Ajánlott biztonsági eljárások az IoT-megoldásokhoz

  • Cikk

Ez az áttekintés bemutatja egy tipikus Azure IoT-megoldás biztonságossá tételének alapvető fogalmait. Minden szakasz tartalmaz olyan tartalomra mutató hivatkozásokat, amelyek további részleteket és útmutatást nyújtanak.

Az alábbi ábra egy tipikus IoT-megoldás összetevőinek magas szintű nézetét mutatja be. Ez a cikk egy IoT-megoldás biztonságával foglalkozik.

A biztonságot kiemelő, magas szintű IoT-megoldásarchitektúrát bemutató ábra.

Az IoT-megoldások biztonságát a következő három területre oszthatja:

  • Eszközbiztonság: Biztonságossá teheti az IoT-eszközt a vadonban történő üzembe helyezés során.

  • Csatlakozás ion biztonság: Győződjön meg arról, hogy az IoT-eszköz és az IoT-felhőszolgáltatások között továbbított adatok bizalmasak és illetéktelenek.

  • Felhőbiztonság: Az adatok védelme az áthaladás során, és a felhőben van tárolva.

Az ebben a cikkben szereplő javaslatok végrehajtása segít teljesíteni a megosztott felelősségi modellben leírt biztonsági kötelezettségeket.

Microsoft Defender for IoT

Az IoT-hez készült Microsoft Defender automatikusan figyelheti a cikkben szereplő javaslatok némelyikét. Az Azure-beli erőforrások védelme érdekében a Microsoft Defender for IoT legyen az első védelmi vonal. A Microsoft Defender for IoT rendszeres időközönként elemzi az Azure-erőforrások biztonsági állapotát a lehetséges biztonsági rések azonosítása érdekében. Ezután javaslatot tesz a címek kezelésére. További információ:

Eszközbiztonság

  • Hatókör hardverének minimális követelményei: Válassza ki az eszköz hardverét, hogy tartalmazza a működéséhez szükséges minimális funkciókat, és semmi mást. Például csak akkor vegye fel az USB-portokat, ha az eszköz működéséhez szükséges a megoldásban. Az extra funkciók nem kívánt támadási vektoroknak tehetik elérhetővé az eszközt.

  • Illetéktelen módosítást ellenőrző hardver kiválasztása: Válassza ki az eszköz hardverét beépített mechanizmusokkal a fizikai illetéktelen beavatkozás észleléséhez, például az eszközfedél megnyitásához vagy az eszköz egy részének eltávolításához. Ezek az illetéktelen beavatkozási jelek a felhőbe feltöltött adatfolyam részei lehetnek, amelyek riasztást adhatnak az operátoroknak ezekre az eseményekre.

  • Válassza ki a biztonságos hardvert: Ha lehetséges, válasszon olyan eszközhardvereket, amelyek olyan biztonsági funkciókat tartalmaznak, mint a biztonságos és titkosított tárolás és rendszerindítási funkciók egy megbízható platformmodul alapján. Ezek a funkciók biztonságosabbá teszik az eszközöket, és segítenek megvédeni a teljes IoT-infrastruktúrát.

  • Biztonságos frissítések engedélyezése: A belső vezérlőprogram frissítése az eszköz élettartama alatt elkerülhetetlen. Biztonságos útvonalakkal rendelkező eszközöket hozhat létre a belső vezérlőprogram-verziók frissítéséhez és titkosítási garanciájához, hogy biztonságossá tegye az eszközöket a frissítések során és után.

  • Kövesse a biztonságos szoftverfejlesztési módszertant: A biztonságos szoftverek fejlesztéséhez figyelembe kell vennie a biztonságot a projekt kezdetétől kezdve egészen a megvalósításig, tesztelésig és üzembe helyezésig. A Microsoft biztonsági fejlesztési életciklusa lépésenkénti megközelítést biztosít a biztonságos szoftverek létrehozásához.

  • Amikor csak lehetséges, használjon eszköz SDK-kat: Az eszközoldali SDK-k különböző biztonsági funkciókat implementálnak, például a titkosítást és a hitelesítést, amelyek segítenek robusztus és biztonságos eszközalkalmazások fejlesztésében. További információ: Azure IoT SDK-k.

  • Körültekintően válassza ki a nyílt forráskódú szoftvereket: A nyílt forráskódú szoftverek lehetőséget nyújtanak a megoldások gyors fejlesztésére. Nyílt forráskódú szoftverek kiválasztásakor vegye figyelembe a közösség tevékenységszintjét minden nyílt forráskódú összetevő esetében. Az aktív közösség gondoskodik a szoftverek támogatásáról, valamint a problémák felderítéséről és megoldásáról. Előfordulhat, hogy egy homályos és inaktív nyílt forráskódú szoftverprojekt nem támogatott, és a problémák valószínűleg nem lesznek felderítve.

  • Hardver biztonságos üzembe helyezése: Az IoT-telepítések esetén előfordulhat, hogy nem biztonságos helyeken, például nyilvános helyeken vagy nem felügyelt helyeken kell telepítenie a hardvereket. Ilyen helyzetekben győződjön meg arról, hogy a hardvertelepítés a lehető legnagyobb mértékben illetéktelen beavatkozást jelent. Ha például a hardver RENDELKEZik USB-portok használatával, győződjön meg arról, hogy biztonságosan vannak lefedve.

  • A hitelesítési kulcsok biztonságának megőrzése: Az üzembe helyezés során minden eszközhöz eszközazonosítókra és a felhőszolgáltatás által létrehozott társított hitelesítési kulcsokra van szükség. Ezeket a kulcsokat az üzembe helyezés után is fizikailag biztonságban tarthatja. A rosszindulatú eszközök bármilyen feltört kulccsal álcázhatják meglévő eszközként.

  • A rendszer naprakészen tartása: Győződjön meg arról, hogy az eszköz operációs rendszerei és az összes eszközillesztő a legújabb verziókra frissül. Az operációs rendszerek naprakészen tartásával biztosítható, hogy védve legyenek a rosszindulatú támadások ellen.

  • Védelem a rosszindulatú tevékenységek ellen: Ha az operációs rendszer engedélyezi, telepítse a legújabb víruskereső és kártevőirtó képességeket minden egyes eszköz operációs rendszerére.

  • Gyakori naplózás: A biztonsági incidensek megválaszolásakor kulcsfontosságú az IoT-infrastruktúra naplózása a biztonsággal kapcsolatos problémák esetén. A legtöbb operációs rendszer beépített eseménynaplózást biztosít, amelyet érdemes gyakran áttekinteni, hogy biztosan ne történjen biztonsági incidens. Az eszközök külön telemetriai adatfolyamként küldhetnek naplózási adatokat a felhőszolgáltatásnak, ahol elemezhetők.

  • Kövesse az eszköz gyártójának biztonsági és üzembe helyezési ajánlott eljárásait: Ha az eszköz gyártója biztonsági és üzembehelyezési útmutatást nyújt, kövesse ezt az útmutatást a cikkben felsorolt általános útmutatás mellett.

  • Használjon helyszíni átjárót az örökölt vagy korlátozott eszközök biztonsági szolgáltatásainak biztosításához: Előfordulhat, hogy az örökölt és korlátozott eszközök nem képesek az adatok titkosítására, az internethez való csatlakozásra vagy a speciális naplózásra. Ezekben az esetekben a modern és biztonságos helyszíni átjárók összesíthetik az örökölt eszközök adatait, és biztosíthatják az eszközök interneten keresztüli csatlakoztatásához szükséges biztonságot. A helyszíni átjárók biztonságos hitelesítést, titkosított munkamenetek egyeztetését, a felhőből érkező parancsok fogadását és számos egyéb biztonsági funkciót biztosítanak.

Kapcsolatbiztonság

  • Az X.509-tanúsítványokkal hitelesítheti eszközeit az IoT Hubon vagy az IoT Centralon: Az IoT Hub és az IoT Central egyaránt támogatja az X509-tanúsítványalapú hitelesítést és a biztonsági jogkivonatokat az eszközök hitelesítésének módszereiként. Ha lehetséges, használjon X509-alapú hitelesítést éles környezetben, mivel nagyobb biztonságot nyújt. További információ: Eszköz hitelesítése IoT Hubra és eszközhitelesítési fogalmak az IoT Centralban.

  • A Transport Layer Security (TLS) 1.2 használatával biztonságossá teheti az eszközök közötti kapcsolatokat: az IoT Hub és az IoT Central TLS használatával védi az IoT-eszközökről és -szolgáltatásokból érkező kapcsolatokat. A TLS protokoll jelenleg három verzióját támogatja: 1.0, 1.1 és 1.2. A TLS 1.0 és 1.1 örököltnek minősül. További információ: Hitelesítés és engedélyezés.

  • Győződjön meg arról, hogy rendelkezik a TLS főtanúsítvány frissítésének módjával az eszközein: a TLS főtanúsítványai hosszú élettartamúak, de továbbra is lejárhatnak vagy visszavonhatók. Ha az eszközön nem lehet frissíteni a tanúsítványt, előfordulhat, hogy az eszköz egy későbbi időpontban nem tud csatlakozni az IoT Hubhoz, az IoT Centralhoz vagy bármely más felhőszolgáltatáshoz.

  • Fontolja meg az Azure Private Link használatát: Az Azure Private Link lehetővé teszi az eszközök csatlakoztatását a virtuális hálózat egy privát végpontjához, így letilthatja az IoT Hub nyilvános, eszközre néző végpontjaihoz való hozzáférést. További információ: Bejövő kapcsolat az IoT Hubhoz az Azure Private Link és a hálózati biztonság használatával az IoT Centralhoz privát végpontok használatával.

Felhőbiztonság

Következő lépések

Az IoT-biztonságról az alábbiakban olvashat bővebben: