구 사항과 구현이 진화함에 따라 시간이 지남에 따라 준수를 유지합니다.

데이터 레지스트리 및 Sovereignty

Data residency 및 sovereignty 요구 사항은 데이터가 저장되고 처리 될 수 있으며 특정 유형의 데이터가 특정 지리적 경계 내에서 남아 있음을 요구해야합니다. 이러한 요구 사항은 서버리스 응용 아키텍처에 크게 영향을 줄 수 있으며 클라우드 공급자는 여러 지역에서 데이터 센터를 운영하며 운영 목적으로 지역 간 데이터를 이동할 수 있습니다. 조직은 serverless 응용 프로그램을 설계 할 때 데이터 잔류 요구 사항을 신중하게 고려해야합니다.

Serverless Data residency Implement는 일반적으로 특정 영역 내에서 작동하기 위해 클라우드 서비스를 구성하고, 민감한 데이터가 적절한 위치에서 유지되도록 데이터 분류 및 처리 절차를 구현하고, 잔여 요구 사항을 준수 할 수있는 모니터링 및 감사 기능을 수립합니다. 조직은 또한 데이터 거주 요구 사항의 백업 및 재난 복구를 고려해야합니다.

GDPR과 같은 Cross-border 데이터 전송 규정은 개인 데이터가 다른 관할 구역간에 전송 될 수있는 방법에 대한 추가 요구 사항을 부과합니다. 조직은 국제 데이터 전송에 적합한 안전한 보호 기능을 구현해야하며 서버리스 응용 프로그램은 적용 가능한 전송 제한을 준수합니다. 추가 암호화, 액세스 제어, 또는 클라우드 제공 업체와 데이터 처리 계약 구현이 필요할 수 있습니다.

감사 및 문서 요구 사항

규제 준수는 일반적으로 보안 제어, 정책 및 절차의 포괄적 인 문서가 필요합니다. Serverless 응용 프로그램은 해당 요구 사항을 준수하고 감사 활동을 지원합니다. 이 문서화 보안 아키텍처, 제어 구현 및 준수 목표를 지원하는 운영 절차가 포함되어 있습니다.

감사 트레일 요구 사항은 어떤 활동을 기록하고 얼마나 긴 감사 기록이 유지되어야합니다. Serverless 애플리케이션은 모든 보안 관련 활동을 캡처하고 규제 요구 사항에 따라 감사 흔적을 유지합니다. 조직은 필요한 유지 기간 동안 감사 흔적을 보존 할 수있는 로그 관리 시스템을 구현하고 감사 데이터에 적합한 액세스 제어를 제공합니다.

문서 관리는 시스템 변경 시 문서를 업데이트하고 감사자 및 규정 준수 평가자에 대한 문서에 적합한 액세스를 제공하는 보안 제어의 현재 및 정확한 문서를 유지하고 있습니다. 조직은 민감한 정보를 보호하면서 준수 요구 사항을 지원하는 문서 관리 시스템을 구현해야 합니다.

결론: 안전한 Serverless 신청을 건축하십시오

Serverless 보안은 기본 보안 원칙을 구현하면서 Serverless 컴퓨팅의 독특한 도전과 기회를 해결하는 포괄적 인 접근 방식을 요구합니다. 서버리스 응용 프로그램의 분산 된 성격, 공유 책임 모델, 및 급속한 개발주기는 조직이 전문 지식, 도구 및 절차를 통해 주소해야하는 새로운 보안 고려를 만듭니다.

Serverless 보안의 성공은 개발 수명주기 전반에 걸쳐 보안 제어를 구현하는 데 따라 초기 설계부터 배포 및 지속적인 작업을 수행합니다. 포괄적인 테스트 및 검증 절차를 구현하는 보안 개발 관행을 수립하고 지속적인 모니터링 및 사건 대응 능력을 유지하십시오. 조직은 또한 진화 위협과 보안 모범 사례를 서버가없는 풍경으로 유지해야합니다.

효과적인 서버 보안에 대한 핵심은 보안이 한 번의 구현이 아니라 지속적인 관심과 개선을 필요로하는 지속적인 프로세스가 아닙니다. 조직은 일반 평가, 교육 및 업데이트가 포함된 보안 프로그램을 구축해야 하며 서버가 새로운 위협으로 인해 보안을 유지하도록 합니다. 이 가이드에서 포괄적인 보안 관행을 구현함으로써 조직은 강력한 보안 자세를 유지하면서 서버 컴퓨팅의 이점을 실현할 수 있습니다.

현대 서버리스 보안은 개발, 운영 및 보안 팀 간의 협업을 통해 보안 고려사항이 제대로 서버리스 응용 개발 및 배포의 모든 측면에 통합되도록 합니다. 종종 DevSecOps라고 불리는이 공동 접근 방식은 보안이 처음에는 애플리케이션에 내장되어 있기 때문에 afterthought로 추가됩니다.

Serverless 보안의 미래에는 보안 도구와 서버리스 플랫폼 간의 향상된 통합 및 서버리스 환경을 위해 특별히 설계된 향상된 위협 탐지 기능을 포함합니다. 오늘날 포괄적 인 서버 보안 프로그램에 투자하는 조직은 강력한 보안 자세를 유지하면서 이러한 진보의 이점을 더 잘 배치됩니다.

참고 및 더 읽기

이 포괄적 인 가이드는 AWS Lambda, Azure Functions, Google Cloud Functions 및 기타 서버리스 플랫폼을 통해 강력한 서버 보안 관행을 구현하기위한 기반을 제공합니다. 추가 리소스 및 고급 주제에 대해서는 클라우드 공급자 보안 문서, 산업 보안 프레임 워크 및 서버 보안 교육 프로그램을 통해 서버 보안 전문성을 향상시킬 수 있습니다. 필수

[1] AWS Lambda 보안 모범 사례 - https://docs.aws.amazon.com/lambda/latest/dg/lambda-security.html [2] OWASP Serverless 상위 10 프로젝트 - https://owasp.org/www-project-serverless-top-10/ [3] Azure 기능 보안 가이드 라인 - https://docs.microsoft.com/en-us/azure/azure-functions/security-concepts [4] 구글 클라우드 기능 보안 개요 - https://cloud.google.com/functions/docs/securing [5] 클라우드 보안 얼라이언스 서버 보안 가이드 - https://cloudsecurityalliance.org/research/topics/serverless [6] NIST 사이버 보안 프레임 워크 - https://www.nist.gov/cyberframework [7] AWS Well-Architected 보안 기둥 - https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/ [8] Microsoft Azure 보안 벤치 마크 - https://docs.microsoft.com/en-us/security/benchmark/azure/ [9] 구글 클라우드 보안 모범 사례 - https://cloud.google.com/security/best-practices [10] Serverless 보안 연구 및 모범 사례 - https://github.com/puresec/awesome-serverless-security