Zabezpečení nasazení služby Azure IoT Hub

Azure IoT Hub poskytuje centrální hub zpráv pro obousměrnou komunikaci mezi IoT aplikacemi a zařízeními, která spravují. Při nasazování této služby je důležité dodržovat osvědčené postupy zabezpečení pro ochranu dat, konfigurací a infrastruktury.

Tento článek obsahuje pokyny k zajištění nejlepšího zabezpečení nasazení služby Azure IoT Hub. Pokud používáte i jiné služby Azure IoT, přečtěte si téma Zabezpečení řešení IoT.

Doporučení zabezpečení v tomto článku implementují principy nulové důvěryhodnosti: "Ověřit explicitně", "Použít přístup s nejnižšími oprávněními" a "Předpokládat porušení zabezpečení". Pro podrobné pokyny k principu nulová důvěra (Zero Trust) navštivte Centrum pro pokyny k nulová důvěra (Zero Trust).

Zabezpečení zařízení

Zabezpečení zařízení, která se připojují k IoT Hubu, je důležité pro celkové zabezpečení vašeho řešení IoT.

  • Používejte přihlašovací údaje zařízení z obnovitelných zdrojů: Implementujte proces pravidelné aktualizace přihlašovacích údajů zařízení, jako jsou kumulativní certifikáty X.509, a omezte tak dopad ohroženého ověřování. Pro více informací viz Jak rolovat certifikáty zařízení X.509.

  • Nasazení aktualizačních agentů na zařízeních: Ujistěte se, že zařízení mají agenty aktualizací pro příjem a instalaci aktualizací zabezpečení, udržování firmwaru a softwaru v celém životním cyklu zařízení. Další informace najdete v tématu Aktualizace zařízení pro IoT Hub.

  • Implementace zabezpečeného zřizování zařízení: Použijte službu Azure IoT Hub Device Provisioning Service (DPS) k automatickému a zabezpečenému zřizování zařízení ve velkém měřítku s využitím vhodných ověřovacích mechanismů. Pro více informací viz IoT Hub Device Provisioning Service.

  • Používejte moduly Trusted Platform: Nasaďte zařízení s hardwarovými funkcemi zabezpečení, jako jsou čipy TPM (Trusted Platform Modules), abyste zajistili zabezpečené úložiště pro kryptografické klíče a chránili před fyzickou manipulací. Pro více informací viz TPM attestation.

  • Odvolání přístupu pro ohrožená zařízení: Implementujte postupy pro rychlé odvolání přístupu pro zařízení, která zobrazují známky ohrožení zabezpečení, a brání jim v připojení ke službě IoT Hub a potenciálně ovlivnění jiných zařízení. Pro více informací viz Jak odebrat přístup k zařízení.

Zabezpečení sítě

Zabezpečení síťového přístupu ke službě IoT Hub je zásadní, aby se zabránilo neoprávněnému přístupu a chránilo tok dat mezi vašimi zařízeními a cloudem.

  • Povolte soukromé koncové body: Eliminujte veřejné vystavení internetu směrováním provozu přes vaši virtuální síť pomocí Azure Private Link a umožněte zařízením připojit se k vašemu IoT hubu bez vystavení veřejnému internetu. Další informace najdete v tématu Podpora služby IoT Hub pro virtuální sítě pomocí služby Azure Private Link.

  • Zakázat přístup k veřejné síti: Zakázat přímý přístup z veřejného internetu tak, že zakážete veřejné koncové body, když místo toho můžete používat privátní koncové body. Pro více informací viz Správa přístupu k veřejné síti pro váš IoT hub.

  • Nastavte filtrování IP: Omezte připojení k vašemu IoT Hub tím, že povolíte pouze určité IP adresy nebo dosahy, a omezte vystavení možným útokům. Pro více informací viz filtrování IP adres IoT Hub.

  • Vynucení tls 1.2 a silných šifrovacích sad: Posílení zabezpečení připojení vynucením použití protokolu TLS 1.2 a doporučených šifrovacích sad pro všechna připojení zařízení a služeb. Pro více informací viz Podpora bezpečnosti transportní vrstvy (TLS) v IoT Hub.

Správa identit a přístupu

Správná správa identit a přístupu je nezbytná pro řízení, kdo může spravovat službu IoT Hub a jak se k ní zařízení ověřují.

  • Použijte autentizaci Microsoft Entra ID: Implementujte Microsoft Entra ID (dříve Azure AD) pro autentizaci a autorizaci požadavků API služeb a umožněte podrobnější kontrolu přístupu než politiky sdíleného přístupu. Další informace najdete v tématu Řízení přístupu k IoT Hub pomocí Microsoft Entra ID.

  • Implementujte Azure RBAC pro detailní oprávnění: Přiřaďte uživatelům a aplikacím IoT Hub přistup na základě rolí s nejmenšími oprávněními a snižte riziko neoprávněných operací. Další informace najdete v tématu Řízení přístupu k IoT Hubu s využitím přiřazení rolí Azure RBAC.

  • Pro ověřování zařízení použijte certifikáty X.509: Místo tokenů SAS implementujte ověřování založené na certifikátech X.509 pro produkční prostředí, abyste zvýšili zabezpečení a umožnili lepší správu přihlašovacích údajů. Další informace najdete v tématu Ověřování identit pomocí certifikátů X.509.

  • Vyhněte se sdíleným symetrickým klíčům napříč zařízeními: Přiřaďte každému zařízení unikátní přihlašovací údaje, abyste zabránili rozsáhlému kompromitování v případě úniku jediného klíče a omezili dopad možného odhalení přihlašovacích údajů. Pro více informací viz Bezpečnostní postupy výrobců zařízení.

  • Zakázat zásady sdíleného přístupu, pokud nejsou potřeba: Omezte prostor pro útoky zakázáním zásad a tokenů sdíleného přístupu při použití Microsoft Entra ID pro ověřování. Pro více informací viz Enforce Microsoft Entra authentication.

Ochrana dat

Ochrana dat během přenosu i v klidovém stavu je nezbytná pro zachování důvěrnosti a integrity vašeho IoT řešení.

  • Používejte hardwarové bezpečnostní moduly pro zařízení tajemství: Ukládejte certifikáty zařízení a soukromé klíče do hardwarových bezpečnostních modulů (HSM) pro ochranu před extrakcí a manipulací. Tato praxe zvyšuje bezpečnost autentizačních přihlašovacích údajů. Pro více informací viz modul hardwarové bezpečnosti.

  • Implementace šifrování dat na úrovni zařízení: Šifrujte citlivá data na zařízeních před přenosem do IoT Hub, čímž přidáte vrstvu ochrany nad rámec TLS, zejména u vysoce citlivých informací. Také zajistěte, aby data uložená ve stavových komponentách, jako jsou dvojčata zařízení, byla chráněna. Pro více informací viz Bezpečnostní architektura pro IoT řešení.

  • Používejte nejnovější verze SDK: Používejte nejnovější SDK zařízení IoT Hub, které implementují různé bezpečnostní funkce včetně šifrování a autentizace. Pro více informací viz Azure IoT SDK.

  • Udržujte root CA certifikáty aktuální: Pravidelně aktualizujte důvěryhodné root certifikáty na svých zařízeních, abyste udrželi bezpečné TLS připojení. Tato praxe vám pomůže vyhnout se selháním spojení kvůli expirovaným nebo odebraným certifikátům. Pro více informací viz podpora TLS IoT Hub.

Protokolování a monitorování

Komplexní protokolování a monitorování je nezbytné pro detekci potenciálních problémů se zabezpečením ve vašem řešení IoT a reagování na ně.

  • Povolte resource logy pro připojení a telemetrii zařízení: Nastavte diagnostická nastavení pro odesílání resource logů IoT Hub do Azure Monitor Logs. Tato konfigurace vám pomáhá sledovat pokusy o připojení, chyby a operace pro bezpečnostní šetření. Pro více informací viz Monitorování a diagnostika problémů ve vašem IoT hubu.

  • Nastavení upozornění pro problémy s připojením: Vytvořte upozornění na základě metrik a protokolů, abyste zjistili neobvyklé vzory, jako jsou opakované chyby ověřování nebo neočekávané odpojení, které můžou značit problémy se zabezpečením. Další informace najdete v tématu Monitorování, diagnostika a řešení potíží s připojením Azure IoT Hub zařízení.

  • Povolte Microsoft Defender for IoT: Aktivujte ve službě IoT Hub Microsoft Defender pro IoT, abyste získali monitorování zabezpečení v reálném čase, doporučení a výstrahy pro potenciální hrozby, které cílí na vaše řešení IoT. Pro více informací viz Quickstart: Povolte Microsoft Defender for IoT na vašem Azure IoT Hub.

Dodržování předpisů a zásady správného řízení

Stanovení správných zásad správného řízení a zajištění dodržování standardů zabezpečení jsou klíčovými aspekty údržby zabezpečeného řešení IoT.

  • Použití služby Azure Policy pro IoT Hub: Implementujte Azure Policy, abyste vynucovali a auditovali konfigurace zabezpečení ve vašich centrech IoT a zajistili tak konzistentní standardy zabezpečení. Další informace najdete v předdefinovaných definicích Azure Policy pro Azure IoT Hub.

  • Pravidelně auditujte přístupová oprávnění: Kontrolujte a ověřujte zásady sdíleného přístupu IoT Hub a přiřazení rolí Microsoft Entra ID uživatelům, aplikacím a zařízením, abyste zajistili, že dodržují princip nejmenších oprávnění. Další informace najdete v tématu Řízení přístupu k IoT Hub pomocí Microsoft Entra ID.

  • Uchovávejte auditní protokoly kvůli zajištění souladu: Směrujte protokoly prostředků a auditní události služby IoT Hub do pracovního prostoru Log Analytics nebo účtu úložiště s dobou uchovávání, která splňuje vaše požadavky na dodržování předpisů, a uchovávejte záznamy pro bezpečnostní vyšetřování a regulační audity. Pro více informací viz Monitorování a diagnostika problémů ve vašem IoT hubu.

Zálohování a obnovování

Plánování regionálních výpadků vám pomáhá udržet dostupnost a integritu vašeho IoT řešení během přerušení.

  • Naplánujte regionální převzetí služeb při selhání: Pomocí ručního převzetí služeb při selhání ve službě IoT Hub obnovte provoz v geograficky spárované oblasti Azure během regionálního výpadku a pravidelně ověřujte proces obnovení. Pro více informací viz Ruční přepnutí v režimu failover pro IoT hub.

Další informace

  • Poslední aktualizace v