Le Cloud Functions esposte rappresentano uno dei rischi più sottovalutati negli ambienti Google Cloud. Una semplice configurazione errata può aprire una porta d’accesso a chiunque. Questo articolo analizza il problema e fornisce indicazioni concrete per mitigarlo.
Il Problema delle Cloud Functions Esposte
Le funzioni serverless di Google Cloud offrono flessibilità e scalabilità. Tuttavia, quando vengono rese pubblicamente invocabili, diventano un vettore di attacco significativo. Il rischio non riguarda una singola organizzazione. Riguarda chiunque utilizzi Google Cloud Functions con configurazioni IAM o ingress permissive.
In particolare, il problema nasce da due errori comuni:
- Abilitare l’accesso non autenticato con
allUsersoallAuthenticatedUsers - Configurare il traffico ingress su “allow all” senza restrizioni di rete
Dati che Confermano la Gravità del Rischio
I numeri parlano chiaro. Secondo Google Cloud, nel 2025 il 29,4% degli incidenti di sicurezza cloud è stato causato da misconfigurazioni. Il 47,1% da credenziali deboli o assenti. Di conseguenza, configurazione e identità restano i due pilastri più vulnerabili.
Inoltre, il report Google Threat Horizons H1 2026 evidenzia un dato allarmante. Gli attaccanti hanno sfruttato asset cloud mal configurati entro un’ora dalla loro creazione. La finestra temporale per agire è quindi estremamente ridotta.
Come un Attaccante Sfrutta una Cloud Function Esposta
Un attaccante non ha bisogno di credenziali per iniziare. Gli basta individuare una funzione pubblicamente invocabile. Strumenti di scansione automatizzati permettono di scoprire queste esposizioni in pochi minuti.
Vettori di Attacco Principali
Una volta identificata una Cloud Function esposta, l’attaccante può:
- Eseguire codice arbitrario all’interno dell’ambiente cloud
- Escalare i privilegi sfruttando i service account associati alla funzione o a Cloud Build
- Accedere a dati sensibili raggiungibili dalla funzione tramite connettori VPC
- Abusare delle risorse per cryptomining o attività di comando e controllo
- Causare denial-of-wallet, generando costi operativi insostenibili
Vale la pena sottolineare la vulnerabilità nota come “ConfusedFunction”. Documentata da CloudVulnDB e confermata da ricercatori indipendenti, dimostra come i service account di Cloud Build possano essere abusati per escalation di privilegi. Tenable ha inoltre documentato nel 2024-2025 vulnerabilità specifiche legate al processo di deployment delle Cloud Functions.
Parallelamente, ricerche di Palo Alto Networks Unit42 confermano che i servizi cloud esposti pubblicamente sono tra i vettori di accesso iniziale più sfruttati dagli attori di minaccia. Non si tratta di un rischio teorico. È una realtà documentata.
Come Proteggere le Cloud Functions Esposte
La strategia difensiva si basa su tre principi fondamentali: deny by default, least privilege e monitoraggio continuo. Ecco le azioni concrete da implementare.
Controlli di Accesso IAM
Il primo passo è eliminare qualsiasi accesso non autenticato. In pratica:
- Rimuovere i binding IAM con
allUserseallAuthenticatedUsers - Restringere gli invoker a identità specifiche e verificate
- Applicare il principio del minimo privilegio ai service account delle funzioni
Inoltre, ogni service account associato a una Cloud Function deve avere solo i permessi strettamente necessari. Un service account sovra-privilegiato è un moltiplicatore di rischio.
Configurazione della Rete e del Traffico Ingress
Di conseguenza, il secondo livello di protezione riguarda la rete. Le configurazioni consigliate includono:
- Impostare l’ingress su “internal only” o “internal and Cloud Load Balancing”
- Posizionare le funzioni pubbliche dietro un API Gateway o un Load Balancer autenticato
- Segmentare la rete tramite VPC Service Controls per limitare il raggio di esplosione
In questo contesto, esporre una Cloud Function direttamente a Internet dovrebbe essere una scelta consapevole e motivata, non una configurazione predefinita dimenticata.
Postura di Sicurezza e Rilevamento Continuo
Infine, la prevenzione non basta. Servono anche rilevamento e risposta rapida. Le organizzazioni dovrebbero:
- Abilitare Cloud Audit Logs su tutte le invocazioni delle funzioni
- Configurare alert automatici per funzioni con accesso pubblico non previsto
- Utilizzare strumenti CSPM/CNAPP per revisioni continue della postura
- Condurre review periodiche delle configurazioni di deployment
Tuttavia, il fattore tempo è critico. Come indicato dal report Google, un’ora può essere sufficiente perché un attaccante compretta e sfrutti un asset esposto.
Conclusioni
Le Cloud Functions esposte sono un rischio sistemico, non un’eccezione. La combinazione di configurazioni errate e identità sovra-privilegiate crea un’opportunità concreta per attori malevoli. Investire nella prevenzione all’atto del deployment è più efficace che rispondere a posteriori. CISO e responsabili cloud devono trattare questo tema con la stessa urgenza riservata alle vulnerabilità critiche.
Fonti:
- Google Cloud Threat Intelligence – Exposed Cloud Functions
- Tenable TRA-2024-45
- CloudVulnDB – GCP Cloud Functions Privilege Escalation
- nquiringminds – ConfusedFunction
- Lensix – Cloud Function Ingress Traffic
- Binadox – Publicly Accessible Functions
- Palo Alto Unit42 – Exposed Hosts and Misconfigurations
- Palo Alto Unit42 – Serverless Authentication
Fonte: Articolo originale
Il tema delle Cloud Functions esposte e delle misconfigurazioni cloud si inserisce in un contesto più ampio di gestione del rischio che richiede condivisione tempestiva di threat intelligence tra organizzazioni. Piattaforme come IsacChain permettono di condividere in modo sicuro e verificato indicatori di compromissione legati ad ambienti cloud esposti, supportando al contempo la compliance NIS2 automatizzata attraverso report strutturati e audit trail immutabili garantiti dalla verifica blockchain. In un panorama in cui gli attaccanti sfruttano asset mal configurati entro un’ora dalla loro creazione, la capacità di correlare segnali tra più organizzazioni diventa un vantaggio difensivo decisivo. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com