Proteja suas soluções de IoT

As soluções de IoT permitem que você conecte, monitore e controle seus dispositivos e ativos IoT em escala. Numa solução ligada à cloud, os dispositivos e ativos ligam-se diretamente à cloud. Numa solução conectada à extremidade, dispositivos e ativos conectam-se a um ambiente de execução na extremidade. Você deve proteger seus ativos físicos e dispositivos, infraestrutura de borda e serviços de nuvem para proteger sua solução de IoT contra ameaças. Você também deve proteger os dados que fluem por meio de sua solução de IoT, seja na borda ou na nuvem.

Este artigo fornece orientação sobre como proteger melhor sua solução de IoT. Cada seção inclui links para conteúdo que fornece mais detalhes e orientações.

Solução conectada por arestas

O diagrama seguinte mostra uma visão de alto nível dos componentes numa solução típica de IoT conectada na periferia. Este artigo concentra-se na segurança de uma solução IoT conectada à periferia:

Numa solução IoT conectada à borda, pode-se dividir a segurança nas seguintes quatro áreas:

• Segurança de ativos: proteja o ativo de IoT enquanto ele é implantado no local.

• Segurança da ligação: Garanta que todos os dados em transferência entre o ativo, a periferia e os serviços de nuvem sejam confidenciais e invioláveis.

• Segurança de borda: proteja seus dados à medida que eles se movem e são armazenados na borda.

• Segurança na nuvem: proteja os seus dados à medida que se movem e são armazenados na nuvem.

Microsoft Defender para IoT e Microsoft Defender for Containers

Microsoft Defender para IoT é uma solução de segurança unificada construída especificamente para identificar dispositivos, vulnerabilidades e ameaças de IoT e tecnologia operacional (OT). O Microsoft Defender for Containers é uma solução nativa da cloud que o ajuda a melhorar, monitorizar e manter a segurança dos seus ativos containerizados (clusters Kubernetes, nós Kubernetes, cargas de trabalho Kubernetes, registos de contentores, imagens de containers e mais) e das suas aplicações em ambientes multicloud e on-premises.

Tanto o Defender for IoT como o Defender for Containers podem monitorizar automaticamente algumas das recomendações incluídas neste artigo. Defender for IoT e Defender for Containers devem ser a sua primeira linha de defesa na proteção da sua solução ligada à periferia. Para saber mais, veja:

• Microsoft Defender para Contentores - visão geral
• Microsoft Defender para IoT para organizações - visão geral.

Limites de segurança OT, TI e cloud

O Operações IoT do Azure permite às organizações ligar ativos de TO e fontes de dados industriais a serviços de gestão, análise e automação baseados na cloud.

Ligar ambientes OT a sistemas de TI e cloud oferece benefícios operacionais significativos, mas também altera os limites tradicionais da segurança. Dados, identidades, operações de gestão e cargas de trabalho podem abranger ambientes que historicamente operaram isoladamente.

Ao desenhar uma implementação Operações IoT do Azure, considere os seguintes princípios:

• Aplique segmentação de rede entre OT, TI e ambientes ligados à cloud. Para uma topologia segmentada Purdue/ISA-95, utilize uma implementação de rede em camadas para restringir a comunicação a camadas adjacentes.
• Use controlos de acesso de privilégio mínimo para utilizadores, aplicações e sistemas de gestão, e configure identidades dedicadas através de definições seguras e identidades geridas.
• Trate os dados operacionais ligados à cloud como informativos, a menos que sejam validados pelos seus processos de segurança operacional. Os dados encaminhados através da experiência operacional e dos dashboards são os mais adequados para monitorização.
• Evite usar dashboards na cloud, análises ou visualizações de monitorização como única autoridade para decisões operacionais críticas à segurança ou de emergência.
• Siga os padrões da indústria aplicáveis, os requisitos regulamentares e as políticas de segurança específicas do local ao ligar ativos de OT a serviços cloud.

Aplicar os princípios de segurança Confiança Zero ajuda-o a proteger estes limites: verificar explicitamente, usar acesso de privilégio mínimo e assumir violação. Continua responsável por determinar quais os dados operacionais e caminhos de controlo adequados para a integração na cloud no seu ambiente.

Segurança patrimonial

Esta seção fornece orientação sobre como proteger seus ativos, como equipamentos industriais, sensores e outros dispositivos que fazem parte de sua solução de IoT. A segurança do ativo é crucial para garantir a integridade e confidencialidade dos dados que gera e transmite.

• Use o Azure Key Vault e a extensão secret store: Use o Azure Key Vault para armazenar e gerir informações sensíveis dos seus ativos, como chaves, palavras-passe, certificados e segredos. O Operações IoT do Azure utiliza o Azure Key Vault como solução de cofre gerido na cloud e utiliza a extensão Azure Key Vault Secret Store para Kubernetes para sincronizar segredos a partir da cloud e armazená-los no edge como segredos do Kubernetes. Para saber mais, consulte Gerenciar segredos para a sua implantação Operações IoT do Azure.

• Configure o gerenciamento seguro de certificados: o gerenciamento de certificados é crucial para garantir uma comunicação segura entre os ativos e seu ambiente de tempo de execução de borda. O Operações IoT do Azure fornece ferramentas para gerir certificados, incluindo a emissão, renovação e revogação de certificados. Para saber mais, consulte Gerir certificados para a sua implementação do Operações IoT do Azure.

• Selecione hardware à prova de violação: escolha hardware de ativo com mecanismos integrados para detetar adulteração física, como a abertura da tampa do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, alertando os operadores sobre esses eventos.

• Habilitar atualizações seguras para firmware de ativos: use serviços que permitam atualizações sem fio para os seus ativos. Crie ativos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus ativos durante e após as atualizações.

• Implante o hardware de ativos com segurança: certifique-se de que a implantação de hardware de ativos seja o mais inviolável possível, especialmente em locais não seguros, como espaços públicos ou localidades não supervisionadas. Habilite apenas os recursos necessários para minimizar a pegada de ataque físico, como cobrir com segurança as portas USB se elas não forem necessárias.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essas orientações juntamente com as orientações gerais neste artigo.

Segurança da Ligação

Esta seção fornece orientação sobre como proteger as conexões entre seus ativos, ambiente de tempo de execução de borda e serviços de nuvem. A segurança das ligações é crucial para garantir a integridade e confidencialidade dos dados transmitidos.

• Siga as diretrizes de implementação em produção do Operações IoT do Azure para ligações: Para implementações de Operações IoT do Azure em produção, as diretrizes de implementação em produção fornecem uma configuração detalhada para trazer o seu próprio emissor de CA com PKI empresarial, encriptação interna de tráfego do broker MQTT, gestão automática de certificados TLS para BrokerListener, e ligações seguras aos servidores OPC UA.

• Utilize a Segurança da Camada de Transporte (TLS) para proteger as ligações provenientes dos ativos: Toda a comunicação no Operações IoT do Azure é encriptada com TLS. Para proporcionar uma experiência segura por defeito que minimize a exposição inadvertida da sua solução conectada à periferia a atacantes, o Operações IoT do Azure é implementado com uma autoridade de certificação (CA) raiz e um emissor por defeito para certificados de servidor TLS. Para uma implementação em produção, use o seu próprio emissor de CA e uma solução PKI empresarial.

• Isolar e segmentar redes: use segmentação de rede e firewalls para isolar os clusters de operações de IoT e dispositivos de ponta de outros recursos de rede. Adicione os endpoints necessários à sua lista de permissões se usar firewalls ou proxies empresariais. Para saber mais, consulte Diretrizes de implantação de produção – Rede.

Segurança de Periferia

Esta secção fornece orientação sobre como proteger o seu ambiente de execução de borda, que é o software executado na sua plataforma de borda. Este software processa os dados dos seus ativos e gere a comunicação entre os seus ativos e os serviços na nuvem. A segurança do ambiente de execução na periferia é crucial para garantir a integridade e a confidencialidade dos dados processados e transmitidos.

• Siga as diretrizes de implementação para produção do Operações IoT do Azure para o runtime no edge: Para implementações do Operações IoT do Azure em produção, siga as diretrizes de implementação para produção, que abrangem a validação de imagens assinadas pela Microsoft, manter o cluster atualizado, o controlo da atualização automática do Arc, a autenticação do broker MQTT e a autorização de tópicos segundo o princípio do menor privilégio.

Segurança da cloud

Esta seção fornece orientação sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam seus dados de ativos. A segurança dos serviços na nuvem é crucial para garantir a integridade e confidencialidade dos seus dados.

• Siga as diretrizes de implementação em produção do Operações IoT do Azure para ligações na cloud: Para implementações do Operações IoT do Azure em produção, as diretrizes de implementação em produção abrangem identidades geridas atribuídas pelo utilizador para endpoints de fluxo de dados e ligações na cloud, bem como a implementação de recursos de observabilidade antes da implementação.

• Acesso seguro a ativos e endpoints de ativos com Azure RBAC: Ativos e endpoints de ativos em Operações IoT do Azure têm representações tanto no cluster Kubernetes como no portal Azure. Use o Azure RBAC para garantir o acesso a estes recursos. O Azure RBAC é um sistema de autorização que lhe permite gerir o acesso aos recursos do Azure. Use o Azure RBAC para conceder permissões a utilizadores, grupos e aplicações num determinado âmbito. Para saber mais, consulte Funções RBAC personalizadas para os seus recursos Operações IoT do Azure.

Solução ligada à cloud

O diagrama seguinte mostra uma visão geral dos componentes numa solução IoT típica ligada à cloud. Este artigo foca-se na segurança de uma solução IoT ligada à cloud:

Numa solução IoT ligada à cloud, pode dividir a segurança nas seguintes três áreas:

• Segurança do dispositivo: proteja o dispositivo IoT enquanto ele é implantado no local.

• Segurança da conexão: certifique-se de que todos os dados transmitidos entre o dispositivo IoT e os serviços de nuvem IoT sejam confidenciais e invioláveis.

• Segurança na nuvem: proteja os seus dados à medida que se movem e são armazenados na nuvem.

As recomendações neste artigo ajudam você a cumprir as obrigações de segurança descritas no modelo de responsabilidade compartilhada.

Microsoft Defender para IoT

O Microsoft Defender para IoT monitoriza automaticamente algumas das recomendações deste artigo. O Microsoft Defender para IoT analisa periodicamente o estado de segurança dos seus recursos Azure para identificar potenciais vulnerabilidades de segurança e depois oferece recomendações sobre como as resolver. Para saber mais, veja:

• Qual é a Microsoft Defender para IoT para organizações?
• Qual é a Microsoft Defender para IoT para os construtores de dispositivos?
• Melhore a postura de segurança com recomendações de segurança

Segurança dos dispositivos

Esta seção fornece orientação sobre como proteger seus dispositivos IoT, que são os componentes de hardware que coletam e transmitem dados. A segurança do dispositivo é crucial para garantir a integridade e confidencialidade dos dados que gera e transmite.

• Escopo de hardware para requisitos mínimos: Selecione o hardware do dispositivo para incluir os recursos mínimos necessários para sua operação, e nada mais. Por exemplo, inclua apenas portas USB se forem necessárias para o funcionamento do dispositivo na sua solução. Recursos extras podem expor o dispositivo a vetores de ataque indesejados.

• Selecione hardware à prova de violação: selecione o hardware do dispositivo com mecanismos integrados para detetar adulterações físicas, como a abertura da tampa do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, o que pode alertar os operadores sobre esses eventos.

• Selecione hardware seguro: se possível, escolha o hardware do dispositivo que inclua recursos de segurança, como armazenamento seguro e criptografado e funcionalidade de inicialização com base em um Trusted Platform Module. Esses recursos tornam os dispositivos mais seguros e ajudam a proteger a infraestrutura geral de IoT.

• Ative atualizações seguras: Use serviços como o Device Update for Hub IoT para atualizações aéreas dos seus dispositivos IoT. Crie dispositivos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus dispositivos durante e após as atualizações.

• Siga uma metodologia de desenvolvimento de software seguro: O desenvolvimento de software seguro requer que você considere a segurança desde o início do projeto até a implementação, teste e implantação. O Ciclo de Vida de Desenvolvimento Centrado na Segurança da Microsoft fornece uma abordagem passo a passo para construir software seguro.

• Use SDKs de dispositivo sempre que possível: os SDKs de dispositivo implementam vários recursos de segurança, como criptografia e autenticação, que ajudam a desenvolver aplicativos de dispositivo robustos e seguros. Para saber mais, consulte Azure IoT SDKs.

• Escolha software de código aberto com cuidado: O software de código aberto oferece uma oportunidade para desenvolver soluções rapidamente. Ao escolher software de código aberto, considere o nível de atividade da comunidade para cada componente de código aberto. Uma comunidade ativa garante que o software é suportado e que os problemas são descobertos e resolvidos. Um projeto de software open-source obscuro e inativo pode não ser suportado, e é pouco provável que sejam descobertos problemas.

• Implante hardware com segurança: as implantações de IoT podem exigir que você implante hardware em locais não seguros, como espaços públicos ou localidades não supervisionadas. Nestas situações, torne a implementação do hardware o mais à prova de adulterações possível e permita apenas as funcionalidades necessárias para minimizar a pegada física do ataque.

• Armazene credenciais em módulos de segurança de hardware (HSMs): Use HSMs para armazenar segredos do dispositivo com segurança, como chaves privadas e certificados, para proteger contra extração e adulteração. Para saber mais, consulte autenticação X.509 do Hub IoT, orientação do HSM do DPS e gestor de segurança do IoT Edge.

• Alterne as chaves de dispositivo e certificados regularmente: alterne regularmente as credenciais, especialmente após uma violação ou expiração, de modo a minimizar o risco de acesso não autorizado. Para saber mais, consulte Como rolar certificados no DPS e Gerenciamento de certificados do IoT Central X.509.

• Atualização e patch: mantenha todos os tempos de execução, SDKs e componentes do sistema operacional atualizados com os patches e atualizações de segurança mais recentes. Para saber mais, consulte orientações de atualização do IoT Edge.

• Proteja-se contra atividades maliciosas: Se o sistema operacional permitir, instale os recursos antivírus e antimalware mais recentes em cada sistema operacional do dispositivo.

• Audite com frequência: audite a infraestrutura da IoT em busca de problemas de segurança para permitir que você responda a incidentes de segurança. A maioria dos sistemas operativos fornece registo de eventos incorporado. Revise os logs com frequência para verificar se há violações de segurança. Um dispositivo pode enviar informações de auditoria como um fluxo de dados separado para o serviço de nuvem, onde você pode analisá-las.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essas orientações juntamente com as orientações gerais neste artigo.

• Utilize um gateway de campo para fornecer serviços de segurança a dispositivos legados ou com recursos limitados: Os dispositivos legados e com recursos limitados podem não ter capacidade para encriptar dados, ligar-se à Internet ou disponibilizar capacidades avançadas de auditoria. Nesses casos, um gateway de campo moderno e seguro pode agregar dados de dispositivos legados e fornecer a segurança necessária para conectar esses dispositivos pela Internet. Um dispositivo IoT Edge pode ser usado como gateway e fornecer autenticação segura, negociação de sessões encriptadas, receção de comandos da cloud e muitas outras funcionalidades de segurança. Azure Sphere pode atuar como módulo guardião para proteger outros dispositivos, incluindo sistemas legados existentes que não foram concebidos para conectividade confiável.

• Encriptar dados em estado inativo: Use encriptação ao nível do sistema operativo, como o BitLocker para Windows, para armazenamento em dispositivos e na borda para proteger dados caso os dispositivos sejam perdidos ou roubados. Para saber mais, consulte segurança do IoT Edge.

Segurança da Ligação

Esta seção fornece orientação sobre como proteger as conexões entre seus dispositivos IoT e serviços de nuvem. A segurança das ligações é crucial para garantir a integridade e confidencialidade dos dados transmitidos.

• Use certificados X.509 para autenticar os seus dispositivos no Hub IoT ou IoT Central: o Hub IoT e o IoT Central suportam certificados X.509 para autenticação de dispositivos. Use autenticação baseada em X.509 em ambientes de produção porque oferece maior segurança do que as chaves simétricas. Para saber mais, consulte Autenticar um dispositivo para Hub IoT e Conceitos de autenticação de dispositivos no IoT Central.

• Evite chaves simétricas compartilhadas: se você usar chaves simétricas, não compartilhe chaves simétricas entre dispositivos. Cada dispositivo precisa de credenciais exclusivas para evitar um comprometimento generalizado se uma chave for vazada. Para saber mais, consulte Práticas de segurança para fabricantes de dispositivos.

• Use o Transport Layer Security (TLS) 1.2 para proteger ligações de dispositivos: Hub IoT e IoT Central usam TLS para proteger ligações de dispositivos e serviços IoT. O Hub IoT suporta TLS 1.0, 1.1 e 1.2. TLS 1.0 e 1.1 são legados e devem ser evitados. Para saber mais, consulte o suporte Transport Layer Security (TLS) em Hub IoT e o suporte TLS no Hub IoT do Azure Device Provisioning Service (DPS).

• Use pacotes de codificação fortes e mantenha os certificados de CA raiz atualizados: atualize os pacotes de codificação e os certificados raiz confiáveis regularmente para manter conexões seguras. Para saber mais, consulte Hub IoT suporte TLS.

• Certifique-se de ter uma maneira de atualizar o certificado raiz TLS em seus dispositivos: os certificados raiz TLS duram muito tempo, mas podem expirar ou ser revogados. Se não conseguir atualizar o certificado no dispositivo, este pode não conseguir ligar-se ao Hub IoT, IoT Central ou a qualquer outro serviço cloud numa data posterior. Para saber mais, consulte Como renovar certificados de dispositivo X.509.

• Considere usar o Azure Private Link: O Azure Private Link permite-lhe ligar os seus dispositivos a um endpoint privado na sua rede virtual, para bloquear o acesso aos endpoints públicos orientados para dispositivos do seu hub IoT. Para saber mais, consulte Conectividade de entrada para Hub IoT usando Azure Private Link e Segurança de Rede para IoT Central usando endpoints privados.

• Restringir o acesso à rede: use a filtragem de IP para limitar o acesso a fontes e redes confiáveis. Para saber mais, consulte Hub IoT filtragem IP, IoT Central Private Endpoints e DPS IP filtering.

• Desative o acesso à rede pública se não for necessário: impeça a exposição à Internet pública desativando os pontos de extremidade públicos quando puder. Para saber mais, consulte Hub IoT acesso à rede pública e DPS acesso à rede pública.

• Isolar dispositivos e serviços Edge em segmentos de rede seguros: Utilize segmentação de rede e firewalls para isolar dispositivos e serviços Edge IoT de outros recursos de rede. Para saber mais, consulte IoT Edge para Linux sobre segurança Windows.

Segurança da cloud

Esta seção fornece orientação sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam seus dados de dispositivo IoT. A segurança dos serviços na nuvem é crucial para garantir a integridade e confidencialidade dos seus dados.

• Siga uma metodologia de desenvolvimento de software seguro: O desenvolvimento de software seguro requer que você considere a segurança desde o início do projeto até a implementação, teste e implantação. O Ciclo de Vida de Desenvolvimento Centrado na Segurança da Microsoft fornece uma abordagem passo a passo para construir software seguro.

• Escolha software de código aberto com cuidado: O software de código aberto oferece uma oportunidade para desenvolver soluções rapidamente. Ao escolher software de código aberto, considere o nível de atividade da comunidade para cada componente de código aberto. Uma comunidade ativa garante que o software é suportado e que os problemas são descobertos e resolvidos. Um projeto de software open-source obscuro e inativo pode não ser suportado, e é pouco provável que sejam descobertos problemas.

• Integre com cuidado: muitas falhas de segurança de software existem no limite de bibliotecas e APIs. A funcionalidade que não é necessária para a implantação atual ainda pode estar disponível por meio de uma camada de API. Para garantir a segurança geral, verifique todas as interfaces dos componentes integrados quanto a falhas de segurança.

• Proteja as credenciais cloud: Os atacantes podem usar as credenciais de autenticação cloud que utiliza para configurar e operar a sua implementação de IoT para aceder e comprometer o seu sistema IoT. Proteja as credenciais alterando frequentemente a palavra-passe e não use essas credenciais em máquinas partilhadas ou não geridas.

• Usar Microsoft Entra ID e RBAC com Hub IoT: Utilize Microsoft Entra ID e Azure RBAC para acesso à API de serviços e gestão para permitir controlo de acesso granular baseado em identidade. Para saber mais, consulte Hub IoT Entra ID autenticação e DPS Entra ID autenticação.

• Desative as políticas de acesso compartilhado, se não for necessário: reduza a superfície de ataque desativando as políticas de acesso compartilhado e os tokens quando não precisar deles. Para saber mais, consulte Hub IoT políticas de acesso partilhado.

• Definir controles de acesso para seu aplicativo IoT Central: entenda e defina o tipo de acesso que você habilita para seu aplicativo IoT Central. Para saber mais, veja:

  • Gerir utilizadores e funções na aplicação IoT Central
  • Gerenciar organizações do IoT Central
  • Usar logs de auditoria para rastrear a atividade em seu aplicativo IoT Central
  • Como autenticar e autorizar chamadas à API REST do IoT Central

• Define controlos de acesso para serviços de backend: Outros serviços Azure podem consumir os dados que o teu hub IoT ou aplicação IoT Central ingere dos teus dispositivos. Pode encaminhar mensagens dos seus dispositivos para outros serviços do Azure. Compreenda e configure as permissões de acesso adequadas para o Hub IoT ou IoT Central para se ligar a estes serviços. Para saber mais, veja:

  • Ler mensagens de dispositivo para a nuvem a partir do ponto final integrado do Hub IoT
  • Utiliza o encaminhamento de mensagens do Hub IoT para enviar mensagens de dispositivo para a nuvem para diferentes endpoints
  • Exportar dados do IoT Central
  • Exportar dados do IoT Central para um destino seguro num Rede Virtual do Azure

• Conceda apenas as permissões mínimas necessárias: aplique o princípio do menor privilégio ao atribuir funções e permissões a usuários, aplicativos e dispositivos. Para saber mais, consulte Práticas recomendadas de gerenciamento de identidade.

• Monitorize a sua solução IoT a partir da cloud: Monitorize a saúde geral da sua solução IoT usando métricas Hub IoT em Azure Monitor ou Monitorize a saúde da aplicação IoT Central.

• Configurar diagnósticos: Monitorize as suas operações registando eventos na sua solução e depois envie os registos de diagnóstico para Azure Monitor. Para saber mais, consulte Monitorar e diagnosticar problemas em seu hub IoT.

Conteúdo relacionado

• Segurança do Hub IoT
• Guia de segurança do IoT Central
• Práticas de segurança do DPS
• estrutura de segurança IoT Edge
• Linha de base de segurança do Azure para Hub IoT do Azure
• Perspetiva do Well-Architected Framework no Hub IoT do Azure
• Base de segurança do Azure para Kubernetes com Azure Arc ativado
• Conceitos para manter sua carga de trabalho nativa da nuvem segura