Le funzioni serverless sono unità di codice a vita breve che vengono eseguite solo quando sono attivate da un evento, come una richiesta HTTP, il caricamento di un file o un messaggio di una coda. Il provider cloud gestisce i server e la scalabilità, quindi i difensori si concentrano meno sull'amministrazione degli host e più sul codice, sulle autorizzazioni e sul comportamento guidato dagli eventi. Poiché queste funzioni sono effimere, possono avviarsi e arrestarsi rapidamente, lasciando poco tempo per un'ispezione manuale.
Nel campo della sicurezza, le funzioni serverless sono importanti perché gli aggressori spesso prendono di mira il piano di controllo circostante: ruoli IAM eccessivamente ampi, segreti esposti, dipendenze non sicure o input degli eventi non convalidati. L'abuso può portare al furto di dati, a chiamate API non autorizzate o al crypto-mining occulto tramite invocazioni ripetute. Le difese si basano su privilegi minimi, gestione dei segreti, scansione del codice e monitoraggio in fase di esecuzione. Nel CWPP, il supporto per il serverless aiuta i team a rilevare schemi di esecuzione sospetti e a applicare criteri su carichi di lavoro che non esistono mai come server tradizionali.