Wildcard 권한 제거를 통한 Lambda Blast Radius 최소화 설계

Context

AWS Lambda 운영 시 편의성을 위해 도입한 Shared Role 및 Wildcard 권한 설정이 보안 취약점의 핵심 원인으로 작용. 단순 설정 오류가 아닌 Least Privilege 원칙의 부재로 인해 단일 함수 침해 시 계정 전체 리소스로 공격 범위가 확장되는 구조적 한계 노출.

Technical Solution

• Function-Specific Role 설계를 통한 함수별 독립적 권한 격리 및 상호 간 영향도 차단
• Wildcard(*) Action을 구체적인 API Action(예: dynamodb:GetItem)으로 대체하여 불필요한 권한 제거
• Resource ARN 명시를 통한 특정 리소스에 한정된 접근 제어로 권한 오남용 방지
• Development-to-Production 권한 정제 프로세스를 도입하여 개발 단계의 과도한 권한 제거
• Permission Boundary 설정을 통한 권한 상한선을 정의하여 관리자 실수로 인한 권한 상승 방지