FaaS

Définition

La Function as a Service (FaaS) est un modèle d'exécution serverless dans lequel des fonctions individuelles sont déployées et exécutées à la demande, sans que le développeur n'ait à gérer les serveurs sous-jacents. AWS Lambda, Azure Functions, Google Cloud Functions et Cloudflare Workers sont les principales implémentations FaaS du marché. Dans ce modèle, chaque fonction est un bloc de code autonome déclenché par un événement (requête HTTP, message dans une queue, modification d'un objet S3, événement de base de données). La facturation est basée sur le nombre d'exécutions et le temps CPU consommé, avec une granularité à la milliseconde. La sécurité FaaS présente des caractéristiques distinctives par rapport aux modèles traditionnels. La surface d'attaque est fragmentée : chaque fonction a ses propres permissions IAM, ses propres déclencheurs et sa propre surface d'exposition. Une fonction mal configurée peut servir de point d'entrée pour des attaques de type injection de code, exécution de commandes, ou abus de permissions IAM. Les vulnérabilités spécifiques aux environnements FaaS incluent : les injections dans les paramètres d'entrée (event injection), l'abus des permissions IAM trop larges des fonctions (chaque Lambda/Function doit respecter le principe du moindre privilège), la manipulation de déclencheurs (trigger manipulation), les attaques sur les dépendances tierces (npm, PyPI) incluses dans les packages de déploiement, et les secrets hardcodés dans les variables d'environnement. Les bonnes pratiques de sécurité FaaS comprennent : attribuer des rôles IAM dédiés à chaque fonction avec uniquement les permissions nécessaires, chiffrer toutes les variables d'environnement sensibles (utiliser AWS Secrets Manager ou AWS SSM Parameter Store), scanner les dépendances avant déploiement (Snyk, Trivy), activer les traces X-Ray/Cloud Trace pour la visibilité, limiter les timeouts et la mémoire pour réduire le blast radius, et auditer régulièrement les déclencheurs exposés publiquement.