IoT セキュリティのインフラストラクチャを一から調べる

  • 5 分

モノのインターネット (IoT) は、世界各地の企業に固有のセキュリティ、プライバシー、およびコンプライアンスの課題をもたらします。 ソフトウェアとその実装方法に関する問題が発生した場合、従来のサイバー テクノロジとは異なり、IoT ではサイバーおよび物理世界が融合すると何が起こるかが懸念されます。 IoT ソリューションを保護するには、デバイスの安全なプロビジョニング、デバイスとクラウド間の安全な接続、処理中および保管中のクラウドでの安全なデータ保護を確実に行う必要があります。 ただし、そのような機能には、リソースが限られたデバイス、デプロイの地理的分散、およびソリューション内の多数のデバイスという問題が伴います。

Microsoft Azure - 企業の IoT インフラストラクチャのセキュリティ保護

Microsoft Azure は完全なクラウド ソリューションを提供します。このソリューションは、分析、機械学習、ストレージ、セキュリティ、ネットワーク、Web などを統合した、常に成長しているクラウド サービスのコレクションを、データの保護とプライバシーに関する業界最高水準のコミットメントと組み合わせたものです。

Microsoft のシステムでは、脅威の特定と軽減に役立つ、侵入の検出と予防、サービス拒否攻撃の予防、定期的な侵入テスト、および科学捜査ツールが継続的に提供されます。 多要素認証により、エンド ユーザーがネットワークにアクセスするための追加のセキュリティ層が提供されます。 また、アプリケーションとホスト プロバイダーのために、アクセス制御、監視、マルウェア対策、脆弱性スキャン、修正プログラム、および構成管理を提供します。

Azure IoT Hub は、完全に管理されたサービスを提供します。これにより、デバイスごとのセキュリティ資格情報とアクセスの制御を使用して、IoT デバイスと、Azure Machine Learning や Azure Stream Analytics などの Azure サービス間で、信頼性のある安全な双方向通信を実現できます。

安全なデバイス プロビジョニングと認証

安全なデバイス プロビジョニングは、デバイスごとに一意の ID キーが提供されることを意味します。これは、IoT インフラストラクチャが操作中にデバイスと通信するために使用できます。 ユーザーが選択したデバイス ID で生成されたキーによって、デバイスと Azure IoT Hub 間のすべての通信で使用されるトークンの基礎が形成されます。

デバイス ID は、製造時にデバイスに関連付ける (つまり、ハードウェア トラスト モジュールでフラッシュする) ことも、既存の固定 ID (CPU シリアル番号など) をプロキシとして使用することもできます。 デバイスのこの識別情報の変更は簡単ではないため、基になるデバイス ハードウェアは変わっても論理デバイスはそのままである場合には、論理デバイス ID を導入することが重要です。 場合によっては、デバイスをデプロイする際 (たとえば、認証済みのフィールド エンジニアが、ソリューション バックエンドとの通信中に新しいデバイスを物理的に構成するとき) にデバイス ID が関連付けられることがあります。 Azure IoT Hub ID レジストリ では、ソリューションのデバイス ID とセキュリティ キーのセキュリティで保護されたストレージが提供されます。 デバイス ID は個別に、またはまとめて許可リストあるいはブロックリストに追加できるため、デバイスへのアクセスを完全に制御できます。

クラウドの Azure IoT Hub アクセス制御ポリシーでデバイス ID を有効にしたり、必要に応じて IoT デプロイからデバイスの関連付けを解除する方法を提供してデバイス ID を無効にしたりすることができます。 デバイスのこの関連付けと関連付けの解除は各デバイス ID に基づいて行われます。

その他のデバイスのセキュリティ機能は次のとおりです。

  • デバイスは、要求されていないネットワーク接続を受け入れません。 デバイスは送信のみの方法で、すべての接続とルートを確立します。 バックエンドからコマンドを受信する場合、デバイスは接続を開始して、処理待ちのコマンドがないか確認する必要があります。 デバイスと IoT Hub 間の接続が安全に確立されると、クラウドとデバイス間でメッセージを透過的に送信することができます。
  • デバイスは、Azure IoT Hub など、ピアリングされている既知のサービスへの接続のみ、またはルートの確立のみを行います。
  • システム レベルの承認と認証ではデバイスごとの ID を使用して、アクセス資格情報とアクセス許可をほぼ瞬時に取り消すことができます。

セキュリティで保護された接続

Azure IoT Hub は、業界で実証されているプロトコル (HTTPS、AMQP、MQTT) を使用した安全な接続をサポートしています。

Azure IoT Hub では、メッセージへの応答での受信確認のシステムを使用して、クラウドとデバイス間のメッセージングの持続性を提供します。 メッセージングの耐久性を高めるには、テレメトリの場合は最大 7 日間、コマンドの場合は 2 日間、メッセージを IoT Hub にキャッシュします。 このアプローチを使用すると、電力または接続の問題によって散発的に接続するデバイスでこれらのコマンドを受け取ることができます。 Azure IoT Hub は、各デバイスのデバイスごとのキューを保持します。

拡張性を実現するには、広範なデバイスとの安全な相互運用が可能である必要があります。 Azure IoT ハブを使用すると、IP 対応と IP 非対応の両方のデバイス (IoT Edge デバイスをゲートウェイとして使用) にセキュリティで保護された接続を行うことができます。

その他の接続のセキュリティ機能は次のとおりです。

  • デバイスと Azure IoT Hub 間、またはゲートウェイと Azure IoT Hub 間の通信パスは、X.509 プロトコルで認証済みの Azure IoT Hub で業界標準のトランスポート層セキュリティ (TLS) を使用してセキュリティ保護されます。
  • 要求されていない受信接続からデバイスを保護するために、Azure IoT Hub はデバイスへの接続を開きません。 すべての接続はデバイスが開始します。
  • Azure IoT Hub は永続的にデバイスのメッセージを保存し、デバイスが接続されるまで待機します。 これらのコマンドは 2 日間保存されるため、電源や接続の問題によって散発的に接続されるデバイスはこれらのコマンドを受信することができます。 Azure IoT Hub は、各デバイスのデバイスごとのキューを保持します。

クラウドにおけるセキュリティで保護された処理およびストレージ

ユーザー認証と認可に Microsoft Entra ID を使用することで、Azure IoT Hub は、クラウドのデータにポリシーベースの認可モデルを提供し、監査とレビューが可能な簡単なアクセス管理を実現できます。

データをクラウドに配置すれば、ユーザー定義のワークフローでの処理と格納が可能になります。 データの各部分へのアクセスは、使用するストレージ サービスに応じて、Microsoft Entra ID で制御されます。

IoT インフラストラクチャで使用されるすべてのキーはクラウド内のセキュリティで保護されたストレージに格納されるため、キーの再プロビジョニングが必要な場合はロール オーバーすることができます。 データは、必要なセキュリティ レベルの定義を有効にして、Azure Cosmos DB または SQL Database に格納できます。 さらに、Azure では、侵入や不正アクセスを知らせるためにデータへのすべてのアクセスを監視し、監査する方法が提供されます。

ネットワークのセキュリティ保護

既定では、IoT Hub のホスト名は、インターネット経由でパブリックにルーティング可能な IP アドレスを持つパブリック エンドポイントにマップされます。 これにより、さまざまなお客様がこの IoT Hub パブリック エンドポイントを共有できるようになり、ワイド エリア ネットワークとオンプレミス ネットワーク経由で接続する IoT デバイスがハブにアクセスできるようになります。 ただし、Azure リソースへのアクセスを制限したい状況があります。 Azure IoT ソリューションは、必要に応じてアクセスをセキュリティで保護できるように、IP フィルタリングと仮想ネットワークの両方をサポートしています。

ネットワーク アクセスのセキュリティ保護について詳しくは、次のリソースを参照してください。