無服務(wù)器安全
專為無服務(wù)器架構(gòu)而打造
產(chǎn)品優(yōu)點(diǎn)
- 檢測(cè)攻擊并提供動(dòng)態(tài)保護(hù)
- 自動(dòng)修復(fù)無服務(wù)器錯(cuò)誤配置
- 盡可能減小無服務(wù)器攻擊面
- 將 CI/CD 的無服務(wù)器安全防護(hù)“左移”
產(chǎn)品特點(diǎn)
- 自動(dòng)生成最低權(quán)限的 IAM 角色
- 函數(shù)自我保護(hù)，持續(xù)掃描函數(shù)中是否存在漏洞和潛在威脅
- 深層代碼流分析，確保應(yīng)用強(qiáng)化和最低權(quán)限訪問
- CloudGuard Dome 9 集成，實(shí)現(xiàn)集中化可見性、持續(xù)狀況管理和集成警報(bào)
- 與 Splunk、Slack、Jira、Amazon CloudWatch 等第三方相集成，進(jìn)行實(shí)時(shí)警報(bào)
洞察
無服務(wù)器應(yīng)用需要專用的安全方法。對(duì)于無服務(wù)器應(yīng)用從開發(fā)到運(yùn)行時(shí)這一完整過程，Check Point CloudGuard 可帶來無與倫比的可見性、安全性和的全面控制。
解決方案
Check Point CloudGuard 實(shí)現(xiàn)了無服務(wù)器 FaaS 應(yīng)用從開發(fā)到運(yùn)行時(shí)這一完整安全生命周期的自動(dòng)化。CloudGuard Dome9 能夠檢測(cè)安全狀況方面的問題并發(fā)出警報(bào)，在部署前提供糾正措施；通過無縫 CI/CD 集成，大幅節(jié)省開發(fā)人員的時(shí)間，確保沒有漏洞蔓延到實(shí)際環(huán)境當(dāng)中。在運(yùn)行時(shí)，CloudGuard 工作負(fù)載無代理函數(shù)自我保護(hù) （FSP） 層能夠從函數(shù)層面檢測(cè)并阻止 OWASP TOP 10 攻擊，如注入、失效的身份認(rèn)證、過多的權(quán)限和敏感數(shù)據(jù)泄漏；同時(shí)為每個(gè)函數(shù)生成高度準(zhǔn)確的行為配置文件，阻止異常情況。
防止無服務(wù)器錯(cuò)誤配置
- 自動(dòng)應(yīng)用強(qiáng)化
CloudGuard 能夠在部署前后分析無服務(wù)器應(yīng)用代碼，幫助最大限度改善應(yīng)用安全狀況、減小攻擊面，并簡(jiǎn)化治理。
此外，CloudGuard 還通過 CloudGuard Dome9 直觀界面為整個(gè)無服務(wù)器生態(tài)系統(tǒng)（函數(shù)、觸發(fā)器、第三方庫等）提供全面的統(tǒng)一視圖。聚焦安全的可視化界面可顯示所有輸入和觸發(fā)器及潛在風(fēng)險(xiǎn)。
盡可能減小攻擊面
CloudGuard 突破性的深層代碼流分析技術(shù)能夠檢測(cè)配置風(fēng)險(xiǎn)，并自動(dòng)生成最低級(jí)別的功能權(quán)限。該解決方案可清楚地概述推薦的修復(fù)步驟，幫助推動(dòng)大規(guī)模修復(fù)安全狀況的工作。
此外，CloudGuard 還可以檢測(cè)配置問題并發(fā)出警報(bào)，例如未關(guān)聯(lián)的觸發(fā)器和過度配置的函數(shù)超時(shí)配置。該產(chǎn)品能夠持續(xù)掃描函數(shù)，查找已知漏洞和蘊(yùn)藏的風(fēng)險(xiǎn)，確保應(yīng)用不會(huì)遭受攻擊。
自動(dòng)評(píng)測(cè)函數(shù)和應(yīng)用行為
CloudGuard 能夠持續(xù)掃描無服務(wù)器基礎(chǔ)設(shè)施、代碼和運(yùn)行時(shí)環(huán)境。CloudGuard 利用機(jī)器分析和深度學(xué)習(xí)算法，構(gòu)建出應(yīng)用和函數(shù)正常行為模型，包括在資源層面自動(dòng)創(chuàng)建操作白名單。您可以進(jìn)一步定義自定義策略，并根據(jù)函數(shù)級(jí)別實(shí)施行為。
準(zhǔn)確快速地檢測(cè)
并阻止無服務(wù)器應(yīng)用攻擊
根據(jù)已學(xué)習(xí)的函數(shù)情景，CloudGuard 提供動(dòng)態(tài)保護(hù)，并從調(diào)用時(shí)起開啟自動(dòng)保護(hù)。CloudGuard 的函數(shù)自我保護(hù) （FSP） 功能可檢測(cè)應(yīng)用層攻擊、發(fā)出警報(bào)并加以阻止，如無服務(wù)器 OWASP Top 10 攻擊和獨(dú)立于攻擊觸發(fā)器的異常活動(dòng)。
使用 CLOUDGUARD
阻止無服務(wù)器攻擊的示例
CloudGuard 阻止代碼注入攻擊的示例圖：
