ระวังให้ดีก่อนใช้ นักวิจัยพบ 21% ของ Open Source Serverless Application มีช่องโหว่ความรุนแรงระดับสูงสุด

PureSec ได้ทำการตรวจสอบ Source Code ของ Open Source Serverless Application และพบว่ากว่า 21% มีช่องโหว่ความรุนแรงระดับสูงสุด ที่อาจเปิดให้ผู้โจมตีเข้ามาเจาะระบบได้

 

Credit: ShutterStock.com

ท่ามกลางกระแสของ Serverless Architectures ที่กำลังค่อยๆ เป็นที่นิยมในเหล่านักพัฒนากันมากขึ้นเรื่อยๆ ในทุกวันนี้ ก็มีโครงการ Open Source ถูกพัฒนาขึ้นมาเพื่อใช้งานบนสถาปัตยกรรม Serverless Architectures กันมากขึ้นเรื่อยๆ ซึ่งประเด็นด้าน Security บน Serverless เองก็ถือว่าเป็นสิ่งที่จะละเลยไปไม่ได้เช่นกัน

PureSec ได้สรุปตัวเลขและประเด็นที่น่าสนใจจากการตรวจสอบโครงการ Open Source Serverless Application จำนวน 1,000 โครงการ ดังต่อไปนี้

  • 21% มีช่องโหว่ความรุนแรงระดับสูงสุด หรือตั้งค่าการทำงานที่ไม่ถูกต้องจนเกิดเป็นช่องโหว่
  • 6% มีการฝัง Secret ลงไปใน Source Code โดยตรง เช่น API Key, Credential และอื่นๆ ซึ่งเปิดให้คนทั่วไปสามารถเข้าถึงข้อมูลในส่วนนี้ได้จากสาธารณะ
  • ปัญหาที่เกิดขึ้นนั้นเกิดจากแนวปฏิบัติในการพัฒนา Software ที่ไม่ปลอดภัย, ขาดความเข้าใจในการพัฒนา API ให้ปลอดภัย และการขาดความรู้เรื่อง Security บนระบบ Serverless ทำให้การพัฒนาเกิดขึ้นจากการ Copy/Paste โดยไม่ได้เข้าใจโค้ดของตัวเองจริงๆ

ก็ถือเป็นอีกข้อคิดที่ดีสำหรับผู้ที่พัฒนา API หรือใช้งาน Serverless Architecture ว่าอย่าละเลยเรื่อง Security กันนะครับ

 

ที่มา: https://www.infosecurity-magazine.com/news/onefifth-of-serverless-apps/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Tangerine Webinar: เจาะลึกเบื้องหลัง Smart City ด้วย Maps Intelligence

Tangerine ขอเรียนเชิญผู้บริหาร นักพัฒนา และ GIS Users เข้าร่วมงานสัมมนา Tangerine Webinar เรื่อง “เจาะลึกเบื้องหลัง Smart City ด้วย Maps …

TechTalk Webinar : Defense in Depth – Ransomware Ready with Commvault

VSTECS ร่วมกับ Computer Union และ Commvault ขอเชิญผู้สนใจในสายงาน IT ทุกท่านเข้าร่วมงานสัมมนาออนไลน์ในหัวข้อ "Defense in Depth - Ransomware Ready with Commvault" โดยท่านจะได้เรียนรู้เกี่ยวกับโซลูชันการป้องกันข้อมูลจากแรนซัมแวร์เพื่อทำให้ระบบขององค์กรเป็นไปตามแนวทาง Defense in Depth งานจะจัดขึ้นในวันจันทร์ที่ 6 มิถุนายน 2565 เวลา 14.00 - 15.30 น. มีกำหนดการลงทะเบียนดังนี้