コンテキストのリスクスコア

関数のスキャン(静的および動的)中に特定された脆弱性。

関数に与えられた権限(IAMロール)。関数の権限が多いほど、リスクは高くなります。

影響度スコアを計算するために、各サービスに対して5つのアクセスレベル分類(List、Read、Write、Tagging、Permissions Management)を検査してスコアを付けます。そして、100点から開始して、各サービスのアクセスレベルに応じてペナルティ点数を減算していきます。

例えば、以下のようなIAMポリシーがあるとします。

{
    "Effect": "Allow" ,
    "Action": [
        "s3:GetObject",
        "sqs:*"
    ],
    "Resource": "*"
}

各サービスのアクセスレベルのスコアが、以下のように算出されたとします。

{ 
  "s3": {
    "Read": 6,
    "Write": 3,
    "List": 3,
    "Tagging": 1,
    "Permissions management": 12
  },
  "sqs": {
    "Read": 3,
    "Write": 3,
    "List": 1,
    "Tagging": 1,
    "Permissions management": 6
  }
}

総合スコアは、次のように算出されることになります。

攻撃者が関数に到達する可能性は、関数のトリガーの設定に基づきます。

各サービスには、攻撃者がその関数にアクセスできるかどうかだけでなく、トリガーの設定(例えば、認証あり/認証なし)に基づいた、異なるスコアがあります。

例：

例えば、関数にEventBusがトリガーとして設定されている場合、潜在的な攻撃者がこのLambda関数にアクセスできる可能性は、 API Gatewayがトリガーとして設定されているLambdaにアクセスするよりも低くなります。さらに、API Gatewayが認証なし(つまりOpen)で設定されている場合には、その関数には誰でもどこからでもアクセスできることになります。

そのため、関数の可能性スコアは以下のようになります。