서버리스(Serverless) 보안 주의사항

서버리스도 보안 취약점이 있습니다. 서버 관리는 없지만 애플리케이션 보안은 여전히 개발자 책임입니다.

주요 위험:

1. 인젝션 — SQL, NoSQL, OS 명령어 인젝션 여전히 가능
2. 과도한 권한 — IAM Role에 * 권한 부여
3. 환경변수 노출 — Lambda 환경변수에 시크릿 평문 저장
4. 이벤트 소스 조작 — S3, API Gateway 이벤트 변조
5. 디펜던시 취약점 — node_modules 등

방어:

• IAM 최소 권한 원칙
• AWS Secrets Manager로 시크릿 관리
• 입력 검증 철저
• 함수 타임아웃/메모리 제한 설정
• VPC 내 배포 (필요 시)