Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
O Hub IoT do Azure oferece um hub central de mensagens para comunicação bidirecional entre aplicações IoT e os dispositivos que elas gerenciam. Ao implantar esse serviço, é importante seguir as práticas recomendadas de segurança para proteger dados, configurações e infraestrutura.
Este artigo fornece diretrizes sobre como proteger melhor sua implantação do Hub IoT do Azure. Se você também estiver usando outros serviços de IoT do Azure, consulte Proteger suas soluções de IoT.
As recomendações de segurança neste artigo implementam os princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Presumir violação". Para obter diretrizes abrangentes sobre Confiança Zero, consulte o Centro de Diretrizes de Confiança Zero.
Segurança do dispositivo
Proteger os dispositivos que se conectam ao Hub IoT é fundamental para a segurança geral da solução de IoT.
Use credenciais renováveis de dispositivos: implemente um processo para atualizar regularmente as credenciais dos dispositivos, como certificados X.509 em ciclos regulares, para limitar o impacto da autenticação comprometida. Para mais informações, consulte Como renovar certificados de dispositivo X.509.
Implantar agentes de atualização em dispositivos: verifique se os dispositivos têm agentes de atualização para receber e aplicar atualizações de segurança, mantendo o firmware e o software seguros durante todo o ciclo de vida do dispositivo. Para obter mais informações, confira Atualização de Dispositivo para Hub IoT.
Implementar o provisionamento seguro de dispositivos: use o DPS (Serviço de Provisionamento de Dispositivos) do Hub IoT do Azure para provisionamento seguro e de toque zero de dispositivos em escala com mecanismos de autenticação apropriados. Para mais informações, veja o Hub IoT Device Provisioning Service.
Use módulos de plataforma confiáveis: implante dispositivos com recursos de segurança baseados em hardware, como TPMs (Trusted Platform Modules) para fornecer armazenamento seguro para chaves criptográficas e proteger contra violação física. Para mais informações, veja atestação TPM.
Revogar o acesso a dispositivos comprometidos: implemente procedimentos para revogar rapidamente o acesso a dispositivos que mostram sinais de comprometimento, impedindo-os de se conectar ao Hub IoT e potencialmente afetando outros dispositivos. Para mais informações, veja Como revogar o acesso a dispositivos.
Segurança de rede
Proteger o acesso à rede ao Hub IoT é crucial para impedir o acesso não autorizado e proteger os dados que fluem entre seus dispositivos e a nuvem.
Habilite pontos de extremidade privados: Elimine a exposição à internet pública roteando o tráfego por meio da sua rede virtual com o Link Privado do Azure e permita que os dispositivos se conectem ao seu Hub IoT sem exposição à internet pública. Para obter mais informações, consulte o suporte do Hub IoT para redes virtuais com o Link Privado do Azure.
Desabilite o acesso à rede pública: impeça o acesso direto da Internet pública desabilitando pontos de extremidade públicos quando você pode usar pontos de extremidade privados. Para mais informações, veja Gerenciando o acesso à rede pública para seu hub IoT.
Configure o filtro de IP: Restrinja as conexões ao seu Hub IoT permitindo apenas endereços ou faixas de IP específicas, e limite a exposição a possíveis ataques. Para mais informações, veja Hub IoT IP filtering.
Imponha o TLS 1.2 e conjuntos de criptografia fortes: fortaleça a segurança da conexão impondo o uso do TLS 1.2 e os conjuntos de criptografia recomendados para todas as conexões de dispositivo e serviço. Para mais informações, veja suporte à Segurança da Camada de Transporte (TLS) no Hub IoT.
Gerenciamento de identidade e acesso
O gerenciamento adequado de identidade e acesso é essencial para controlar quem pode administrar seu Hub IoT e como os dispositivos se autenticam nele.
Use a autenticação Microsoft Entra ID: Implemente o Microsoft Entra ID (anteriormente Azure AD) para autenticar e autorizar solicitações de API de serviço, e permita um controle de acesso mais detalhado do que políticas de acesso compartilhado. Para obter mais informações, consulte Controle o acesso ao Hub IoT usando Microsoft Entra ID.
Implemente o Azure RBAC para permissões granulares: Atribua controle de acesso baseado em função de privilégio mínimo a usuários e aplicações que acessam APIs de gerenciamento do Hub IoT, reduzindo o risco de operações não autorizadas. Para obter mais informações, confira Gerenciar o acesso ao Hub IoT usando a atribuição de função RBAC do Azure.
Use certificados X.509 para autenticação de dispositivo: implemente a autenticação baseada em certificado X.509 em vez de tokens SAS para ambientes de produção para aumentar a segurança e habilitar um melhor gerenciamento de credenciais. Para obter mais informações, consulte Autenticar identidades com certificados X.509.
Evite chaves simétricas compartilhadas entre dispositivos: Atribua credenciais únicas a cada dispositivo para evitar comprometimento generalizado caso uma única chave seja vazada e limite o impacto da possível exposição de credenciais. Para mais informações, veja Práticas de segurança para fabricantes de dispositivos.
Desabilitar políticas de acesso compartilhado quando não for necessário: reduza a vulnerabilidade desabilitando políticas de acesso compartilhado e tokens ao usar o Microsoft Entra ID para autenticação. Para mais informações, consulte Exigir autenticação do Microsoft Entra.
Proteção de dados
Proteger dados em trânsito e em repouso é vital para manter a confidencialidade e a integridade da solução de IoT.
Use módulos de segurança de hardware para segredos de dispositivos: Armazene certificados de dispositivo e chaves privadas em módulos de segurança de hardware (HSMs) para proteger contra extração e adulteração. Essa prática aprimora a segurança das credenciais de autenticação. Para mais informações, veja o módulo de segurança de hardware.
Implemente criptografia de dados em nível de dispositivo: Criptografe dados sensíveis nos dispositivos antes da transmissão para o Hub IoT para adicionar uma camada de proteção além do TLS, especialmente para informações altamente sensíveis. Também garanta que os dados armazenados em componentes com estado, como gêmeos de dispositivo, estejam protegidos. Para mais informações, veja Arquitetura de Segurança para soluções IoT.
Use as versões mais recentes do SDK: Use os SDKs mais recentes dos dispositivos Hub IoT, que implementam diversos recursos de segurança, incluindo criptografia e autenticação. Para mais informações, veja IoT do Azure SDKs.
Mantenha os certificados de CA raiz atualizados: Atualize regularmente os certificados raiz confiáveis em seus dispositivos para manter conexões TLS seguras. Essa prática ajuda a evitar falhas de conexão devido a certificados expirados ou revogados. Para mais informações, veja suporte ao Hub IoT TLS.
Registro e monitoramento
O registro em log e o monitoramento abrangentes são essenciais para detectar e responder a possíveis problemas de segurança em sua solução de IoT.
Ative logs de recursos para conexões e telemetria de dispositivos: Configure configurações de diagnóstico para enviar logs de recursos do Hub IoT para o Azure Monitor Logs. Essa configuração ajuda a rastrear tentativas de conexão, erros e operações para investigação de segurança. Para mais informações, veja Monitorar e diagnosticar problemas no seu hub IoT.
Configurar alertas para problemas de conectividade: crie alertas com base em métricas e logs para detectar padrões incomuns, como falhas de autenticação repetidas ou desconexões inesperadas que podem indicar problemas de segurança. Para obter mais informações, consulte Monitorar, diagnosticar e solucionar problemas de conectividade de dispositivos no Hub IoT do Azure.
Habilite o Microsoft Defender para IoT: ative o Microsoft Defender para IoT no Hub IoT para obter monitoramento, recomendações e alertas de segurança em tempo real para possíveis ameaças direcionadas à sua solução de IoT. Para mais informações, veja Quickstart: Habilitar o Microsoft Defender para IoT no seu Hub IoT do Azure.
Conformidade e governança
Estabelecer a governança adequada e garantir a conformidade com os padrões de segurança são aspectos fundamentais para manter uma solução de IoT segura.
Aplicar o Azure Policy para Hub IoT: implemente o Azure Policy para impor e auditar as configurações de segurança em seus hubs IoT, garantindo que os padrões de segurança consistentes sejam mantidos. Para mais informações, veja definições integradas do Azure Policy para o Hub IoT do Azure.
Audite regularmente permissões de acesso: Revise e valide as políticas de acesso compartilhado do Hub IoT e as atribuições de funções do Microsoft Entra ID concedidas a usuários, aplicativos e dispositivos para garantir que eles sigam o princípio do privilégio mínimo. Para obter mais informações, consulte Controle o acesso ao Hub IoT usando Microsoft Entra ID.
Mantenha os logs de auditoria para conformidade: Direcione os logs de recursos e eventos de auditoria do Hub IoT para um workspace ou conta de armazenamento da Log Analytics com um período de retenção que atenda aos seus requisitos de conformidade, preservando registros para investigações de segurança e auditorias regulatórias. Para mais informações, veja Monitorar e diagnosticar problemas no seu hub IoT.
Backup e recuperação
Planejar para quedas regionais ajuda você a manter a disponibilidade e a integridade da sua solução IoT durante interrupções.
- Planeje o failover regional: Use o failover manual do Hub IoT para recuperar as operações do seu hub para a região geopareada no Azure durante uma queda regional e valide seu processo de recuperação regularmente. Para mais informações, consulte Realizar failover manual em um hub IoT.