مشاركة عبر


تأمين حلول IoT الخاصة بك

تتيح لك حلول IoT الاتصال بأجهزة وأصول IoT ومراقبتها والتحكم فيها على نطاق واسع. في الحل المستند إلى السحابة، تتصل الأجهزة والأصول مباشرة بالسحابة. في حل قائم على الحافة، تتصل الأجهزة والأصول ببيئة وقت تشغيل الحافة. يجب عليك تأمين الأصول والأجهزة المادية والبنية الأساسية للحافة والخدمات السحابية لحماية حل IoT الخاص بك من التهديدات. يجب عليك أيضا تأمين البيانات التي تتدفق عبر حل IoT الخاص بك، سواء كان على الحافة أو في السحابة.

توفر هذه المقالة إرشادات حول كيفية تأمين حل IoT الخاص بك على أفضل نحو. يتضمن كل قسم ارتباطات إلى محتوى يوفر المزيد من التفاصيل والإرشادات.

يوضح الرسم التخطيطي التالي طريقة عرض عالية المستوى للمكونات في حل IoT نموذجي قائم على الحافة. تركز هذه المقالة على أمان حل IoT المستند إلى الحافة:

رسم تخطيطي يوضح بنية الحل عالية المستوى المستندة إلى IoT edge التي تسلط الضوء على الأمان.

في حل IoT المستند إلى الحافة، يمكنك تقسيم الأمان إلى المجالات الأربعة التالية:

  • أمان الأصول: تأمين أصل IoT أثناء توزيعه في أماكن العمل.

  • أمان الاتصال: تأكد من أن جميع البيانات أثناء النقل بين الأصول والحافة والخدمات السحابية سرية وخالية من العبث.

  • أمان الحافة: قم بتأمين بياناتك أثناء انتقالها، ويتم تخزينها على الحافة.

  • أمان السحابة: قم بتأمين بياناتك أثناء انتقالها، ويتم تخزينها في السحابة.

Microsoft Defender ل IoT والحاويات

Microsoft Defender for IoT هو حل أمان موحد تم إنشاؤه خصيصا لتحديد أجهزة IoT والتكنولوجيا التشغيلية (OT) والثغرات الأمنية والتهديدات. Microsoft Defender for Containers هو حل سحابي أصلي لتحسين ومراقبة وصيانة أمان الأصول المعبأة في حاويات (مجموعات Kubernetes وعقد Kubernetes وأحمال عمل Kubernetes وسجلات الحاويات وصور الحاويات والمزيد)، وتطبيقاتها، عبر البيئات متعددة السحابة والبيئات المحلية.

يمكن لكل من Defender for IoT وDefender for Containers مراقبة بعض التوصيات المضمنة في هذه المقالة تلقائيا. يجب أن يكون Defender for IoT وDefender for Containers خط الدفاع الأمامي لحماية الحل المستند إلى الحافة. لمعرفة المزيد، راجع:

أمان الأصول

يوفر هذا القسم إرشادات حول كيفية تأمين أصولك، مثل المعدات الصناعية وأجهزة الاستشعار والأجهزة الأخرى التي تعد جزءا من حل IoT الخاص بك. ويعتبر أمن الأصل أمرا بالغ الأهمية لضمان سلامة وسرية البيانات التي يولدها ويرسلها.

  • استخدام Azure Key Vault وملحق المخزن السري: استخدم Azure Key Vault لتخزين وإدارة المعلومات الحساسة للأصول مثل المفاتيح وكلمات المرور والشهادات والأسرار. تستخدم عمليات Azure IoT Azure Key Vault كحل للمخزن المدار على السحابة، وتستخدم ملحق مخزن Azure Key Vault السري ل Kubernetes لمزامنة الأسرار من السحابة وتخزينها على الحافة كأسرار Kubernetes. لمعرفة المزيد، راجع إدارة الأسرار لتوزيع عمليات Azure IoT.

  • إعداد إدارة الشهادات الآمنة: تعد إدارة الشهادات أمرا بالغ الأهمية لضمان الاتصال الآمن بين الأصول وبيئة وقت تشغيل الحافة. توفر عمليات Azure IoT أدوات لإدارة الشهادات، بما في ذلك إصدار الشهادات وتجديدها وإبطالها. لمعرفة المزيد، راجع إدارة الشهادات للاتصال الداخلي لعمليات Azure IoT.

  • حدد أجهزة مقاومة للعبث: اختر أجهزة الأصول ذات الآليات المضمنة للكشف عن العبث المادي، مثل فتح غطاء الجهاز أو إزالة جزء من الجهاز. يمكن أن تكون إشارات العبث هذه جزءا من دفق البيانات الذي تم تحميله إلى السحابة، وتنبيه المشغلين إلى هذه الأحداث.

  • تمكين التحديثات الآمنة للبرامج الثابتة للأصول: استخدم الخدمات التي تمكن التحديثات عبر الهواء لأصولك. إنشاء أصول مع مسارات آمنة للتحديثات وضمان التشفير لإصدارات البرامج الثابتة لتأمين أصولك أثناء التحديثات وبعدها.

  • توزيع أجهزة الأصول بشكل آمن: تأكد من أن نشر أجهزة الأصول مقاوم للعبث قدر الإمكان، خاصة في المواقع غير الآمنة مثل الأماكن العامة أو الأماكن المحلية غير الخاضعة للإشراف. قم فقط بتمكين الميزات الضرورية لتقليل بصمة الهجوم المادي، مثل تغطية منافذ USB بأمان إذا لم تكن هناك حاجة إليها.

  • اتبع أفضل ممارسات أمان الشركة المصنعة للجهاز ونشره: إذا كانت الشركة المصنعة للجهاز توفر إرشادات الأمان والتوزيع، فاتبع هذه الإرشادات مع الإرشادات العامة الواردة في هذه المقالة.

أمان الاتصال

يوفر هذا القسم إرشادات حول كيفية تأمين الاتصالات بين أصولك وبيئة وقت تشغيل الحافة والخدمات السحابية. ويعد أمان الاتصالات أمرا بالغ الأهمية لضمان سلامة البيانات المرسلة وسريتها.

  • استخدم أمان طبقة النقل (TLS) لتأمين الاتصالات من الأصول: يتم تشفير جميع الاتصالات داخل عمليات Azure IoT باستخدام TLS. لتوفير تجربة آمنة بشكل افتراضي تقلل من التعرض غير المقصود للحل المستند إلى الحافة للمهاجمين، يتم نشر عمليات Azure IoT مع مرجع مصدق جذري افتراضي ومصدر لشهادات خادم TLS. لنشر الإنتاج، نوصي باستخدام مصدر CA الخاص بك وحل PKI للمؤسسة.

  • إحضار المرجع المصدق الخاص بك للإنتاج: بالنسبة إلى عمليات نشر الإنتاج، استبدل المرجع المصدق الجذر الافتراضي الموقع ذاتيا بمصدر CA الخاص بك ودمجه مع PKI للمؤسسة لضمان الثقة والتوافق. لمعرفة المزيد، راجع إدارة الشهادات للاتصال الداخلي لعمليات Azure IoT.

  • ضع في اعتبارك استخدام جدران حماية المؤسسة أو الوكلاء لإدارة نسبة استخدام الشبكة الصادرة: إذا كنت تستخدم جدران حماية المؤسسة أو الوكلاء، أضف نقاط نهاية عمليات Azure IoT إلى قائمة السماح الخاصة بك.

  • تشفير نسبة استخدام الشبكة الداخلية لوسيط الرسائل: يعد ضمان أمان الاتصالات الداخلية داخل البنية الأساسية للحافة أمرا مهما للحفاظ على سلامة البيانات وسريتها. يجب عليك تكوين وسيط MQTT لتشفير حركة المرور الداخلية والبيانات أثناء النقل بين الواجهة الأمامية للوسيط MQTT ووحدات الواجهة الخلفية. لمعرفة المزيد، راجع تكوين تشفير حركة المرور الداخلية للوسيط والشهادات الداخلية.

  • تكوين TLS مع إدارة الشهادات التلقائية للمستمعين في وسيط MQTT: توفر عمليات Azure IoT إدارة الشهادات التلقائية للمستمعين في وسيط MQTT. تقلل هذه الإمكانية من النفقات الإدارية لإدارة الشهادات يدويا، وتضمن التجديدات في الوقت المناسب، وتساعد على الحفاظ على الامتثال لسياسات الأمان. لمعرفة المزيد، راجع اتصال وسيط MQTT الآمن باستخدام BrokerListener.

  • إعداد اتصال آمن بخادم OPC UA: عند الاتصال بخادم OPC UA، يجب تحديد خوادم OPC UA التي تثق بها لإنشاء جلسة عمل معها بشكل آمن. لمعرفة المزيد، راجع تكوين البنية الأساسية لشهادات OPC UA لموصل OPC UA.

  • عزل الشبكات وتقسيمها: استخدم تجزئة الشبكة وجدران الحماية لعزل مجموعات عمليات IoT وأجهزة الحافة عن موارد الشبكة الأخرى. أضف نقاط النهاية المطلوبة إلى قائمة السماح الخاصة بك إذا كنت تستخدم جدران حماية المؤسسة أو الوكلاء. لمعرفة المزيد، راجع إرشادات توزيع الإنتاج - الشبكات.

أمان Edge

يوفر هذا القسم إرشادات حول كيفية تأمين بيئة وقت تشغيل الحافة، وهو البرنامج الذي يعمل على النظام الأساسي للحافة. يعالج هذا البرنامج بيانات الأصول الخاصة بك ويدير الاتصال بين أصولك والخدمات السحابية. يعد أمان بيئة وقت تشغيل الحافة أمرا بالغ الأهمية لضمان سلامة وسرية البيانات التي تتم معالجتها وإرسالها.

  • حافظ على بيئة وقت تشغيل الحافة محدثة: حافظ على تحديث نظام المجموعة وعمليات Azure IoT مع أحدث التصحيحات والإصدارات الثانوية للحصول على جميع إصلاحات الأمان والأخطاء المتوفرة. بالنسبة إلى عمليات نشر الإنتاج، قم بإيقاف تشغيل التحديث التلقائي ل Azure Arc للتحكم الكامل في وقت تطبيق التحديثات الجديدة على نظام المجموعة. بدلا من ذلك، ترقية العوامل يدويا حسب الحاجة.

  • تحقق من تكامل الحاوية وصور helm: قبل نشر أي صورة إلى نظام المجموعة، تحقق من أن الصورة موقعة من قبل Microsoft. لمعرفة المزيد، راجع التحقق من صحة توقيع الصورة.

  • استخدم دائما شهادات X.509 أو رموز حساب خدمة Kubernetes للمصادقة مع وسيط MQTT: يدعم وسيط MQTT أساليب مصادقة متعددة للعملاء. يمكنك تكوين كل منفذ وحدة استماع للحصول على إعدادات المصادقة الخاصة به باستخدام مورد BrokerAuthentication. لمعرفة المزيد، راجع تكوين مصادقة وسيط MQTT.

  • توفير أقل امتياز مطلوب لأصل الموضوع في وسيط MQTT: تحدد نهج التخويل الإجراءات التي يمكن للعملاء تنفيذها على الوسيط، مثل الاتصال أو النشر أو الاشتراك في الموضوعات. قم بتكوين وسيط MQTT لاستخدام نهج تخويل واحد أو عدة نهج مع مورد BrokerAuthorization. لمعرفة المزيد، راجع تكوين تخويل وسيط MQTT.

أمان السحابة

يوفر هذا القسم إرشادات حول كيفية تأمين خدمات السحابة الخاصة بك، وهي الخدمات التي تعالج بيانات الأصول وتخزنها. يعد أمان الخدمات السحابية أمرا بالغ الأهمية لضمان سلامة بياناتك وسريتها.

  • استخدام الهويات المدارة المعينة من قبل المستخدم للاتصالات السحابية: استخدم دائما مصادقة الهوية المدارة. عندما يكون ذلك ممكنا، استخدم الهوية المدارة المعينة من قبل المستخدم في نقاط نهاية تدفق البيانات من أجل المرونة وإمكانية التدقيق. لمعرفة المزيد، راجع تمكين الإعدادات الآمنة في عمليات Azure IoT.

  • توزيع موارد إمكانية المراقبة وإعداد السجلات: توفر إمكانية المراقبة رؤية في كل طبقة من تكوين عمليات Azure IoT. فهو يمنحك نظرة ثاقبة على السلوك الفعلي للمشكلات، ما يزيد من فعالية هندسة موثوقية الموقع. توفر عمليات Azure IoT إمكانية المراقبة من خلال لوحات معلومات Grafana المنسقة المخصصة المستضافة في Azure. يتم تشغيل لوحات المعلومات هذه بواسطة خدمة Azure Monitor المدارة ل Prometheus و Container Insights. نشر موارد إمكانية المراقبة على نظام المجموعة قبل نشر عمليات Azure IoT.

  • الوصول الآمن إلى الأصول ونقاط نهاية الأصول باستخدام Azure RBAC: الأصول ونقاط نهاية الأصول في عمليات Azure IoT لها تمثيلات في كل من مجموعة Kubernetes ومدخل Azure. استخدم Azure RBAC لتأمين الوصول إلى هذه الموارد. Azure RBAC هو نظام تخويل يمكنك من إدارة الوصول إلى موارد Azure. استخدم Azure RBAC لمنح أذونات للمستخدمين والمجموعات والتطبيقات في نطاق معين. لمعرفة المزيد، راجع الوصول الآمن إلى الأصول ونقاط نهاية الأصول.