无服务架构安全：Serverless AWS Lambda 权限过载与冷启动注入

发表于：2022-11-05|最后更新：2022-11-09|分类：云原生安全|阅读：4017 次

Serverless 场景下，函数冷启动会复用底层执行环境容器。若未清理全局变量，或为单个函数配置了例如 AdministratorAccess 的过度特权，攻击者利用事件载荷注入后，可持久化横向渗透云基础设施。

一、限制 Lambda IAM Execution Role 范围

json

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:PutItem"
      ],
      "Resource": "arn:aws:dynamodb:us-east-1:123456789012:table/OrderTable"
    }
  ]
}