Стандарты безопасности для Azure IoT Edge

  • Статья

Область применения:IoT Edge 1.4 checkmark IoT Edge 1.4

Важно!

IoT Edge 1.4 является поддерживаемым выпуском. Если вы используете более ранний выпуск, см. статью Обновление IoT Edge.

Azure IoT Edge устраняет риски, возникающие при переносе данных и аналитики на интеллектуальную границу. Стандарты безопасности IoT Edge создают баланс между гибкостью для использования различных сценариев развертывания и защищенностью, которую вы ожидаете от всех служб Azure.

IoT Edge работает на оборудовании различных марок и моделей, поддерживает несколько операционных систем и применяется в различных сценариях развертывания. Вместо предложения конкретных решений для определенных сценариев IoT Edge представляет собой расширяемую платформу безопасности на базе продуманных принципов, учитывающих масштабирование. Риски конкретного сценария развертывания зависят от многих факторов, в том числе:

  • Владение решением
  • География развертывания
  • Конфиденциальность данных
  • Конфиденциальность
  • Вертикаль приложения
  • Нормативные требования

В этой статье приведен обзор платформы безопасности IoT Edge. Дополнительные сведения см. в статье Securing the Intelligent Edge (Обеспечение безопасности интеллектуальных пограничных устройств).

стандарты

Стандарты упрощают выполнение анализа и реализацию, что является признаком безопасности. Решение безопасности должно применяться для выполнения анализа во время оценки, чтобы установить доверие, и не должно препятствовать развертыванию. Разработка платформы для защиты Azure IoT Edge основывается на проверенных временем и отраслью протоколах безопасности для ознакомления и повторного использования.

Проверка подлинности

При развертывании решения Интернета вещей необходимо убедиться, что только доверенные субъекты, устройства и модули имеют доступ к нему. В качестве основного механизма для проверки подлинности платформы Azure IoT Edge используется проверка подлинности на основе сертификата. Этот механизм является производным от набора стандартов, регулирующих инфраструктуру открытых ключей (PKiX), созданных рабочей группой по инженерным проблемам Интернета (IETF).

Все устройства, модули и субъекты, взаимодействующие с устройством Azure IoT Edge, должны иметь уникальные удостоверения сертификатов. Это руководство применимо независимо от того, происходит ли взаимодействие физически или через сетевое подключение. Не каждый сценарий или компонент может использоваться при проверке подлинности на основе сертификата, поэтому расширяемость платформы безопасности предлагает безопасные альтернативы.

Дополнительные сведения см. в разделе об использовании сертификатов Azure IoT Edge.

Авторизация

Принцип минимальных привилегий говорит, что у пользователей и компонентов системы должен быть доступ только к минимальному набору ресурсов и данных, необходимых для выполнения их ролей. Устройства, модули и субъекты должны получать доступ только к ресурсам и данным в пределах их разрешений область, а также только в том случае, если это разрешено архитектурой. Некоторые разрешения настраиваются с помощью необходимых привилегий, а другие — принудительно в контексте архитектуры. Например, некоторым модулям может быть разрешено подключаться к Центру Интернета вещей Azure. Однако нет причин, почему модуль на одном устройстве IoT Edge должен получить доступ к двойнику модуля на другом устройстве IoT Edge.

Другие схемы авторизации включают права подписи сертификата, а также управление доступом на основе ролей.

Аттестация

Аттестация гарантирует целостность битов программного обеспечения, что важно для обнаружения и обезвреживания вредоносных программ. Платформа безопасности Azure IoT Edge разделает аттестацию на три основные категории.

  • Статическая аттестация
  • Аттестация среды выполнения
  • Аттестация программного обеспечения

Статическая аттестация

Статическая аттестация проверяет целостность данных всего программного обеспечения на устройстве при его включении, включая операционные системы, все среды выполнения и сведения о конфигурации. Поскольку статическая аттестация происходит во время включения, ее часто называют безопасной загрузкой. Платформа безопасности для устройств IoT Edge распространяется на производителей и включает безопасные возможности оборудования, что обеспечивает процессы статической аттестации. Эти процессы включают в себя безопасную загрузку и безопасное обновление встроенного ПО. Тесное сотрудничество с поставщиками кремниевого оборудования устраняет лишние слои встроенного ПО, снижая уровень угрозы.

Аттестация среды выполнения

Когда система завершит безопасный процесс загрузки, хорошо спроектированные системы будут обнаруживать попытки внедрения вредоносных программ и принимать необходимые меры противодействия. Атаки вредоносных программ могут быть направлены на системные порты и интерфейсы. Если субъекты вредоносной атаки имеют физический доступ к устройству, они могут незаконно изменять само устройство или использовать его для атаки по сторонним каналам для получения доступа. Такие неправильные данные, независимо от вредоносных программ или несанкционированных изменений конфигурации, не могут быть обнаружены статической аттестацией, так как она внедряется после загрузки. Счетчики, предлагаемые или примененные аппаратным оборудованием устройства, помогают оторвать такие угрозы. Платформа безопасности для IoT Edge явным образом вызывает расширения, которые борются с угрозами среды выполнения.

Аттестация программного обеспечения

Все системы в работоспособном состоянии, включая интеллектуальные пограничные системы, должны регулярно обновляться. Безопасность очень важна для процессов обновления, в противном случае они могут стать потенциальными векторами угроз. Платформа безопасности IoT Edge вызывает обновления, используя измеряемые и подписанные пакеты, для обеспечения целостности данных и проверки подлинности источника пакетов. Этот стандарт применяется ко всем операционным системам и битам данных программного обеспечения.

Аппаратный корень доверия

Для многих интеллектуальных пограничных устройств, особенно для устройств, к которым могут получить физический доступ потенциальные злоумышленники, защита оборудования является последней линией защиты. Устойчивое к незаконному изменению оборудование имеет решающее значение для таких развертываний. Azure IoT Edge поощряет поставщиков безопасного кремниевого оборудования предлагать различные варианты для повышения доверия к оборудованию, учитывая различные профили рисков и сценарии развертывания. Доверие к оборудованию может поступать из общих стандартов протокола безопасности, таких как модуль доверенной платформы (ISO/IEC 11889) и подсистема композиции идентификаторов устройств группы доверенных вычислений (DICE). Безопасные закрытые технологии, такие как TrustZones и Software Guard Extensions (SGX), также обеспечивают аппаратное доверие.

Certification (Сертификация)

Чтобы помочь пользователям принимать обоснованные решения при приобретении устройств IoT Edge для развертываний, платформа Azure IoT Edge содержит требования к сертификации. Основным требованием является наличие сертификатов, относящихся к утверждениям безопасности, и сертификатов, относящихся к проверке реализации безопасности. Например, сертификат утверждения безопасности означает, что устройство IoT Edge использует безопасное оборудование для защиты от атак загрузки. Сертификат проверки означает, что безопасное оборудование реализовано соответствующим образом для предоставления значения в устройстве. Для простоты использования в платформе реализованы концепции, упрощающие процесс сертификации.

Шифрование при хранении

Шифрование при хранении обеспечивает защиту хранимых (неактивных) данных. Атаки на неактивных данных включают попытки получить физический доступ к оборудованию, в котором хранятся данные, а затем скомпрометировать содержащиеся данные. Шифрование хранилища можно использовать для защиты данных, хранящихся на устройстве. Linux имеет несколько вариантов шифрования неактивных данных. Выберите вариант, который лучше всего соответствует вашим потребностям. Для Windows BitLocker рекомендуется использовать для шифрования неактивных данных.

Возможности расширения

Используя технологию Интернета вещей для управления различными видами бизнес-преобразований, система безопасности должна работать в параллельном режиме, чтобы устранять возникающие сценарии. Платформа безопасности Azure IoT Edge имеет надежную основу, на базе которой она предоставляет возможности расширения для различных измерений, чтобы включать описанные ниже компоненты.

  • Основные службы безопасности, например служба подготовки устройств для Центра Интернета вещей Azure.
  • Сторонние службы, например службы управляемой безопасности для различных отраслей приложения (например, промышленность или здравоохранение) или технологии (например,технологии мониторинга безопасности в смешанной сети или службах аттестации кремниевого оборудования), направленные на широкую сеть партнеров.
  • Устаревшие системы, чтобы иметь возможность модернизации, используя дополнительные стратегии защиты, например применение безопасных технологий, отличных от сертификатов, для управления проверкой подлинности и удостоверениями.
  • Безопасное оборудование для внедрения новых технологий безопасных аппаратных средств и наработок партнеров-поставщиков кремниевого оборудования.

В конечном счете, для обеспечения безопасности интеллектуальной границы требуются совместные усилия открытого сообщества, движимого общими интересами защиты Интернета вещей. Этими вкладами могут быть безопасные технологии или службы. Платформа безопасности Azure IoT Edge предоставляет надежную основу для обеспечения безопасности, расширяемой для максимального охвата, чтобы предоставить в интеллектуальных пограничных устройствах тот же уровень доверия и целостности данных, что и в облачной службе Azure.

Следующие шаги

Дополнительные сведения об Azure IoT Edge см. в статье Securing the Intelligent Edge (Обеспечение безопасности интеллектуальных пограничных устройств).