Zabezpečení úloh IoT

  • Článek

Řešení IoT mají problém se zabezpečením různorodých a heterogenních úloh založených na zařízeních s minimální nebo žádnou přímou interakcí. Tvůrci zařízení IoT, vývojáři aplikací IoT a operátoři řešení IoT sdílejí odpovědnost za zabezpečení během celého životního cyklu řešení IoT. Je důležité navrhnout řešení od začátku s ohledem na zabezpečení. Porozumíte potenciálním hrozbám a při navrhování řešení přidáte hloubku ochrany .

Plánování zabezpečení začíná modelem hrozeb. Když pochopíte, jak může útočník ohrozit zabezpečení systému, pomůže vám to zajistit odpovídající zmírnění hned od začátku. Modelování hrozeb nabízí největší hodnotu, když ho začleníte do fáze návrhu. V rámci cvičení modelování hrozeb můžete typickou architekturu IoT rozdělit na několik komponent nebo zón: zařízení, bránu zařízení, cloudovou bránu a služby. Každá zóna může mít vlastní požadavky na ověřování, autorizaci a data. Pomocí zón můžete izolovat poškození a omezit dopad zón nízké důvěryhodnosti na zóny s vyšší důvěryhodností. Další informace najdete v tématu Architektura zabezpečení Internetu věcí (IoT).

Následující doprovodné materiály k zabezpečení pro úlohy IoT identifikují klíčové aspekty a poskytují doporučení k návrhu a implementaci.

Posouzení zabezpečení úloh IoT

Pokud chcete posoudit úlohu IoT s využitím pilíře zabezpečení architektury Well-Architected Framework, vyplňte bezpečnostní otázky pro úlohy IoT v části Azure Well-Architected Review. Jakmile posouzení identifikuje klíčová doporučení zabezpečení pro vaše řešení IoT, použijte následující obsah, který vám pomůže s implementací doporučení.

Principy návrhu

Metodologie návrhu úloh IoT je základem pěti pilířů špičkové architektury. Tyto pilíře slouží jako kompas pro následná rozhodnutí o návrhu napříč klíčovými oblastmi návrhu IoT. Následující principy návrhu rozšiřují pilíř kvality architektury Azure Well-Architected – zabezpečení.

Princip návrhu Požadavky
Silná identita Používejte silnou identitu k ověřování zařízení a uživatelů. Mít hardwarový kořen důvěryhodnosti pro důvěryhodnou identitu, registrovat zařízení, vydávat obnovitelné přihlašovací údaje a používat bezheslové nebo vícefaktorové ověřování (MFA). Projděte si obecné aspekty správy identit a přístupu v Azure.
Nejnižší možné oprávnění Automatizujte a používejte řízení přístupu s nejnižšími oprávněními , abyste omezili dopad ohrožených zařízení nebo identit nebo neschválené úlohy.
Stav zařízení Vyhodnoťte stav zařízení, abyste mohli ohlídnout přístup k zařízení nebo zařízení označit příznakem pro nápravu. Zkontrolujte konfiguraci zabezpečení, vyhodnoťte ohrožení zabezpečení a nezabezpečená hesla, monitorujte hrozby a anomálie a vytvářejte průběžné profily rizik.
Aktualizace zařízení Průběžné aktualizace pro zajištění dobrého stavu zařízení Použijte centralizované řešení pro správu konfigurace a dodržování předpisů a robustní aktualizační mechanismus, abyste zajistili, že zařízení budou aktuální a v dobrém stavu.
Monitorování zabezpečení systému, plánování reakce na incidenty Aktivně monitorujte neoprávněná nebo ohrožená zařízení a reagujte na vznikající hrozby.

Model zabezpečení s nulovou důvěryhodností

Neoprávněný přístup k systémům IoT může vést k hromadnému zpřístupnění informací, jako jsou úniky výrobních dat z výroby, nebo zvýšení oprávnění pro kontrolu kyberneticko-fyzických systémů, jako je zastavení výrobní linky továrny. Model zabezpečení s nulovou důvěryhodností pomáhá omezit potenciální dopad uživatelů, kteří získají neoprávněný přístup ke cloudovým nebo místním službám a datům IoT.

Místo toho, aby se předpokládalo, že všechno za podnikovým firewallem je bezpečné, nula důvěryhodnost plně ověřuje, autorizuje a šifruje všechny žádosti o přístup před udělením přístupu. Zabezpečení řešení IoT s nulovou důvěryhodností začíná implementací základních postupů zabezpečení identit, zařízení a přístupu, jako je explicitní ověřování uživatelů, kontrola zařízení v síti a použití detekce rizik v reálném čase k rozhodování o dynamickém přístupu.

Následující zdroje informací vám můžou pomoct implementovat řešení IoT s nulovou důvěryhodností:

Vzory architektury IoT

Většina systémů IoT používá buď propojené produkty, nebo model architektury propojeného provozu. Mezi těmito vzory existují klíčové rozdíly v zabezpečení. Řešení propojených operací nebo provozních technologií (OT) často obsahují místní zařízení, která monitorují a řídí jiná fyzická zařízení. Tato zařízení OT přidávají výzvy zabezpečení, jako je manipulace, čichání paketů a potřeba vzdálené správy a aktualizací OTA (Over the-the-Air).

Továrny a prostředí OT mohou být snadnými cíli pro malware a porušení zabezpečení, protože zařízení může být staré, tělesně zranitelné a izolované od zabezpečení na úrovni serveru. Kompletní perspektivu najdete v části Věnované zabezpečení architektury Azure Well-Architected Framework.

Vrstvy architektury IoT

Principy návrhu zabezpečení pomáhají objasnit důležité aspekty a zajistit, aby vaše úloha IoT splňovala požadavky napříč základními vrstvami architektury IoT.

Všechny vrstvy podléhají různým hrozbám, které lze klasifikovat podle kategorií STRIDE: falšování identity, manipulace, popírání utažení, zpřístupnění informací, odepření služby a zvýšení oprávnění. Při návrhu a vytváření architektur IoT vždy dodržujte postupy Microsoft Security Development Lifecycle (SDL ).

Diagram znázorňující vrstvy a průřezové aktivity v architektuře IoT

Vrstva zařízení a brány

Tato vrstva architektury zahrnuje okamžitý fyzický prostor kolem zařízení a brány, který umožňuje fyzický přístup nebo digitální přístup peer-to-peer. Mnoho průmyslových společností používá model Purdue , který je součástí standardu ISA 95, aby zajistily, že sítě pro řízení procesů chrání omezenou šířku pásma sítě a poskytují deterministické chování v reálném čase. Model Purdue poskytuje další vrstvu metodologie hloubkové ochrany.

Silná identita zařízení

Úzce integrované funkce zařízení a služeb IoT poskytují silnou identitu zařízení. Mezi tyto možnosti patří:

  • Hardwarový kořen důvěryhodnosti.
  • Silné ověřování pomocí certifikátů, vícefaktorového ověřování nebo ověřování bez hesla.
  • Obnovitelné přihlašovací údaje.
  • Registr zařízení IoT organizace.

Hardwarový kořenový adresář důvěryhodnosti má následující atributy:

  • Zabezpečené úložiště přihlašovacích údajů, které prokazuje identitu na vyhrazeném hardwaru odolném proti neoprávněné manipulaci.
  • Neměnná identita onboardingu svázaná s fyzickým zařízením
  • Jedinečné obnovitelné provozní přihlašovací údaje pro jednotlivá zařízení pro běžný přístup k zařízením.

Identita onboardingu představuje a je k fyzickému zařízení nerozlučitelná. Tato identita se obvykle vytváří a instaluje během výroby a nedá se změnit po celou dobu životnosti zařízení. Vzhledem k jeho neměnnosti a životnosti byste měli použít identitu onboardingu zařízení jenom k nasazení zařízení do řešení IoT.

Po onboardingu zřiďte a použijte obnovitelnou provozní identitu a přihlašovací údaje pro ověřování a autorizaci aplikace IoT. Obnovit tuto identitu umožňuje spravovat přístup a odvolání zařízení pro provozní přístup. Brány řízené zásadami, jako je ověření integrity a stavu zařízení, můžete použít při obnovování platnosti.

Hardwarový kořen důvěryhodnosti také zajišťuje, že zařízení jsou vytvořená podle specifikací zabezpečení a vyhovují požadovaným režimům dodržování předpisů. Chraňte dodavatelský řetězec důvěryhodného kořenového hardwaru nebo jakýchkoli jiných hardwarových komponent zařízení IoT, abyste zajistili, že útoky na dodavatelský řetězec neohrožují integritu zařízení.

Ověřování bez hesla, které obvykle k prokázání identity zařízení používá standardní certifikáty x509, nabízí větší ochranu než tajné kódy, jako jsou hesla a symetrické tokeny sdílené mezi oběma stranami. Certifikáty jsou silný standardizovaný mechanismus, který poskytuje obnovitelné ověřování bez hesla. Správa certifikátů:

  • Zřiďte provozní certifikáty z důvěryhodné infrastruktury veřejných klíčů (PKI).
  • Použijte dobu životnosti obnovení, která odpovídá obchodnímu využití, režii na správu a nákladům.
  • Nastavit prodlužování automaticky, abyste minimalizovali případné přerušení přístupu v důsledku ruční obměně.
  • Používejte standardní a aktuální techniky kryptografie. Prodlužte ho například prostřednictvím žádostí o podepsání certifikátu (CSR) místo přenosu privátního klíče.
  • Udělte přístup k zařízením na základě jejich provozní identity.
  • Podpora odvolání přihlašovacích údajů, jako je seznam odvolaných certifikátů (CRL) při použití certifikátů x509, k okamžitému odebrání přístupu k zařízení, například v reakci na ohrožení zabezpečení nebo odcizení.

Některá starší zařízení IoT nebo zařízení IoT s omezenými prostředky nemůžou používat silnou identitu, ověřování bez hesla ani obnovitelné přihlašovací údaje. Brány IoT použijte jako strážce k místnímu propojení s těmito méně schopnými zařízeními a přemostění je pro přístup ke službám IoT se silnými vzory identity. Tento postup vám umožní přijmout nulovou důvěru dnes a současně přejít na používání schopnějších zařízení v průběhu času.

Virtuální počítače, kontejnery nebo jakákoli služba, která vkládá klienta IoT, nemůžou používat důvěryhodný hardwarový kořen. Využijte dostupné funkce s těmito komponentami. Virtuální počítače a kontejnery, které nemají podporu důvěryhodnosti kořenového hardwaru, můžou používat ověřování bez hesla a obnovitelné přihlašovací údaje. Řešení hloubkové ochrany zajišťuje redundanci tam, kde je to možné, a v případě potřeby vyplňuje mezery. Virtuální počítače a kontejnery můžete například najít v oblasti s větší fyzickou bezpečností, jako je například datové centrum, ve srovnání se zařízením IoT v terénu.

Pomocí centralizovaného registru zařízení IoT organizace můžete spravovat životní cyklus zařízení IoT vaší organizace a auditovat přístup k zařízením. Tento přístup se podobá způsobu, jakým zabezpečíte identity uživatelů pracovníků organizace, abyste dosáhli zabezpečení s nulovou důvěryhodností. Cloudový registr identit může zpracovávat škálování, správu a zabezpečení řešení IoT.

Informace o registru zařízení IoT připojují zařízení do řešení IoT tím, že ověří, že identita zařízení a přihlašovací údaje jsou známé a autorizované. Po nasazení zařízení obsahuje registr zařízení základní vlastnosti zařízení, včetně jeho provozní identity a obnovitelných přihlašovacích údajů používaných k ověřování pro každodenní použití.

Data registru zařízení IoT můžete použít k:

  • Zobrazte inventář zařízení IoT organizace, včetně stavu, oprav a stavu zabezpečení.
  • Dotazování a seskupení zařízení pro škálovaný provoz, správu, nasazení úloh a řízení přístupu

Pomocí síťových senzorů detekujte a inventarizaci nespravovaných zařízení IoT, která se nepřipojují ke službám Azure IoT, za účelem sledování a monitorování.

Nejméně privilegovaný přístup

Řízení přístupu s nejnižšími oprávněními pomáhá omezit dopad ověřených identit, které mohou být ohroženy nebo spouštět neschválené úlohy. Ve scénářích IoT použijte operátora udělení, zařízení a přístup k úlohám pomocí:

  • Řízení přístupu k zařízením a úlohám, pro přístup pouze k vymezeným úlohám na zařízení.
  • Přístup za běhu.
  • Mechanismy silného ověřování, jako je vícefaktorové ověřování a ověřování bez hesla.
  • Podmíněný přístup na základě kontextu zařízení, jako je IP adresa nebo poloha GPS, konfigurace systému, jedinečnost, denní doba nebo vzory síťového provozu. Služby můžou k podmíněnému nasazení úloh také použít kontext zařízení.

Implementace efektivního přístupu s nejnižšími oprávněními:

  • Nakonfigurujte správu přístupu ke cloudové bráně IoT tak, aby udělovali příslušná přístupová oprávnění jenom pro funkce, které back-end vyžaduje.
  • Omezte přístupové body na zařízení IoT a cloudové aplikace tím, že zajistíte, aby porty měly minimální přístup.
  • Sestavte mechanismy pro prevenci a detekci manipulace s fyzickým zařízením.
  • Správa přístupu uživatelů prostřednictvím vhodného modelu řízení přístupu, jako je řízení přístupu na základě rolí nebo atributů.
  • Vrstvení nejméně privilegovaného přístupu pro zařízení IoT pomocí segmentace sítě

Mikrose segmentace sítě

Návrh a konfigurace sítě poskytují příležitosti k vybudování hloubkové ochrany tím, že segmentují zařízení IoT na základě jejich vzorů provozu a rizika. Tato segmentace minimalizuje potenciální dopad ohrožených zařízení a nežádoucích uživatelů, kteří se přesouvují na prostředky s vyšší hodnotou. Segmentace sítě obvykle používá brány firewall nové generace.

Mikrosegmentace sítě umožňuje izolaci méně schopných zařízení na síťové vrstvě, a to buď za bránou, nebo v samostatném segmentu sítě. Pomocí segmentace sítě můžete seskupit zařízení IoT a pomocí ochrany koncových bodů zmírnit dopad potenciálního ohrožení zabezpečení.

Implementujte ucelenou strategii pravidel brány firewall, která umožňuje zařízením v případě potřeby přistupovat k síti a blokuje přístup, pokud není povolený. V rámci podpory hloubkové ochrany můžou vyspělé organizace implementovat zásady mikrosegmentace ve více vrstvách modelu Purdue. V případě potřeby omezte přístup k síti pomocí bran firewall na zařízeních.

Device health

Podle principu nulové důvěryhodnosti je stav zařízení klíčovým faktorem pro určení rizikového profilu zařízení, včetně úrovně důvěryhodnosti. Rizikový profil použijte jako přístupovou bránu, abyste zajistili, že k aplikacím a službám IoT budou mít přístup jenom zařízení, která jsou v pořádku, nebo k identifikaci zařízení s pochybným stavem pro nápravu.

Podle oborových standardů by hodnocení stavu zařízení mělo zahrnovat:

  • Posouzení konfigurace zabezpečení a ověření, že je zařízení nakonfigurované bezpečně.
  • Posouzení ohrožení zabezpečení k určení, jestli je software zařízení zastaralý nebo má známé ohrožení zabezpečení.
  • Posouzení nezabezpečených přihlašovacích údajů za účelem kontroly přihlašovacích údajů zařízení, jako jsou certifikáty, a protokolů, jako je TLS (Transport Layer Security) 1.2 nebo novější.
  • Aktivní hrozby a upozornění na hrozby.
  • Upozornění neobvyklého chování, jako je vzor sítě a odchylka využití.

Kritéria nulové důvěryhodnosti pro zařízení

Aby zařízení IoT podporovala nulovou důvěryhodnost, měla by:

  • Obsahují hardwarový kořenový adresář důvěryhodnosti, který poskytuje silnou identitu zařízení.
  • Pro běžný provoz a přístup používejte obnovitelné přihlašovací údaje.
  • Vynucujte řízení přístupu s nejnižšími oprávněními k prostředkům místního zařízení, jako jsou kamery, úložiště a senzory.
  • Vygenerujte správné signály stavu zařízení, aby bylo možné vynucovat podmíněný přístup.
  • Poskytněte agenty aktualizací a odpovídající aktualizace softwaru po dobu použitelné životnosti zařízení, abyste zajistili, že se aktualizace zabezpečení dají použít.
  • Zahrňte možnosti správy zařízení, které umožní konfiguraci zařízení řízené cloudem a automatizovanou reakci zabezpečení.
  • Spusťte agenty zabezpečení, které se integrují se systémy monitorování, detekce a reakce zabezpečení.
  • Minimalizujte nároky na fyzické útoky, například vypnutím nebo zakázáním funkcí zařízení, které nejsou potřeba, jako jsou fyzické porty USB nebo UART nebo připojení Wi-Fi nebo Bluetooth. V případě potřeby použijte fyzické odebrání, zakrytí nebo blokování.
  • Ochrana dat na zařízeních Pokud jsou neaktivní uložená data uložená na zařízeních, zašifrujte je pomocí standardních šifrovacích algoritmů.

Zabezpečení zařízení IoT podporuje několik produktů a služeb Azure:

  • Moduly Strážce Azure Sphere propojují důležitá starší zařízení se službami IoT s funkcemi nulové důvěryhodnosti, včetně silné identity, komplexního šifrování a pravidelných aktualizací zabezpečení.

  • Azure IoT Edge poskytuje připojení hraničního modulu runtime k IoT Hub a dalším službám Azure a podporuje certifikáty jako silné identity zařízení. IoT Edge podporuje standard PKCS#11 pro identity výroby zařízení a další tajné kódy uložené v čipu TPM (Trusted Platform Module) nebo modulu hardwarového zabezpečení (HSM).

  • Sada Azure IoT Hub SDKS je sada klientských knihoven zařízení, průvodců pro vývojáře, ukázek a dokumentace pro zařízení. Sady DEVICE SDK implementují různé funkce zabezpečení, jako je šifrování a ověřování, které vám pomůžou s vývojem robustní a zabezpečené aplikace zařízení.

  • Azure RTOS poskytuje operační systém v reálném čase jako kolekci knihoven jazyka C, které můžete nasadit na širokou škálu vložených platforem zařízení IoT.

    Azure RTOS obsahuje kompletní zásobník PROTOKOLU TCP/IP s protokoly TLS 1.2 a 1.3 a základní funkce X.509. Azure RTOS a Sada Azure IoT Embedded SDK se také integrují s Azure IoT Hub, službou Azure Device Provisioning (DPS) a Microsoft Defender. Funkce, jako je vzájemné ověřování X.509 a podpora moderních šifrovacích sad TLS, jako jsou ECDHE a AES-GCM, pokrývají základy zabezpečené síťové komunikace.

    Azure RTOS také podporuje:

    • Návrh s nulovou důvěryhodností na platformách mikrořadiče, které podporují funkce hardwarového zabezpečení, jako je arm TrustZone, architektura ochrany paměti a dělení na oddíly.
    • Zabezpečená zařízení, například STSAFE-A110 od ST Microelectronics.
    • Oborové standardy, jako je architektura PSA (Arm Platform Security Architecture), která kombinuje hardware a firmware a poskytuje standardizovanou sadu funkcí zabezpečení, včetně zabezpečeného spouštění, kryptografie a ověření identity.

  • Program Azure Certified Device umožňuje partnerům zařízení snadno rozlišovat a propagovat zařízení. Program pomáhá tvůrcům řešení a zákazníkům najít zařízení IoT vytvořená s funkcemi, které umožňují řešení s nulovou důvěryhodností.

  • Program Zabezpečené jádro Edge (Preview) ověřuje, jestli zařízení splňují požadavky na zabezpečení týkající se identity zařízení, zabezpečeného spouštění, posílení zabezpečení operačního systému, aktualizací zařízení, ochrany dat a zpřístupnění ohrožení zabezpečení. Požadavky programu Edge Secured-Core jsou destilovány z různých oborových požadavků a z hlediska bezpečnostního inženýrství.

    Program Zabezpečené jádro Edge umožňuje službám Azure, jako je služba Azure Attestation, provádět podmíněná rozhodnutí na základě stavu zařízení, a tím umožnit model nulové důvěryhodnosti. Zařízení musí obsahovat hardwarový kořenový adresář důvěryhodnosti a poskytovat zabezpečené spouštění a ochranu firmwaru. Tyto atributy mohou být měřeny službou ověření identity a používány podřízenými službami k podmíněnému udělení přístupu k citlivým prostředkům.

Vrstva příjmu dat a komunikace

Data ingestované do řešení IoT by měla být chráněná pomocí pokynů v pilíři zabezpečení azure Well-Architected Framework. U řešení IoT je navíc důležité zajistit, aby komunikace ze zařízení do cloudu byla zabezpečená a šifrovaná pomocí nejnovějších standardů TLS.

Vrstva správy a modelování zařízení

Tato vrstva architektury zahrnuje softwarové komponenty nebo moduly spuštěné v cloudu, které jsou v rozhraní se zařízeními a branami pro shromažďování a analýzu dat a také pro příkazy a řízení.

Kritéria nulové důvěryhodnosti pro služby IoT

Použijte služby IoT, které nabízejí následující klíčové funkce nulové důvěryhodnosti:

  • Plná podpora řízení přístupu uživatelů s nulovou důvěryhodností, například silných identit uživatelů, vícefaktorového ověřování a podmíněného přístupu uživatelů.
  • Integrace se systémy řízení přístupu uživatelů pro nejméně privilegovaný přístup a podmíněné řízení
  • Centrální registr zařízení pro úplný inventář zařízení a správu zařízení.
  • Vzájemné ověřování, které nabízí přihlašovací údaje k obnovitelnému zařízení se silným ověřením identity.
  • Řízení přístupu k zařízením s nejnižšími oprávněními s podmíněným přístupem, takže se můžou připojit jenom zařízení splňující kritéria, jako je stav nebo známá poloha.
  • Aktualizace OTA, aby byla zařízení v dobrém stavu.
  • Monitorování zabezpečení služeb IoT i připojených zařízení IoT.
  • Monitorování a řízení přístupu pro všechny veřejné koncové body a ověřování a autorizace pro všechna volání těchto koncových bodů

Tyto funkce nulové důvěryhodnosti poskytuje několik služeb Azure IoT.

  • Windows for IoT pomáhá zajistit zabezpečení napříč klíčovými pilíři spektra zabezpečení IoT.

    • Nástroj BitLocker Drive Encryption, zabezpečené spouštění, Windows Defender Řízení aplikací, Windows Defender Exploit Guard, aplikace zabezpečeného Univerzální platforma Windows (UPW), jednotný filtr zápisu, zabezpečený komunikační zásobník a správa přihlašovacích údajů zabezpečení chrání neaktivní uložená data, při spouštění kódu a při přenosu.

    • DhA (Device Health Attestation) detekuje a monitoruje důvěryhodná zařízení, abyste mohli začít s důvěryhodným zařízením a udržovat si důvěryhodnost v průběhu času.

    • Centrum aktualizací zařízení a Windows Server Update Services použít nejnovější opravy zabezpečení. Hrozby pro zařízení můžete napravit pomocí Azure IoT Hub funkcí správy zařízení, Microsoft Intune nebo řešení pro správu mobilních zařízení třetích stran a Configuration Manager Microsoft System Center.

  • Microsoft Defender pro IoT je platforma zabezpečení síťové vrstvy bez agentů, která zajišťuje nepřetržité zjišťování prostředků, správu ohrožení zabezpečení a detekci hrozeb pro zařízení IoT a OT. Defender for IoT nepřetržitě monitoruje síťový provoz s využitím behaviorálních analýz založených na IoT k identifikaci neautorizovaných nebo ohrožených komponent.

    Defender for IoT podporuje proprietární vložená zařízení OT a starší systémy Windows, které se běžně nacházejí v prostředích OT. Defender for IoT může inventarizaci všech zařízení IoT, vyhodnotit ohrožení zabezpečení, poskytovat doporučení ke zmírnění rizik a nepřetržitě monitorovat neobvyklé nebo neoprávněné chování zařízení.

  • Microsoft Sentinel, cloudová platforma pro správu informací o zabezpečení a událostí (SIEM) a orchestraci zabezpečení, automatizace a reakce (SOAR), která se úzce integruje s Microsoft Defender pro IoT. Microsoft Sentinel poskytuje cloudové zobrazení zabezpečení v rámci vašeho podniku tím, že shromažďuje data ze všech uživatelů, zařízení, aplikací a infrastruktury, včetně bran firewall, řízení přístupu k síti a síťových přepínačů.

    Microsoft Sentinel dokáže rychle rozpoznat neobvyklé chování, které značí potenciální ohrožení zabezpečení zařízení IoT nebo OT. Microsoft Sentinel také podporuje řešení SOC (Security Operations Center) třetích stran, jako jsou Splunk, IBM QRadar a ServiceNow.

  • Azure IoT Hub poskytuje provozní registr pro zařízení IoT. IoT Hub přijímá provozní certifikáty zařízení, aby se povolila silná identita, a může zařízení centrálně zakázat, aby se zabránilo neoprávněným připojením. IoT Hub podporuje zřizování identit modulů, které podporují úlohy IoT Edge.

    • Azure IoT Hub Device Provisioning Service (DPS) poskytuje centrální registr zařízení, který umožňuje zařízením organizace zaregistrovat se k onboardingu ve velkém měřítku. DPS přijímá certifikáty zařízení, které umožňují onboarding se silnou identitou zařízení a obnovitelnými přihlašovacími údaji a zaregistruje zařízení v IoT Hub pro jejich každodenní provoz.

    • Azure Device Update (ADU) pro IoT Hub umožňuje nasadit aktualizace OTA pro vaše zařízení IoT. ADU poskytuje řešení hostované v cloudu pro připojení prakticky jakéhokoli zařízení a podporuje širokou škálu operačních systémů IoT, včetně Linuxu a Azure RTOS.

    • Azure IoT Hub podpora virtuálních sítí umožňuje omezit připojení k IoT Hub prostřednictvím virtuální sítě, kterou provozujete. Tato izolace sítě zabraňuje vystavení připojení k veřejnému internetu a může pomoct zabránit útokům na exfiltraci z citlivých místních sítí.

Následující produkty Microsoftu plně integrují hardware a služby Azure do celkových řešení IoT.

  • Azure Sphere je plně spravované integrované řešení hardwaru, operačního systému a cloudové platformy, které pomáhá zařízením IoT se středními a nízkými výkony dosáhnout sedmi vlastností vysoce zabezpečených zařízení a implementovat nulovou důvěryhodnost. Zařízení používají explicitní ověření a implementují certifikáty DAA (Device Attestation and Authentication), které automaticky obnovují vztah důvěryhodnosti.

    Azure Sphere používá přístup s nejnižšími oprávněními, kdy je aplikacím ve výchozím nastavení odepřen přístup ke všem možnostem periferních zařízení a možností připojení. Pro připojení k síti musí být povolené webové domény zahrnuté v manifestu softwaru, jinak se aplikace nemůže připojit mimo zařízení.

    Azure Sphere vychází z předpokládaného porušení zabezpečení. Ochrana hloubkové vrstvy ochrany v celém návrhu operačního systému. Zabezpečený světový oddíl spuštěný v arm trustzone na zařízeních Azure Sphere pomáhá segmentovat porušení zabezpečení operačního systému od přístupu k prostředkům na Platformu Nebo k hardwarovým prostředkům.

    Azure Sphere může být strážcem modulu pro zabezpečení dalších zařízení, včetně stávajících starších systémů, které nejsou určené pro důvěryhodné připojení. V tomto scénáři se modul Strážce Azure Sphere nasadí s aplikací a rozhraním s existujícími zařízeními prostřednictvím ethernetu, sériového nebo BLE. Zařízení nemusí nutně mít přímé připojení k internetu.

  • Azure Percept je komplexní hraniční platforma AI, která vám může pomoct zahájit testování konceptu v řádu minut. Azure Percept zahrnuje hardwarové akcelerátory integrované se službami Azure AI a IoT, předdefinované modely AI a správu řešení.

    Zařízení Azure Percept používají hardwarový kořenový adresář důvěryhodnosti, který pomáhá chránit data odvozování, modely AI a senzory citlivé na ochranu osobních údajů, jako jsou kamery a mikrofony. Azure Percept umožňuje ověřování a autorizaci zařízení pro Azure Percept Studio služby. Další informace najdete v tématu Zabezpečení Služby Azure Percept.

Vrstva DevOps

Podnikové řešení IoT by mělo operátorům poskytovat strategii pro správu systému. Mezi metodologie DevOps, které se aktivně zaměřují na zabezpečení, patří:

  • Centralizovaná konfigurace a správa dodržování předpisů, která umožňuje bezpečně používat zásady a distribuovat a aktualizovat certifikáty.
  • Nasaditelné aktualizace pro aktualizaci úplné sady softwaru na zařízeních, firmwaru, ovladačích, základních operačních a hostitelských aplikacích a úlohách nasazených v cloudu.

Další informace najdete v tématu Povolení DevSecOps v Azure a GitHubu.

Průběžné aktualizace

Pokud chcete řídit přístup k zařízením na základě stavu, musíte proaktivně udržovat produkční zařízení v funkčním a funkčním cílovém stavu. Aktualizační mechanismy by měly:

  • Máte možnosti vzdáleného nasazení.
  • Buďte odolní vůči změnám prostředí, provozních podmínek a mechanismu ověřování, jako jsou změny certifikátů kvůli vypršení platnosti nebo odvolání.
  • Podpora ověřování zavedení aktualizací.
  • Integrace s všudypřítomným monitorováním zabezpečení za účelem povolení plánovaných aktualizací zabezpečení

Měli byste být schopni odložit aktualizace, které kolidují s provozní kontinuitou, ale nakonec je dokončit v dobře definovaném časovém intervalu po zjištění ohrožení zabezpečení. Zařízení, která se neaktualizovala, by se měla označit jako zařízení, která nejsou v pořádku.

Monitorování zabezpečení a reakce na ně

Řešení IoT musí být schopné provádět monitorování a nápravu ve velkém pro všechna svá připojená zařízení. Monitorování jako strategii hloubkové ochrany přidává další vrstvu ochrany pro spravovaná zařízení na zelené louce a poskytuje kompenzační kontrolu pro starší nespravovaná zařízení brownfield, která nepodporují agenty a není možné je vzdáleně opravovat ani konfigurovat.

Musíte se rozhodnout o úrovních protokolování, typech aktivit, které se mají monitorovat, a o požadovaných odpovědích na výstrahy. Protokoly by měly být bezpečně uložené a neměly by obsahovat žádné podrobnosti o zabezpečení.

Podle agentury CISA (Cybersecurity and Infrastructure Security Agency) by měl program monitorování zabezpečení monitorovat a auditovat neoprávněné změny kontrolerů, neobvyklé chování ze zařízení a pokusy o přístup a autorizaci. Monitorování zabezpečení by mělo zahrnovat:

  • Generování inventáře prostředků a mapy sítě všech zařízení IoT a OT
  • Identifikace všech komunikačních protokolů používaných v sítích IoT a OT
  • Katalogizace všech externích připojení k sítím a z sítí
  • Identifikace ohrožení zabezpečení v zařízeních IoT a OT a použití přístupu založeného na rizicích k jejich zmírnění
  • Implementace programu pro ostražité monitorování s detekcí anomálií pro detekci škodlivých kybernetických taktik, jako je život mimo území v systémech IoT.

Většina útoků IoT se řídí vzorem řetězu ukončení , kdy nežádoucí osoba vytvoří počáteční oporu, zvýší svá oprávnění a přesunuje se laterálně po síti. Útočníci často používají privilegované přihlašovací údaje k obejití překážek, jako jsou brány firewall nové generace vytvořené k vynucení segmentace sítě napříč podsítěmi. Rychlé zjišťování a reakce na tyto útoky s více fázemi vyžaduje jednotné zobrazení napříč sítěmi IT, IoT a OT v kombinaci s automatizací, strojovém učením a analýzou hrozeb.

Shromážděte signály z celého prostředí, včetně všech uživatelů, zařízení, aplikací a infrastruktury, a to jak v místním prostředí, tak v několika cloudech. Analyzujte signály na centralizovaných platformách SIEM a XDR (Extended Detection and Response), kde analytici SOC můžou vyhledávat a odhalovat dříve neznámé hrozby.

Nakonec můžete využít platformy SOAR k rychlé reakci na incidenty a zmírnění útoků dříve, než budou mít podstatný dopad na vaši organizaci. Můžete definovat playbooky, které se automaticky spustí při zjištění konkrétních incidentů. Můžete například automaticky blokovat nebo umístit ohrožená zařízení do karantény, aby nemohla infikovat jiné systémy.

Další kroky

Optimalizace nákladů v úloze IoT