Bambda: 서버리스 환경에서의 함수 호출 조건 기반 공격 방어 프레임워크
Bambda: A Framework for Preventing Function Invocation Condition-Based Attacks in Serverless Environments
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
서버리스 컴퓨팅은 자동 확장성, 비용 효율성, 운영 편의성을 제공하여 클라우드 컴퓨팅의 새로운 패러다임으로 급속히 확산되고 있다. 그러나서버리스 환경의 두 가지 핵심 특성인 IAM 기반 권한 관리와 이벤트 기반 실행 메커니즘은 보안 취약점으로 작용할 수 있다. 특히 복잡한 함수간 호출 관계로 인해 권한 우회나 이벤트 호출 조건 악용과 같은 공격에 노출되기 쉽다. 기존 연구들은 정적 분석이나 데이터 태깅을 통한 해결책을제시했으나, 동적인 서버리스 환경에서의 실시간 위협 대응이나 개발자의 생산성 측면에서 한계를 보인다. 본 논문에서는 서버리스 환경에 특화된동적 보안 프레임워크인 Bambda를 제안한다. Bambda는 AWS CloudWatch를 활용한 중앙집중식 로깅과 자동화된 코드 삽입을 통해 실시간 함수호출 검증을 수행한다. 특히 직접 호출과 이벤트 기반 호출을 구분하여 검증하는 다단계 프로세스를 도입하여, 개발자의 추가적인 보안 설정 없이도효과적인 우회 공격 차단이 가능하다. AWS Lambda 환경에서의 실험을 통해 권한 우회와 연쇄적 함수 호출 공격에 대한 효과적인 방어 능력을입증했으며, 성능 오버헤드 측면에서도 실용적 수준의 구현이 가능함을 확인했다.
Abstract
Serverless computing is rapidly emerging as a new paradigm in cloud computing, offering automatic scalability, cost efficiency, andease of operation. However, its two core characteristics—IAM-based privilege management and event-driven execution—can introducesecurity vulnerabilities. In particular, complex inter-functional call relationships make serverless applications susceptible to attacks suchas privilege bypass and event trigger exploitation. Existing approaches, including static analysis and data tagging, have limitations inreal-time threat response and developer productivity in dynamic serverless environments. In this paper, we propose Bambda, a dynamicsecurity framework tailored for serverless environments. Bambda performs real-time function call verification through centralized loggingand automated code injection using AWS CloudWatch. By implementing a multi-step verification process that distinguishes between directand event-driven calls, Bambda effectively prevents bypass attacks without requiring additional security configurations from developers. Experiments in AWS Lambda environments validate its effectiveness in defending against privilege escalation and chained function callattacks while maintaining practical performance overhead.