Detecção de Injeção em Funções Serverless

Quando Usar

• Auditoria de funções Lambda/Cloud Functions em busca de vulnerabilidades de injeção de código onde dados de eventos não sanitizados fluem para funções de runtime perigosas (eval, exec, child_process.exec, os.system)
• Investigação de incidentes onde um atacante modificou o código da função ou camadas para estabelecer persistência ou exfiltrar dados do ambiente serverless
• Detecção de caminhos de escalonamento de privilégios onde um adversário com lambda:UpdateFunctionCode e iam:PassRole pode assumir papéis de execução com privilégios mais altos
• Análise de ataques de envenenamento de fontes de eventos onde payloads maliciosos são injetados através de uploads de objetos S3, mensagens SQS, registros de stream do DynamoDB ou requisições do API Gateway que disparam a execução da função
• Criação de regras de detecção para equipes de SOC que monitoram cargas de trabalho serverless em busca de modificações não autorizadas de funções, adições de camadas e padrões de invocação suspeitos

Não usar para testes de carga ou simulação de negação de serviço contra funções serverless, para testes contra funções de produção que processam dados de clientes em tempo real sem autorização explícita, ou para modificar políticas IAM em contas compartilhadas sem aprovação de gerenciamento de mudanças.

Pré-requisitos

• Acesso à conta AWS com permissões de leitura para Lambda, CloudTrail, IAM, CloudWatch Logs e EventBridge
• AWS CLI v2 configurado com credenciais e região apropriadas
• CloudTrail habilitado com Eventos de Dados para Lambda (captura eventos Invoke) e Eventos de Gerenciamento (captura UpdateFunctionCode, UpdateFunctionConfiguration, CreateFunction)
• Python 3.9+ com boto3, bandit (Python SAST) e semgrep para análise estática
• Acesso ao código fonte da função ou pacotes de implantação para análise estática
• Acesso ao CloudWatch Logs Insights para consultar logs de execução do Lambda

Fluxo de Trabalho

Etapa 1: Enumerar a Superfície de Ataque Serverless

Mapeie todas as funções Lambda e seus gatilhos de fonte de eventos para entender os pontos de entrada de injeção:

• Listar todas as funções Lambda e suas configurações:

  aws lambda list-functions --query 'Functions[*].[FunctionName,Runtime,Role,Handler,Layers]' --output table
  

• Mapear mapeamentos de fontes de eventos: Cada mapeamento de fonte de eventos é um ponto de entrada de injeção potencial onde dados não confiáveis entram na função:

  aws lambda list-event-source-mappings --output json | \
    jq '.EventSourceMappings[] | {Function: .FunctionArn, Source: .EventSourceArn, State: .State}'
  

• Identificar gatilhos do API Gateway: Rotas do API Gateway passam dados de requisição HTTP (cabeçalhos, strings de consulta, corpo, parâmetros de caminho) diretamente para o objeto de evento Lambda:

  aws apigateway get-rest-apis --query 'items[*].[id,name]' --output table
  

  Para cada API, enumere recursos e métodos para identificar quais funções Lambda recebem entrada HTTP controlada pelo usuário.
• Identificar gatilhos de eventos S3: Notificações de bucket S3 podem disparar Lambda com chaves de objeto e metadados controlados pelo atacante:

  aws s3api get-bucket-notification-configuration --bucket <bucket-name>
  

• Catalogar variáveis de ambiente da função: Segredos em variáveis de ambiente são expostos se um atacante conseguir executar código dentro da função:

  aws lambda get-function-configuration --function-name <name> \
    --query 'Environment.Variables' --output json
  

• Identificar funções com papéis de execução excessivamente privilegiados: Funções com permissões de recursos * ou políticas administrativas são alvos de escalonamento de alto valor:

  aws iam list-attached-role-policies --role-name <lambda-exec-role>
  aws iam list-role-policies --role-name <lambda-exec-role>
  

Etapa 2: Análise Estática para Sinks de Injeção

Verifique o código da função em busca de padrões perigosos que permitem que dados de eventos injetados sejam executados como código ou comandos:

• Baixar pacotes de implantação da função:

  aws lambda get-function --function-name <name> --query 'Code.Location' --output text | xargs curl -o function.zip
  unzip function.zip -d function_code/
  

• Sinks de injeção em Python (runtimes Python do Lambda): Procure por funções que executam strings como código:

  # PERIGOSO: eval/exec direto de dados de evento
  eval(event['expression'])           # Injeção de código via eval
  exec(event['code'])                 # Execução de código arbitrário
  os.system(event['command'])         # Injeção de comando do SO
  subprocess.call(event['cmd'], shell=True)  # Injeção de shell
  os.popen(event['input'])            # Injeção de comando
  

…