近年来，随着用户对基础架构灵活性以及投资回报率需求的提升，无服务器计算（Serverless）受到了越来越多的IT从业人士的青睐。无服务器计算可最大程度地减少安全攻击面，并且无需借助任何计算、虚拟机、容器或网络。随着 AWS Lambda 最新扩展功能的发布，组织所部署的无服务器函数的可视性和安全性得到了前所未有的提高。
无服务器可从本质上提高安全性，因为它的受攻击面很小，并且将一些安全职责转移给了云提供商。例如，AWS 负责修复和更新平台软件，包括 AWS Lambda 执行环境的操作系统和运行时。
尽管如此，企业仍需在以下几个方面加强重视：
- 可视性。监控和观察无服务器函数及其位置和访问它们的资源至关重要。知己知彼并不容易，但却非常重要。
- 状态管理。考虑到企业部署的函数数量之多，安全与合规状态的管理变得愈发关键且不易管理。无服务器应用包含数百甚至数千个微服务，只有每个微服务配置正确，才可确保持续安全和合规。
- 应用安全。运行应用的无服务器函数既是无状态的，也是短暂的。组织在保护应用层时应谨记这些特性，避免应用遭到重复的上游基础设施攻击。
无服务器攻击与普通网络攻击不同，必须要部署相应的安全措施。首先，无服务器攻击通常具有重复性，这意味着您很难通过辨别单一事件的好坏来检测攻击。其次，攻击对象涉及多个资源。因此，要想找出并调查攻击，用户需要分析整个应用流程，而不是单个资源或 Lambda 函数调用。
无服务器应用保护面临以下重大挑战：
- · 将攻击面降到最小，让攻击无处下手
- · 正确检测攻击，尽管面临上述挑战
- · 抵御应用层攻击，同时不给无服务器函数带来难以承受的安全负担
为了解决此问题，Check Point CloudGuard 重点研究了三大无服务器防御策略。
- CloudGuard 可在部署和生产过程中持续分析无服务器应用，以便检测安全漏洞，帮助 SecOps 和 DevOps 团队开展协作，快速解决安全问题。
- CloudGuard 可分析来自应用活动和日志的实时遥测数据流，并隔离需要客户关注的安全事件，将多个资源的小事件整理成单个事件。
- 最后，CloudGuard 使用详细的状态和行为数据，为应用的每个部分编译高度定制的安全防御策略，从而最大限度地减少安全成本。
这一方法通过与无服务器提供程序（包括 AWS Lambda）进行智能、安全地集得到了进一步强化。
最近，AWS Lambda 发布了公开预览版 Lambda 扩展功能，它与 Check Point CloudGuard 进行了深度集成，有助于改善对 Lambda 函数的监控以及 Lambda 函数的可观察性、安全性和可管理性。借助 CloudGuard 扩展功能，组织甚至可以在函数进入运行时/调用之前，直接将其插入 Lambda 的执行环境，并使用 CloudGuard 来扩展函数。CloudGuard 还可以与函数调用并行运行，公开 Lambda 执行的不同阶段，并提供附加功能来防止出现漏洞和漏洞利用程序。
Check Point CloudGuard 的定制策略、监控和修复功能本就可以帮助组织轻松管理应用安全，与 Lambda 的集成无疑会进一步简化后台的无服务器安全保护。此次集成允许 CloudGuard 在函数调用之前、期间和之后捕获诊断信息，并直接从 Lambda 环境中传输该信息，同时运行强化的安全代理，以检测函数活动并直接向 CloudGuard 发出警报。
简言之，Check Point CloudGuard 已将安全监控数据聚合从进程内注入的安全层移至进程外扩展程序。这有助于利用更多异步消息处理功能，因此日志传递不会延迟函数执行，并支持跨多个调用安全聚合日志。全面的 CloudGuard 解决方案涵盖了上述所有功能，同时提供了详细的应用安全和防御状态视图，允许安全工程师、开发人员和管理员查看每个问题或事件并采取相应措施。
CloudGuard 可针对每个问题或事件提供明确的信息，包括事件的证据、存在的风险以及短期和长期补救措施。向所有利益相关者提供清晰详细的信息对于尽快缓解安全风险至关重要。
