Бөлісу құралы:

Рекомендации по обеспечению безопасности решений Интернета вещей

  • Мақала

В этом обзоре представлены основные понятия защиты типичного решения Интернета вещей Azure. Каждый раздел содержит ссылки на содержимое, которое содержит дополнительные сведения и рекомендации.

На следующей схеме показано высокоуровневое представление компонентов в типичном решении Интернета вещей. В этой статье рассматривается безопасность решения Интернета вещей.

Схема, на котором показана высокоуровневая архитектура решения Интернета вещей, которая выделяет безопасность.

Безопасность в решении Интернета вещей можно разделить на следующие три области:

  • Безопасность устройств: защита устройства IoT во время развертывания в дикой среде.

  • Безопасность подключения. Убедитесь, что все данные, передаваемые между устройством Интернета вещей и облачными службами Интернета вещей, являются конфиденциальными и защищенными.

  • Облачная безопасность: защитите данные во время перемещения и хранится в облаке.

Реализация рекомендаций в этой статье помогает выполнить обязательства по обеспечению безопасности, описанные в модели общей ответственности.

Microsoft Defender для Интернета вещей

Microsoft Defender для Интернета вещей может автоматически отслеживать некоторые рекомендации, включенные в эту статью. Microsoft Defender для Интернета вещей должен быть фронтом защиты для защиты ресурсов в Azure. Microsoft Defender для Интернета вещей периодически анализирует состояние безопасности ресурсов Azure для выявления потенциальных уязвимостей безопасности. Затем он предоставляет рекомендации по их устранению. Дополнительные сведения см. на следующих ресурсах:

Безопасность устройства

  • Область применения оборудования к минимальным требованиям: выберите оборудование устройства, чтобы включить минимальные функции, необходимые для его работы, и ничего больше. Например, включите только USB-порты, если они необходимы для работы устройства в решении. Дополнительные функции могут предоставлять устройству нежелательные векторы атак.

  • Выберите оборудование проверки подлинности: выберите оборудование устройства с встроенными механизмами для обнаружения физического изменения, например открытие крышки устройства или удаление части устройства. Эти сигналы изменения могут быть частью потока данных, отправленного в облако, который может оповещать операторов этих событий.

  • Выберите безопасное оборудование: если возможно выбрать оборудование устройства, которое включает такие функции безопасности, как безопасное и зашифрованное хранилище и функциональность загрузки на основе доверенного платформенного модуля. Эти функции повышают безопасность устройств и помогают защитить всю инфраструктуру IoT.

  • Включение безопасных обновлений: обновления встроенного ПО в течение всего времени существования устройства неизбежны. Создавайте устройства с безопасными путями для обновлений и криптографической гарантии версий встроенного ПО для защиты устройств во время и после обновления.

  • Следуйте методологии разработки безопасного программного обеспечения: разработка безопасного программного обеспечения требует, чтобы вы рассмотрели безопасность от начала проекта до реализации, тестирования и развертывания. Жизненный цикл разработки безопасности Майкрософт предоставляет пошаговый подход к созданию безопасного программного обеспечения.

  • Используйте пакеты SDK для устройств по возможности: пакеты SDK для устройств реализуют различные функции безопасности, такие как шифрование и проверка подлинности, которые помогают разрабатывать надежные и безопасные приложения устройств. Дополнительные сведения см. в пакетах SDK Для Интернета вещей Azure.

  • Осторожность при выборе программного обеспечения с открытым кодом. Программное обеспечение с открытым кодом позволяет ускорить разработку решений. При его выборе следует учитывать уровень активности сообщества в отношении каждого такого компонента. Если сообщество активно, то это гарантирует поддержку программного обеспечения, а также обнаружение и устранение проблем. Неясный и неактивный проект программного обеспечения с открытым исходным кодом может не поддерживаться, и проблемы, скорее всего, не обнаруживаются.

  • Безопасное развертывание оборудования: развертывания Интернета вещей могут потребовать развертывания оборудования в небезопасных расположениях, таких как в общедоступных пространствах или неконтролируемых языковых стандартах. В таких ситуациях убедитесь, что развертывание оборудования является как можно более несанкционированным. Например, если оборудование имеет USB-порты, убедитесь, что они защищены безопасно.

  • Безопасное хранение ключей аутентификации. При развертывании каждому устройству требуются коды и связанные с ними ключи аутентификации, создаваемые облачной службой. Эти ключи следует хранить в физически безопасном месте даже после развертывания. Вредоносное устройство может использовать любой скомпрометированный ключ для маскировки как существующего устройства.

  • Обновление системы. Операционная система и все драйверы устройства должны быть обновлены до последней версии. Обеспечение актуальности операционных систем помогает обеспечить защиту от вредоносных атак.

  • Защита от вредоносных действий. По возможности добавьте новейшие антивирусные и антивредоносные программы в операционную систему каждого устройства.

  • Частое проведение аудита. Для реагирования на проблемы с безопасностью в первую очередь следует выполнять аудит инфраструктуры Интернета вещей на наличие инцидентов безопасности. Большинство операционных систем обеспечивают встроенное ведение журнала событий, которые следует часто просматривать, чтобы убедиться, что нарушение безопасности не произошло. Устройство может отправлять данные аудита в виде отдельного потока телеметрии в облачную службу, где ее можно проанализировать.

  • Следуйте рекомендациям по обеспечению безопасности и развертыванию изготовителя устройств. Если производитель устройства предоставляет рекомендации по безопасности и развертыванию, следуйте инструкциям в дополнение к универсальным рекомендациям, приведенным в этой статье.

  • Используйте шлюз полей для предоставления служб безопасности для устаревших или ограниченных устройств: устаревшие и ограниченные устройства могут не использовать возможность шифрования данных, подключения к Интернету или расширенного аудита. Чтобы обеспечить безопасность, необходимую при подключении таких устройств к Интернету, при объединении данных устаревших устройств нужно использовать полевые шлюзы. Полевой шлюз обеспечивает безопасную аутентификацию, согласование зашифрованных сеансов, получение команд из облака и другие функции безопасности.

Безопасность подключения

  • Используйте сертификаты X.509 для проверки подлинности устройств для Центр Интернета вещей или IoT Central: Центр Интернета вещей и IoT Central поддерживают проверку подлинности на основе сертификатов X509 и маркеры безопасности в качестве методов проверки подлинности устройства. По возможности используйте проверку подлинности на основе X509 в рабочих средах, так как она обеспечивает большую безопасность. Дополнительные сведения см. в статье "Проверка подлинности устройства для Центр Интернета вещей" и "Проверка подлинности устройств" в IoT Central.

  • Используйте протокол TLS 1.2 для защиты подключений с устройств: Центр Интернета вещей и IoT Central используют TLS для защиты подключений от устройств и служб Интернета вещей. В настоящее время поддерживаются три версии протокола TLS: 1.0, 1.1 и 1.2. TLS 1.0 и 1.1 считаются устаревшими. Дополнительные сведения см. в статье "Проверка подлинности и авторизация".

  • Убедитесь, что у вас есть способ обновить корневой сертификат TLS на ваших устройствах: корневые сертификаты TLS являются длительными, но они по-прежнему могут истекать или отзываться. Если на устройстве нет способа обновления сертификата, устройство может не подключиться к Центр Интернета вещей, IoT Central или любой другой облачной службе позже.

  • Рассмотрите возможность использования Приватный канал Azure: Приватный канал Azure позволяет подключать устройства к частной конечной точке виртуальной сети, что позволяет блокировать доступ к общедоступным конечным точкам центра Интернета вещей. Дополнительные сведения см. в статье о подключении входящего трафика к Центр Интернета вещей с помощью Приватный канал Azure и безопасности сети для IoT Central с помощью частных конечных точек.

Безопасность облака

  • Следуйте методологии разработки безопасного программного обеспечения: разработка безопасного программного обеспечения требует, чтобы вы рассмотрели безопасность от начала проекта до реализации, тестирования и развертывания. Жизненный цикл разработки безопасности Майкрософт предоставляет пошаговый подход к созданию безопасного программного обеспечения.

  • Осторожность при выборе программного обеспечения с открытым кодом. Программное обеспечение с открытым кодом позволяет ускорить разработку решений. При его выборе следует учитывать уровень активности сообщества в отношении каждого такого компонента. Если сообщество активно, то это гарантирует поддержку программного обеспечения, а также обнаружение и устранение проблем. Неясный и неактивный проект программного обеспечения с открытым исходным кодом может не поддерживаться, и проблемы, скорее всего, не обнаруживаются.

  • Осторожность при интеграции. Множество брешей в системе защиты ПО обнаруживаются на границе интерфейсов API и библиотек. Функции, которые могут не потребоваться для текущего развертывания, по-прежнему доступны с помощью слоя API. Для обеспечения общей безопасности обязательно проверьте все интерфейсы интегрируемых компонентов на наличие уязвимостей.

  • Защита облачных учетных данных. Злоумышленник может использовать учетные данные облачной проверки подлинности, используемые для настройки и эксплуатации развертывания Интернета вещей, чтобы получить доступ к системе Интернета вещей и скомпрометировать их. Обеспечьте защиту учетных данных, часто изменив пароль, и не используйте эти учетные данные на общедоступных компьютерах.

  • Определите элементы управления доступом для центра Интернета вещей: изучите и определите тип доступа, необходимый каждому компоненту в решении Центр Интернета вещей на основе необходимых функциональных возможностей. Существует два способа предоставления разрешений для API-интерфейсов службы для подключения к центру Интернета вещей: идентификатор Microsoft Entra или подписанные URL-адреса. По возможности используйте идентификатор Microsoft Entra в рабочих средах, так как он обеспечивает большую безопасность.

  • Определите элементы управления доступом для приложения IoT Central: изучите и определите тип доступа, который вы включаете для приложения IoT Central. Дополнительные сведения см. на следующих ресурсах:

  • Определите элементы управления доступом для внутренних служб: другие службы Azure могут использовать данные, которые будут использоваться центром Интернета вещей или приложением IoT Central с устройств. Вы можете направлять сообщения с устройств в другие службы Azure. Изучите и настройте соответствующие разрешения доступа для Центр Интернета вещей или IoT Central для подключения к этим службам. Дополнительные сведения см. на следующих ресурсах:

  • Отслеживайте решение Интернета вещей из облака: отслеживайте общую работоспособность решения Интернета вещей с помощью метрик Центр Интернета вещей в работоспособности приложений Azure Monitor или Monitor IoT Central.

  • Настройка диагностика. Мониторинг операций путем ведения журнала событий в решении и отправки журналов диагностики в Azure Monitor. Дополнительные сведения см. в статье "Мониторинг и диагностика проблем в Центре Интернета вещей".

Следующие шаги

Дополнительные сведения о безопасности Интернета вещей см. в следующем разделе: