Partilhar via

Proteja suas soluções de IoT

As soluções de IoT permitem que você conecte, monitore e controle seus dispositivos e ativos IoT em escala. Em uma solução baseada em nuvem, dispositivos e ativos se conectam diretamente à nuvem. Numa solução baseada na periferia, dispositivos e ativos conectam-se a um ambiente de execução periférico. Você deve proteger seus ativos físicos e dispositivos, infraestrutura de borda e serviços de nuvem para proteger sua solução de IoT contra ameaças. Você também deve proteger os dados que fluem por meio de sua solução de IoT, seja na borda ou na nuvem.

Este artigo fornece orientação sobre como proteger melhor sua solução de IoT. Cada seção inclui links para conteúdo que fornece mais detalhes e orientações.

O diagrama a seguir demonstra uma visão de alto nível dos componentes numa solução típica de IoT baseada na periferia. Este artigo concentra-se na segurança de uma solução de IoT de computação na periferia.

Diagrama que mostra a arquitetura de alto nível de uma solução IoT de borda, destacando a segurança.

Numa solução de IoT baseada na periferia, pode-se dividir a segurança nas quatro áreas a seguir:

  • Segurança de ativos: proteja o ativo de IoT enquanto ele é implantado no local.

  • Segurança da ligação: Garanta que todos os dados em transferência entre o ativo, a periferia e os serviços de nuvem sejam confidenciais e invioláveis.

  • Segurança de borda: proteja seus dados à medida que eles se movem e são armazenados na borda.

  • Segurança na nuvem: proteja os seus dados à medida que se movem e são armazenados na nuvem.

Microsoft Defender para IoT e para contêineres

O Microsoft Defender for IoT é uma solução de segurança unificada criada especificamente para identificar dispositivos, vulnerabilidades e ameaças de IoT e tecnologia operacional (OT). O Microsoft Defender for Containers é uma solução nativa da nuvem para melhorar, monitorar e manter a segurança de seus ativos em contêineres (clusters Kubernetes, nós Kubernetes, cargas de trabalho Kubernetes, registros de contêineres, imagens de contêiner e muito mais) e seus aplicativos, em ambientes multicloud e locais.

Tanto o Defender for IoT quanto o Defender for Containers podem monitorar automaticamente algumas das recomendações incluídas neste artigo. O Defender for IoT e o Defender for Containers devem ser a linha de frente da defesa para proteger a sua solução baseada na edge. Para saber mais, veja:

Segurança patrimonial

Esta seção fornece orientação sobre como proteger seus ativos, como equipamentos industriais, sensores e outros dispositivos que fazem parte de sua solução de IoT. A segurança do ativo é crucial para garantir a integridade e confidencialidade dos dados que gera e transmite.

  • Usar o Cofre de Chaves do Azure e a extensão de armazenamento secreto: use o Cofre de Chaves do Azure para armazenar e gerenciar informações confidenciais de ativos, como chaves, senhas, certificados e segredos. O Azure IoT Operations usa o Azure Key Vault como solução de cofre gerido na nuvem e usa a extensão Azure Key Vault Secret Store para Kubernetes para sincronizar os segredos a partir da nuvem e armazená-los na periferia como segredos do Kubernetes. Para saber mais, consulte Gerir segredos para a implantação das Operações do Azure IoT.

  • Configure o gerenciamento seguro de certificados: o gerenciamento de certificados é crucial para garantir uma comunicação segura entre os ativos e seu ambiente de tempo de execução de borda. O Azure IoT Operations fornece ferramentas para gerenciar certificados, incluindo emissão, renovação e revogação de certificados. Para saber mais, consulte Gerenciamento de certificados para comunicação interna do Azure IoT Operations.

  • Selecione hardware à prova de violação: escolha hardware de ativo com mecanismos integrados para detetar adulteração física, como a abertura da tampa do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, alertando os operadores sobre esses eventos.

  • Habilitar atualizações seguras para firmware de ativos: use serviços que permitam atualizações sem fio para os seus ativos. Crie ativos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus ativos durante e após as atualizações.

  • Implante o hardware de ativos com segurança: certifique-se de que a implantação de hardware de ativos seja o mais inviolável possível, especialmente em locais não seguros, como espaços públicos ou localidades não supervisionadas. Habilite apenas os recursos necessários para minimizar a pegada de ataque físico, como cobrir com segurança as portas USB se elas não forem necessárias.

  • Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essas orientações juntamente com as orientações gerais neste artigo.

Segurança da Ligação

Esta seção fornece orientação sobre como proteger as conexões entre seus ativos, ambiente de tempo de execução de borda e serviços de nuvem. A segurança das ligações é crucial para garantir a integridade e confidencialidade dos dados transmitidos.

  • Usar TLS (Transport Layer Security) para proteger conexões de ativos: toda a comunicação dentro das Operações IoT do Azure é criptografada usando TLS. Para fornecer uma experiência segura por padrão que minimize a exposição inadvertida de sua solução baseada em borda a invasores, o Azure IoT Operations é implantado com uma CA raiz padrão e um emissor para certificados de servidor TLS. Para uma implantação de produção, recomendamos o uso de seu próprio emissor de CA e uma solução PKI corporativa.

  • Traga sua própria CA para produção: para implantações de produção, substitua a CA raiz autoassinada padrão por seu próprio emissor de CA e integre-se a uma PKI corporativa para garantir confiança e conformidade. Para saber mais, consulte Gerenciamento de certificados para comunicação interna do Azure IoT Operations.

  • Considere o uso de firewalls ou proxies empresariais para gerir o tráfego de saída: caso utilize firewalls ou proxies empresariais, adicione os pontos de extremidade do Azure IoT Operations à sua lista de permissões.

  • Criptografar o tráfego interno do agente de mensagens: Garantir a segurança das comunicações internas em sua infraestrutura de borda é importante para manter a integridade e a confidencialidade dos dados. Você deve configurar o broker MQTT para criptografar o tráfego interno e os dados em trânsito entre o frontend do MQTT broker e os pods de backend. Para saber mais, consulte Configurar a criptografia do tráfego interno do broker e certificados internos.

  • Configure o TLS com gerenciamento automático de certificados para ouvintes em seu broker MQTT: o Azure IoT Operations fornece gerenciamento automático de certificados para ouvintes em seu broker MQTT. Esse recurso reduz a sobrecarga administrativa do gerenciamento manual de certificados, garante renovações oportunas e ajuda a manter a conformidade com as políticas de segurança. Para saber mais, consulte Proteger a comunicação do broker MQTT usando o BrokerListener.

  • Configurar uma conexão segura com o servidor OPC UA: Ao se conectar a um servidor OPC UA, você deve determinar em quais servidores OPC UA você confia para estabelecer uma sessão com segurança. Para saber mais, consulte Configurar a infraestrutura de certificados OPC UA para o conector para OPC UA.

  • Isolar e segmentar redes: use segmentação de rede e firewalls para isolar os clusters de operações de IoT e dispositivos de ponta de outros recursos de rede. Adicione os pontos de extremidade necessários à sua lista de permissões se estiver usando firewalls ou proxies corporativos. Para saber mais, consulte Diretrizes de implantação de produção – Rede.

Segurança de Periferia

Esta secção fornece orientação sobre como proteger o seu ambiente de execução de borda, que é o software executado na sua plataforma de borda. Este software processa os dados dos seus ativos e gere a comunicação entre os seus ativos e os serviços na nuvem. A segurança do ambiente de execução na periferia é crucial para garantir a integridade e a confidencialidade dos dados processados e transmitidos.

  • Mantenha o ambiente de tempo de execução de borda atualizado: mantenha o seu cluster e a implantação do Azure IoT Operations atualizados com os patches mais recentes e atualizações menores para obter todas as correções disponíveis de segurança e bugs. Para implantações de produção, desative a atualização automática para o Azure Arc para ter controle total sobre quando novas atualizações são aplicadas ao cluster. Em vez disso, atualize manualmente os agentes conforme necessário.

  • Verifique a Integridade das Imagens de Contentor e Helm: Antes de implantar qualquer imagem no seu cluster, verifique se a imagem está assinada pela Microsoft. Para saber mais, consulte Validar assinatura de imagem.

  • Sempre use certificados X.509 ou tokens de conta de serviço Kubernetes para a autenticação com o corretor MQTT: Um corretor MQTT suporta vários métodos de autenticação para clientes. Você pode configurar cada porta de ouvinte para ter suas próprias configurações de autenticação com um recurso BrokerAuthentication. Para saber mais, consulte Configurar a autenticação do agente MQTT.

  • Forneça o menor privilégio necessário para o ativo de tópico em seu broker MQTT: as políticas de autorização determinam quais ações os clientes podem executar no broker, como conectar, publicar ou assinar tópicos. Configure o broker MQTT para usar uma ou várias políticas de autorização com o recurso BrokerAuthorization. Para saber mais, consulte Configurar autorização do broker MQTT.

Segurança da cloud

Esta seção fornece orientação sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam seus dados de ativos. A segurança dos serviços na nuvem é crucial para garantir a integridade e confidencialidade dos seus dados.

  • Usar identidades gerenciadas atribuídas pelo usuário para conexões de nuvem: sempre use a autenticação de identidade gerenciada. Sempre que possível, utilize uma identidade gerida atribuída pelo utilizador em pontos de extremidade de fluxos de dados para flexibilidade e auditabilidade. Para saber mais, consulte Habilitar configurações seguras nas Operações do Azure IoT.

  • Implantar recursos de observabilidade e configurar logs: a observabilidade fornece visibilidade em cada camada de sua configuração de Operações do Azure IoT. Ele fornece informações sobre o comportamento real dos problemas, o que aumenta a eficácia da engenharia de confiabilidade do site. O Azure IoT Operations oferece observabilidade por meio de painéis Grafana personalizados e selecionados que são hospedados no Azure. Esses painéis são alimentados pelo serviço gerenciado do Azure Monitor para Prometheus e pelo Container Insights. Implante recursos de observabilidade em seu cluster antes de implantar as Operações do Azure IoT.

  • Acesso seguro a ativos e seus pontos de extremidade com o Azure RBAC: No Azure IoT Operations, os ativos e seus pontos de extremidade têm representações tanto no cluster Kubernetes quanto no portal do Azure. Use o RBAC do Azure para proteger o acesso a esses recursos. O RBAC do Azure é um sistema de autorização que permite gerenciar o acesso aos recursos do Azure. Use o RBAC do Azure para conceder permissões a usuários, grupos e aplicativos em um determinado escopo. Para saber mais, consulte Acesso seguro a ativos e pontos de extremidade dos ativos.

Conteúdo relacionado