如今，許多組織幾乎完全采用IaaS取代了虛擬數(shù)據(jù)中心、內(nèi)部部署服務(wù)器和設(shè)備。這種廣泛的實(shí)現(xiàn)需要確保IaaS運(yùn)營環(huán)境的安全，以適應(yīng)這種增加使用量的情況。

與PaaS或SaaS環(huán)境相比，客戶采用IaaS面臨著更多的安全責(zé)任。例如，在SaaS中，以操作系統(tǒng)為中心的任務(wù)（如操作系統(tǒng)補(bǔ)丁）就超出了客戶的控制范圍。然而在IaaS模型中，其責(zé)任在于客戶，因?yàn)樗麄兛梢钥刂乒ぷ髫?fù)載，而在該案例中是虛擬計(jì)算映像。

具有控制權(quán)力就會帶來責(zé)任。通過對基礎(chǔ)設(shè)施進(jìn)行更多控制，IaaS客戶還將承擔(dān)確保其安全的負(fù)擔(dān)。由于IaaS在堆棧中的位置較低，因此很難獲得特定的安全指導(dǎo)，因?yàn)樽罴褜?shí)踐需要適應(yīng)不同的用法。但也有一些IaaS安全最佳實(shí)踐可供選擇，可以在云計(jì)算提供商和使用場景中普遍應(yīng)用。

以下是針對云計(jì)算客戶的IaaS安全檢查清單中的五個基本步驟：

1. 了解云計(jì)算提供商的安全模型

在使用IaaS產(chǎn)品之前，組織的信息安全負(fù)責(zé)人需要確保他們了解云計(jì)算提供商的安全模型。這很重要，這主要有兩個原因：首先，云計(jì)算提供商對相似的概念使用不同的術(shù)語。例如，用戶可以使用AWS云平臺中的標(biāo)簽來組織資產(chǎn)，但也可以在谷歌云平臺（GCP）中的項(xiàng)目中組織。但這會影響云安全策略更改的實(shí)施方式，因此了解術(shù)語可以幫助防止出現(xiàn)錯誤。

其次，從操作角度來看很重要。用戶需要了解哪些安全功能可用，以及這些功能的潛在價值或限制。考慮到這種情況，信息安全負(fù)責(zé)人需要確定對操作配置文件的任何必要更改，以確保有效地使用這些特性。

Amazon GuardDuty和Microsoft Defender for Identity（前身為Azure Advanced Threat Protection）等服務(wù)在概念上高度相似，但在操作方式和用戶操作人員從中獲得價值的方式上卻截然不同?？梢詷?gòu)建一個控件圖，用于比較提供者之間的功能。這在多云環(huán)境中尤其重要。

無論云計(jì)算提供商如何，都可以使用這些清單應(yīng)用在IaaS安全最佳實(shí)踐。

2. 加密靜態(tài)數(shù)據(jù)

大多數(shù)云計(jì)算提供商（尤其是大型提供商）都可以對在其IaaS平臺中創(chuàng)建的虛擬機(jī)進(jìn)行加密。這種加密功能通常是免費(fèi)的，或者費(fèi)用很低。用戶可以選擇管理自己的密鑰，也可以選擇由云計(jì)算提供商管理。

考慮到對財(cái)務(wù)和運(yùn)營的影響較小，使用這一加密功能（如果默認(rèn)情況下尚未啟用）是一個明智的決定。按照IaaS安全檢查表的第一個步驟，需要確保闡明靜態(tài)加密是否或如何影響其他云計(jì)算提供商提供的服務(wù)，例如備份和恢復(fù)功能。

3. 持續(xù)更新補(bǔ)丁

IaaS客戶主要負(fù)責(zé)使工作負(fù)載保持最新狀態(tài)。在大多數(shù)情況下，這包括操作系統(tǒng)本身以及安裝到這些映像的任何軟件。正如需要對內(nèi)部部署服務(wù)器進(jìn)行修補(bǔ)和維護(hù)一樣，對云計(jì)算工作負(fù)載也要采取相同的措施。雖然這聽起來像是常識，但一致的更新補(bǔ)丁可能比看起來困難得多。在不同的組內(nèi)或通過不同的操作流程管理云計(jì)算資源時，尤其如此。

4. 監(jiān)控和盤點(diǎn)

密切關(guān)注基于云計(jì)算或其他任何資產(chǎn)的常識。但是就像修補(bǔ)程序一樣，監(jiān)視功能可以位于組織內(nèi)的不同組中。此外，云計(jì)算提供商通過不同的界面提供各種監(jiān)視機(jī)制。這些運(yùn)營挑戰(zhàn)將需要進(jìn)行大量規(guī)劃和遠(yuǎn)見卓識，以確保一致且高效的云計(jì)算監(jiān)控。因此，安全領(lǐng)導(dǎo)者應(yīng)留出足夠的時間來制定監(jiān)視策略。

此外，組織需要保持最新的圖像清單。IaaS控制臺將列出其中的內(nèi)容，但不一定包含有關(guān)組織中誰在使用虛擬機(jī)（VM）以及針對什么使用虛擬機(jī)（VM）的詳細(xì)信息。通過關(guān)聯(lián)的注釋或標(biāo)簽在清單系統(tǒng)和IaaS控制臺中維護(hù)清單信息很有幫助。這使安全團(tuán)隊(duì)可以在IaaS控制臺中交叉引用信息，在多個云計(jì)算平臺中跟蹤工作負(fù)載并一目了然地確定工作負(fù)載。

5. 管理訪問權(quán)限

在IaaS中，要考慮多個身份和訪問管理（IAM）維度作為IaaS安全清單的一部分。首先，可以訪問操作系統(tǒng)及其上安裝的任何應(yīng)用程序和中間件。其次，在操作系統(tǒng)級別上考慮特權(quán)訪問（其中包括root或管理訪問）。IaaS的這些身份和訪問管理（IAM）注意事項(xiàng)應(yīng)該得到認(rèn)真管理和控制。

需要注意的是，IaaS中還有其他唯一的訪問“層”。該層包括訪問IaaS控制臺和其他程序功能，這些功能提供有關(guān)或影響云計(jì)算資源運(yùn)行的信息。這些功能（例如備份和恢復(fù)、密鑰管理和審核）在確保資源安全方面都可以發(fā)揮作用。因此，了解誰有權(quán)訪問提供商控制臺的這些區(qū)域以及出于什么目的至關(guān)重要。

組織可以使用即時訪問等功能只在需要時提供訪問。使用跳轉(zhuǎn)服務(wù)器來集中整合訪問權(quán)限，確保統(tǒng)一實(shí)施監(jiān)控，并最大程度地減少工作負(fù)載攻擊面。
責(zé)任編輯：YYX