半年経ったけど 2018年やっていたいことのポエムとか

もう，6月だぞ？

やること

SecHack365 2018に社会人枠として採用されましてテーマとしてはサーバーレスでセキュアなアプリケーションの実現というテーマで研究/開発をします．日常はホスティング事業者としてホスティングサービスの開発や運用をするのが仕事ですが，今回はホスティング利��者/開発者目線でどのようにすればサーバーレスアーキテクチャにおけるセキュリティが担保されるのか1年間考えていきたい(これは罠で全体で10カ月ほどしかない)．

サーバーレスとは？

サーバーを自前で用意せずマネージドサービスを活用していってクラウド事業者のベストプラクティスなシステムを使うことでインフラエンジニアは本来の目的()に注力することが出来ます．世の中にはもちろん，クラウドやサーバーレスには適さないシステムも大量にあるわけで適材適所で最適なものを選ぶこともインフラエンジニアの仕事の一つになっていく．

サーバーレスの既存セキュリティ問題について

The top 10 security challenges of serverless architectures で定義されているサーバーレスにおけるセキュリティの課題は以下の通りです．

Function event data injection ファンクションへの不正なイベントデーターの注入
Broken authentication 認証が壊れている場合
Insecure serverless deployment configuration サーバーレスデプロイの設定ミス
Over-privileged function permissions and roles アクセス権限の許可と付与
Inadequate function monitoring and logging 監視とログ収集が十分でない
Insecure third-party dependencies 不確実な第三者の依存関係
Insecure application secrets storage 安全でないストレージ
DDoS attacks, resources stretched to the limit DDos攻撃がリソースの限界まで広がっている．
Serverless function execution flow manipulation サーバーレスファンクションの実行フローの操作
Improper exception handling and verbose error messages 不適切な例外処理と冗長なエラーメッセージ

これらが現段階でサーバーレスやFaaSで見えている課題である．これらの課題を解決する方法について今は本当に全く分からん．なので，今後はデプロイツールのTerraformやServerless Framework,Serverless Component,サーバーレスアプリケーション用開発者ツールなどを使ってみて問題点や改善できる点を徐々に上げてそこから問題解決をやっていきたい．