Osvědčené postupy zabezpečení pro řešení IoT

  • Článek

Tento přehled představuje klíčové koncepty zabezpečení typického řešení Azure IoT. Každá část obsahuje odkazy na obsah, který poskytuje další podrobnosti a pokyny.

Následující diagram znázorňuje základní zobrazení komponent v typickém řešení IoT. Tento článek se zaměřuje na zabezpečení řešení IoT.

Diagram znázorňující architekturu řešení IoT vysoké úrovně, která zvýrazňuje zabezpečení

Zabezpečení v řešení IoT můžete rozdělit do následujících tří oblastí:

  • Zabezpečení zařízení: Zabezpečte zařízení IoT během nasazení v zástupné oblasti.

  • zabezpečení Připojení: Ujistěte se, že všechna data přenášená mezi zařízením IoT a cloudovými službami IoT jsou důvěrná a proti manipulaci.

  • Zabezpečení cloudu: Zabezpečte svá data při procházení a jsou uložená v cloudu.

Implementace doporučení v tomto článku vám pomůže splnit bezpečnostní povinnosti popsané v modelu sdílené odpovědnosti.

Microsoft Defender for IoT

Microsoft Defender pro IoT může automaticky monitorovat některá doporučení uvedená v tomto článku. Microsoft Defender for IoT by měl být první obrannou čarou pro ochranu vašich prostředků v Azure. Microsoft Defender for IoT pravidelně analyzuje stav zabezpečení vašich prostředků Azure, aby identifikoval potenciální ohrožení zabezpečení. Pak vám poskytne doporučení, jak je řešit. Další informace najdete v následujících tématech:

Zabezpečení zařízení

  • Určení rozsahu hardwaru na minimální požadavky: Vyberte hardware zařízení, aby zahrnoval minimální funkce požadované pro jeho provoz a nic dalšího. Pokud jsou například potřeba pro provoz zařízení ve vašem řešení, zahrňte jenom porty USB. Další funkce můžou zařízení vystavit nežádoucím vektorům útoku.

  • Výběr hardwaru kontroly manipulace: Vyberte hardware zařízení s integrovanými mechanismy pro detekci fyzické manipulace, například otevření krytu zařízení nebo odebrání části zařízení. Tyto signály manipulace můžou být součástí datového streamu nahraného do cloudu, což může upozorňovat operátory na tyto události.

  • Vyberte zabezpečený hardware: Pokud je to možné, zvolte hardware zařízení, který zahrnuje funkce zabezpečení, jako je zabezpečené a šifrované úložiště a funkce spouštění založené na modulu Trusted Platform Module. Díky těmto funkcím jsou zařízení bezpečnější a pomáhají chránit celkovou infrastrukturu IoT.

  • Povolení zabezpečených upgradů: Upgrady firmwaru během životnosti zařízení jsou nevyhnutelné. Vytvářejte zařízení se zabezpečenými cestami pro upgrady a kryptografickou záruku verzí firmwaru, abyste svá zařízení zabezpečili během a po upgradu.

  • Postupujte podle metodologie vývoje zabezpečeného softwaru: Vývoj zabezpečeného softwaru vyžaduje, abyste zvážili zabezpečení od vzniku projektu až po implementaci, testování a nasazení. Životní cyklus vývoje zabezpečení společnosti Microsoft poskytuje podrobný přístup k vytváření zabezpečeného softwaru.

  • Sady SDK zařízení používejte, kdykoli je to možné: Sady SDK zařízení implementují různé funkce zabezpečení, jako je šifrování a ověřování, které vám pomůžou vyvíjet robustní a zabezpečené aplikace zařízení. Další informace najdete v sadách AZURE IoT SDK.

  • Výběr opensourcového softwaru s opatrností: Opensourcový software poskytuje příležitost rychle vyvíjet řešení. Při výběru opensourcového softwaru zvažte úroveň aktivity komunity pro každou opensourcovou komponentu. Aktivní komunita zajišťuje podporu softwaru a zjištění a řešení problémů. Nejasný a neaktivní opensourcový softwarový projekt nemusí být podporovaný a pravděpodobně se nezjistí problémy.

  • Bezpečné nasazení hardwaru: Nasazení IoT můžou vyžadovat nasazení hardwaru v nezabezpečených umístěních, jako jsou veřejné prostory nebo nepřístupná národní prostředí. Vtakovýchch Pokud má například hardware porty USB, ujistěte se, že jsou bezpečně pokryté.

  • Zachovejte ověřovací klíče v bezpečí: Během nasazování každé zařízení vyžaduje ID zařízení a přidružené ověřovací klíče vygenerované cloudovou službou. Udržujte tyto klíče fyzicky v bezpečí i po nasazení. Škodlivé zařízení může k maskování jako existujícího zařízení použít jakýkoli ohrožený klíč.

  • Udržujte systém aktuální: Ujistěte se, že jsou operační systémy zařízení a všechny ovladače zařízení upgradovány na nejnovější verze. Udržování operačních systémů v aktualizovaném stavu pomáhá zajistit, aby byly chráněné proti škodlivým útokům.

  • Ochrana před škodlivými aktivitami: Pokud operační systém povolí, nainstalujte nejnovější antivirové a antimalwarové funkce na každý operační systém zařízení.

  • Auditování často: Auditování infrastruktury IoT pro problémy související se zabezpečením je klíčové při reakci na incidenty zabezpečení. Většina operačních systémů poskytuje integrované protokolování událostí, které byste měli často kontrolovat, abyste se ujistili, že nedošlo k narušení zabezpečení. Zařízení může odesílat informace o auditu jako samostatný stream telemetrie do cloudové služby, kde je možné je analyzovat.

  • Postupujte podle osvědčených postupů pro zabezpečení a nasazení zařízení: Pokud výrobce zařízení poskytuje pokyny k zabezpečení a nasazení, postupujte podle těchto pokynů kromě obecných pokynů uvedených v tomto článku.

  • Pomocí brány polí můžete poskytovat služby zabezpečení pro starší nebo omezená zařízení: Starší a omezená zařízení můžou mít možnost šifrovat data, připojovat se k internetu nebo poskytovat pokročilé auditování. V těchto případech může moderní a zabezpečená brána polí agregovat data ze starších zařízení a poskytovat zabezpečení potřebné pro připojení těchto zařízení přes internet. Brány polí můžou poskytovat zabezpečené ověřování, vyjednávání šifrovaných relací, příjem příkazů z cloudu a mnoho dalších funkcí zabezpečení.

Zabezpečení připojení

  • Pomocí certifikátů X.509 ověřte svá zařízení ve službě IoT Hub nebo IoT Central: IoT Hub a IoT Central podporují ověřování na základě certifikátů X509 i tokeny zabezpečení jako metody pro ověření zařízení. Pokud je to možné, použijte ověřování založené na X509 v produkčních prostředích, protože poskytuje větší zabezpečení. Další informace najdete v tématu Ověřování zařízení ve službě IoT Hub a konceptech ověřování zařízení ve službě IoT Central.

  • K zabezpečení připojení ze zařízení použijte protokol TLS (Transport Layer Security) 1.2: IoT Hub a IoT Central k zabezpečení připojení ze zařízení a služeb IoT. V současné době se podporují tři verze protokolu TLS: 1.0, 1.1 a 1.2. Protokoly TLS 1.0 a 1.1 se považují za starší. Další informace najdete v tématu Ověřování a autorizace.

  • Ujistěte se, že máte na svých zařízeních způsob, jak aktualizovat kořenový certifikát TLS: kořenové certifikáty TLS jsou dlouhodobé, ale stále můžou vypršet nebo být odvolány. Pokud v zařízení neexistuje žádný způsob aktualizace certifikátu, nemusí se zařízení později připojit ke službě IoT Hub, IoT Central ani žádné jiné cloudové službě.

  • Zvažte použití služby Azure Private Link: Azure Private Link umožňuje připojit vaše zařízení k privátnímu koncovému bodu ve vaší virtuální síti, což vám umožní zablokovat přístup k veřejným koncovým bodům ioT Hubu. Další informace najdete v tématu Připojení příchozího přenosu dat ke službě IoT Hub pomocí služby Azure Private Link a zabezpečení sítě pro IoT Central pomocí privátních koncových bodů.

Zabezpečení cloudu

  • Postupujte podle metodologie vývoje zabezpečeného softwaru: Vývoj zabezpečeného softwaru vyžaduje, abyste zvážili zabezpečení od vzniku projektu až po implementaci, testování a nasazení. Životní cyklus vývoje zabezpečení společnosti Microsoft poskytuje podrobný přístup k vytváření zabezpečeného softwaru.

  • Výběr opensourcového softwaru s opatrností: Opensourcový software poskytuje příležitost rychle vyvíjet řešení. Při výběru opensourcového softwaru zvažte úroveň aktivity komunity pro každou opensourcovou komponentu. Aktivní komunita zajišťuje podporu softwaru a zjištění a řešení problémů. Nejasný a neaktivní opensourcový softwarový projekt nemusí být podporovaný a pravděpodobně se nezjistí problémy.

  • Integrace s opatrností: Na hranici knihoven a rozhraní API existuje mnoho chyb zabezpečení softwaru. Funkce, které nemusí být vyžadovány pro aktuální nasazení, můžou být stále dostupné prostřednictvím vrstvy rozhraní API. Aby se zajistilo celkové zabezpečení, nezapomeňte zkontrolovat všechna rozhraní součástí, která jsou integrovaná, kvůli chybám zabezpečení.

  • Ochrana cloudových přihlašovacích údajů: Útočník může pomocí přihlašovacích údajů cloudového ověřování, které používáte ke konfiguraci a provozu nasazení IoT, získat přístup k systému IoT a ohrozit ho. Chraňte přihlašovací údaje tím, že často měníte heslo a nepoužívejte tyto přihlašovací údaje na veřejných počítačích.

  • Definujte řízení přístupu pro centrum IoT: Seznamte se s typem přístupu, který každá komponenta v řešení IoT Hub potřebuje, a to na základě požadovaných funkcí. Existují dva způsoby, jak udělit oprávnění pro rozhraní API služby pro připojení k centru IoT: Microsoft Entra ID nebo sdílené přístupové podpisy.

  • Definujte řízení přístupu pro aplikaci IoT Central: Seznamte se s typem přístupu, který povolíte pro aplikaci IoT Central. Další informace najdete v následujících tématech:

  • Definování řízení přístupu pro back-endové služby: Ostatní služby Azure můžou využívat data, která vaše služba IoT Hub nebo aplikace IoT Central ingestuje z vašich zařízení. Zprávy ze zařízení můžete směrovat do jiných služeb Azure. Vysvětlení a konfigurace odpovídajících přístupových oprávnění pro IoT Hub nebo IoT Central pro připojení k těmto službám Další informace najdete v následujících tématech:

  • Monitorování řešení IoT z cloudu: Monitorování celkového stavu řešení IoT pomocí metrik IoT Hubu ve službě Azure Monitor nebo Monitorování stavu aplikace IoT Central

  • Nastavení diagnostiky: Monitorování operací protokolováním událostí ve vašem řešení a následné odeslání diagnostických protokolů do služby Azure Monitor. Další informace najdete v tématu Monitorování a diagnostika problémů ve službě IoT Hub.

Další kroky

Další informace o zabezpečení IoT najdete tady: