Realizando Revisão de Segurança de Funções Serverless

Quando Usar

• Ao auditar aplicações serverless antes da implantação em produção
• Ao investigar potencial exposição de dados através de variáveis de ambiente ou logs de funções
• Ao avaliar o raio de impacto de uma função serverless comprometida com permissões de execução
• Quando revisões de conformidade exigem documentação de controles de segurança serverless
• Ao construir modelos "seguro por padrão" para implantações serverless

Não use para avaliações de segurança de contêineres ou VMs (use ferramentas de escaneamento de contêineres), para testes de segurança de API (use ferramentas DAST na camada do API Gateway) ou para detecção de ameaças serverless em tempo real (use AWS Lambda Extensions com agentes de segurança).

Pré-requisitos

• AWS CLI, Azure CLI e gcloud CLI configurados com as permissões apropriadas
• Acesso para ler configurações de funções, políticas e papéis de execução
• Prowler ou Checkov para escaneamento automatizado de segurança serverless
• SAM CLI ou Serverless Framework para análise local de funções
• CloudTrail, Azure Monitor ou Cloud Audit Logs habilitados para monitoramento de invocação de funções

Fluxo de Trabalho

Etapa 1: Enumerar Todas as Funções Serverless e Configurações

Liste todas as funções entre os provedores de nuvem com seu runtime, memória, tempo limite e configurações de rede.

# AWS Lambda: List all functions with key security attributes
aws lambda list-functions \
  --query 'Functions[*].[FunctionName,Runtime,MemorySize,Timeout,Role,VpcConfig.VpcId,Layers[*].Arn]' \
  --output table

# Check for functions using deprecated runtimes
aws lambda list-functions \
  --query 'Functions[?Runtime==`python3.7` || Runtime==`nodejs14.x` || Runtime==`dotnetcore3.1`].[FunctionName,Runtime]' \
  --output table

# Azure Functions: List all function apps
az functionapp list \
  --query "[].{Name:name, Runtime:siteConfig.linuxFxVersion, ResourceGroup:resourceGroup, HttpsOnly:httpsOnly}" \
  -o table

# GCP Cloud Functions: List all functions
gcloud functions list \
  --format="table(name, runtime, status, httpsTrigger.url, serviceAccountEmail, vpcConnector)"

Etapa 2: Auditar Permissões do Papel de Execução

Revise os papéis IAM anexados às funções em busca de políticas excessivamente permissivas.

# AWS: Check each Lambda function's execution role
for func in $(aws lambda list-functions --query 'Functions[*].FunctionName' --output text); do
  role_arn=$(aws lambda get-function-configuration --function-name "$func" --query 'Role' --output text)
  role_name=$(echo "$role_arn" | awk -F'/' '{print $NF}')
  echo "=== $func -> $role_name ==="

  # List attached policies
  aws iam list-attached-role-policies --role-name "$role_name" \
    --query 'AttachedPolicies[*].[PolicyName,PolicyArn]' --output table

  # Check for wildcard actions
  for policy_arn in $(aws iam list-attached-role-policies --role-name "$role_name" --query 'AttachedPolicies[*].PolicyArn' --output text); do
    version=$(aws iam get-policy --policy-arn "$policy_arn" --query 'Policy.DefaultVersionId' --output text)
    aws iam get-policy-version --policy-arn "$policy_arn" --version-id "$version" \
      --query 'PolicyVersion.Document' --output json | python3 -c "
import json, sys
doc = json.load(sys.stdin)
for stmt in doc.get('Statement', []):
    actions = stmt.get('Action', [])
    if isinstance(actions, str): actions = [actions]
    resources = stmt.get('Resource', [])
    if isinstance(resources, str): resources = [resources]
    if '*' in actions or any(a.endswith(':*') for a in actions):
        print(f'  WARNING: {stmt[\"Effect\"]} {actions} on {resources}')
" 2>/dev/null
  done
done

Etapa 3: Verificar Variáveis de Ambiente em Busca de Segredos

Escaneie variáveis de ambiente de funções em busca de credenciais codificadas, chaves de API e strings de conexão de banco de dados.

# AWS Lambda: Extrair variáveis de ambiente
for func in $(aws lambda list-functions --query 'Functions[*].FunctionName' --output text); do
  envvars=$(aws lambda get-function-configuration --function-name "$func" \
    --query 'Environment.Variables' --output json 2>/dev/null)
  if [ "$envvars" != "null" ] && [ -n "$envvars" ]; then
    echo "=== $func ==="
    echo "$envvars" | python3 -c "
import json, sys, re
vars = json.load(sys.stdin)
sensitive_patterns = [
    r'(?i)(password|secret|key|token|credential|api.?key)',
    r'(?i)(aws.?access|aws.?secret)',
    r'(?i)(database.?url|connection.?string|db.?pass)',
    r'AKIA[0-9A-Z]{16}'
]
for key, value in vars.items():
    for pattern in sensitive_patterns:

…