私がサーバレスに全面移行した理由はセキュリティです。セキュリティパッチも当てず放置してしまっていました。

私がサーバレスに全面移行した理由はセキュリティです。セキュリティパッチも当てず放置してしまっていました。 本記事は「サーバを一度構築したら、正常にレスポンスがあるうちは放置する」ような運用をしている方に向けた記事です。 私は学生時代に、「パーツあげるからサーバつくって運用してみなよ！！」と仲のよかった教授がいってくれたことでサーバ構築をはじめました。CentOS入れて、Apache入れて、よくわからないけどiptablesをoffにしたらすごい公開できた！！という体験はとてもよかったです。 その後、アプリをつくるようになって、レンタルサーバではスペックが足りなくなったので、お名前ドットコムでVPSを借りて、AWSが登場したら「すごい！構築したインスタンスをそのままスケールアップできる！！」と勢いのままEC2に移りました。Ansibleで構築自動化のレシピをつくって構築して、運用という名の

[inductor]

インフラ側の脆弱性はそれで解決できても、コードが塩漬けになると当然ライブラリ起因の脆弱性は防げないので、メンテをせずに放置する運用自体をやめないといけないことが本質的な課題なのではないかと思った。

[shiba-yan]

サーバーレスというかマネージドサービスを使うメリットという方が正しい。ELB / EC2 が使われてると安全性が高くないと取れる表現は良くないと思う。

[ngsw]

LambdaもruntimeサポートのEOLがあるから……

[laiso]

運用コストを正しく認識するのは難しい。という教訓がある

[a1_taka38]

観光地でBBQをした後でゴミを片付けずの方々と似てるのかも。

[yancy1969]

セキュリティパッチはインフラだけじゃなくてアプリ側にもあるので、GithubのDependabotとか使っ方がいいよ。

[sin20xx]

よくわからん。そもそもそういった点に鈍感な人間はコード上の脆弱性にも無頓着だろうし根本の問題はそういった点について向き合えていないという事かと。むしろ無頓着な点を改善できないとより状況は悪化するのだが

[ys0000]

リスクヘッジをどこに持つかの話でちゃんと運用するのも一つのリスクヘッジで、脆弱なアプリの不具合を放置したら攻撃対象になるし。でWAFだって対策の一つだし。銀の弾丸はないよね。

[Keisuke69]

少なくともインフラ側のパッチ当てからは解放されるよね。アプリ側はこれまで通り必要なので忘れずに

[pascal256]

同意しかない。アプリのメンテに集中できるのでサーバレスのが（比較的）安全。もちろん真に放置したらアプリの脆弱性やFWの脆弱性があるけど手間とリスクがだいぶ変わる。

[kobito19]

"ELB / EC2 が使われてると安全性が高くないと取れる表現は良くない" 何でやセキュリティパッチ当てずに放置てタイトルに書いとるやんけ。EC2使ってると安全性高くないぞ。