أفضل ممارسات الأمان لحلول IoT
تقدم هذه النظرة العامة المفاهيم الرئيسية حول تأمين حل Azure IoT نموذجي. يتضمن كل قسم ارتباطات إلى محتوى يوفر المزيد من التفاصيل والإرشادات.
يوضح الرسم التخطيطي التالي طريقة عرض عالية المستوى للمكونات في حل IoT نموذجي. تركز هذه المقالة على أمان حل IoT.
يمكنك تقسيم الأمان في حل IoT إلى المجالات الثلاثة التالية:
أمان الجهاز: تأمين جهاز IoT أثناء نشره في البرية.
أمان الاتصال: تأكد من أن جميع البيانات المرسلة بين جهاز IoT وخدمات سحابة IoT سرية وخالية من العبث.
أمان السحابة: تأمين بياناتك أثناء انتقالها وتخزينها في السحابة.
يساعدك تنفيذ التوصيات الواردة في هذه المقالة على الوفاء بالالتزامات الأمنية الموضحة في نموذج المسؤولية المشتركة.
Microsoft Defender لإنترنت الأشياء
يمكن ل Microsoft Defender for IoT مراقبة بعض التوصيات المضمنة في هذه المقالة تلقائيا. يجب أن يكون Microsoft Defender ل IoT خط الدفاع الأول لحماية مواردك في Azure. يقوم Microsoft Defender for IoT بتحليل حالة الأمان لموارد Azure بشكل دوري لتحديد الثغرات الأمنية المحتملة. ثم يقدم لك توصيات بشأن كيفية معالجتها. لمعرفة المزيد، راجع:
- تعزيز الوضع الأمني مع توصيات الأمان.
- ما هو Microsoft Defender for IoT للمؤسسات؟.
- ما هو Microsoft Defender for IoT لمنشئي الأجهزة؟.
أمان الجهاز
نطاق الأجهزة إلى الحد الأدنى من المتطلبات: حدد جهاز الجهاز الخاص بك لتضمين الحد الأدنى من الميزات المطلوبة لتشغيله، وليس أكثر من ذلك. على سبيل المثال، قم بتضمين منافذ USB فقط إذا كانت ضرورية لتشغيل الجهاز في الحل الخاص بك. يمكن أن تعرض الميزات الإضافية الجهاز لنواقل الهجوم غير المرغوب فيها.
حدد أجهزة إثبات العبث: حدد أجهزة الجهاز ذات الآليات المضمنة للكشف عن العبث المادي، مثل فتح غطاء الجهاز أو إزالة جزء من الجهاز. يمكن أن تكون إشارات العبث هذه جزءا من دفق البيانات الذي تم تحميله إلى السحابة، والذي يمكن أن ينبه المشغلين إلى هذه الأحداث.
تحديد الأجهزة الآمنة: إذا أمكن، اختر أجهزة الجهاز التي تتضمن ميزات الأمان مثل وظائف التخزين والتمهيد الآمنة والمشفرة استنادا إلى وحدة النظام الأساسي الموثوق بها. تجعل هذه الميزات الأجهزة أكثر أمانا وتساعد على حماية البنية الأساسية الشاملة لـ IoT.
تمكين الترقيات الآمنة: ترقيات البرامج الثابتة خلال عمر الجهاز أمر لا مفر منه. إنشاء أجهزة بمسارات آمنة للترقيات وضمان التشفير لإصدارات البرامج الثابتة لتأمين أجهزتك أثناء الترقيات وبعدها.
اتبع منهجية تطوير البرامج الآمنة: يتطلب منك تطوير البرامج الآمنة مراعاة الأمان منذ بداية المشروع طوال الطريق من خلال التنفيذ والاختبار والنشر. توفر دورة حياة تطوير الأمان من Microsoft نهجا خطوة بخطوة لإنشاء برامج آمنة.
استخدام SDKs للجهاز كلما أمكن ذلك: تنفذ مجموعات SDK الخاصة بالجهاز ميزات أمان مختلفة مثل التشفير والمصادقة التي تساعدك على تطوير تطبيقات قوية وآمنة للجهاز. لمعرفة المزيد، راجع Azure IoT SDKs.
اختيار البرامج مفتوحة المصدر بعناية: توفر البرامج مفتوحة المصدر فرصة لتطوير الحلول بسرعة. عندما تقوم باختيار برنامج مفتوح المصدر، فضع في اعتبارك مستوى نشاط المجتمع لكل مكون مفتوح المصدر. يضمن المجتمع النشط دعم البرنامج واكتشاف المشكلات وإصلاحها. قد لا يتم دعم مشروع برنامج مفتوح المصدر غامض وغير نشط ولا يمكن اكتشاف المشكلات على الأرجح.
توزيع الأجهزة بشكل آمن: قد تتطلب منك عمليات توزيع IoT نشر الأجهزة في مواقع غير آمنة، كما هو الحال في الأماكن العامة أو الأماكن المحلية غير الخاضعة للإشراف. في مثل هذه الحالات، تأكد من أن توزيع الأجهزة هو مقاومة للعبث قدر الإمكان. على سبيل المثال، إذا كان الجهاز يحتوي على منافذ USB، فتأكد من تغطيتها بشكل آمن.
حافظ على أمان مفاتيح المصادقة: أثناء النشر، يتطلب كل جهاز معرفات الجهاز ومفاتيح المصادقة المقترنة التي تم إنشاؤها بواسطة الخدمة السحابية. احتفظ بهذه المفاتيح آمنة ماديًا حتى بعد النشر. يمكن لجهاز ضار استخدام أي مفتاح تم اختراقه للتنكر كجهاز موجود.
حافظ على تحديث النظام: تأكد من ترقية أنظمة تشغيل الجهاز وجميع برامج تشغيل الأجهزة إلى أحدث الإصدارات. يساعد الحفاظ على تحديث أنظمة التشغيل على ضمان حمايتهم من الهجمات الضارة.
الحماية من النشاط الضار: إذا سمح نظام التشغيل، فقم بتثبيت أحدث إمكانيات مكافحة الفيروسات والبرامج الضارة على كل نظام تشغيل جهاز.
التدقيق بشكل متكرر: يعد تدقيق البنية الأساسية ل IoT للمشكلات المتعلقة بالأمان أمرا أساسيا عند الاستجابة للحوادث الأمنية. توفر معظم أنظمة التشغيل تسجيل أحداث مضمن يجب مراجعته بشكل متكرر للتأكد من عدم حدوث أي خرق أمني. يمكن للجهاز إرسال معلومات التدقيق كتدفق بيانات تتبع الاستخدام منفصل إلى الخدمة السحابية حيث يمكن تحليلها.
اتبع أفضل ممارسات الأمان والنشر للشركة المصنعة للجهاز: إذا كانت الشركة المصنعة للجهاز توفر إرشادات الأمان والتوزيع، فاتبع هذه الإرشادات بالإضافة إلى الإرشادات العامة المدرجة في هذه المقالة.
استخدم بوابة حقل لتوفير خدمات الأمان للأجهزة القديمة أو المقيدة: قد تفتقر الأجهزة القديمة والمقيدة إلى القدرة على تشفير البيانات أو الاتصال بالإنترنت أو توفير تدقيق متقدم. في هذه الحالات، يمكن لبوابة مجال حديثة وآمنة أن تقوم بتجميع البيانات من الأجهزة القديمة وتوفير الأمان المطلوب لتوصيل هذه الأجهزة عبر الإنترنت. يمكن للبوابات الميدانية توفير مصادقة آمنة والتفاوض على الجلسات المشفرة واستلام الأوامر من السحابة والعديد من ميزات الأمان الأخرى.
أمان الاتصال
استخدم شهادات X.509 لمصادقة أجهزتك إلى IoT Hub أو IoT Central: يدعم IoT Hub وIoT Central كلا من المصادقة المستندة إلى شهادة X509 والرموز المميزة للأمان كأساليب للجهاز للمصادقة. إذا أمكن، استخدم المصادقة المستندة إلى X509 في بيئات الإنتاج لأنها توفر أمانا أكبر. لمعرفة المزيد، راجع مصادقة جهاز إلى IoT Hub ومفاهيم مصادقة الجهاز في IoT Central.
استخدم بروتوكول أمان طبقة النقل (TLS) 1.2 لتأمين الاتصالات من الأجهزة: يستخدم IoT Hub وIoT Central بروتوكول أمان طبقة النقل لتأمين الاتصالات من أجهزة وخدمات IoT. يتم حاليا دعم ثلاثة إصدارات من بروتوكول TLS: 1.0 و1.1 و1.2. تعتبر TLS 1.0 و1.1 قديمة. لمعرفة المزيد، راجع المصادقة والتخويل.
تأكد من أن لديك طريقة لتحديث شهادة جذر TLS على أجهزتك: شهادات جذر TLS طويلة الأمد، ولكن قد تنتهي صلاحيتها أو يتم إبطالها. إذا لم تكن هناك طريقة لتحديث الشهادة على الجهاز، فقد لا يتمكن الجهاز من الاتصال ب IoT Hub أو IoT Central أو أي خدمة سحابية أخرى في وقت لاحق.
ضع في اعتبارك استخدام Azure Private Link: يتيح لك Azure Private Link توصيل أجهزتك بنقطة نهاية خاصة على VNet، ما يتيح لك حظر الوصول إلى نقاط النهاية العامة المواجهة للجهاز في مركز IoT. لمعرفة المزيد، راجع اتصال الدخول إلى IoT Hub باستخدام Azure Private Link وأمان الشبكة ل IoT Central باستخدام نقاط النهاية الخاصة.
أمان السحابة
اتبع منهجية تطوير البرامج الآمنة: يتطلب منك تطوير البرامج الآمنة مراعاة الأمان منذ بداية المشروع طوال الطريق من خلال التنفيذ والاختبار والنشر. توفر دورة حياة تطوير الأمان من Microsoft نهجا خطوة بخطوة لإنشاء برامج آمنة.
اختيار البرامج مفتوحة المصدر بعناية: توفر البرامج مفتوحة المصدر فرصة لتطوير الحلول بسرعة. عندما تقوم باختيار برنامج مفتوح المصدر، فضع في اعتبارك مستوى نشاط المجتمع لكل مكون مفتوح المصدر. يضمن المجتمع النشط دعم البرنامج واكتشاف المشكلات وإصلاحها. قد لا يتم دعم مشروع برنامج مفتوح المصدر غامض وغير نشط ولا يمكن اكتشاف المشكلات على الأرجح.
التكامل بعناية: توجد العديد من عيوب أمان البرامج على حدود المكتبات وواجهات برمجة التطبيقات. قد لا تزال الوظائف التي قد لا تكون مطلوبة للتوزيع الحالي متوفرة من خلال طبقة واجهة برمجة التطبيقات. لضمان الأمان الشامل، تأكد من فحص كافة واجهات المكونات التي يتم دمجها بحثا عن عيوب أمنية.
حماية بيانات اعتماد السحابة: يمكن للمهاجم استخدام بيانات اعتماد المصادقة السحابية التي تستخدمها لتكوين وتشغيل نشر IoT للوصول إلى نظام IoT الخاص بك واختراقه. حماية بيانات الاعتماد عن طريق تغيير كلمة المرور بشكل متكرر، ولا تستخدم بيانات الاعتماد هذه على الأجهزة العامة.
تحديد عناصر التحكم في الوصول لمركز IoT الخاص بك: فهم وتحديد نوع الوصول الذي يحتاجه كل مكون في حل IoT Hub استنادا إلى الوظيفة المطلوبة. هناك طريقتان يمكنك من خلالهما منح أذونات لواجهات برمجة تطبيقات الخدمة للاتصال بمركز IoT: معرف Microsoft Entra أو توقيعات الوصول المشترك.
تحديد عناصر التحكم في الوصول لتطبيق IoT Central: فهم وتحديد نوع الوصول الذي تقوم بتمكينه لتطبيق IoT Central الخاص بك. لمعرفة المزيد، راجع:
تحديد عناصر التحكم في الوصول لخدمات الواجهة الخلفية: يمكن لخدمات Azure الأخرى استهلاك البيانات التي يتناولها مركز IoT أو تطبيق IoT Central من أجهزتك. يمكنك توجيه الرسائل من أجهزتك إلى خدمات Azure الأخرى. فهم وتكوين أذونات الوصول المناسبة ل IoT Hub أو IoT Central للاتصال بهذه الخدمات. لمعرفة المزيد، راجع:
مراقبة حل IoT الخاص بك من السحابة: مراقبة الصحة العامة لحل IoT الخاص بك باستخدام مقاييس IoT Hub في Azure Monitor أو مراقبة صحة تطبيق IoT Central.
إعداد التشخيصات: راقب عملياتك عن طريق تسجيل الأحداث في الحل الخاص بك، ثم إرسال سجلات التشخيص إلى Azure Monitor. لمعرفة المزيد، راجع مراقبة المشاكل وتشخيصها في مركز IoT.
الخطوات التالية
لمعرفة المزيد حول أمان IoT، راجع: