基礎架構即服務：優勢、挑戰與使用案例

什麼是基礎架構即服務（IaaS）？

基礎架構即服務讓您可透過網際網路租用資料中心的基本構成元件，而不必自行購買與維護硬體。實務上，供應商會透過自助式入口網站與 API 提供四項核心資源：運算、儲存、網路，以及虛擬化層。您只需為實際使用量付費，以營運費用訂閱模式取代資本密集的伺服器投資。這可縮短採購週期，並釋出預算用於創新。

此模型隨著 2000 年代後期 hypervisor 的突破而興起，之後成為大多數現代雲端策略的基礎，支撐從開發沙箱到全球正式環境工作負載的一切。透過免除機櫃空間、電力與硬體汰換需求，雲端基礎架構讓您能在需求高峰時彈性擴展，並在流量回落時縮減規模。

IaaS 的運作方式

雲端平台會自動化基礎架構佈建，讓您能在幾分鐘內而非數個月內啟動環境。在運算層，虛擬機器、裸機主機與容器執行階段會將實體伺服器切分為適當大小的資源單位。儲存服務提供用於資料庫的區塊磁碟區、用於封存的物件儲存體儲體，以及用於 lift-and-shift 應用程式的共用檔案系統。軟體定義網路會覆蓋路由、負載平衡與防火牆，讓流量在與威脅隔離的同時，能夠到達正確的工作負載。

協調層將一切串接起來。使用 REST or CLI calls，您可以編寫自動擴展群組腳本，在 CPU 使用率飆升時增加容量，並在需求下降時淘汰閒置執行個體。AWS EC2 和 Azure Virtual Machines 等主要供應商提供多種定價層級：

• 隨選 適用於您需要立即取得資源時的即時彈性
• 預留 適用於可承諾較長期限的可預測工作負載
• Spot instances 適用於可容忍中斷、對成本敏感的批次作業

由於每項資源皆以軟體定義，因此遙測與政策強制執行從一開始就內建其中。這個基礎建立了共享責任安全模型，用以界定您的安全義務。

共享責任模型

了解由誰負責保護哪些項目 在雲端基礎架構中至關重要。供應商負責「雲端的安全」，而您負責「雲端中的安全」。混淆兩者會造成暴露風險。

您的雲端供應商會保護實體資料中心與存取控制，以及伺服器、儲存陣列和網路架構。他們也會維護 hypervisor 與其他使服務得以實現的虛擬化軟體。

您需負責該基礎之上的所有項目：

• 來賓作業系統與修補排程
• 應用程式與中介軟體設定
• 資料保護、encryption 與金鑰管理
• 身分與存取管理 設定與政策

許多團隊以為雲端供應商會「保護一切」，但設定錯誤的防火牆或權限過於寬鬆的 IAM 政策仍由您負責。請明確劃分角色，並在作業手冊與稽核中記錄，以防止攻擊者利用其中的缺口。

IaaS vs. PaaS vs. SaaS

雲端服務模型的差異在於您管理多少基礎架構，以及供應商負責哪些部分。每種模型都適用於不同的使用案例，並影響您的安全責任。

1. 雲端運算中的基礎架構即服務（IaaS） 提供虛擬機器、儲存與網路，而您可控制作業系統、應用程式與資料。您可獲得設定環境的最大彈性，但需自行管理修補、安全與合規。使用案例包括原樣搬遷、開發沙箱與自訂應用程式託管。
2. 平台即服務（PaaS） 在雲端運算中的 IaaS 之上加入受管執行階段環境、資料庫與中介軟體。供應商負責 OS 更新與基礎架構擴展，而您部署並管理應用程式。PaaS 透過消除基礎架構管理來加速開發，因此非常適合 Web 應用程式、API 與微服務，在這些情境中速度比底層控制更重要。
3. 軟體即服務（SaaS） 透過網際網路提供完整應用程式。供應商管理從基礎架構到應用程式更新的一切，而您只需使用該軟體。範例包括電子郵件平台、CRM 系統與協作工具，適用於您需要功能但不想承擔任何管理負擔的情境。

選擇取決於您團隊的技術能力、合規需求，以及您希望對底層基礎架構擁有多少控制權。

基礎架構即服務的優勢

相較於傳統資料中心，雲端基礎架構可帶來實質的營運與財務優勢。當您實作正確的架構與成本控制時，這些優勢會進一步累積。

• 成本效率 可免除硬體、資料中心與電力基礎設施的資本支出。您只需為已使用的資源付費，將固定成本轉為可隨業務需求擴展的變動費用。Microsoft 透過適當調整資源規模將虛擬機器支出降低了 15%，並在企業成長 20% 的情況下維持整體雲端成本持平。
• 快速佈建 讓您可在數分鐘內部署新環境，而不必等待數週進行硬體採購與安裝。開發團隊可依需求啟動測試環境，加速發行週期與實驗，而不受採購瓶頸限制。
• 全球覆蓋 讓您可跨多個區域部署工作負載，以降低延遲並支援災難復原。您可將運算資源部署在更接近亞洲、歐洲或南美洲客戶的位置，而無需建置實體資料中心。
• 彈性擴展 會根據需求自動調整容量。自動擴展政策會在流量高峰期間新增執行個體，並在離峰期間移除它們，在避免過度佈建的同時確保效能。這種彈性同時適用於產品發表等計畫性事件，以及非預期的流量激增。
• 專注於核心業務 讓您的團隊擺脫硬體維護、電力管理與實體安全的負擔。您無需再安裝機架伺服器或排除磁碟故障，而是可以將資源投入於能讓業務脫穎而出的應用程式功能與安全控制。

常見 IaaS 使用案例與範例

當您需要快速推進，且無需為新硬體投入資本支出時，雲端基礎架構能帶來最大價值。以下六個以情境為導向的範例，展示這些平台如何改變企業營運。

• 資料中心遷移（lift-and-shift）可讓您在傳統硬體限制成長時，將整體工作負載複製到雲端 VM 上，並在數週而非數季內汰除內部部署機架。 
• 開發與測試環境 提供隨需沙箱，讓工程師能在幾分鐘內完成原型設計、測試與拆除，而無需經歷採購週期或閒置伺服器。隨用隨付的定價模式表示，只有在實驗室啟用時才會計費，讓實驗更符合預算。
• 高效能運算與大數據分析 受益於 GPU 加速執行個體與 PB 級物件儲存，可將原本耗時漫長的資料作業縮短為短時間衝刺。金融機構如今會在雲端執行即時詐欺分析，在交易時段擴展叢集，並於夜間縮減規模。
• 全球 Web 與行動應用程式託管 讓 Money Mart 這類公司能在 Web、行動裝置與 500 個零售據點間推出全通路服務，在不犧牲法規遵循要求的情況下提升客戶觸及率。
• 災難復原與備份 功能使用異地備援儲存體，自動將快照複寫到另一個區域，無需次要資料中心即可滿足嚴格的 RTO/RPO 目標。 
• 安全研究與受控攻擊模擬 利用短暫性的雲端沙箱，讓您能在隔離環境中引爆惡意軟體、驗證修補程式或執行紅隊演練，然後透過單一 API 呼叫銷毀整個環境。

無論您是在現代化 ERP，這些模式都證明雲端基礎架構可同時滿足嚴格的可用性、法規遵循與成本目標。

安全挑戰與 IaaS 最佳實務

雲端基礎架構帶來新的攻擊面與共同責任的複雜性。了解這些風險並實施適當控制，是區分安全部署與資料外洩的關鍵。

主要安全威脅

1. 雲端儲存體設定錯誤 仍然是雲端資料外洩的主要原因。設定錯誤的公開 Amazon S3 buckets 已在多起事件中暴露數億筆記錄，包括影響 Facebook 與 Capital One 等備受矚目的案例；在這些事件中，預設或設定不當的存取控制偏重可存取性而非安全性，導致大規模資料曝露。
2. 不足的 IAM 政策 會授予過多權限，使攻擊者得以提升權限或橫向移動。權限過於寬鬆的角色，會讓勒索軟體操作者在入侵單一服務帳戶後，加密整個雲端環境。
3. 未修補的弱點 在來賓作業系統中形成可被利用的入口點。在 infrastructure as a service 中，作業系統維護由您負責，因此及時修補對於阻止已知漏洞利用至關重要。
4. 影子 IT 與資源蔓延會在團隊未經安全監督就佈建資源時發生。未追蹤的執行個體缺乏適當監控、法規遵循控制與攻擊防護。
5. 內部威脅與憑證竊取 會透過遭竊的 API 金鑰、存取權杖或員工憑證，讓攻擊者取得合法存取權。一旦進入後，攻擊者便會混入正常的雲端 API 活動中。

安全最佳實務

強健的安全實務同時涵蓋技術控制與營運紀律。

• 身分與存取管理 構成您的第一道防線。對所有雲端帳戶強制實施多重要素驗證，尤其是具有管理權限的帳戶。透過僅授予各角色所需權限來實施最小權限存取。定期檢閱並輪替服務帳戶憑證，以降低金鑰遭竊帶來的曝險。
• 資料保護與加密 保護靜態與傳輸中的資訊。使用平台管理或客戶管理的金鑰，為所有儲存磁碟區與資料庫啟用加密。對服務之間的每個網路連線套用 TLS。根據敏感度對資料進行分類，並套用適當控制。
• 網路安全控制 可分段流量並封鎖未經授權的存取。部署安全群組與網路 ACL，在工作負載周圍建立分層防禦。對資料庫與應用程式伺服器使用私有子網路，同時僅透過負載平衡器公開必要服務。實施微分段，以在攻擊者突破邊界時限制橫向移動。
• 持續監控與記錄 可提供安全事件的可視性。啟用雲端供應商稽核記錄，以追蹤所有 API 呼叫與組態變更。將記錄匯出至集中式 SIEM 以進行關聯分析與長期保存。針對權限提升、異常資料傳輸或驗證失敗嘗試等可疑活動設定警示。
• 弱點掃描與修補程式管理 可在攻擊者發現之前彌補安全缺口。掃描所有虛擬機器與容器中的已知弱點。依固定排程自動化作業系統與應用程式修補。於正式部署前，先在預備環境中測試修補程式。
• 事件回應規劃 讓您做好準備以遏制並從入侵事件中復原。記錄隔離受損工作負載、保存證據及從備份還原的程序。透過桌上演練實作事件回應。在危機發生前定義角色與溝通路徑。
• 組態管理與合規性 可防止偏離安全基準。使用 infrastructure-as-code 範本來佈建內建安全控制的資源。在部署前掃描範本以找出錯誤組態。實作 policy-as-code，以在所有環境中強制符合 CIS Benchmarks 或 NIST SP 800-53。

將這些措施視為持續進行的實務，而非一次性的部署。 shared responsibility model 表示您的供應商可以承諾具備韌性的硬體，但只有您能防止工程師意外暴露儲存貯體。透過將安全性納入管線與文化中，您可將雲端平台從潛在的 attack surfaces 轉變為您可以信任的基礎架構。

使用 SentinelOne 保護您的雲端基礎架構

Singularity™ Cloud Security 可透過 AI 驅動的 CNAPP 阻止執行階段威脅。其 Cloud Security Posture Management 模組可在數分鐘內處理無代理程式部署並消除錯誤組態。它提供與 Snyk 的整合，並可簡化對 ISO 27001、SOC 2 和 HIPAA 等標準的合規作業。SentinelOne 的 Cloud Security Posture Management (CSPM) 可協助您識別、排定優先順序，並修復存在於雲端基礎架構環境中的錯誤組態與弱點。 

您可以落實最佳 DevSecOps 實務、與 CI/CD 管線整合，並強制執行左移安全測試。SentinelOne 可進行無代理程式弱點掃描、管理雲端權限，並收緊權限設定。 

SentinelOne 的 Kubernetes Security Posture Management (KSPM) 可保護您在公有、私有、混合及地端部署中的容器化環境。您可取得 Kubernetes 組態、容器工作負載及其執行所在底層基礎架構的可視性與控制能力。

CNS 透過納入 IaC 掃描、掃描儲存庫、容器映像、登錄庫等 DevSecOps 最佳實務，協助您保護雲端基礎架構。 

您的 AI 基礎架構需要專屬的安全層。您的雲端環境執行 AI 工作負載，並面臨傳統安全工具無法發現的風險，這表示它需要獨特且整體性的防護。 SentinelOne's AI SecurityPosture Management 保護您的 AI 管線與模型。SentinelOne 的 Prompt Security 涵蓋其餘部分——可防止影子 AI 使用、阻擋透過 AI 工具發生的資料外洩，並阻止提示注入攻擊。它可保護 AI 代理部署、阻擋越獄嘗試，並防止 denial-of-wallet 與服務攻擊。您可以在完整防護到位的情況下加速採用 AI。您也可以防止 LLM 對使用者產生有害回應，並阻擋惡意提示。SentinelOne 的 Prompt Security 也會指導員工如何安全且合乎倫理地使用各種 AI 工具與服務，並確保 AI 合規。

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

結論

Infrastructure as a service 透過按需提供運算、儲存與網路資源，改變了組織建置與擴展技術的方式。shared responsibility model 要求您保護虛擬化層之上的所有內容，而供應商則負責實體基礎架構。強大的 IAM 原則、加密、持續監控與自動化修補可保護雲端工作負載免於錯誤組態與攻擊。