Learning Serverless Security

Guía integral y práctica publicada por O'Reilly Media con autoría de Joshua Arvin Lat (CTO y AWS AI Hero), centrada en auditar, vulnerar y blindar aplicaciones serverless en los entornos de nube pública más populares del mercado. Está dirigida a desarrolladores, ingenieros de seguridad, auditores de software y arquitectos cloud que parten de un nivel básico en seguridad serverless, requiriendo únicamente conocimientos previos en desarrollo de aplicaciones web y conceptos fundamentales de servicios en la nube (como AWS, Azure o Google Cloud).

El libro aborda la seguridad en arquitecturas sin servidor con un enfoque equilibrado entre AWS (AWS Lambda, IAM, Amazon S3, AWS CloudTrail), Microsoft Azure (Azure Functions, Azure Key Vault, Managed Identities) y Google Cloud Platform (Cloud Run, Cloud Storage, Google Cloud IAM). Examina riesgos críticos derivados del OWASP Serverless Top 10 y OWASP API Security, tales como la fuga y abuso de credenciales IAM expuestas en aplicaciones web, escalada de privilegios abusando de roles excesivamente permisivos (AssumeRole), inyecciones de código mediante funciones dinámicas como eval(), creación de puertas traseras persistentes sin requerir shells inversas tradicionales, y manipulación maliciosa de disparadores de eventos (event triggers) a través de cargas de archivos en buckets.

La obra se articula alrededor de laboratorios prácticos con código disponible en el repositorio oficial del autor, permitiendo experimentar tanto técnicas de ataque simuladas como estrategias de remediación y endurecimiento: aislamiento de funciones dentro de nubes virtuales privadas (VPC), refactorización de código vulnerable y despliegue de Infraestructura como Código (IaC) conforme al principio de mínimo privilegio. Aporta un valor técnico excepcional al desmitificar la supuesta inmunidad nativa de las tecnologías serverless, advirtiendo que la gestión de la seguridad sigue recayendo en la configuración del cliente. Conviene monitorear los recursos aprovisionados durante las prácticas para evitar sobrecostes en las cuentas de nube utilizadas.