如今，許多組織幾乎完全采用IaaS取代了虛擬數(shù)據(jù)中心、內(nèi)部部署服務(wù)器和設(shè)備。這種廣泛的實(shí)現(xiàn)需要確保IaaS運(yùn)營(yíng)環(huán)境的安全，以適應(yīng)這種增加使用量的情況。

與PaaS或SaaS環(huán)境相比，客戶采用IaaS面臨著更多的安全責(zé)任。例如，在SaaS中，以操作系統(tǒng)為中心的任務(wù)(如操作系統(tǒng)補(bǔ)丁)就超出了客戶的控制范圍。然而在IaaS模型中，其責(zé)任在于客戶，因?yàn)樗麄兛梢钥刂乒ぷ髫?fù)載，而在該案例中是虛擬計(jì)算映像。

[[380523]]

具有控制權(quán)力就會(huì)帶來(lái)責(zé)任。通過對(duì)基礎(chǔ)設(shè)施進(jìn)行更多控制，IaaS客戶還將承擔(dān)確保其安全的負(fù)擔(dān)。由于IaaS在堆棧中的位置較低，因此很難獲得特定的安全指導(dǎo)，因?yàn)樽罴褜?shí)踐需要適應(yīng)不同的用法。但也有一些IaaS安全最佳實(shí)踐可供選擇，可以在云計(jì)算提供商和使用場(chǎng)景中普遍應(yīng)用。

以下是針對(duì)云計(jì)算客戶的IaaS安全檢查清單中的五個(gè)基本步驟：

1. 了解云計(jì)算提供商的安全模型

在使用IaaS產(chǎn)品之前，組織的信息安全負(fù)責(zé)人需要確保他們了解云計(jì)算提供商的安全模型。這很重要，這主要有兩個(gè)原因：首先，云計(jì)算提供商對(duì)相似的概念使用不同的術(shù)語(yǔ)。例如，用戶可以使用AWS云平臺(tái)中的標(biāo)簽來(lái)組織資產(chǎn)，但也可以在谷歌云平臺(tái)(GCP)中的項(xiàng)目中組織。但這會(huì)影響云安全策略更改的實(shí)施方式，因此了解術(shù)語(yǔ)可以幫助防止出現(xiàn)錯(cuò)誤。

其次，從操作角度來(lái)看很重要。用戶需要了解哪些安全功能可用，以及這些功能的潛在價(jià)值或限制。考慮到這種情況，信息安全負(fù)責(zé)人需要確定對(duì)操作配置文件的任何必要更改，以確保有效地使用這些特性。

Amazon GuardDuty和Microsoft Defender for Identity(前身為Azure Advanced Threat Protection)等服務(wù)在概念上高度相似，但在操作方式和用戶操作人員從中獲得價(jià)值的方式上卻截然不同。可以構(gòu)建一個(gè)控件圖，用于比較提供者之間的功能。這在多云環(huán)境中尤其重要。

無(wú)論云計(jì)算提供商如何，都可以使用這些清單應(yīng)用在IaaS安全最佳實(shí)踐。

2. 加密靜態(tài)數(shù)據(jù)

大多數(shù)云計(jì)算提供商(尤其是大型提供商)都可以對(duì)在其IaaS平臺(tái)中創(chuàng)建的虛擬機(jī)進(jìn)行加密。這種加密功能通常是免費(fèi)的，或者費(fèi)用很低。用戶可以選擇管理自己的密鑰，也可以選擇由云計(jì)算提供商管理。

考慮到對(duì)財(cái)務(wù)和運(yùn)營(yíng)的影響較小，使用這一加密功能(如果默認(rèn)情況下尚未啟用)是一個(gè)明智的決定。按照IaaS安全檢查表的第一個(gè)步驟，需要確保闡明靜態(tài)加密是否或如何影響其他云計(jì)算提供商提供的服務(wù)，例如備份和恢復(fù)功能。

3. 持續(xù)更新補(bǔ)丁

IaaS客戶主要負(fù)責(zé)使工作負(fù)載保持最新狀態(tài)。在大多數(shù)情況下，這包括操作系統(tǒng)本身以及安裝到這些映像的任何軟件。正如需要對(duì)內(nèi)部部署服務(wù)器進(jìn)行修補(bǔ)和維護(hù)一樣，對(duì)云計(jì)算工作負(fù)載也要采取相同的措施。雖然這聽起來(lái)像是常識(shí)，但一致的更新補(bǔ)丁可能比看起來(lái)困難得多。在不同的組內(nèi)或通過不同的操作流程管理云計(jì)算資源時(shí)，尤其如此。

4. 監(jiān)控和盤點(diǎn)

密切關(guān)注基于云計(jì)算或其他任何資產(chǎn)的常識(shí)。但是就像修補(bǔ)程序一樣，監(jiān)視功能可以位于組織內(nèi)的不同組中。此外，云計(jì)算提供商通過不同的界面提供各種監(jiān)視機(jī)制。這些運(yùn)營(yíng)挑戰(zhàn)將需要進(jìn)行大量規(guī)劃和遠(yuǎn)見卓識(shí)，以確保一致且高效的云計(jì)算監(jiān)控。因此，安全領(lǐng)導(dǎo)者應(yīng)留出足夠的時(shí)間來(lái)制定監(jiān)視策略。

此外，組織需要保持最新的圖像清單。IaaS控制臺(tái)將列出其中的內(nèi)容，但不一定包含有關(guān)組織中誰(shuí)在使用虛擬機(jī)(VM)以及針對(duì)什么使用虛擬機(jī)(VM)的詳細(xì)信息。通過關(guān)聯(lián)的注釋或標(biāo)簽在清單系統(tǒng)和IaaS控制臺(tái)中維護(hù)清單信息很有幫助。這使安全團(tuán)隊(duì)可以在IaaS控制臺(tái)中交叉引用信息，在多個(gè)云計(jì)算平臺(tái)中跟蹤工作負(fù)載并一目了然地確定工作負(fù)載。

5. 管理訪問權(quán)限

在IaaS中，要考慮多個(gè)身份和訪問管理(IAM)維度作為IaaS安全清單的一部分。首先，可以訪問操作系統(tǒng)及其上安裝的任何應(yīng)用程序和中間件。其次，在操作系統(tǒng)級(jí)別上考慮特權(quán)訪問(其中包括root或管理訪問)。IaaS的這些身份和訪問管理(IAM)注意事項(xiàng)應(yīng)該得到認(rèn)真管理和控制。

需要注意的是，IaaS中還有其他唯一的訪問“層”。該層包括訪問IaaS控制臺(tái)和其他程序功能，這些功能提供有關(guān)或影響云計(jì)算資源運(yùn)行的信息。這些功能(例如備份和恢復(fù)、密鑰管理和審核)在確保資源安全方面都可以發(fā)揮作用。因此，了解誰(shuí)有權(quán)訪問提供商控制臺(tái)的這些區(qū)域以及出于什么目的至關(guān)重要。

組織可以使用即時(shí)訪問等功能只在需要時(shí)提供訪問。使用跳轉(zhuǎn)服務(wù)器來(lái)集中整合訪問權(quán)限，確保統(tǒng)一實(shí)施監(jiān)控，并最大程度地減少工作負(fù)載攻擊面。