目前，许多组织已经全面转向IaaS，取代了虚拟数据中心、内部部署服务器及设备。这种广泛的采用使得确保IaaS运营环境的安全变得至关重要，以应对使用量的增加。
与PaaS或SaaS模型相比，客户在使用IaaS时承担了更多的安全责任。例如，在SaaS中，诸如操作系统补丁等以操作系统为中心的任务超出了客户的控制范围。然而，在IaaS模型中，客户对工作负载（如虚拟计算映像）有完全的控制权，因此也需要承担相应的安全责任。
控制权意味着责任。IaaS客户在享有更多控制权的同时，也必须承担确保其安全的责任。由于IaaS处于技术堆栈的底层，获取特定的安全指导相对困难，最佳实践需要根据不同的使用情况进行调整。然而，仍然有一些通用的IaaS安全最佳实践可供参考。
以下是为云计算客户准备的IaaS安全检查清单中的五个关键步骤：
1. 了解云计算提供商的安全模型
在使用IaaS产品之前，组织的信息安全负责人必须充分理解云计算提供商的安全模型。这一点至关重要，主要有两个原因：首先，不同的云计算提供商在相似概念上使用不同的术语。例如，用户可以在AWS云平台中使用标签来组织资产，也可以在谷歌云平台（GCP）中使用项目进行组织。这种差异可能影响云安全策略的实施，因此了解相关术语可以帮助避免错误。
其次，了解可用的安全功能及其潜在价值或限制从操作角度来看也非常重要。信息安全负责人应确定必要的操作配置更改，以确保有效利用这些功能。虽然Amazon GuardDuty和Microsoft Defender for Identity（前身为Azure Advanced Threat Protection）在概念上相似，但它们的操作方式和用户从中获得的价值却截然不同。可以通过建立控件图来比较不同提供商的功能，这在多云环境中尤其重要。
无论选择哪个云计算提供商，这些清单均可应用于IaaS安全最佳实践。
2. 加密静态数据
大多数云计算提供商，尤其是大型提供商，允许对其IaaS平台上创建的虚拟机进行加密。这种加密功能通常是免费的或成本较低的。用户可以选择自行管理密钥，或者由云计算提供商进行管理。
考虑到对财务和运营的影响较小，启用这一加密功能（如果默认未启用）是明智的决策。在执行IaaS安全检查表的第一步时，需要确保明确静态加密是否以及如何影响云计算提供商提供的其他服务，例如备份和恢复功能。
3. 持续更新补丁
IaaS客户主要负责确保工作负载保持最新状态。这一般包括操作系统及任何安装在这些映像上的软件。与内部部署服务器的修补和维护相同，云计算工作负载也需采取类似措施。尽管这听起来简单一致，但保持补丁更新在实际操作中可能会面临挑战，尤其是在不同团队或通过不同的操作流程管理云计算资源时。
4. 监控和盘点
对基于云计算或其他资产进行监控是基本常识。然而，监视功能可能分散在组织的不同团队中。此外，云计算提供商通过不同的界面提供各种监控机制。这些运营挑战需要大量的规划和前瞻性思维，以确保高效且一致的云计算监控。因此，安全领导者应预留充分的时间来制定监控策略。
此外，组织应保持图像清单的最新状态。尽管IaaS控制台会列出其中的内容，但可能不会包含关于虚拟机（VM）使用者及其用途的详细信息。通过在清单系统和IaaS控制台中维护关联注释或标签，有助于安全团队在IaaS控制台交叉引用信息，从而在多个云计算平台中跟踪工作负载，清晰识别工作负载。
5. 管理访问权限
在IaaS环境中，身份和访问管理（IAM）是安全检查清单的重要组成部分，需考虑多个维度。首先，需关注能够访问操作系统及其上安装的任何应用程序和中间件的权限；其次，在操作系统层面考虑特权访问（包括Root或管理员访问）。这些IAM注意事项在IaaS中应得到严格管理和控制。
同样需要注意的是，IaaS中还有其他独特的访问层，包括对IaaS控制台及其他提供云计算资源运行信息或影响其操作的功能的访问。这些功能（如备份和恢复、密钥管理和审核）在确保资源安全方面起着重要作用。因此，了解谁有权访问这些区域以及目的至关重要。
组织可以利用即时访问等功能，确保仅在需要时提供访问权限。通过使用跳转服务器集中管理访问权限，不仅可以确保统一实施监控，还可以最大程度减少工作负载的攻击面。
[[[IMG_1]]]
[[[IMG_2]]]
[[[IMG_3]]]
[[[IMG_4]]]
[[[IMG_5]]]
