モノのインターネットの徹底的なセキュリティ

モノのインターネット (IoT) は、世界各地の企業に固有のセキュリティ、プライバシー、およびコンプライアンスの課題をもたらします。 ソフトウェアとその実装方法に関する問題が発生した場合、従来のサイバー テクノロジとは異なり、IoT ではサイバーおよび物理世界が融合すると何が起こるかが懸念されます。 IoT ソリューションを保護するには、デバイスの安全なプロビジョニング、デバイスとクラウド間の安全な接続、処理中および保管中のクラウドでの安全なデータ保護を確実に行う必要があります。 ただし、そのような機能には、リソースが限られたデバイス、デプロイの地理的分散、およびソリューション内の多数のデバイスという問題が伴います。

この記事では、Microsoft Azure IoT Suite によって安全でプライベートなモノのインターネット クラウド ソリューションがどのように提供されるかについて説明します。 Azure IoT Suite では完全なエンド ツー エンド ソリューションが提供されます。セキュリティは最初から各ステージに組み込まれています。 Microsoft における安全なソフトウェアの開発は、数十年にわたる安全なソフトウェアの開発に関する長い経験に根ざしているソフトウェア エンジニアリング プラクティスの一部です。 Security Development Lifecycle (SDL) はこれを実現するための基本的な開発方法です。Operational Security Assurance (OSA) や Microsoft Digital Crimes Unit、Microsoft Security Response Center、および Microsoft Malware Protection Center などのインフラストラクチャ レベルのセキュリティ サービス ホストを併用します。

Azure IoT Suite には、IoT デバイスからのデータのプロビジョニング、接続、および格納を簡単かつ透過的に、そして何よりも安全に行える独自の機能があります。 ここでは、セキュリティ、プライバシー、およびコンプライアンスに関する課題に対応できるようにする Azure IoT Suite のセキュリティ機能とデプロイ戦略について説明します。

はじめに

モノのインターネット (IoT) は将来のトレンドとなるものです。実社会において、企業が迅速にコストを削減し、収益を増やし、事業を転換できるようにします。 ただし、多くの企業は、セキュリティ、プライバシー、およびコンプライアンスについて懸念があるため、組織での IoT のデプロイをためらいます。 その懸念の主因は IoT インフラストラクチャの独自性によるものです。サイバーおよび物理世界を融合すると、これら 2 つの世界に固有の個々のリスクを複合することになります。 IoT のセキュリティには、デバイスで実行されているコードの整合性の確保、デバイスとユーザーの認証、デバイス (およびデバイスで生成されるデータ) の明確な所有権の定義、サイバーおよび物理攻撃の対応が必要です。

次は、プライバシーの問題です。 企業はデータ収集の透明性を求めます。つまり、収集内容とその理由、閲覧者、アクセス制御担当者などを把握しておきたいと考えます。 最後は、機器とそれを操作する担当者の一般的な安全性の問題と、コンプライアンスの業界基準の維持に関する問題です。

セキュリティ、プライバシー、透明性、およびコンプライアンスについて懸念がある場合、適切な IoT ソリューション プロバイダーの選択に課題が残ります。 さまざまなベンダーによって提供される IoT ソフトウェアとサービスをまとめた場合、セキュリティ、プライバシー、透明性、コンプライアンスにギャップが生じます。これにより、問題の解決だけでなく、検出も困難になります。 適切な IoT ソフトウェアおよびサービス プロバイダーを選択するには、複数の業界や地域にまたがっていても、安全かつ透過的な方法でスケーリング可能なサービスの豊富な実行経験を持つプロバイダーをまず見つける必要があります。 同様に、選択したプロバイダーが、世界各国で数十億のコンピューター上で実行される安全なソフトウェアの数十年の開発経験を持ち、このモノのインターネットの新しい世界によってもたらされる脅威の状況を認識できるようにするためにも役立ちます。

最初からインフラストラクチャをセキュリティで保護する

Microsoft Cloud インフラストラクチャは、127 か国で 10 億人を超えるお客様をサポートしています。 エンタープライズ ソフトウェアの構築と世界各国でのいくつかの大規模なオンライン サービスの実行の数十年にわたる経験を生かし、Microsoft はより高いレベルの強化されたセキュリティ、プライバシー、コンプライアンス、およびほとんどのお客様が自分で実行できる脅威緩和プラクティスを提供します。

Microsoft の Security Development Lifecycle (SDL) では、ソフトウェア ライフサイクル全体にセキュリティ要件を組み込む必須の全社的な開発プロセスが提供されます。 運用アクティビティが同じレベルのセキュリティ プラクティスに従うように、Microsoft では Operational Security Assurance (OSA) プロセスにおいて規定されている厳格なセキュリティ ガイドラインを使用します。 また、順守義務を満たしていることを継続的に検証するためにサード パーティの監査法人と連携し、Microsoft Digital Crimes Unit、Microsoft Security Response Center、および Microsoft Malware Protection Center を含む、優れたセンターを作成して広範なセキュリティ活動に取り組みます。

Microsoft Azure - 企業の IoT インフラストラクチャのセキュリティ保護

Microsoft Azure は完全なクラウド ソリューションを提供します。このソリューションは、分析、機械学習、ストレージ、セキュリティ、ネットワーク、Web などを統合した、常に成長しているクラウド サービスのコレクションを、データの保護とプライバシーに関する業界最高水準のコミットメントと組み合わせたものです。 Microsoft の侵害想定戦略では、攻撃をシミュレートし、新たな脅威を検出し、その脅威から保護して侵害から回復するための Azure の機能をテストするソフトウェア セキュリティ エキスパートの専属の "レッド チーム" を使用します。 グローバル インシデント対応チームは、攻撃や悪意のある活動の影響を軽減するために、常に対応できる状態を保っています。 このチームは、インシデント管理、通信、回復の確立された手順に従い、検出可能で予測可能なインターフェイスを使用して内外のパートナーと連絡を取ります。

Microsoft のシステムでは、脅威の特定と軽減に役立つ、侵入の検出と予防、サービス拒否攻撃の予防、定期的な侵入テスト、および科学捜査ツールが継続的に提供されます。 多要素認証 では、ネットワークにアクセスするエンドユーザーのために追加のセキュリティ レイヤーを提供します。 また、アプリケーションとホスト プロバイダーのために、アクセス制御、監視、マルウェア対策、脆弱性スキャン、修正プログラム、および構成管理を提供します。

Microsoft Azure IoT Suite は、SDL および OSA プロセスと共に Azure プラットフォームに組み込まれているセキュリティとプライバシーを活用して、すべての Microsoft ソフトウェアを安全に開発し、操作できるようにします。 これらの手順では、ソリューションのセキュリティに重要なインフラストラクチャの保護、ネットワークの保護、および ID と管理機能が提供されます。

IoT Suite 内の Azure IoT Hub では完全に管理されたサービスが提供されます。これにより、デバイスごとのセキュリティ資格情報とアクセス制御を使用して、IoT デバイスと Azure サービス (Azure Machine LearningAzure Stream Analytics など) 間で、信頼性が高くセキュリティで保護された双方向の通信を行うことができます。

Azure IoT Suite に組み込まれているセキュリティとプライバシーの機能をわかりやすくするために、ここでは Suite を 3 つの主なセキュリティ領域に分けました。

Azure IoT Suite

安全なデバイス プロビジョニングと認証

Azure IoT Suite は、デバイスにそれぞれ一意の ID キーを指定して、操作中のデバイスをセキュリティで保護します。このキーを IoT インフラストラクチャで使用して、操作中のデバイスと通信することができます。 プロセスはすばやく簡単にセットアップできます。 ユーザーが選択したデバイス ID で生成されたキーによって、デバイスと Azure IoT Hub 間のすべての通信で使用されるトークンの基礎が形成されます。

デバイス ID は、製造時にデバイスに関連付ける (つまり、ハードウェア トラスト モジュールでフラッシュする) ことも、既存の固定 ID (CPU シリアル番号など) をプロキシとして使用することもできます。 デバイスのこの識別情報の変更は簡単ではないため、基になるデバイス ハードウェアは変わっても論理デバイスはそのままである場合には、論理デバイス ID を導入することが重要です。 場合によっては、デバイスをデプロイする際 (つまり、認証済みのフィールド エンジニアが、ソリューション バックエンドとの通信中に新しいデバイスを物理的に構成するとき) にデバイス ID が関連付けられることがあります。 Azure IoT Hub ID レジストリ では、ソリューションのデバイス ID とセキュリティ キーのセキュリティで保護されたストレージが提供されます。 デバイス ID は個別に、またはまとめて許可リストあるいはブロック リストに追加できるため、デバイスへのアクセスを完全に制御できます。

クラウドの Azure IoT Hub アクセス制御ポリシーでデバイス ID を有効にしたり、必要に応じて IoT デプロイからデバイスの関連付けを解除する方法を提供してデバイス ID を無効にしたりすることができます。 デバイスのこの関連付けと関連付けの解除は各デバイス ID に基づいて行われます。

その他のデバイスのセキュリティ機能を以下に示します。

  • デバイスは、要求されていないネットワーク接続を受け入れません。 デバイスは送信のみの方法で、すべての接続とルートを確立します。 バックエンドからコマンドを受信する場合、デバイスは接続を開始して、処理待ちのコマンドがないか確認する必要があります。 デバイスと IoT Hub 間の接続が安全に確立されると、クラウドとデバイス間でメッセージを透過的に送信することができます。
  • デバイスは、Azure IoT Hub など、ピアリングされている既知のサービスへの接続のみ、またはルートの確立のみを行います。
  • システム レベルの承認と認証ではデバイスごとの ID を使用して、アクセス資格情報とアクセス許可をほぼ瞬時に取り消すことができます。

セキュリティで保護された接続

メッセージングの持続性は、IoT ソリューションの重要な機能です。 永続的なコマンドの配信やデバイスからのデータ受信の必要性は、IoT デバイスがインターネット経由で接続される場合や、信頼できない他の似たようなネットワークを介して接続される場合があるという事実によって明確に示されています。 Azure IoT Hub では、メッセージへの応答での受信確認のシステムを使用して、クラウドとデバイス間のメッセージングの持続性を提供します。 また、メッセージングの持続性は、テレメトリの場合は最大 7 日間、コマンドの場合は最大 2 日間、IoT Hub にメッセージをキャッシュすることで実現されます。

リソースが限られた環境では使用するリソースと実行する操作を減らすために、効率性が重要になります。 Azure IoT Hub では、業界標準のセキュリティで保護されたバージョンの一般的な http プロトコルである HTTPS (HTTP Secure) がサポートされているため、効率的に通信を行うことができます。 Azure IoT Hub でサポートされている Advanced Message Queuing Protocol (AMQP) および Message Queuing Telemetry Transport (MQTT) は、リソースのを効率的な使用のためだけでなく、信頼性の高いメッセージ配信のために設計されています。

拡張性を実現するには、広範なデバイスとの安全な相互運用が可能である必要があります。 Azure IoT Hub を使用すれば、IP 対応デバイスと非 IP 対応デバイスの両方に安全に接続できます。 IP 対応デバイスは、セキュリティで保護された接続を介して IoT Hub に直接接続して通信を行うことができます。 非 IP 対応デバイスはリソースが限られており、Zwave、ZigBee、および Bluetooth などの短距離通信プロトコルを介してのみ接続されます。 これらのデバイスをまとめるために使用されるフィールド ゲートウェイは、プロトコル変換を実行して、クラウドとのセキュリティで保護された双方向通信を可能にします。

その他の接続のセキュリティ機能には、以下のようなものがあります。

  • デバイスと Azure IoT Hub 間、またはゲートウェイと Azure IoT Hub 間の通信パスは、X.509 プロトコルで認証済みの Azure IoT Hub で業界標準のトランスポート層セキュリティ (TLS) を使用してセキュリティ保護されます。
  • 要求されていない受信接続からデバイスを保護するために、Azure IoT Hub はデバイスへの接続を開きません。 すべての接続はデバイスが開始します。
  • Azure IoT Hub は永続的にデバイスのメッセージを保存し、デバイスが接続されるまで待機します。 これらのコマンドは 2 日間保存されるため、電源や接続の問題によって散発的に接続されるデバイスはこれらのコマンドを受信することができます。 Azure IoT Hub は、各デバイスのデバイスごとのキューを保持します。

クラウドにおけるセキュリティで保護された処理およびストレージ

Azure IoT Suite は、クラウドにおける暗号化された通信やデータ処理により、データの安全を維持できます。 必要に応じてセキュリティ キーをさらに暗号化し、管理することができます。 Azure IoT Suite では、ユーザーの認証と承認に Azure Active Directory (AAD) を使用して、クラウドでデータのポリシー ベースの承認モデルが提供されるため、監査および確認可能なアクセス管理を簡単に行うことができます。 このモデルで、クラウド内のデータと、Azure IoT Suite に接続されているデバイスのデータへのアクセスを取り消すこともできます。

データをクラウドに配置すれば、ユーザー定義のワークフローでの処理と格納が可能になります。 データの各部分へのアクセスは、使用するストレージ サービスに応じて、Azure Active Directory で制御されます。

IoT インフラストラクチャで使用されるすべてのキーはクラウド内のセキュリティで保護されたストレージに格納されるため、キーの再プロビジョニングが必要な場合はロール オーバーすることができます。 データは、必要なセキュリティ レベルの定義を有効にして、Azure Cosmos DB または SQL Database に格納できます。 さらに、Azure では、侵入や不正アクセスを知らせるためにデータへのすべてのアクセスを監視し、監査する方法が提供されます。

まとめ

モノのインターネットは、お客様のモノ、つまり、ビジネスにとって最も重要なモノから始められます。 IoT は、コストを減らし、収益を増やし、事業を転換することで、企業にすばらしい価値をもたらすことができます。 この転換の成功は、適切な IoT ソフトウェアとサービス プロバイダーの選択に大きく左右されます。 これは、ビジネスのニーズと要件を理解してこの転換を促進するだけでなく、主な設計に関する考慮事項として、セキュリティ、プライバシー、透明性、およびコンプライアンスが組み込まれたサービスやソフトウェアを提供するプロバイダーを見つけることを意味します。 Microsoft はセキュリティで保護されたソフトウェアとサービスの開発とデプロイの豊富な経験があり、モノのインターネットの新時代におけるリーダーであり続けます。

Microsoft Azure IoT Suite には仕様でセキュリティ対策が組み込まれているため、資産を安全に監視して効率性を高め、運用パフォーマンスを向上させて革新を実現し、高度なデータ分析を採用して事業を転換することができます。 セキュリティ、複数のセキュリティ機能、および設計パターンに対するレイヤー アプローチで、Azure IoT Suite は事業を転換するための信頼できるインフラストラクチャをデプロイできます。

追加情報

Azure IoT Suite の各事前構成済みソリューションでは、次のような Azure サービスのインスタンスを作成します。

  • Azure IoT Hub: クラウドを "モノ" に接続するゲートウェイ。 ハブごとに数百万の接続にスケーリングでき、ソリューションのセキュリティ保護に役立つデバイスごとの認証サポートにより膨大な量のデータを処理できます。
  • Azure Cosmos DB: 属性、構成、セキュリティ プロパティなど、プロビジョニングするデバイスのメタデータを管理する半構造化データ用に完全にインデックス付けされたスケーラブル データベース サービス。 Azure Cosmos DB では、高パフォーマンスで高スループットの処理、スキーマに依存しないデータのインデックス付けと豊富な SQL クエリ インターフェイスが提供されます。
  • Azure Stream Analytics: クラウドにおけるリアルタイム ストリーム処理。これにより、デバイス、センサー、インフラストラクチャ、アプリケーションからのリアルタイムの洞察を得られるようにする低コストの分析ソリューションを迅速に開発してデプロイすることができます。 この完全に管理されたサービスからのデータは、高スループット、低待機時間、および回復性を維持した状態で任意のボリュームにスケーリングできます。
  • Azure App Services: データがクラウドとオンプレミスのどちらにあっても接続できる強力な Web アプリとモバイル アプリをビルドするためのクラウド プラットフォーム。 iOS、Android、Windows 用の魅力的なモバイル アプリをビルドします。 多数のクラウド ベース サービスとエンタープライズ アプリケーションへのすぐに利用可能な接続により、使用しているサービスとしてのソフトウェア (SaaS) およびエンタープライズ アプリケーションと統合します。 お気に入りの言語や IDE (.NET、Node.js、PHP、Python、または Java) でコードを作成し、Web アプリと API をこれまで以上に迅速にビルドできます。
  • Logic Apps: Azure App Service の Logic Apps 機能は、既存の基幹業務システムに IoT ソリューションを統合し、ワークフロー プロセスを自動化するのに役立ちます。 開発者は Logic Apps を使用することで、トリガーで開始され、一連の手順 (つまり、ビジネス プロセスに統合するために強力なコネクタを使用するルールとアクション) を実行するワークフローを設計できます。 Logic Apps では、SaaS、クラウド ベース、およびオンプレミス アプリケーションの広範なエコシステムにすぐに接続できます。
  • Azure Blob Storage: デバイスからクラウドに送信されるデータに対応する信頼性と経済性に優れたクラウド ストレージ。

関連項目

IoT ソリューションのセキュリティ保護の詳細については、次のリンク先をご覧ください。

IoT Hub の機能を詳しく調べるには、次のリンクを使用してください。