[论文解读] Guarding Serverless Applications with SecLambda

Deepak Sirone Jegan, Liang Wang+3 more|arXiv (Cornell University)|Nov 10, 2020

Security and Verification in Computing参考文献 33被引用 4

一句话总结

SecLambda 是一个可扩展的无服务器应用安全框架，通过利用本地函数状态和全局应用状态来实施实时安全控制。通过扩展 gVisor 以支持自定义运行时策略和集中式控制器，SecLambda 实现了细粒度、应用感知的防护，可抵御控制流攻击、凭证泄露和 DoS 威胁，性能开销极低——在评估中，每函数调用的开销低于 6 ms。

ABSTRACT

As an emerging application paradigm, serverless computing attracts attention from more and more attackers. Unfortunately, security tools for conventional applications cannot be easily ported to serverless, and existing serverless security solutions are inadequate. In this paper, we present \emph{SecLambda}, an extensible security framework that leverages local function state and global application state to perform sophisticated security tasks to protect an application. We show how SecLambda can be used to achieve control flow integrity, credential protection, and rate limiting in serverless applications. We evaluate the performance overhead and security of SecLambda using realistic open-source applications, and our results suggest that SecLambda can mitigate several attacks while introducing relatively low performance overhead.

研究动机与目标

• 解决无服务器计算中缺乏实时、应用感知安全机制的问题。
• 检测并防止针对无服务器环境的复杂攻击，如控制流劫持、凭证泄露和 DoS 攻击。
• 在无需第三方服务协作的情况下，实现跨分布式无服务器函数的细粒度、安全策略强制执行。
• 在生产级无服务器工作负载中，保持强安全保证的同时降低性能开销。
• 提供一个可扩展的框架，支持基本访问控制之外的多种安全功能。

提出的方法

• 扩展 gVisor 容器运行时，通过基于 HTTP 载荷和 URL 等高层输入的自定义系统调用拦截和策略强制执行。
• 使用修改后的运行时（runsec）捕获并报告函数状态至防护模块，以实现运行时安全分析。
• 采用集中式控制器聚合函数状态，实现全局可见性，以检测无效执行路径。
• 引入防护模块，根据当前函数状态和全局应用上下文执行安全功能。
• 通过可定制的策略逻辑，支持可插拔的安全功能，如控制流完整性保护、凭证混淆和速率限制。
• 通过轻量级、同步的状态交换，实现在防护模块与控制器之间通信的极低开销（每调用一次低于 6 ms）。

实验结果

研究问题

• RQ1 如何保护无服务器应用免受利用错误执行顺序的控制流攻击？
• RQ2 是否可以在不修改第三方服务的情况下防止无服务器函数中的凭证暴露？
• RQ3 在无服务器环境中强制执行实时、应用感知安全策略的性能开销是多少？
• RQ4 如何在不依赖外部服务协作的情况下建模和监控全局应用行为？
• RQ5 可扩展框架能否在无服务器环境中同时有效支持多种安全功能？

主要发现

• SecLambda 通过流跟踪有效检测并缓解了控制流注入攻击，且无需修改第三方服务。
• 凭证管理功能成功将敏感数据与函数代码解耦，防止在系统被攻破时发生暴露。
• 速率限制被有效强制执行，成功防止了 DoS 攻击和对无服务器函数的滥用。
• 防护模块与控制器之间的通信开销低于每函数调用 6 ms，相当于在 AWS Lambda 上每次调用的开销不足 0.000001667 美元。
• 在真实应用场景中，该框架引入的开销可忽略不计，仅在对网络或 I/O 敏感的工作负载中表现出可测量的性能影响。
• 在三个开源无服务器应用上的评估证实了 SecLambda 在实际部署场景中的有效性和高效性。