Découvrez comment sécuriser vos applications et votre environnement sans serveur en suivant six étapes et en utilisant des outils et des techniques de sécurité sans serveur.

The main thing to keep in mind here is the shared responsibility model. Cloud providers promise to cover a certain part of the picture, and with serverless, that extends to the infrastructure you are building on. This is great in some ways, as you won't be dealing with some of the issues onsite brings, such as server patching, selecting and deploying support software like backups; however, access control enforcement, authentication (password management and MFA), any application level issues and principle of least privilege enforcement, will be in the purview of your teams. Make sure they understand how to build for this new environment and take advantage of the features given to them by the cloud providers to the fullest.

Comment gérer les risques de sécurité dans l’informatique sans serveur ?

L’informatique sans serveur est un modèle basé sur le cloud qui vous permet d’exécuter votre code sans vous soucier du provisionnement, de la mise à l’échelle ou de la gestion des serveurs. Cependant, il introduit également de nouveaux défis et risques de sécurité que vous devez gérer. Dans cet article, vous apprendrez à gérer les risques de sécurité dans l’informatique sans serveur en suivant certaines bonnes pratiques et en utilisant certains outils et techniques.

1 Comprendre l’architecture sans serveur

La première étape pour gérer les risques de sécurité dans l’informatique sans serveur consiste à comprendre l’architecture sans serveur et ses composants. L’informatique sans serveur se compose de trois couches principales : les sources d’événements, les fonctions et les services. Les sources d’événements sont les déclencheurs qui appellent vos fonctions, telles que les requêtes HTTP, les messages ou les minuteurs. Les fonctions sont les morceaux de code qui exécutent votre logique métier, tels que le traitement des données, l’envoi d’e-mails ou l’appel d’API. Les services sont les ressources externes avec lesquelles vos fonctions interagissent, telles que les bases de données, le stockage ou les API tierces. Chaque couche a ses propres implications et vulnérabilités en matière de sécurité que vous devez prendre en compte.

Add your perspective

Mike Wolfe

Founder, Chief Technology Officer, Strategic Security Advisor, CISO Advisory Board Member, Investor
Report contribution
More and more applications are being extended through the use of API's. For example, in healthcare, there exists the idea of a portable healthcare record. It exists in the State of California, as well as within the Federal Government, under CMS. The CMS solution is called the "Blue Button", where using API calls, the application can allow a healthcare member to access and download their medical records. Blue Button has its own API, development and testing requirements. So, extending or expanding the core serverless architecture requires you to understand how these pieces fit together to execute your business logic.

Like

2 Appliquer le principe du moindre privilège

Le principe du moindre privilège stipule que vous devez accorder les autorisations minimales et les droits d’accès nécessaires à vos fonctions pour effectuer leurs tâches. De cette façon, vous pouvez limiter les dommages potentiels et l’exposition si vos fonctions sont compromises ou exploitées. Pour appliquer ce principe, vous devez utiliser le contrôle d’accès basé sur les rôles (Le) et gestion des identités et des accès (IAM) stratégies pour définir et appliquer les autorisations pour vos sources d’événements, fonctions et services. Vous devez également utiliser le chiffrement et des protocoles sécurisés pour protéger les données en transit et au repos.

Add your perspective

Load more contributions

3 Mettre en œuvre des tests et une surveillance de sécurité

Les tests et la surveillance de la sécurité sont essentiels pour identifier et atténuer les risques de sécurité dans l’informatique sans serveur. Vous devez effectuer des tests de sécurité à différentes étapes de votre cycle de vie de développement, tels que l’analyse du code, les tests unitaires, les tests d’intégration et les tests d’intrusion. Vous devez également utiliser des outils et des infrastructures qui prennent en charge les tests de sécurité sans serveur, tels que OWASP ZAP, Nmap, Snyk ou Serverless Framework. De plus, vous devez surveiller votre environnement sans serveur pour détecter toute anomalie, erreur ou activité malveillante. Vous devez utiliser des outils et des services qui fournissent une surveillance spécifique au serveur, tels qu’AWS CloudWatch, Azure Monitor ou Dashbird.

Add your perspective

Zain Ahmed

Managing Data & Info Security, DPO| Data Privacy, Data & AI Governance | Data Compliance | Technology Audits | Head of IT Operations | CISSP, CIPP US/UK, ITIL, PMP, CISA
Report contribution
Encryption for all cloud storage is very important to comply for all audits and risk assessment exercises as well. Make this your priority.

Like

4 Renforcez vos fonctions et dépendances

Renforcer vos fonctions et dépendances signifie appliquer les meilleures pratiques et normes de sécurité à votre code et à vos bibliothèques. Voici quelques-unes des pratiques exemplaires : l’utilisation de directives de codage sécurisé, telles que OWASP Top 10; mettre à jour et corriger régulièrement vos dépendances ; analyser votre code et vos dépendances à la recherche de vulnérabilités et de logiciels malveillants ; utiliser la signature et la vérification de code pour assurer l’intégrité de votre code ; et isoler vos fonctions et dépendances dans des conteneurs ou des bacs à sable séparés.

Add your perspective

5 Adopter une approche DevSecOps

DevSecOps est une culture et une méthodologie qui intègrent la sécurité à chaque étape de vos processus de développement, d’exploitation et de livraison. En adoptant une approche DevSecOps, vous pouvez vous assurer que la sécurité est intégrée dans votre informatique sans serveur dès le début et tout au long du cycle de vie. Parmi les avantages de DevSecOps, citons : des déploiements plus rapides et plus fréquents ; amélioration de la collaboration et de la communication entre les équipes; réduction des coûts et des risques; et l’amélioration de la satisfaction et de la confiance des clients.

Add your perspective

Trishul Baxi

Enterprise Architect | Senior Technical Manager | Technical Expert || Network & Security | Cloud & Data Centre || Driving IT innovation, efficiency @ scale.
Report contribution
I concur with this perspective, but I'd like to emphasise that DevSecOps is not just a methodology; it's also a mindset. Often, organisations face resistance to adopting this mindset due to entrenched beliefs that security is an add-on, rather than an integral value. Developers sometimes perceive security as an obstacle and think, "We have a firewall for protection, so let Security handle it." Conversely, some security teams may block actions without understanding the broader objectives. In my view, DevSecOps represents a balanced mindset crucial for all companies in today's rapidly evolving digital landscape. Accelerating its adoption necessitates proactive leadership in dismantling these barriers visibly and effectively.

Like

6 Éduquez et formez votre équipe

La dernière étape, mais non la moindre, pour gérer les risques de sécurité dans l’informatique sans serveur consiste à éduquer et à former votre équipe sur les concepts, les meilleures pratiques et les outils de sécurité sans serveur. Vous devez fournir à votre équipe les compétences et les connaissances nécessaires pour développer, déployer et maintenir des applications sans serveur sécurisées. Vous devez également favoriser une sensibilisation et une culture de sécurité parmi les membres de votre équipe et les encourager à partager leurs commentaires et leurs idées. En outre, vous devez tirer parti de ressources externes et d’experts pour apprendre de leurs expériences et recommandations.

Add your perspective

7 Voici ce qu’il faut prendre en compte

Il s’agit d’un espace pour partager des exemples, des histoires ou des idées qui ne correspondent à aucune des sections précédentes. Que voudriez-vous ajouter d’autre?

Add your perspective

Christopher Panayi

Chief Research Officer at MWR Cybersec
Report contribution
The main thing to keep in mind here is the shared responsibility model. Cloud providers promise to cover a certain part of the picture, and with serverless, that extends to the infrastructure you are building on. This is great in some ways, as you won't be dealing with some of the issues onsite brings, such as server patching, selecting and deploying support software like backups; however, access control enforcement, authentication (password management and MFA), any application level issues and principle of least privilege enforcement, will be in the purview of your teams. Make sure they understand how to build for this new environment and take advantage of the features given to them by the cloud providers to the fullest.

Like
Antony Lee

IT Security Professional Discipline constantly make it better
Report contribution
This is a not so great article that complete ignore the fact of serverless computing greatly assume the underlying platforms and service providers are secured, and none of the mitigations are discussed.

Like
Kyle P.

Full Time Dad / Systems Administrator
(edited)
Report contribution
I would also concur about article not being good, the commenters statements attest point of perspective, maybe go back to the prompting level of your AI, break down each section with actual data relevant to the topic.

Like
Trishul Baxi

Enterprise Architect | Senior Technical Manager | Technical Expert || Network & Security | Cloud & Data Centre || Driving IT innovation, efficiency @ scale.
(edited)
Report contribution
Taking a broader perspective, it's essential to grasp that Serverless computing doesn't mean there are no servers involved; it simply means someone else manages them behind the scenes. I echo the views expressed by others and wish to emphasise that, regardless of the chosen cloud provider, the shared responsibility model is just one facet of the relationship. For any company, having a dedicated Technical Account Manager (TAM) and maintaining transparency with their technical support are key dimensions of their relationship with the cloud provider. It's crucial to avoid taking shortcuts when it comes to implementing encryption for data at rest and in transit within the public cloud environment.

Like

Comment gérer les risques de sécurité dans l’informatique sans serveur ?

1

2

3

4

5

6

7

1 Comprendre l’architecture sans serveur

2 Appliquer le principe du moindre privilège

3 Mettre en œuvre des tests et une surveillance de sécurité

4 Renforcez vos fonctions et dépendances

5 Adopter une approche DevSecOps

6 Éduquez et formez votre équipe

7 Voici ce qu’il faut prendre en compte

Network Security

Rate this article

Thanks for your feedback

More articles on Network Security

More relevant reading

Comment gérer les risques de sécurité dans l’informatique sans serveur ?

1

2

3

4

5

6

7

1 Comprendre l’architecture sans serveur

2 Appliquer le principe du moindre privilège

3 Mettre en œuvre des tests et une surveillance de sécurité

4 Renforcez vos fonctions et dépendances

5 Adopter une approche DevSecOps

6 Éduquez et formez votre équipe

7 Voici ce qu’il faut prendre en compte

Network Security

Rate this article

Thanks for your feedback

Explore Other Skills