Protegendo Funções Serverless

Quando Usar

• Ao implantar funções Lambda ou Azure Functions com acesso a dados sensíveis ou APIs na nuvem
• Ao auditar cargas de trabalho serverless existentes em busca de papéis IAM excessivamente permissivos
• Ao integrar funções serverless em um pipeline DevSecOps com varredura de segurança automatizada
• Ao descobrir segredos codificados ou dependências vulneráveis no código da função
• Ao estabelecer monitoramento em tempo de execução para cargas de trabalho serverless para detectar roubo de injeção ou credenciais

Não use para segurança de computação baseada em contêineres (veja protegendo-kubernetes-na-nuvem), para configuração de API Gateway (veja implementando-regras-de-waf-na-nuvem), ou para decisões de design de arquitetura serverless.

Pré-requisitos

• AWS Lambda, Azure Functions ou GCP Cloud Functions com acesso de implantação
• Pipeline CI/CD com ferramentas de varredura de dependências (npm audit, Snyk, Dependabot)
• AWS Secrets Manager, Azure Key Vault ou HashiCorp Vault para gerenciamento de segredos
• CloudWatch, Application Insights ou Cloud Logging para monitoramento de funções

Fluxo de Trabalho

Passo 1: Impor Papéis IAM de Menor Privilégio

Atribua a cada função Lambda um papel IAM dedicado com permissões restritas apenas aos recursos específicos que ela acessa. Nunca compartilhe papéis IAM entre funções.

# Create a least-privilege role for a specific Lambda function
aws iam create-role \
  --role-name order-processor-lambda-role \
  --assume-role-policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Allow",
      "Principal": {"Service": "lambda.amazonaws.com"},
      "Action": "sts:AssumeRole"
    }]
  }'

# Attach a scoped policy (not AmazonDynamoDBFullAccess)
aws iam put-role-policy \
  --role-name order-processor-lambda-role \
  --policy-name order-processor-policy \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": ["dynamodb:PutItem", "dynamodb:GetItem"],
        "Resource": "arn:aws:dynamodb:us-east-1:123456789012:table/Orders"
      },
      {
        "Effect": "Allow",
        "Action": ["logs:CreateLogGroup", "logs:CreateLogStream", "logs:PutLogEvents"],
        "Resource": "arn:aws:logs:us-east-1:123456789012:log-group:/aws/lambda/order-processor:*"
      },
      {
        "Effect": "Allow",
        "Action": ["secretsmanager:GetSecretValue"],
        "Resource": "arn:aws:secretsmanager:us-east-1:123456789012:secret:order-api-key-*"
      }
    ]
  }'

Passo 2: Elimine Segredos Codificados

Substitua credenciais em texto plano em variáveis de ambiente por referências a serviços de gerenciamento de segredos. Use extensões Lambda ou chamadas de SDK para recuperar segredos em tempo de execução.

# INSECURE: Hardcoded credentials in environment variable
# DB_PASSWORD = os.environ['DB_PASSWORD']  # Stored as plaintext in Lambda config

# SECURE: Retrieve from AWS Secrets Manager with caching
import boto3
from botocore.exceptions import ClientError
import json

_secret_cache = {}

def get_secret(secret_name):
    if secret_name in _secret_cache:
        return _secret_cache[secret_name]

    client = boto3.client('secretsmanager')
    response = client.get_secret_value(SecretId=secret_name)
    secret = json.loads(response['SecretString'])
    _secret_cache[secret_name] = secret
    return secret

def lambda_handler(event, context):
    db_creds = get_secret('production/database/credentials')
    db_host = db_creds['host']
    db_password = db_creds['password']
    # Use credentials securely

# Enable encryption at rest for Lambda environment variables
aws lambda update-function-configuration \
  --function-name order-processor \
  --kms-key-arn arn:aws:kms:us-east-1:123456789012:key/key-id

Passo 3: Varra Dependências em Busca de Vulnerabilidades

Integre a varredura automatizada de dependências ao pipeline CI/CD para capturar pacotes vulneráveis antes da implantação.

# npm audit for Node.js Lambda functions
cd lambda-function/
npm audit --audit-level=high
npm audit fix

# Snyk scanning in CI/CD pipeline
snyk test --severity-threshold=high
snyk monitor --project-name=order-processor-lambda

# pip-audit for Python Lambda functions
pip-audit -r requirements.txt --desc on --fix

# Scan Lambda deployment package with Trivy
trivy fs --severity HIGH,CRITICAL ./lambda-package/

# Varredura de segurança CI/CD do GitHub Actions
name: Varredura de Segurança Lambda
on: [push, pull_request]
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

…