Bewährte Methoden für die Sicherheit von IoT-Lösungen

  • Artikel

In dieser Übersicht werden die wichtigsten Konzepte rund um die Optionen zum Verwalten einer Azure IoT-Lösung vorgestellt. Jeder Abschnitt enthält Links zu Inhalten, die weitere Details und Anleitungen enthalten.

Das folgende Diagramm zeigt eine allgemeine Übersicht über die Komponenten in einer typischen IoT-Lösung. Dieser Artikel konzentriert sich auf die Sicherheit einer IoT-Lösung.

Diagramm der übergeordneten IoT-Lösungsarchitektur, das die Sicherheit hervorhebt.

Sie können die Sicherheit in einer IoT-Lösung in die folgenden drei Bereiche unterteilen:

  • Gerätesicherheit: Schützen des IoT-Geräts während seiner Bereitstellung in der Praxis.

  • Verbindungssicherheit: Sicherstellen, dass alle Daten, die zwischen IoT-Gerät und IoT-Hub übertragen werden, vertraulich und fälschungssicher sind.

  • Cloudsicherheit: Schützen Ihrer Daten während der Übertragung und Speicherung in der Cloud.

Durch die Implementierung der Empfehlungen in diesem Artikel können Sie die im Modell für gemeinsame Verantwortungbeschriebenen Sicherheitsverpflichtungen erfüllen.

Microsoft Defender für IoT

Microsoft Defender for IoT kann einige der in diesem Artikel enthaltenen Empfehlungen automatisch überwachen. Microsoft Defender for IoT sollte die erste Verteidigungslinie sein, um Ihre Ressourcen in Azure zu schützen. Microsoft Defender for IoT analysiert regelmäßig den Sicherheitsstatus Ihrer Azure-Ressourcen, um potenzielle Sicherheitsrisiken zu erkennen. Anschließend erhalten Sie Empfehlungen dazu, wie damit umgegangen werden kann. Weitere Informationen finden Sie unter:

Gerätesicherheit

  • Einhalten der Mindestanforderungen für Hardware: Wählen Sie Ihre Gerätehardware so aus, dass sie lediglich die für ihren Betrieb erforderlichen Features enthält. Beziehen Sie beispielsweise nur USB-Anschlüsse ein, wenn sie für den Betrieb des Geräts in Ihrer Lösung erforderlich sind. Zusätzliche Features können das Gerät gegenüber unerwünschten Angriffsvektoren offenlegen.

  • Manipulationssicheres Gestalten von Hardware: Wählen Sie Gerätehardware mit integrierten Mechanismen, um physische Manipulationen zu erkennen, wie etwa das Öffnen der Geräteabdeckung oder das Entfernen eines Teils des Geräts. Diese Manipulationssignale können Teil des in die Cloud hochgeladenen Datenstroms sein, der die Operatoren über solche Ereignisse benachrichtigt.

  • Auswählen sicherer Hardware: Wählen Sie möglichst Gerätehardware, die Sicherheitsfeatures enthält, wie etwa sicheren und verschlüsselten Speicher und eine auf Trusted Platform Module basierende Startfunktion. Diese Features verbessern die Sicherheit der Geräte und tragen zum Schutz der gesamten IoT-Infrastruktur bei.

  • Aktivieren von sicheren Upgrades: Während der Lebensdauer von Geräten sind Firmwareupgrades unvermeidlich. Entwickeln Sie Geräte mit sicheren Pfaden für Upgrades und eine kryptografische Sicherung der Firmwareversionen, um Geräte während und nach Upgrades zu schützen.

  • Befolgen einer sicheren Softwareentwicklungsmethodik: Sichere Software kann nur entwickelt werden, wenn Fragen der Sicherheit von Anfang an und in allen Phasen bedacht werden – zu Beginn des Projekts über die Implementierung und die Tests genauso wie bei der Bereitstellung. Der Microsoft Security Development Lifecycle bietet einen schrittweisen Ansatz für die Entwicklung sicherer Software.

  • Geräte-SDKs verwenden, wenn möglich: Geräte-SDKs implementieren verschiedene Sicherheitsfeatures, wie Verschlüsselung und Authentifizierung, die Ihnen bei der Entwicklung robuster und sicherer Geräteanwendungen helfen. Weitere Informationen finden Sie unter Azure IoT SDKs.

  • Open Source-Software mit Bedacht wählen: Open Source-Software ermöglicht eine schnelle Lösungsentwicklung. Beim Auswählen von Open Source-Software sollten Sie jedoch berücksichtigen, wie aktiv die Community für die jeweilige Open Source-Komponente ist. Eine aktive Community stellt sicher, dass die Software ausreichend unterstützt wird und dass Probleme erkannt und behoben werden. Ein wenig bekanntes Open Source-Softwareprojekt, zu dem es keine aktive Community gibt, wird unter Umständen nicht unterstützt, und Probleme werden wahrscheinlich nicht entdeckt.

  • Hardware sicher bereitstellen: Für IoT-Bereitstellungen muss Hardware möglicherweise an unsicheren Orten wie öffentlichen Bereichen oder unbeaufsichtigten Gebieten bereitgestellt werden. Stellen Sie in solchen Situationen sicher, dass die Hardwarebereitstellung bestmöglich vor Manipulationen geschützt ist. Wenn die Hardware beispielsweise über USB-Anschlüsse verfügt, müssen diese sicher verdeckt werden.

  • Authentifizierungsschlüssel schützen: Jedes Gerät benötigt während der Bereitstellung Geräte-IDs und die zugehörigen Authentifizierungsschlüssel, die vom Clouddienst generiert werden. Bewahren Sie diese Schlüssel auch nach der Bereitstellung sicher auf. Jeder kompromittierte Schlüssel kann von einem böswilligen Gerät verwendet werden, um sich als ein vorhandenes Gerät auszugeben.

  • Stetige Aktualisierung des Systems: Stellen Sie sicher, dass Gerätebetriebssysteme und alle Gerätetreiber stets auf die neueste Version aktualisiert werden. Sie sollten unbedingt die Betriebssysteme auf dem aktuellen Stand halten, um sie vor böswilligen Angriffen zu schützen.

  • Vor schädlichen Aktivitäten schützen: Wenn es das Betriebssystem zulässt, sollten Sie die neueste Antivirus- und Antischadsoftware auf jedem Gerätebetriebssystem installieren.

  • Häufig überwachen: Die Überwachung der IoT-Infrastruktur auf sicherheitsbezogene Probleme ist entscheidend für die Reaktion auf Sicherheitsvorfälle. Die meisten Betriebssysteme bieten eine integrierte Ereignisprotokollierung, die häufig auf Sicherheitsverletzungen geprüft werden sollte. Ein Gerät kann Überwachungsinformationen als separaten Telemetriedatenstrom an den Clouddienst senden, wo sie analysiert werden.

  • Befolgen bewährter Methoden für die Sicherheit und Bereitstellung des Geräteherstellers: Wenn der Gerätehersteller Tipps zur Sicherheit und Bereitstellung bietet, befolgen Sie diese Tipps zusätzlich zu den allgemeinen Anleitungen in diesem Artikel.

  • Verwenden eines Feldgateways, um Sicherheitsdienste für ältere oder eingeschränkte Geräte bereitzustellen: Veraltete und eingeschränkte Geräte verfügen möglicherweise nicht über die Möglichkeit, Daten zu verschlüsseln, eine Verbindung mit dem Internet herzustellen oder erweiterte Überwachung bereitzustellen. In diesen Fällen können Sie ein modernes und sicheres Bereichsgateway verwenden, um Daten von älteren Geräten zu aggregieren und für die erforderliche Sicherheit zum Anschließen dieser Geräte an das Internet zu sorgen. Mit Bereichsgateways können Sie eine sichere Authentifizierung, die Aushandlung von verschlüsselten Sitzungen sowie den Empfang von Befehlen aus der Cloud ermöglichen. Außerdem bieten diese Gateways noch viele andere Sicherheitsfunktionen.

Verbindungssicherheit

  • Verwenden von X.509-Zertifikaten zum Authentifizieren Ihrer Geräte bei IoT Hub oder IoT Central: IoT Hub und IoT Central unterstützen sowohl die zertifikatbasierte X509-Authentifizierung als auch Sicherheitstoken als Methoden für die Authentifizierung eines Geräts. Verwenden Sie nach Möglichkeit die X509-basierte Authentifizierung in Produktionsumgebungen, da sie eine höhere Sicherheit bietet. Weitere Informationen finden Sie unter Authentifizieren eines Geräts für IoT Hub und Geräteauthentifizierungskonzepte in IoT Central.

  • Verwenden von Transport Layer Security (TLS) 1.2 für sichere Verbindungen von Geräten: IoT Hub und IoT Central verwenden TLS für sichere Verbindungen von IoT-Geräten und -Diensten. Derzeit werden drei Versionen des TLS-Protokolls unterstützt: 1.0, 1.1 und 1.2. TLS 1.0 und 1.1 gelten als Legacy. Weitere Informationen zur Autorisierung und Authentifizierung.

  • Stellen Sie sicher, dass Sie über eine Möglichkeit verfügen, das TLS-Stammzertifikat auf Ihren Geräten zu aktualisieren: TLS-Stammzertifikate sind langlebig, aber sie können dennoch ablaufen oder widerrufen werden. Wenn es keine Möglichkeit gibt, das Zertifikat auf dem Gerät zu aktualisieren, kann sich das Gerät zu einem späteren Zeitpunkt ggf. nicht mit IoT Hub, IoT Central oder einem anderen Clouddienst verbinden.

  • Nachdenken über die Verwendung von Azure Private Link: Mit Azure Private Link können Sie Ihre Geräte mit einem privaten Endpunkt auf Ihrem VNet verbinden, sodass Sie den Zugriff auf die öffentlichen Endpunkte ihres IoT-Hubs blockieren können. Weitere Informationen finden Sie unter Eingehende Konnektivität mit IoT Hub mithilfe von Azure Private Link und Netzwerksicherheit für IoT Central mithilfe privater Endpunkte.

Cloudsicherheit

Nächste Schritte

Weitere Informationen zur IoT-Sicherheit finden Sie unter: