""I'll just run my task in the cloud" - Legends and myths of security in Serverless", Natalie Godec

$ whoami
• Наталя Годек
• Харківʼянка в Лондоні
• Cloud Architect/Системщик/Девопс
• GDE in Cloud Platform
• Соцмережі: @ouvessvit
@ ouvessvit

Optus data breach
@ ouvessvit
Dear Name,
We recently wrote to you advising that the
Victorian Government is fast tracking
protections for licence holders whose
licence information was exposed in the
recent Optus data breach.
This commitment includes replacing driver
licences and learner permits for free, with
a redesigned card that now prominently
features a unique card number on the
back top right hand corner.
As one of our impacted customers you
should have now received either a new
card or a label.

Optus data breach
@ ouvessvit
https://twitter.com/Jeremy_Kirk/status/1573652991496048640
https://inf.ooo/g/YcmgHfcqLF

“Та я просто запущу
свій таск в хмарі”

Serverless - безсерверні технології
на прикладі AWS та GCP
@ ouvessvit
lambda/
functions
fargate/
cloud run
Serverless Compute:

@ ouvessvit
lambda/
functions
fargate/
cloud run
aurora/
alloydb
dynamodb/
bigtable
Serverless Compute: Serverless Databases:

@ ouvessvit
lambda/
functions
fargate/
cloud run
aurora/
alloydb
s3/
storage
sqs/
pub/sub
dynamodb/
bigtable
Serverless Compute: Serverless Databases: Serverless Data:

Складові захисту безсерверних технологій
@ ouvessvit
Хто має доступ
до сервісу
Внутрішні
механізми
безпеки
До чого має
доступ сервіс

“Та то ми експериментували.
Воно ні до чого не приєднано”
IAM

IAM best practices: до чого має доступ сервіс
@ ouvessvit

IAM best practices: GCP default service accounts
@ ouvessvit
● Існують за замовчанням, створені Гуглом
● Мають дуже широкий доступ (editor на рівні проекту)
● За замовчанням ваші сервіси використовують цей акаунт

IAM best practices: GCP default service accounts
@ ouvessvit
● Для кожного application створюйте спеціальний сервісний акаунт
● Дотримуйтесь принципів least privilege: надавайте лише ті ролі, і лише до
тих ресурсів, що необхідні

IAM best practices: AWS default IAM policies
@ ouvessvit
● AWS має 1000+ стандартних IAM policy
● Вони мають загальний широкий доступ, наприклад S3: [*]
● Рекомендується створювати власні policy, обмежуючи дії та ресурси, до
яких надається доступ
● Притримуйтесь принципу least privilege

@ ouvessvit
"Statement":[
{
"Principal":{
"AWS":"arn:aws:lambda:us-west-2:123456789012:function:my-function"
},
"Effect":"Allow",
"Action":[
"s3:GetObject",
"s3:GetObjectVersion",
"s3:PutObject"
],
"Resource":"arn:aws:s3:::EXAMPLE-BUCKET/*",
}
]
Надати функції my-function доступ до бакета EXAMPLE-BUCKET:
IAM best practices: AWS default IAM policies

Статичні токени, нічний жах всіх секопсів
@ ouvessvit
GCP: IAM service account keys
AWS: IAM users and secret keys
● Легко створити і почати використовувати
● Легко вкрасти.
“To bad actors, service account keys can be
even more valuable than a leaked password”
- Google

ЧОМУ ЦЕ ВАЖЛИВО?
(demo)

IAM best practices: who can invoke
@ ouvessvit
"Statement": [
{
"Effect": "Allow",
"Principal": "*",
"Action": "lambda:InvokeFunctionUrl",
"Resource": "arn:aws:lambda:us-east-1:123456789012:function:my-function",
"Condition": {
"StringEquals": {
"lambda:FunctionUrlAuthType": "NONE"
}
}
}
]
Надати публічний доступ до сервісу в AWS Lambda:

@ ouvessvit
Надати публічний доступ до сервісу в GCP Cloud Run:
$ cat policy.yaml
bindings:
- members:
- allUsers
role: roles/run.invoker
$ gcloud run services set-iam-policy <SERVICE> policy.yaml

@ ouvessvit

GCP Identity Aware Proxy
@ ouvessvit
● Додає інтерфейс для логіну до веб інтерфейсу чи API
● Вбудована інтеграція з Google Workspace & GCP IAM
● Автентифікація та авторизація
● Cloud Run, App Engine, GKE, Compute Engine

“Мені треба швидко спробувати,
зроблю клікопс”
Інтернет

AWS Lambda Function URLs
@ ouvessvit

@ ouvessvit
$ aws lambda create-function-url-config --function-name
my_function --auth-type NONE
NONE – Lambda doesn't perform any authentication before invoking
your function. However, your function's resource-based policy is
always in effect and must grant public access before your
function URL can receive requests. Choose this option to allow
public, unauthenticated access to your function URL.

@ ouvessvit
"lambda-invoke" resource policy:
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": "*",
"Action": "lambda:InvokeFunctionUrl",
"Resource": "arn:aws:lambda:us-east-1:123456789012:function:my-function",
"Condition": {
"StringEquals": {
"lambda:FunctionUrlAuthType": "NONE"
}
}
}
]
}

GCP Cloud Run Ingress Policy
@ ouvessvit
Ingress контролює доступ до URL самого сервісу, що автоматично створений:
https://<serviceName>-<projectHash>-<region>.run.app

GCP Cloud Run Ingress Policy
@ ouvessvit
3 варіанти ingress:
● INGRESS_TRAFFIC_ALL <- default
● INGRESS_TRAFFIC_INTERNAL_ONLY
● INGRESS_TRAFFIC_INTERNAL_LOAD_BALANCER

“Все йде вже налаштованим,
наша справа - писати код”
Quickﬁre
security

AWS не шифрує за замовчанням

Serverless is not really serverless

Cloud services are public APIs

GCP: Serverless VPC Connectors
@ ouvessvit
Мій Проєкт
func-sa my-func1 my-dataset
Serverless VPC
connector
subnet
Cloud Functions, Cloud Run та інші
безсерверні продукти категорії compute
працюють в так званих тіньових проєктах;
для забезпечення комунікації з
приватними та restricted сервісами можна
використати Serverless VPC Connector.
A Cloud Run сам уміє в приватні комунікації
завдяки VPC Egress 🚀

@ ouvessvit
AWS: VPC Endpoints
AWS
Приватні
сервіси
VPC
Subnet
Інтернет

Вимкніть публічний доступ до storage
buckets

Вимкніть публічний доступ до storage buckets
ouvessvit

Дякую!
Приєднуйся до дискусії в discord
Socials: ouvessvit

""I'll just run my task in the cloud" - Legends and myths of security in Serverless", Natalie Godec

Recommended

Recommended

More Related Content

More from Fwdays

More from Fwdays (20)

""I'll just run my task in the cloud" - Legends and myths of security in Serverless", Natalie Godec