Aanbevolen beveiligingsprocedures voor IoT-oplossingen

In dit overzicht worden de belangrijkste concepten geïntroduceerd voor het beveiligen van een typische Azure IoT-oplossing. Elke sectie bevat koppelingen naar inhoud die meer details en richtlijnen biedt.

Oplossing op basis van Edge

In het volgende diagram ziet u een algemeen overzicht van de onderdelen in een typische IoT-oplossing op basis van edge. Dit artikel is gericht op de beveiliging van een IoT-oplossing op basis van edge:

U kunt beveiliging in een IoT-oplossing op basis van edge in de volgende drie gebieden verdelen:

• Assetbeveiliging: beveilig het fysieke of virtuele waarde-item van waaruit u gegevens wilt beheren, bewaken en verzamelen.

• Verbindingsbeveiliging: zorg ervoor dat alle gegevens die worden verzonden tussen de asset, edge en cloudservices vertrouwelijk en manipulatiebestendig zijn.

• Edge-beveiliging: beveilig uw gegevens terwijl deze worden doorlopen en worden opgeslagen in de rand.

• Cloudbeveiliging: beveilig uw gegevens terwijl deze worden doorlopen en worden opgeslagen in de cloud.

Normaal gesproken wilt u uw end-to-end-bewerkingen beveiligen met behulp van azure-beveiligingsmogelijkheden. Azure IoT Operations heeft ingebouwde beveiligingsmogelijkheden, zoals geheimenbeheer, certificaatbeheer en beveiligde instellingen op een Kubernetes-cluster met Azure Arc. Wanneer een Kubernetes-cluster is verbonden met Azure, wordt er een uitgaande verbinding met Azure gestart, met behulp van industriestandaard SSL voor het beveiligen van gegevens tijdens overdracht en zijn verschillende andere beveiligingsfuncties ingeschakeld, zoals:

• Uw clusters weergeven en bewaken met behulp van Azure Monitor voor containers.
• Bedreigingsbeveiliging afdwingen met Microsoft Defender for Containers.
• Beheer garanderen door beleid toe te passen met Azure Policy voor Kubernetes.
• Toegang verlenen en verbinding maken met uw Kubernetes-clusters vanaf elke locatie en toegang beheren met behulp van op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC) in uw cluster.

Microsoft Defender voor IoT en voor containers

Microsoft Defender voor IoT is een geïntegreerde beveiligingsoplossing die speciaal is gebouwd om IoT- en operationele technologieapparaten (OT) te identificeren, beveiligingsproblemen en bedreigingen. Microsoft Defender for Containers is een cloudeigen oplossing voor het verbeteren, bewaken en onderhouden van de beveiliging van uw containerassets (Kubernetes-clusters, Kubernetes-knooppunten, Kubernetes-workloads, containerregisters, containerinstallatiekopieën en meer) en hun toepassingen, in meerdere cloud- en on-premises omgevingen.

Zowel Defender for IoT als Defender for Containers kan automatisch enkele van de aanbevelingen in dit artikel bewaken. Defender for IoT en Defender for Containers moeten de frontline van verdediging zijn om uw edge-oplossing te beveiligen. Raadpleeg voor meer informatie:

• Microsoft Defender for Containers - overzicht
• Overzicht van Microsoft Defender voor IoT voor organisaties.

Activabeveiliging

• Geheimenbeheer: Gebruik Azure Key Vault om gevoelige informatie van assets op te slaan en te beheren, zoals sleutels, wachtwoorden, certificaten en geheimen. Azure IoT Operations maakt gebruik van Azure Key Vault als de beheerde kluisoplossing in de cloud en maakt gebruik van de Azure Key Vault Secret Store-extensie voor Kubernetes om de geheimen offline vanuit de cloud te synchroniseren en op te slaan als Kubernetes-geheimen. Zie Geheimen beheren voor uw Azure IoT Operations-implementatie voor meer informatie.

• Certificaatbeheer: het beheren van certificaten is van cruciaal belang voor veilige communicatie tussen assets en uw edge-runtime-omgeving. Azure IoT Operations biedt hulpprogramma's voor het beheren van certificaten, waaronder het uitgeven, vernieuwen en intrekken van certificaten. Zie Certificaatbeheer voor interne communicatie van Azure IoT Operations voor meer informatie.

• Selecteer manipulatiebestendige hardware voor assets: kies assethardware met ingebouwde mechanismen om fysieke manipulatie te detecteren, zoals het openen van het apparaatdeksel of het verwijderen van een deel van het apparaat. Deze manipulatiesignalen kunnen deel uitmaken van de gegevensstroom die is geüpload naar de cloud, waarbij operators worden gewaarschuwd voor deze gebeurtenissen.

• Veilige updates inschakelen voor assetfirmware: gebruik services die updates voor uw assets via de lucht inschakelen. Bouw assets met beveiligde paden voor updates en cryptografische zekerheid van firmwareversies om uw assets tijdens en na updates te beveiligen.

• Assethardware veilig implementeren: Zorg ervoor dat de hardware-implementatie van assets zo manipulatiebestendig mogelijk is, met name op onbeveiligde locaties, zoals openbare ruimten of landinstellingen zonder supervisie. Schakel alleen de benodigde functies in om de fysieke aanvalsvoetafdruk te minimaliseren, zoals veilige dekking van USB-poorten als ze niet nodig zijn.

• Volg de best practices voor beveiliging en implementatie van apparaatfabrikant: als de fabrikant van het apparaat richtlijnen voor beveiliging en implementatie biedt, volgt u deze richtlijnen naast de algemene richtlijnen die in dit artikel worden vermeld.

Verbindingsbeveiliging

• Gebruik Transport Layer Security (TLS) om verbindingen van assets te beveiligen: alle communicatie binnen Azure IoT-bewerkingen wordt versleuteld met BEHULP van TLS. Azure IoT Operations wordt geïmplementeerd met een standaard-CA en verlener voor TLS-servercertificaten om een veilige standaardervaring te bieden waarmee uw edge-oplossing voor aanvallers wordt geminimaliseerd. Voor een productie-implementatie raden we u aan uw eigen CA-verlener en een enterprise PKI-oplossing te gebruiken.

• Overweeg om bedrijfsfirewalls of proxy's te gebruiken om uitgaand verkeer te beheren: als u bedrijfsfirewalls of proxy's gebruikt, voegt u de Azure IoT Operations-eindpunten toe aan uw acceptatielijst.

• Intern verkeer van berichtenbroker versleutelen: de beveiliging van interne communicatie binnen uw edge-infrastructuur is belangrijk om de integriteit en vertrouwelijkheid van gegevens te behouden. U moet de MQTT-broker configureren voor het versleutelen van intern verkeer en gegevens in transit tussen de front-end van de MQTT-broker en back-endpods. Zie Versleuteling van intern verkeer van broker en interne certificaten configureren voor meer informatie.

• CONFIGUREER TLS met automatisch certificaatbeheer voor listeners in uw MQTT-broker: Azure IoT Operations biedt automatisch certificaatbeheer voor listeners in uw MQTT-broker. Dit vermindert de administratieve overhead van het handmatig beheren van certificaten, zorgt voor tijdige verlengingen en helpt bij het handhaven van de naleving van beveiligingsbeleidsregels. Zie Beveiligde MQTT-brokercommunicatie met broker via BrokerListener voor meer informatie.

• Een beveiligde verbinding met OPC UA-server instellen: wanneer u verbinding maakt met een OPC UA-server, moet u bepalen met welke OPC UA-servers u een sessie veilig tot stand brengt. Zie De infrastructuur voor OPC UA-certificaten configureren voor de connector voor OPC UA voor meer informatie.

Edge-beveiliging

• Houd de edge-runtimeomgeving up-to-date: zorg ervoor dat uw cluster en Azure IoT Operations-implementatie up-to-date blijven met de nieuwste patches en secundaire releases om alle beschikbare beveiligings- en bugfixes op te halen. Voor productie-implementaties schakelt u automatische upgrade voor Azure Arc uit om volledige controle te hebben over wanneer er nieuwe updates op uw cluster worden toegepast. In plaats daarvan moet u agents handmatig bijwerken als dat nodig is.

• Controleer de integriteit van docker- en Helm-installatiekopieën: voordat u een installatiekopieën in uw cluster implementeert, controleert u of de installatiekopieën zijn ondertekend door Microsoft. Zie Afbeeldingsondertekening valideren voor meer informatie.

• Gebruik altijd X.509-certificaten of Kubernetes-serviceaccounttokens voor verificatie met uw MQTT-broker: een MQTT-broker ondersteunt meerdere verificatiemethoden voor clients. U kunt elke listenerpoort configureren voor eigen verificatie-instellingen met een BrokerAuthentication-resource. Zie MQTT-brokerverificatie configureren voor meer informatie.

• Geef de minste bevoegdheden op die nodig zijn voor de onderwerpasset in uw MQTT-broker: autorisatiebeleid bepaalt welke acties de clients kunnen uitvoeren op de broker, zoals verbinding maken, publiceren of abonneren op onderwerpen. Configureer de MQTT-broker om een of meer autorisatiebeleidsregels te gebruiken met de BrokerAuthorization-resource. Zie MQTT-brokerautorisatie configureren voor meer informatie.

• Geïsoleerde netwerkomgevingen configureren met behulp van Azure IoT Layered Network Management (preview): Azure IoT Layered Network Management (preview) is een onderdeel dat de verbinding tussen Azure en clusters in geïsoleerde netwerkomgevingen vergemakkelijkt. In industriële scenario's volgen de geïsoleerde netwerken de ISA-95/Purdue-netwerkarchitectuur. Zie Wat is Azure IoT Layered Network Management (preview)? voor meer informatie.

Cloudbeveiliging

• Door de gebruiker toegewezen beheerde identiteiten gebruiken voor cloudverbindingen: gebruik altijd verificatie van beheerde identiteiten. Gebruik indien mogelijk door de gebruiker toegewezen beheerde identiteit in eindpunten voor gegevensstromen voor flexibiliteit en controlebaarheid.

• Implementeer waarneembaarheidsresources en stel logboeken in: Waarneembaarheid biedt inzicht in elke laag van uw Azure IoT Operations-configuratie. Het geeft u inzicht in het werkelijke gedrag van problemen, waardoor de effectiviteit van sitebetrouwbaarheidstechniek wordt verhoogd. Azure IoT Operations biedt waarneembaarheid via aangepaste gecureerde Grafana-dashboards die worden gehost in Azure. Deze dashboards worden mogelijk gemaakt door de beheerde Azure Monitor-service voor Prometheus en Container Insights. Implementeer waarneembaarheidsresources in uw cluster voordat u Azure IoT Operations implementeert.

• Veilige toegang tot assets en asseteindpunten met Azure RBAC: assets en asseteindpunten in Azure IoT Operations hebben representaties in zowel het Kubernetes-cluster als de Azure-portal. U kunt Azure RBAC gebruiken om de toegang tot deze resources te beveiligen. Azure RBAC is een autorisatiesysteem waarmee u de toegang tot Azure-resources kunt beheren. U kunt Azure RBAC gebruiken om machtigingen te verlenen aan gebruikers, groepen en toepassingen binnen een bepaald bereik. Zie Beveiligde toegang tot assets en asseteindpunten voor meer informatie.

Cloudoplossing

In het volgende diagram ziet u een algemeen overzicht van de onderdelen in een typische IoT-oplossing in de cloud. Dit artikel is gericht op de beveiliging van een IoT-cloudoplossing:

U kunt beveiliging in een IoT-oplossing in de cloud opsplitsen in de volgende drie gebieden:

• Apparaatbeveiliging: Beveilig het IoT-apparaat terwijl het in het wild wordt geïmplementeerd.

• Verbindingsbeveiliging: zorg ervoor dat alle gegevens die worden verzonden tussen het IoT-apparaat en de IoT-cloudservices vertrouwelijk en manipulatiebestendig zijn.

• Cloudbeveiliging: beveilig uw gegevens terwijl deze worden doorlopen en worden opgeslagen in de cloud.

Door de aanbevelingen in dit artikel te implementeren, kunt u voldoen aan de beveiligingsverplichtingen die worden beschreven in het model voor gedeelde verantwoordelijkheid.

Microsoft Defender for IoT

Microsoft Defender voor IoT kan automatisch enkele van de aanbevelingen in dit artikel bewaken. Microsoft Defender for IoT moet de frontline van verdediging zijn om uw cloudoplossing te beveiligen. Microsoft Defender for IoT analyseert periodiek de beveiligingsstatus van uw Azure-resources om potentiële beveiligingsproblemen te identificeren. Vervolgens krijgt u aanbevelingen over hoe u deze kunt aanpakken. Raadpleeg voor meer informatie:

• Verbeter de beveiligingspostuur met aanbevelingen voor beveiliging.
• Wat is Microsoft Defender voor IoT voor organisaties?
• Wat is Microsoft Defender voor IoT voor apparaatbouwers?

Apparaatbeveiliging

• Hardware beperken tot minimale vereisten: selecteer uw apparaathardware om de minimale functies op te nemen die nodig zijn voor de werking ervan en niets meer. Neem bijvoorbeeld alleen USB-poorten op als ze nodig zijn voor de werking van het apparaat in uw oplossing. Extra functies kunnen het apparaat blootstellen aan ongewenste aanvalsvectoren.

• Selecteer bewijshardware voor manipulatie: selecteer apparaathardware met ingebouwde mechanismen om fysieke manipulatie te detecteren, zoals het openen van het apparaatdeksel of het verwijderen van een deel van het apparaat. Deze manipulatiesignalen kunnen deel uitmaken van de gegevensstroom die is geüpload naar de cloud, waardoor operators kunnen worden gewaarschuwd voor deze gebeurtenissen.

• Selecteer beveiligde hardware: kies indien mogelijk apparaathardware die beveiligingsfuncties bevat, zoals beveiligde en versleutelde opslag en opstartfunctionaliteit op basis van een Trusted Platform-module. Deze functies maken apparaten veiliger en beschermen de algehele IoT-infrastructuur.

• Veilige updates inschakelen: gebruik services zoals Apparaatupdate voor IoT Hub voor over-the-air-updates voor uw IoT-apparaten. Bouw apparaten met beveiligde paden voor updates en cryptografische zekerheid van firmwareversies om uw apparaten tijdens en na updates te beveiligen.

• Volg een veilige methodologie voor softwareontwikkeling: voor de ontwikkeling van beveiligde software moet u rekening houden met beveiliging vanaf het begin van het project door implementatie, testen en implementatie. De levenscyclus van Microsoft Security Development biedt een stapsgewijze benadering voor het bouwen van beveiligde software.

• Gebruik waar mogelijk apparaat-SDK's: Apparaat-SDK's implementeren verschillende beveiligingsfuncties, zoals versleuteling en verificatie waarmee u robuuste en veilige apparaattoepassingen kunt ontwikkelen. Zie Azure IoT SDK's voor meer informatie.

• Kies opensource-software met zorg: Opensource-software biedt een mogelijkheid om snel oplossingen te ontwikkelen. Wanneer u opensource-software kiest, moet u rekening houden met het activiteitsniveau van de community voor elk opensource-onderdeel. Een actieve community zorgt ervoor dat software wordt ondersteund en dat er problemen worden gedetecteerd en opgelost. Een verborgen en inactief opensource-softwareproject wordt mogelijk niet ondersteund en er worden waarschijnlijk geen problemen gedetecteerd.

• Hardware veilig implementeren: Voor IoT-implementaties moet u mogelijk hardware implementeren op onbeveiligde locaties, zoals in openbare ruimten of landinstellingen zonder supervisie. In dergelijke situaties moet u ervoor zorgen dat de hardware-implementatie zo manipulatiebestendig mogelijk is en alleen de benodigde functies zijn ingeschakeld om de fysieke aanvalsvoetafdruk te minimaliseren. Als de hardware bijvoorbeeld USB-poorten heeft, zorgt u ervoor dat deze veilig worden gedekt.

• Verificatiesleutels veilig houden: tijdens de implementatie vereist elk apparaat apparaat-id's en bijbehorende verificatiesleutels die door de cloudservice worden gegenereerd. Bewaar deze sleutels fysiek veilig en gebruik hernieuwbare referenties. Een schadelijk apparaat kan elke gecompromitteerde sleutel gebruiken om zich te maskeren als een bestaand apparaat.

• Houd het systeem up-to-date: Zorg ervoor dat apparaatbesturingssystemen en alle apparaatstuurprogramma's worden bijgewerkt naar de nieuwste versies. Het up-to-date houden van besturingssystemen helpt ervoor te zorgen dat ze worden beschermd tegen schadelijke aanvallen.

• Bescherming tegen schadelijke activiteiten: als het besturingssysteem toestaat, installeert u de nieuwste antivirus- en antimalwaremogelijkheden op elk besturingssysteem van het apparaat.

• Regelmatig controleren: Het controleren van de IoT-infrastructuur voor beveiligingsproblemen is essentieel bij het reageren op beveiligingsincidenten. De meeste besturingssystemen bieden ingebouwde logboekregistratie van gebeurtenissen die u regelmatig moet controleren om ervoor te zorgen dat er geen beveiligingsschending is opgetreden. Een apparaat kan controlegegevens verzenden als een afzonderlijke telemetriestroom naar de cloudservice waar het kan worden geanalyseerd.

• Volg de best practices voor beveiliging en implementatie van apparaatfabrikant: als de fabrikant van het apparaat richtlijnen voor beveiliging en implementatie biedt, volgt u deze richtlijnen naast de algemene richtlijnen die in dit artikel worden vermeld.

• Gebruik een veldgateway om beveiligingsservices te bieden voor verouderde of beperkte apparaten: verouderde en beperkte apparaten hebben mogelijk geen mogelijkheid om gegevens te versleutelen, verbinding te maken met internet of geavanceerde controle te bieden. In deze gevallen kan een moderne en beveiligde veldgateway gegevens van verouderde apparaten aggregeren en de beveiliging bieden die nodig is voor het verbinden van deze apparaten via internet. Een IoT Edge-apparaat kan worden gebruikt als gateway en biedt veilige verificatie, onderhandeling van versleutelde sessies, ontvangst van opdrachten uit de cloud en vele andere beveiligingsfuncties. Azure Sphere kan worden gebruikt als een voogdmodule om andere apparaten te beveiligen, waaronder bestaande verouderde systemen die niet zijn ontworpen voor vertrouwde connectiviteit.

Verbindingsbeveiliging

• Gebruik X.509-certificaten om uw apparaten te verifiëren bij IoT Hub of IoT Central: IoT Hub en IoT Central ondersteunen zowel X509-verificatie- als beveiligingstokens als methoden voor verificatie van een apparaat. Gebruik, indien mogelijk, verificatie op basis van X509 in productieomgevingen, omdat deze een betere beveiliging biedt. Zie Verificatie van een apparaat voor IoT Hub - en Apparaatverificatieconcepten in IoT Central voor meer informatie.

• Gebruik Transport Layer Security (TLS) 1.2 om verbindingen van apparaten te beveiligen: IoT Hub en IoT Central gebruiken TLS om verbindingen van IoT-apparaten en -services te beveiligen. Er worden momenteel drie versies van het TLS-protocol ondersteund: 1.0, 1.1 en 1.2. TLS 1.0 en 1.1 worden beschouwd als verouderd. Zie Ondersteuning voor Transport Layer Security (TLS) in IoT Hub en TLS-ondersteuning in Azure IoT Hub Device Provisioning Service (DPS) voor meer informatie.

• Zorg ervoor dat u het TLS-basiscertificaat op uw apparaten kunt bijwerken: TLS-basiscertificaten hebben een lange levensduur, maar ze kunnen nog steeds verlopen of worden ingetrokken. Als er geen manier is om het certificaat op het apparaat bij te werken, kan het apparaat mogelijk geen verbinding maken met IoT Hub, IoT Central of een andere cloudservice op een later moment. Zie X.509-apparaatcertificaten implementeren voor meer informatie.

• Overweeg het gebruik van Azure Private Link: Met Azure Private Link kunt u uw apparaten verbinden met een privé-eindpunt in uw virtuele netwerk, zodat u de toegang tot de openbare eindpunten van uw IoT-hub kunt blokkeren. Zie Toegangsbeheerobjectconnectiviteit met IoT Hub met behulp van Azure Private Link en Netwerkbeveiliging voor IoT Central met behulp van privé-eindpunten voor meer informatie.

Cloudbeveiliging

• Volg een veilige methodologie voor softwareontwikkeling: voor de ontwikkeling van beveiligde software moet u rekening houden met beveiliging vanaf het begin van het project door implementatie, testen en implementatie. De levenscyclus van Microsoft Security Development biedt een stapsgewijze benadering voor het bouwen van beveiligde software.

• Kies opensource-software met zorg: Opensource-software biedt een mogelijkheid om snel oplossingen te ontwikkelen. Wanneer u opensource-software kiest, moet u rekening houden met het activiteitsniveau van de community voor elk opensource-onderdeel. Een actieve community zorgt ervoor dat software wordt ondersteund en dat er problemen worden gedetecteerd en opgelost. Een verborgen en inactief opensource-softwareproject wordt mogelijk niet ondersteund en er worden waarschijnlijk geen problemen gedetecteerd.

• Integreren met zorg: er bestaan veel softwarebeveiligingsfouten op de grens van bibliotheken en API's. Functionaliteit die mogelijk niet vereist is voor de huidige implementatie, is mogelijk nog steeds beschikbaar via een API-laag. Om de algehele beveiliging te garanderen, moet u alle interfaces van onderdelen controleren die zijn geïntegreerd op beveiligingsfouten.

• Cloudreferenties beveiligen: een aanvaller kan de cloudverificatiereferenties gebruiken die u gebruikt om uw IoT-implementatie te configureren en te gebruiken om toegang te krijgen tot en inbreuk te maken op uw IoT-systeem. Beveilig de referenties door het wachtwoord regelmatig te wijzigen en gebruik deze referenties niet op openbare computers.

• Toegangsbeheer definiëren voor uw IoT-hub: begrijp en definieer het type toegang dat elk onderdeel in uw IoT Hub-oplossing nodig heeft op basis van de vereiste functionaliteit. Er zijn twee manieren waarop u machtigingen kunt verlenen voor de service-API's om verbinding te maken met uw IoT-hub: Microsoft Entra ID of Shared Access Signatures. Gebruik indien mogelijk Microsoft Entra-id in productieomgevingen, omdat deze betere beveiliging biedt.

• Toegangsbeheer definiëren voor uw IoT Central-toepassing: Inzicht in het type toegang dat u inschakelt voor uw IoT Central-toepassing. Raadpleeg voor meer informatie:

  • Gebruikers en rollen in uw IoT Central-toepassing beheren
  • IoT Central-organisaties beheren
  • Auditlogboeken gebruiken om activiteiten in uw IoT Central-toepassing bij te houden
  • IoT Central REST API-aanroepen verifiëren en autoriseren

• Toegangsbeheer definiëren voor back-endservices: andere Azure-services kunnen de gegevens verbruiken die uw IoT-hub of IoT Central-toepassing opneemt vanaf uw apparaten. U kunt berichten van uw apparaten routeren naar andere Azure-services. De juiste toegangsmachtigingen voor IoT Hub of IoT Central begrijpen en configureren om verbinding te maken met deze services. Raadpleeg voor meer informatie:

  • Apparaat-naar-cloud-berichten lezen van het ingebouwde IoT Hub-eindpunt
  • IoT Hub-berichtroutering gebruiken om apparaat-naar-cloud-berichten naar verschillende eindpunten te verzenden
  • IoT Central-gegevens exporteren
  • IoT Central-gegevens exporteren naar een veilige bestemming in een virtueel Azure-netwerk

• Bewaak uw IoT-oplossing vanuit de cloud: bewaak de algehele status van uw IoT-oplossing met behulp van de metrische Gegevens van IoT Hub in Azure Monitor of Monitor IoT Central-toepassingsstatus.

• Diagnostische gegevens instellen: bewaak uw bewerkingen door gebeurtenissen in uw oplossing te registreren en vervolgens de diagnostische logboeken naar Azure Monitor te verzenden. Zie Problemen bewaken en diagnosticeren in uw IoT-hub voor meer informatie.

Volgende stappen

Zie voor meer informatie over IoT-beveiliging:

• Azure-beveiligingsbasislijn voor Kubernetes met Azure Arc
• Concepten voor het beveiligen van uw cloudeigen workload
• Azure-beveiligingsbasislijn voor Azure IoT Hub
• IoT Central-beveiligingshandleiding
• Goed ontworpen framework perspectief op Azure IoT Hub