Bei einer Überprüfung von Tausenden von AWS-Lambda-Funktionen findet ein Sicherheitsingenieur sensible Daten in Umgebungsvariablen, die in der Lambda-Konsole als Klartext sichtbar sind. Die Secrets sind kurze Werte. Was ist die kostengünstigste Abhilfemaßnahme?

Die kostengünstigste Lösung ist die Speicherung der Werte als sichere String-Parameter im AWS Systems Manager Parameter Store. Dieser Dienst ist für die Speicherung kleiner Konfigurationsdaten und Secrets kostenlos, solange die Anzahl der Parameter und API-Aufrufe innerhalb der kostenlosen Stufe bleiben, was bei kurzen Werten und Tausenden von Lambda-Funktionen wahrscheinlich der Fall ist. AWS Secrets Manager ist eine gute Option für die Verwaltung von Secrets, verursacht jedoch Kosten pro Secret und API-Aufruf, was bei Tausenden von Secrets teurer wäre. AWS Step Functions ist ein Workflow-Orchestrierungsdienst und nicht primär für die Speicherung von Secrets gedacht. IAM-Richtlinien können den Zugriff auf Umgebungsvariablen in der Konsole einschränken, aber die Daten sind immer noch im Klartext vorhanden und könnten von der Lambda-Funktion selbst oder durch andere Mittel zugänglich sein, was das eigentliche Problem der Speicherung sensibler Daten im Klartext nicht löst.