SaaS, IaaS i PaaS to trzy podstawowe modele usług w chmurze. Różnią się tym, ile pracy bierze na siebie dostawca, a ile zostaje po stronie klienta. IaaS (Infrastructure as a Service) daje samą infrastrukturę: moc obliczeniową, dysk i sieć w postaci maszyn wirtualnych. PaaS (Platform as a Service) dokłada do tego gotowe środowisko do uruchamiania aplikacji i narzędzia dla programistów, a zarządzanie systemem operacyjnym i serwerami bierze na siebie. SaaS (Software as a Service) to gotowa aplikacja w przeglądarce — dostawca odpowiada za prawie wszystko poza danymi i kontami użytkowników.
Czym różnią się SaaS, IaaS i PaaS?
Wszystkie trzy modele stoją na tej samej, warstwowej budowie systemu IT. Różni je tylko to, gdzie przebiega granica: co zarządza dostawca, a co zostaje klientowi. Warstwy, od dołu do góry, to: sieć, pamięć masowa, serwery, wirtualizacja, system operacyjny, middleware, środowisko uruchomieniowe (runtime), dane i aplikacja.
- IaaS — dostawca zarządza sprzętem i wirtualizacją (sieć, dyski, serwery, hypervisor). Reszta należy do klienta: system operacyjny, middleware, runtime, aplikacje i dane, a do tego łatki, konfiguracja i kontrola dostępu.
- PaaS — dostawca bierze na siebie dodatkowo system operacyjny, middleware i środowisko uruchomieniowe. Klientowi zostaje tylko własny kod i dane.
- SaaS — dostawca zarządza wszystkim, łącznie z samą aplikacją. Klient kontroluje głównie wprowadzone dane, konta i uprawnienia oraz ustawienia w obrębie swojego konta (tenanta).
Zasada jest prosta: im wyżej (IaaS → PaaS → SaaS), tym mniej zarządzasz i mniej masz kontroli, ale i mniej obowiązków.
Czym jest IaaS i do czego służy?
IaaS to wirtualne zasoby obliczeniowe na żądanie, rozliczane za faktyczne zużycie (pay-as-you-go). Klient dostaje maszyny wirtualne, dyski, sieci i adresy, a na nich sam stawia system operacyjny i całe oprogramowanie. Z trzech modeli daje najwięcej swobody i kontroli.
- Typowe zastosowania: środowiska deweloperskie i testowe, hosting aplikacji, przenoszenie istniejących systemów do chmury (lift-and-shift), magazyny danych, kopie zapasowe i disaster recovery, obciążenia o zmiennym zapotrzebowaniu.
- Przykłady: Amazon EC2, Google Compute Engine, Microsoft Azure Virtual Machines, DigitalOcean Droplets.
Czym jest PaaS i do czego służy?
PaaS to gotowa platforma do tworzenia, testowania i uruchamiania aplikacji. Programiści zajmują się tylko kodem i danymi, a dostawca dba o resztę: skalowanie, łatki systemu i komponenty platformy (bazy danych, kolejki komunikatów, narzędzia CI/CD).
- Typowe zastosowania: szybkie budowanie aplikacji webowych, API i mikroserwisów, środowiska CI/CD, projekty z wieloma programistami pracującymi nad jednym kodem.
- Przykłady: Heroku, Google App Engine, AWS Elastic Beanstalk, Red Hat OpenShift, Azure App Service.
Szczególnym podtypem jest FaaS (Function as a Service), czyli model serverless. Dostawca uruchamia pojedyncze funkcje w reakcji na zdarzenia i skaluje je automatycznie (np. AWS Lambda, Azure Functions, Google Cloud Functions).
Czym jest SaaS i do czego służy?
SaaS to gotowa aplikacja dostępna przez internet, zwykle w abonamencie, obsługiwana w przeglądarce lub przez API. Dostawca odpowiada za hosting, aktualizacje, dostępność i większość zabezpieczeń, a klient po prostu korzysta — bez instalowania i utrzymywania czegokolwiek.
- Typowe zastosowania: poczta, pakiety biurowe i współpraca, CRM, ERP, księgowość, narzędzia HR, komunikatory, systemy zgłoszeń.
- Przykłady: Microsoft 365, Google Workspace, Salesforce, Dropbox, Slack, Zoom.
Kto za co odpowiada w każdym modelu (współdzielona odpowiedzialność)?
Model współdzielonej odpowiedzialności (shared responsibility) mówi, kto — dostawca czy klient — odpowiada za bezpieczeństwo której warstwy. Reguła ogólna: dostawca odpowiada za „bezpieczeństwo chmury” (sprzęt, centra danych, hypervisor), a klient za „bezpieczeństwo w chmurze”, czyli za to, co sam wdroży i ustawi.
- IaaS — dostawca zabezpiecza sprzęt i wirtualizację. Na kliencie spoczywa najwięcej: utwardzanie systemu operacyjnego, łatki, ustawienia sieci wirtualnej i grup zabezpieczeń, szyfrowanie, zarządzanie tożsamością (IAM), aplikacje, dane i monitoring.
- PaaS — dostawca zabezpiecza platformę (system operacyjny, runtime, komponenty). Klient odpowiada za własny kod (jego podatności i zależności), poprawne ustawienia usług platformy, konta oraz dane.
- SaaS — dostawca odpowiada za większość warstw, łącznie z aplikacją. Klientowi zostaje kontrola nad kontami i dostępem (konta, MFA, role), ustawieniami swojego tenanta, klasyfikacją danych i urządzeniami końcowymi. Najczęstszą przyczyną incydentów w SaaS są właśnie błędy konfiguracji i nadmiarowe uprawnienia po stronie klienta, a nie dziury w samej aplikacji.
Wniosek jest jeden: za tożsamość, dostęp i dane odpowiada klient w każdym modelu — także w SaaS.
Dlaczego modele chmurowe są ważne dla bezpieczeństwa i monitoringu?
Każdy model inaczej wpływa na widoczność, czyli na to, ile danych o tym, co się dzieje (telemetrii), faktycznie dostajesz. A od tego zależy, ile uda się wykryć zespołowi SOC i narzędziom NDR czy SIEM.
- IaaS daje najwięcej wglądu: klient widzi logi systemu operacyjnego, ruch sieciowy (np. VPC Flow Logs, kopiowanie pakietów / packet mirroring), logi hypervisora w zakresie API i telemetrię hostów. To pozwala analizować ruch wewnątrz środowiska (wschód-zachód) i wyłapywać sieciowe anomalie.
- PaaS ogranicza wgląd do warstwy aplikacji i platformy. Klient zwykle nie widzi pakietów sieciowych ani systemu operacyjnego, więc opiera się na logach aplikacji, logach platformy i metrykach od dostawcy.
- SaaS daje najmniej: monitoring opiera się na logach audytowych i zdarzeniach z API dostawcy (np. logowania, zmiany uprawnień, udostępnienia plików), często zbieranych przez narzędzia klasy CASB lub SSPM. Bez wglądu w sieć i system detekcja zależy w całości od tego, jak dobre i kompletne są logi dostawcy.
Krótko: im wyżej w modelu, tym mniej własnej telemetrii sieciowej — mówi się o utracie widoczności (loss of visibility). Dlatego w środowiskach hybrydowych i wielochmurowych trzeba świadomie łączyć źródła: przepływy sieciowe z IaaS, logi platformy z PaaS i logi audytowe z SaaS, żeby widzieć całość.
Dowiedz się więcej
- Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — Pomaga wykrywać ruch i usługi używane przez SaaS, IaaS i PaaS w infrastrukturze firmy.
- Cloud Security Posture Management (CSPM) — CSPM służy do kontroli konfiguracji bezpieczeństwa w środowiskach IaaS i PaaS.
- Zaawansowane metody ochrony przed atakami DDoS w firmach — Opisuje ochronę usług SaaS, IaaS i PaaS przed przeciążeniem ruchem DDoS.
