¿Cuáles son las mejores prácticas de seguridad sin servidor?

La computación sin servidor implica la asignación y el aprovisionamiento dinámicos y bajo demanda de la infraestructura de aplicaciones, como la potencia de cálculo o los recursos de almacenamiento. Permite a los equipos de DevOps centrarse en la entrega de aplicaciones y eliminar las preocupaciones relacionadas con la infraestructura, delegándolas a los proveedores de nube. Las arquitecturas sin servidor pueden incluir funciones que ejecutan bits discretos de código o bases de datos temporales utilizadas por una rama de desarrollo de corta duración.

Los recursos sin servidor aportan un enfoque dinámico y distribuido a la computación, lo que a su vez introduce demandas de seguridad únicas que requieren un enfoque particular.

En este artículo, veremos las cuatro mejores prácticas para abordar problemas de seguridad comunes asociados con la arquitectura sin servidor. Adoptar estas mejores prácticas ayudará a tu organización a mantener una posición de seguridad fuerte y sólida.

Práctica recomendada n.º 1: Adopta el principio del mínimo de privilegios

Al construir permisos para recursos sin servidor, es esencial entender el concepto de "mínimo de privilegios". Usar permisos demasiado amplios para una función sin servidor puede introducir el riesgo de vulnerabilidades de acceso no autorizado si un actor malicioso compromete un recurso. Para mitigar este riesgo, limita los derechos de acceso de todos los recursos al mínimo necesario para completar sus tareas, nada más.

Usa el control de acceso basado en roles

El control de acceso basado en roles (RBAC) define los roles que tienen permisos para acceder a recursos. Luego, los usuarios o grupos solo reciben esos roles asignados cuando sea necesario. Este enfoque garantiza que las organizaciones tengan un acceso detallado y escalable. El RBAC es un enfoque más seguro que asignar permisos directamente a usuarios individuales y facilita la revisión de roles, ya que puedes limitar los recursos de acceso común a roles reutilizables para aplicaciones, usuarios o grupos.

Auditorías y ajustes periódicos de permisos

Es esencial revisar y auditar los permisos y roles periódicamente para que sean adecuados para su propósito, especialmente cuando cambian las aplicaciones subyacentes. Descuidar estas auditorías y ajustes puede provocar una dispersión de permisos para servicios y recursos, lo que podría generar una vulnerabilidad de seguridad en las aplicaciones comprometidas.

Práctica recomendada n.º 2: Implementar una monitorización y un registro sólidos

Los entornos sin servidor implican implementaciones rápidas y, a menudo, transitorias. Para ser eficaz en estos entornos, considera lo siguiente en tu enfoque de monitorización de seguridad.

Registro detallado de funciones

El registro detallado puede proporcionar visibilidad sobre el comportamiento de las funciones sin servidor en tiempo de ejecución y detectar posibles amenazas o brechas derivadas de comportamientos no intencionados o de la ejecución previa de las funciones. Utiliza herramientas de registro optimizadas para funciones sin servidor para procesar y exportar los logs de tus funciones y contar con todas las capacidades de registro que necesitas. Estos módulos optimizados proporcionan registros detallados de los logs de ejecución, incluidos identificadores de correlación, marcas de tiempo y datos de diagnóstico. 

Seguimiento de logs y alertas

Mientras las funciones de tu aplicación generan logs detallados, investiga las actividades o patrones inusuales en tus funciones y reacciona con rapidez para clasificar los posibles problemas. Las actividades anómalas aparecen como valores atípicos en tiempo de ejecución, memoria consumida o errores en tiempo de ejecución. Para los equipos, monitorizar estos valores atípicos en rutas de acceso a API, fuentes de datos o volúmenes de peticiones puede ser vital para identificar la salida inesperada de código o la presencia de actores malintencionados buscando vulnerabilidades en un sistema sin servidor.

Utiliza un sistema centralizado de monitorización y gestión de logs para correlacionar la actividad entre tus sistemas distribuidos y las funciones sin servidor. Las soluciones sólidas y modernas cuentan con funciones de alerta integradas, lo que permite a los equipos tomar medidas de corrección con rapidez.

Almacenamiento y revisión seguros de logs

Asegúrate de que los logs se transmitan de forma segura desde tus aplicaciones hasta sus ubicaciones para su procesamiento y almacenamiento, que también debe ser seguro. Revisa regularmente los logs almacenados en el repositorio para obtener información y descubrir tendencias que detecten vulnerabilidades o ataques contra tus aplicaciones.

Práctica recomendada n.º 3: Adoptar prácticas de codificación segura

Es común que las funciones sin servidor integren módulos y servicios de terceros. A medida que el código de tu aplicación depende de un número creciente de módulos de terceros, la superficie expuesta a vulnerabilidades también aumenta en tamaño. Por lo tanto, al desarrollar aplicaciones sin servidor en este entorno, ten en cuenta la seguridad de las funciones. Mitiga los riesgos comunes implementando procesos de revisión y análisis para eliminar el código poco seguro.

Validación de entradas

Sanea todas las entradas en funciones sin servidor y cualquier dato extraído de fuentes externas, como API de terceros. Esto previene amenazas de inyección de código, como el envío de código no intencionado o de paquetes maliciosos. 

Proceso de revisión

Como se ha señalado antes, las aplicaciones sin servidor suelen integrar módulos de terceros. Los responsables del mantenimiento actualizan regularmente estos módulos con parches de seguridad para evitar introducir vulnerabilidades en la función. Asegúrate de actualizar tus dependencias de terceros regularmente. Las actualizaciones deben incluir el tiempo de ejecución de la aplicación (como Java, Python o Node.js) a una versión que se mantenga actualmente. 

Al revisar las dependencias de una aplicación, revisa también periódicamente si hay lagunas de seguridad para eliminar las vulnerabilidades identificadas y conocidas en el momento. Este proceso puede completarse manualmente siguiendo un calendario o mediante herramientas automatizadas de análisis de seguridad para reducir esta carga de trabajo. La automatización puede crear y recomendar actualizaciones de versiones seguras o correcciones de seguridad en el código. 

Seguridad "shift-left"

Al integrar comprobaciones de seguridad en cualquier proceso de desarrollo, considera un enfoque shift-left para integrar la comprobación en las primeras fases del ciclo de desarrollo, como en el diseño o la inicialización del proyecto. Este proceso ahorra tiempo de desarrollo al identificar posibles problemas de seguridad antes de la fase final de prueba o lanzamiento del proyecto.

Práctica recomendada n.º 4: Reforzar la seguridad de la red

Las aplicaciones distribuidas, que pueden implementarse mediante funciones sin servidor, a menudo requieren la comunicación con servicios externos. Esto aumenta los posibles puntos de ataque, especialmente si la comunicación entre clientes y servicios externos no está protegida. Por lo tanto, debes asegurar los flujos de datos entre funciones sin servidor y servicios externos para evitar interceptaciones o manipulaciones en el flujo de datos.

Protocolos de cifrado

Los desarrolladores deben implementar protocolos de cifrado para asegurar la comunicación siempre que una función sin servidor se comunique con API y servicios externos. Junto con HTTPS, estos protocolos incluyen TLS para conexiones no HTTP con el fin de mitigar eficazmente los ataques en los que el adversario intercepta las comunicaciones y de evitar que los datos se envíen en texto sin formato a través de la red.

Puertas de enlace API

Supongamos que existen funciones sin servidor que exponen las API a las que hay terceros interesados en llamar. En ese caso, emplea una solución de puerta de enlace de API para gestionar mejor tus API y mejorar tu posición de seguridad. La puerta de enlace se sitúa entre los clientes que llaman a tus API y la función sin servidor de tu backend. Esta centralización garantiza que las directivas y requisitos de seguridad (como la autenticación de aplicaciones o las directivas de control de acceso para los recursos de la API) se apliquen de forma uniforme en todos los servicios.

Restricción del acceso a la red

No es raro que las organizaciones ejecuten sus funciones sin servidor en la nube pública. Si ese es el caso de tu organización, es fundamental restringir el acceso a la red a rutas definidas solo desde fuentes y servicios de confianza. Esta es otra capa de seguridad para las aplicaciones, que bloquea el acceso a cualquiera que no esté en tu entorno de red antes de que los datos lleguen a la aplicación.

CrowdStrike y la seguridad sin servidor

Las funciones sin servidor ofrecen agilidad a los equipos en los procesos de desarrollo y escalabilidad dinámica según la demanda. Sin embargo, este enfoque implica priorizar la corrección de las vulnerabilidades más arriesgadas.

Las prácticas de codificación seguras y el acceso con privilegios mínimos reducen significativamente la introducción de vulnerabilidades en entornos sin servidor. Establece un historial de auditoría claro para reforzar la monitorización y el registro de aplicaciones. Estos controles forman parte del enfoque holístico de la seguridad sin servidor, desde la fase de desarrollo hasta la ejecución de la aplicación.

Para implementar, revisar y mantenerte al día de las mejores prácticas en un entorno tecnológico que evoluciona tan rápido, opta por una plataforma que incorpore todas estas funciones y muchas otras. La plataforma CrowdStrike Falcon® ofrece a los equipos soluciones integrales y todo en uno para proteger tus entornos en la nube, incluidas funciones sin servidor. 

Ponte en contacto con nosotros para más información o suscríbete a una prueba gratuita de 15 días de la plataforma Falcon para obtener más información.