Amazon AWS Lambda関数を設定してレスポンスのログの末尾化を防ぐ方法を教えてください。

Question

このご参照ください：

http://docs.aws.amazon.com/lambda/latest/dg/API_Invoke.html

LOGTYPE

をあなたは値 RequestResponseでInvocationTypeパラメータを指定した場合にのみ、要求 で最後尾にこのオプションパラメータを設定することができます。この場合、AWS Lambdaは、 xamz-log-resultヘッダーのラムダ関数によって生成されたログデータのbase64でコード化された の最後の4 KBを返します。

有効値：なし| Tail

これは、関数を呼び出すための有効な資格情報を持つユーザーは、この関数が発行するログも読み取ることができることを意味しますか？

これは明らかな脆弱性で、攻撃者に無効な入力の処理に関する有用な情報を与えることができます。

Amazon AWSラムダ関数を構成して、レスポンスのログの尾引きを防止する方法を教えてください。コメントについて

アップデート1

1）：「ハッカーがあなたのラムダ関数を呼び出すことができる場合、ログファイルを見るより 多くの問題を抱えている。」

ない真：ラムダ関数SDKを使用して直接クライアントコードを作成することも意味します。

2）コメントについて：例として

、著書「アクションでAWSラムダ」から下記の絵を見る」 をどのようにこの脆弱性は、正確にあなたが持っている唯一の誰か？提供AWS IAMの資格情報は、ラムダ関数を呼び出すことができるだろう。「もちろん

、クライアントはいくつかの資格情報を持っていない、例えば、から が自分のFacebookのアカウントでモバイルアプリにサインインした（ほとんどの時間、スルー・アムアゾン・コグニート）。私はすべてのユーザーを信頼するはずですか？

3）コメントについて：「あなたがログインするためにいくつかのセキュアな情報を入れている場合のみ。」

ログの賢明な情報が含まれていてもよいです。パスワードのような安全な情報ではなく、開発チームのデバッグに役立つ情報、またはセキュリティチームが攻撃を見つけ出すための情報です。アプリケーションは、何らかの無効な入力が失敗した理由を含む、あらゆる種類の情報をログに記録し、攻撃者が有効な入力が何であるかを知るのに役立ちます。また、攻撃者はセキュリティチームが攻撃について記録しているすべての情報を見ることができます。良くない。あなたが記録しているものによってプライバシーが危険にさらされる可能性があります。

アップデート2

私は何とかラムダコードでTailパラメータを検出することができればそれはまた、私の問題を解決するだろう。それから、私は "Tail now allowed"というメッセージで失敗します。残念ながら、Contextオブジェクトにはこの情報が含まれていないようです。

Answer 1

私は、レスポンスのログを尾引きさせないようにAWS Lambdaを設定することはできないと思います。しかし、LogTypeパラメータで公開する可能性を避けるために、Amazon Lambdaが提供するものを使用するのではなく、独自のログコンポーネントを使用することができます。

それ以外の場合は、複雑さを追加することについての注意点がありますが、信頼できないクライアントアプリケーションに対してLambdasを呼び出す可能性を提供する最も一般的なソリューションはAPIゲートウェイを使用する方法です。

Answer 2

これはコメントです。 これはコメントでなければなりませんが、私はまだ十分なstackoverflowの評判を持っていないことを申し訳ありません。呼び出しは、イベントや機能に応じて、少なくとも一度起こる

これにコメントする前に、

（AWSドキュメントごと）ラムダ呼び出しは、あなたのラムダの複数の実行をもたらす可能性がありますのでご注意くださいは冪等する必要がありますこれを処理する。

LogTypeが有効なオプションとして文書化されているため、私はあなたのバックエンドでそれを防ぐことはできないと思います。ただし、それを処理するには回避策が必要です。私は考えることができる

1-迷惑メール4KBのテールログを生成する（例えばconsole.log（）による）。その後、攻撃者は迷惑情報を取得します。 （攻撃者の場合のみコストが発生する）

2-ステップ機能を使用する。これは、ログを非表示にするだけでなく、「呼び出しは少なくとも1回発生する」問題を克服し、バックエンドの予測可能な実行を持っています。それは費用がかかります。

Answer 3

あなたは正しく、悪い習慣であるだけでなく、セキュリティ上の脆弱性を導入していることは明らかです。

あなたは本の中で慎重に見ればあなたもこの部分を見つける：

より安全にするためには、クライアントの要求は、クリーンを公開しますアマゾンAPIゲートウェイを打つ必要があることを説明し

をAPIインタフェースを使用し、関連するラムダ関数を外部世界に公開することなく呼び出すことができます。

、このようなAPIの例は、前のページにdemo'edされます。クライアントとAWS-ラムダの間で中間層を導入することにより

、我々は認証、許可、アクセスの世話をします潜在的な脆弱性の他のすべての点。