Partage via


Sécuriser vos solutions IoT

Les solutions IoT vous permettent de connecter, de surveiller et de contrôler vos appareils et ressources IoT à grande échelle. Dans une solution cloud, les appareils et les ressources se connectent directement au cloud. Dans une solution basée sur la périphérie, les appareils et les ressources se connectent à un environnement d’exécution de périphérie. Vous devez sécuriser vos ressources physiques et appareils, votre infrastructure de périphérie et vos services cloud pour protéger votre solution IoT contre les menaces. Vous devez également sécuriser les données qui circulent via votre solution IoT, qu’elles soient en périphérie ou dans le cloud.

Cet article fournit des conseils sur la meilleure sécurisation de votre solution IoT. Chaque section inclut des liens vers du contenu qui fournit des détails et des conseils supplémentaires.

Le diagramme suivant montre une vue générale des composants d’une solution IoT basée sur la périphérie classique. Cet article décrit la sécurité d’une solution IoT basée sur la périphérie :

Diagramme de l’architecture générale d’une solution IoT basée sur la périphérie mettant en évidence la sécurité.

Dans une solution IoT basée sur la périphérie, vous pouvez diviser la sécurité en quatre domaines suivants :

  • Sécurité des ressources : sécurisez la ressource IoT lors du déploiement local.

  • Sécurité des connexions : vérifiez que toutes les données en transit entre la ressource, la périphérie et les services cloud sont confidentielles et inviolables.

  • Sécurité edge : sécurisez vos données au fur et à mesure qu’elles transitent et sont stockées à la périphérie.

  • Sécurité cloud : sécurisez vos données au fur et à mesure qu’elles transitent et sont stockées dans le cloud.

Microsoft Defender pour IoT et pour les conteneurs

Microsoft Defender pour IoT est une solution de sécurité unifiée spécialement conçue pour identifier les appareil de technologie opérationnelle (OT) et IoT, les vulnérabilités et les menaces. Microsoft Defender pour les conteneurs est une solution native cloud qui permet d’améliorer, de surveiller et de maintenir la sécurité de vos ressources conteneurisées (clusters Kubernetes, nœuds Kubernetes, charges de travail Kubernetes, registres de conteneurs, images conteneur et plus encore) et de leurs applications dans des environnements multiclouds et locaux.

Defender pour IoT et Defender pour les conteneurs peuvent monitorer automatiquement certaines des recommandations fournies dans cet article. Defender pour IoT et Defender pour les conteneurs doivent constituer la première ligne de défense pour protéger votre solution basée sur la périphérie. Pour plus d'informations, consultez les rubriques suivantes :

Sécurité des ressources

Cette section fournit des conseils sur la sécurisation de vos ressources, telles que l’équipement industriel, les capteurs et d’autres appareils qui font partie de votre solution IoT. La sécurité de l'actif est essentielle pour garantir l’intégrité et la confidentialité des données qu'il génère et transmet.

  • Utilisez Azure Key Vault et l’extension de magasin de secrets : utilisez Azure Key Vault pour stocker et gérer les informations sensibles de la ressource, telles que les clés, les mots de passe, les certificats et les secrets. Opérations Azure IoT utilise Azure Key Vault comme solution de coffre managée sur le cloud et utilise l’extension Magasin des secrets Azure Key Vault pour Kubernetes pour synchroniser les secrets à partir du cloud et les stocker à la périphérie en tant que secrets Kubernetes. Pour en savoir plus, consultez Gérer les secrets pour votre déploiement d’Opérations Azure IoT.

  • Configurer la gestion sécurisée des certificats : la gestion des certificats est essentielle pour garantir la communication sécurisée entre les ressources et votre environnement d’exécution de périphérie. Opérations Azure IoT fournit des outils pour gérer les certificats, notamment l’émission, le renouvellement et la révocation de certificats. Pour en savoir plus, consultez Gestion des certificats pour la communication interne des Opérations Azure IoT.

  • Sélectionnez du matériel inviolable : choisissez du matériel avec des mécanismes intégrés pour détecter toute falsification physique, comme l’ouverture du couvercle de l’appareil ou le retrait d’une partie de celui-ci. Ces signaux de violation peuvent être inclus dans le flux de données chargé sur le cloud, permettant d’informer les opérateurs de ces événements.

  • Activer les mises à jour sécurisées pour les microprogrammes des ressources : utilisez des services qui activent des mises à jour à distance pour vos ressources. Concevez des ressources avec des chemins sécurisés pour les mises à jour et la garantie du chiffrement des versions du microprogramme, afin de sécuriser vos ressources pendant et après les mises à jour.

  • Déployer des ressources matérielles de manière sécurisée : vérifiez que le déploiement de la ressource matérielle est aussi inviolable que possible, en particulier dans des emplacements non sécurisés comme les espaces publics ou les paramètres régionaux non supervisés. Activez uniquement les fonctionnalités nécessaires pour réduire l’empreinte d’attaque physique, par exemple couvrir en toute sécurité les ports USB s’ils ne sont pas nécessaires.

  • Suivez les bonnes pratiques de sécurité et de déploiement du fabricant d’appareils : si le fabricant de l’appareil fournit des conseils de sécurité et de déploiement, suivez ces instructions ainsi que les conseils généraux de cet article.

Sécurité de la connexion

Cette section fournit des conseils sur la sécurisation des connexions entre vos ressources, votre environnement d’exécution de périphérie et les services cloud. La sécurité des connexions est essentielle pour garantir l’intégrité et la confidentialité des données transmises.

  • Utiliser le protocole TLS (Transport Layer Security) pour sécuriser les connexions à partir des ressources : toutes les communications dans Opérations Azure IoT sont chiffrées avec le protocole TLS. Pour fournir une expérience sécurisée par défaut qui réduit l’exposition par inadvertance de votre solution basée sur la périphérie aux attaquants, Azure IoT Operations est déployé avec une autorité de certification racine et un émetteur par défaut pour des certificats de serveur TLS. Pour un déploiement en production, nous vous recommandons d’utiliser votre propre émetteur d’autorité de certification et une solution PKI d’entreprise.

  • Apportez votre propre autorité de certification pour la production : pour les déploiements de production, remplacez l’autorité de certification racine auto-signée par défaut par votre propre émetteur d’autorité de certification et intégrez-la à une infrastructure à clé publique d’entreprise pour garantir la confiance et la conformité. Pour en savoir plus, consultez Gestion des certificats pour la communication interne des Opérations Azure IoT.

  • Utiliser des pare-feu d’entreprise ou des proxys pour gérer le trafic sortant : si vous utilisez des pare-feu d’entreprise ou des proxys, ajoutez les points de terminaison Opérations Azure IoT à votre liste d’autorisation.

  • Chiffrer le trafic interne du répartiteur de messages : la garantie de la sécurité des communications internes au sein de votre infrastructure périphérique est importante pour maintenir l’intégrité et la confidentialité des données. Vous devez configurer l’Agent MQTT pour chiffrer le trafic interne et les données en transit entre les pods de front-end et de back-end de l’Agent MQTT. Pour en savoir plus, voyez Configurer le chiffrement du trafic interne du courtier et des certificats internes.

  • Configurer le protocole TLS avec la gestion automatique des certificats pour les écouteurs dans votre Agent MQTT : Opérations Azure IoT fournit une gestion automatique des certificats pour les écouteurs de votre Agent MQTT. Cette fonctionnalité réduit la surcharge administrative liée à la gestion manuelle des certificats, garantit les renouvellements en temps opportun et permet de maintenir la conformité aux stratégies de sécurité. Pour en savoir plus, consultez Sécuriser la communication de l’Agent MQTT avec BrokerListener.

  • Configurer une connexion sécurisée au serveur OPC UA : quand vous vous connectez à un serveur OPC UA, vous devez déterminer les serveurs OPC UA auxquels vous faites confiance pour établir une session de manière sécurisée. Pour en savoir plus, consultez Configurer l’infrastructure des certificats OPC UA pour le Connecteur OPC UA.

  • Isoler et segmenter des réseaux : utilisez la segmentation et les pare-feu réseau pour isoler les clusters IoT Operations et les appareils de périphérie d’autres ressources réseau. Ajoutez les points de terminaison requis à votre liste verte si vous utilisez des pare-feu d’entreprise ou des proxys. Pour en savoir plus, consultez les instructions de déploiement de production : Mise en réseau.

Sécurité de la périphérie

Cette section fournit des conseils sur la sécurisation de votre environnement d’exécution edge, qui est le logiciel qui s’exécute sur votre plateforme edge. Ce logiciel traite vos données de ressources et gère la communication entre vos ressources et vos services cloud. La sécurité de l’environnement d’exécution de périphérie est essentielle pour garantir l’intégrité et la confidentialité des données traitées et transmises.

  • Maintenir à jour l’environnement d’exécution à la périphérie : maintenez votre cluster et votre déploiement Opérations Azure IoT à jour avec les derniers correctifs et les dernières versions mineures pour obtenir tous les correctifs de sécurité et de bogues disponibles. Pour les déploiements de production, désactivez la mise à niveau automatique pour Azure Arc afin d’avoir un contrôle total sur le moment où de nouvelles mises à jour sont appliquées à votre cluster. Au lieu de cela, mettez à niveau manuellement les agents si nécessaire.

  • Vérifiez l’intégrité des images conteneur et helm : avant de déployer une image sur votre cluster, vérifiez que l’image est signée par Microsoft. Pour plus d’informations, consultez Valider la signature des images.

  • Toujours utiliser des certificats X.509 ou des jetons de compte de service Kubernetes pour l’authentification avec votre Agent MQTT : un Agent MQTT prend en charge plusieurs méthodes d’authentification pour les clients. Vous pouvez configurer chaque port d’écoute pour qu’il ait ses propres paramètres d’authentification avec une ressource BrokerAuthentication. Pour en savoir plus, consultez Configurer l’authentification de l’Agent MQTT.

  • Fournir le plus petit privilège nécessaire à la ressource de rubrique dans votre broker MQTT : les politiques d’autorisation déterminent les actions que les clients peuvent effectuer sur le broker, comme la connexion, la publication ou l’abonnement aux rubriques. Configurer l’agent MQTT pour qu’il utilise une ou plusieurs stratégies d’autorisation à l’aide de la ressource BrokerAuthorization. Pour en savoir plus, consultez Configurer l’autorisation de l’Agent MQTT.

Sécurité du cloud

Cette section fournit des conseils sur la sécurisation de vos services cloud, qui sont les services qui traitent et stockent vos données de ressources. La sécurité des services cloud est essentielle pour garantir l’intégrité et la confidentialité de vos données.

  • Utiliser des identités managées affectées par l’utilisateur pour les connexions cloud : utilisez toujours l’authentification d’identité managée. Si possible, utilisez l’identité managée affectée par l’utilisateur dans les points de terminaison de flux de données pour plus de flexibilité et d’auditabilité. Pour plus d’informations, consultez Activer les paramètres sécurisés dans Les opérations Azure IoT.

  • Déployer les ressources d'observabilité et mettre en place des journaux : l’observabilité offre une visibilité sur chaque couche de votre configuration Opérations Azure IoT. Elle vous donne un aperçu du comportement réel des problèmes, ce qui augmente l’efficacité de l’ingénierie de fiabilité du site. Azure IoT Opérations offre une observabilité avec des tableaux de bord Grafana organisés et personnalisés hébergés dans Azure. Ces tableaux de bord sont alimentés par le service géré Azure Monitor pour Prometheus et par Container Insights. Déployez des ressources d’observabilité sur votre cluster avant de déployer Opérations Azure IoT.

  • Sécuriser l’accès aux ressources et aux points de terminaison de ressource avec RBAC Azure : les ressources et les points de terminaison de ressource dans Opérations Azure IoT ont des représentations dans le cluster Kubernetes et le portail Azure. Utilisez Azure RBAC pour sécuriser l’accès à ces ressources. Azure RBAC est un système d’autorisation qui vous permet de gérer l’accès aux ressources Azure. Utilisez Azure RBAC pour accorder des autorisations aux utilisateurs, aux groupes et aux applications dans une certaine étendue. Pour en savoir plus, consultez Sécuriser l’accès aux ressources et aux points de terminaison de ressource.