如今，许多组织几乎完全采用IaaS来取代虚拟数据中心、本地服务器和设备。这种广泛的实施需要保护IaaS操作环境以适应这种增加的使用。采用IaaS的客户比在PaaS或SaaS环境中面临更多的安全责任。例如，在SaaS中，操作系统修补等以操作系统为中心的任务不在客户的控制范围内。然而，在IaaS模型中，责任在于客户，因为他们控制工作负载，在这种情况下是虚拟计算图像。随着控制而来的是责任。通过更多地控制基础架构，IaaS客户也将承担保护它的责任。由于IaaS在堆栈中的位置非常低，因此很难获得具体的安全指南，因为最佳实践需要针对不同的用途进行调整。但也有一些IaaS安全最佳实践可供选择，可以跨云计算提供商和使用场景普遍应用。以下是针对云客户的IaaS安全检查表中的五个基本步骤：1.了解云提供商的安全模型在使用IaaS产品之前，组织的信息安全领导者需要确保他们了解云提供商的安全模型。这一点很重要，主要有两个原因：首先，云计算提供商对相似的概念使用不同的术语。例如，用户可以在AWSCloudPlatform中使用标签组织资产，也可以在GoogleCloudPlatform(GCP)的项目中组织资产。但这会影响云安全策略更改的实施方式，因此了解术语有助于防止错误。其次，从运营的角度来看很重要。用户需要了解哪些安全功能可用，以及这些功能的潜在价值或局限性。考虑到这种情况，信息安全领导者需要确定对操作配置文件的任何必要更改，以确保有效使用这些功能。AmazonGuardDuty和MicrosoftDefenderforIdentity（以前称为AzureAdvancedThreatProtection）等服务在概念上高度相似，但在它们的运作方式以及用户运营商如何从中获取价值方面却截然不同。可以构建一个控制图来比较提供者之间的功能。这在多云环境中尤为重要。无论云提供商如何，都可以使用这些清单来应用IaaS安全最佳实践。2.加密静态数据大多数云计算提供商（尤其是大型云计算提供商）可以加密在其IaaS平台中创建的虚拟机。这种加密功能通常是免费的，或者收取少量费用。用户可以选择管理自己的密钥，也可以选择由云计算提供商管理。考虑到对财务和运营的影响较小，使用此加密功能（如果默认情况下尚未启用）是一个明智的决定。按照IaaS安全检查表的第一步，确保阐明静态加密是否或如何影响其他云提供商提供的服务，例如备份和恢复功能。3.持续修补IaaS客户主要负责使工作负载保持最新。在大多数情况下，这包括操作系统本身以及安装到这些映像的任何软件。正如本地服务器需要修补和维护一样，云计算工作负载也应该这样做。虽然这听起来像是常识，但一致的更新补丁可能比看起来要难得多。当云计算资源在不同的组内或通过不同的操作流程进行管理时尤其如此。4.监控和盘点密切关注云计算或任何其他资产的常识。但就像补丁一样，监控功能可以位于组织内的不同组中。此外，云计算提供商通过不同的接口提供各种监控机制。这些运营挑战将需要广泛的规划和远见，以确保一致和高效的云监控。因此，安全领导者应该留出足够的时间来制定监控策略。此外，组织需要维护最新的图像清单。IaaS控制台将列出其中的内容，但不一定包括有关组织中谁在使用虚拟机(VM)以及用途的详细信息。通过关联的注释或标签，有助于维护库存系统和IaaS控制台中的库存信息。这允许安全团队在IaaS控制台中交叉引用信息，跨多个云计算平台跟踪工作负载并一目了然地识别工作负载。5.管理访问权限在IaaS中，有几个身份和访问管理(IAM)维度可以作为IaaS安全清单的一部分考虑。首先，可以访问操作系统及其上安装的任何应用程序和中间件。其次，考虑操作系统级别的特权访问（包括root或管理访问）。IaaS的这些身份和访问管理(IAM)注意事项应该得到仔细管理和控制。重要的是要注意IaaS中还有其他独特的访问“层”。该层包括访问IaaS控制台和提供有关云计算资源的信息或影响云计算资源运行的其他程序功能。这些功能，如备份和恢复、密钥管理和审计，都在确保资源安全方面发挥着作用。因此，了解谁可以访问提供商控制台的这些区域以及出于什么目的是至关重要的。组织可以使用即时访问等功能仅在需要时提供访问权限。使用跳转服务器集中访问，确保统一监控，并最大限度地减少工作负载攻击面。
