El evento como entrada no confiable

En sistemas orientados a eventos, es habitual asumir que los datos provenientes de colas internas o buses son seguros. Sin embargo, si un atacante logra inyectar un mensaje malformado en una cola o alterar un webhook externo, el payload será procesado directamente por la función consumidora. Todo evento debe validarse contra un esquema estricto (JSON Schema / Pydantic) antes de ser procesado por la lógica de negocio, rechazando campos no esperados o tipos de datos ambiguos.

Validar la estructura en el API Gateway antes de invocar la función de cómputo ahorra costos y filtra ataques en la frontera.

Abre el laboratorio y lee esquemas-eventos.txt. Identifica el mecanismo de validación habilitado en API Gateway que rechaza campos desconocidos.

Las plataformas de facturación procesan archivos XML con estructuras complejas que pueden explotar parsers vulnerables para leer archivos locales o forzar conexiones SSRF.

Examina validacion-cargas.txt e identifica qué tipo de ataque se mitiga deshabilitando la resolución DTD en el parser de facturas.

El uso de mecanismos de serialización inseguros (como pickle en Python o unserialize en PHP) sobre datos de eventos permite la ejecución remota de código en el contenedor efímero.