서버리스 함수 스캐닝: GCP 클라우드 함수의 취약점이나 패키지 세부 정보가 없습니다.

1765

Created On 12/05/24 02:24 AM - Last Modified 03/04/25 16:47 PM

Symptom

이 문서는 GCP 클라우드 함수의 서버리스 함수 스캐닝에 관한 것입니다.

사용자 온보딩된 GCP 클라우드 계정에 대해 Serverless Function Scanning을 활성화했고 권한 상태 괜찮아 보입니다. 스캔을 수행한 후 클라우드 함수가 다음 페이지에 나열되지만 " 취약성 " 및 " 패키지 정보 " 탭에 ? 표시할 데이터가 없습니다 ?라고 표시됩니다.
- 모니터 > 취약점 > 기능 > 스캔된 기능
결과.png
노데이터-1.png
노데이터-2.png

GCP 측에서 스캔한 클라우드 기능은 아래와 같습니다.
샘플코드-1.png
샘플코드-2.png

Environment

Prisma Cloud 런타임 보안
GCP 클라우드 기능

Cause

현재 설계에서는 Serverless Function Scanning이 코드 자체를 스캔하지 않고 함수의 패키지 구성 파일(Python의 경우 requirements.txt, PKG-INFO 파일 등)에 나열된 종속성을 검사합니다. 이러한 종속성은 알려진 취약점 데이터베이스와 일치합니다.
즉, zip 파일 형태의 클라우드 기능에 취약한 콘텐츠(예: 취약한 라이브러리 패키지)가 포함되어 있으면 예상대로 작동하지만 코드만 포함되어 있으면 취약점 발생하지 않습니다.

Resolution

클라우드 기능에 대한 취약점 탐지를 테스트하려는 경우 소스 코드와 취약한 라이브러리를 패키징(예: ZIP 파일)한 다음, 이를 업로드하여 클라우드 기능을 생성하고 검사를 수행할 수 있습니다.

Additional Information