Aracılığıyla paylaş

IoT iş yükünüzün güvenliği

  • Makale

IoT çözümleri, çok az doğrudan etkileşimle veya hiç etkileşim olmadan farklı ve heterojen cihaz tabanlı iş yüklerinin güvenliğini sağlama zorluğuna sahiptir. IoT cihaz oluşturucuları, IoT uygulama geliştiricileri ve IoT çözümü operatörleri, tam IoT çözümü yaşam döngüsü boyunca güvenlik sorumluluğunu paylaşır. Çözümü en baştan güvenlik göz önünde bulundurarak tasarlamak önemlidir. Olası tehditleri anlayın ve çözümü tasarlayıp tasarlarken derinlemesine savunma ekleyin.

Güvenlik planlaması bir tehdit modeliyle başlar. Bir saldırganın sistemin güvenliğini nasıl aşabileceğini anlamak, en baştan uygun risk azaltmaları sağlamanıza yardımcı olur. Tehdit modellemesi, tasarım aşamasına dahil ettiğinizde en büyük değeri sunar. Tehdit modelleme alıştırmasının bir parçası olarak, tipik bir IoT mimarisini çeşitli bileşenlere veya bölgelere bölebilirsiniz: cihaz, cihaz ağ geçidi, bulut ağ geçidi ve hizmetler. Her bölgenin kendi kimlik doğrulaması, yetkilendirme ve veri gereksinimleri olabilir. Bölgeleri kullanarak hasarı yalıtabilir ve düşük güven bölgelerinin yüksek güven bölgeleri üzerindeki etkisini kısıtlayabilirsiniz. Daha fazla bilgi için bkz . Nesnelerin İnterneti (IoT) güvenlik mimarisi.

IoT İş Yükleri için aşağıdaki güvenlik kılavuzu önemli noktaları tanımlar ve tasarım ve uygulama önerileri sağlar.

IoT iş yükünüzün güvenliğini değerlendirme

IoT iş yükünüzü Well-Architected Framework Güvenlik sütunu lensleri aracılığıyla değerlendirmek için Azure Well-Architected İncelemesi'nde IoT iş yüklerine yönelik güvenlik sorularını tamamlayın. Değerlendirme IoT çözümünüz için önemli güvenlik önerilerini belirledikten sonra, önerilerin uygulanmasına yardımcı olması için aşağıdaki içeriği kullanın.

Tasarım İlkeleri

Mimari mükemmelliği temel alan beş yapı , IoT iş yükü tasarım metodolojisini temel alır. Bu sütunlar, temel IoT tasarım alanlarındaki sonraki tasarım kararları için pusula görevi görür. Aşağıdaki tasarım ilkeleri, Azure Well-Architected Framework - Güvenlik'in kalite sütununu genişletir.

Tasarım ilkesi Dikkat edilmesi gerekenler
Güçlü kimlik Cihazların ve kullanıcıların kimliğini doğrulamak için güçlü bir kimlik kullanın. Güvenilir kimlik için donanım güven köküne sahip olun, cihazları kaydedin, yenilenebilir kimlik bilgileri verin ve parolasız veya çok faktörlü kimlik doğrulaması (MFA) kullanın. Genel Azure kimlik ve erişim yönetimi konularını gözden geçirin.
En az ayrıcalık Güvenliği aşılmış cihazlardan, kimliklerden veya onaylanmamış iş yüklerinden etkiyi sınırlamak için en az ayrıcalıklı erişim denetimini otomatikleştirin ve kullanın.
Cihaz durumu Cihaz erişimini kapatmak için cihaz durumunu değerlendirin veya düzeltme için cihazlara bayrak ekleyin. Güvenlik yapılandırmasını denetleyin, güvenlik açıklarını ve güvenli olmayan parolaları değerlendirin, tehditleri ve anomalileri izleyin ve sürekli risk profilleri oluşturun.
Cihaz güncelleştirmesi Cihazların sağlıklı kalmasını sağlamak için sürekli güncelleştirmeler. Cihazların güncel ve iyi durumda olduğundan emin olmak için merkezi bir yapılandırma ve uyumluluk yönetimi çözümü ile sağlam bir güncelleştirme mekanizması kullanın.
Sistem güvenliğini izleme, olay yanıtlarını planlama Yetkisiz veya güvenliği aşılmış cihazları proaktif olarak izleyin ve ortaya çıkan tehditlere yanıt verin.

Sıfır güven güvenlik modeli

IoT sistemlerine yetkisiz erişim, fabrika üretim verilerinin sızdırılması veya fabrika üretim hattının durdurulması gibi siber-fiziksel sistemler denetimi için ayrıcalıkların yükseltilmesi gibi toplu bilgilerin açığa çıkmasına neden olabilir. Sıfır güven güvenlik modeli, buluta veya şirket içi IoT hizmetlerine ve verilerine yetkisiz erişim elde eden kullanıcıların olası etkisini sınırlamaya yardımcı olur.

Kurumsal güvenlik duvarının arkasındaki her şeyin güvenli olduğunu varsayma yerine sıfır güven, erişim vermeden önce her erişim isteğinin kimliğini tam olarak doğrular, yetkiler ve şifreler. IoT çözümlerinin güvenliğini sıfır güven ile sağlamak, kullanıcıları açıkça doğrulama, ağdaki cihazları gözden geçirme ve dinamik erişim kararları almak için gerçek zamanlı risk algılamayı kullanma gibi temel kimlik, cihaz ve erişim güvenlik uygulamalarının uygulanmasıyla başlar.

Aşağıdaki kaynaklar, sıfır güvene sahip bir IoT çözümü uygulamanıza yardımcı olabilir:

IoT mimarisi desenleri

IoT sistemlerinin çoğu bağlı ürünler veya bağlı operasyonlar mimarisi deseni kullanır. Bu desenler arasında önemli güvenlik farklılıkları vardır. Bağlı operasyonlar veya işletim teknolojisi (OT) çözümleri genellikle diğer fiziksel cihazları izleyen ve denetleyebilen şirket içi cihazlara sahiptir. Bu OT cihazları kurcalama, paket algılama ve bant dışı yönetim ve havadan (OTA) güncelleştirme gereksinimi gibi güvenlik zorlukları ekler.

Fabrikalar ve OT ortamları kötü amaçlı yazılım ve güvenlik ihlalleri için kolay hedefler olabilir, çünkü ekipman eski, fiziksel olarak savunmasız ve sunucu düzeyinde güvenlikten yalıtılabilir. Uçtan uca bir bakış açısı için Azure Well-Architected Framework güvenlik sütununu gözden geçirin.

IoT mimari katmanları

Güvenlik tasarımı ilkeleri, IoT iş yükünüzün temel IoT mimarisi katmanlarındaki gereksinimleri karşıladığından emin olmak için dikkat edilmesi gereken noktaların netleştirilmesine yardımcı olur.

Tüm katmanlar STRIDE kategorilerine göre sınıflandırılabilen çeşitli tehditlere tabidir: kimlik sahtekarlığı, kurcalama, reddetme, bilgilerin açığa çıkması, hizmet reddi ve ayrıcalıkların yükseltilmesi. IoT mimarileri tasarlayıp oluştururken her zaman Microsoft Güvenlik Geliştirme Yaşam Döngüsü (SDL) uygulamalarını izleyin.

IoT mimarisindeki katmanları ve çapraz kesme etkinliklerini gösteren diyagram.

Cihaz ve ağ geçidi katmanı

Bu mimari katmanı, fiziksel erişime veya eşler arası dijital erişime izin veren cihazın ve ağ geçidinin etrafındaki anlık fiziksel alanı içerir. Birçok endüstriyel şirket, işlem denetim ağlarının hem sınırlı ağ bant genişliğini korumasını hem de gerçek zamanlı belirleyici davranış sağlamasını sağlamak için ISA 95 standardına dahil edilen Purdue modelini kullanır. Purdue modeli, ek bir derinlemesine savunma metodolojisi katmanı sağlar.

Güçlü cihaz kimliği

IoT cihazlarının ve hizmetlerinin sıkı tümleşik özellikleri güçlü cihaz kimliği sağlar. Bu özellikler şunları içerir:

  • Güvenin donanım kökü.
  • Sertifikaları, MFA'yı veya parolasız kimlik doğrulamasını kullanarak güçlü kimlik doğrulaması.
  • Yenilenebilir kimlik bilgileri.
  • Kurumsal IoT cihaz kayıt defteri.

Bir donanım güven kökü aşağıdaki özniteliklere sahiptir:

  • Ayrılmış, kurcalamaya dayanıklı donanımda kimliği kanıtlayan güvenli kimlik bilgisi depolaması.
  • Fiziksel cihaza bağlı sabit ekleme kimliği.
  • Normal cihaz erişimi için cihaz başına benzersiz yenilenebilir işletimsel kimlik bilgileri.

Ekleme kimliği fiziksel cihazı temsil eder ve birbirinden ayrılamaz. Bu kimlik genellikle üretim sırasında oluşturulur ve yüklenir ve cihazın ömrü boyunca değiştirilemez. Değişmezliği ve kullanım ömrü göz önünde bulundurulduğunda cihaz ekleme kimliğini yalnızca cihazı IoT çözümüne eklemek için kullanmanız gerekir.

Ekledikten sonra, IoT uygulamasına kimlik doğrulaması ve yetkilendirme için yenilenebilir bir operasyonel kimlik ve kimlik bilgileri sağlayın ve kullanın. Bu kimliğin yenilenebilir hale getirilmesi, cihazın işletimsel erişim için erişimini ve iptalini yönetmenize olanak tanır. Yenileme zamanında cihaz bütünlüğünün ve sistem durumunun kanıtı gibi ilke temelli geçitler uygulayabilirsiniz.

Güvenin donanım kökü, cihazların güvenlik belirtimlerine göre derlenmesini ve gerekli uyumluluk rejimlerine uygun olmasını da sağlar. Tedarik zinciri saldırılarının cihaz bütünlüğünü tehlikeye atmadığından emin olmak için güvenin donanım kökünün tedarik zincirini veya ioT cihazının diğer donanım bileşenlerini koruyun.

Genellikle cihazın kimliğini kanıtlamak için standart x509 sertifikaları kullanan parolasız kimlik doğrulaması, parolalar ve her iki taraf arasında paylaşılan simetrik belirteçler gibi gizli dizilere göre daha fazla koruma sağlar. Sertifikalar , yenilenebilir parolasız kimlik doğrulaması sağlayan güçlü, standartlaştırılmış bir mekanizmadır. Sertifikaları yönetmek için:

  • Güvenilir bir ortak anahtar altyapısından (PKI) işletimsel sertifikalar sağlayın.
  • İş kullanımı, yönetim yükü ve maliyet için uygun bir yenileme ömrü kullanın.
  • El ile döndürme nedeniyle olası erişim kesintilerini en aza indirmek için yenilemeyi otomatik hale getirin.
  • Standart, güncel şifreleme tekniklerini kullanın. Örneğin, özel anahtar iletmek yerine sertifika imzalama istekleri (CSR) aracılığıyla yenileyin.
  • Cihazlara işletimsel kimliklerine göre erişim izni verme.
  • X509 sertifikalarını kullanırken sertifika iptal listesi (CRL) gibi kimlik bilgisi iptalini destekleyin. Örneğin, risk veya hırsızlık durumlarına yanıt olarak cihaz erişimini hemen kaldırın.

Bazı eski veya kaynak kısıtlamalı IoT cihazları güçlü kimlik, parolasız kimlik doğrulaması veya yenilenebilir kimlik bilgilerini kullanamaz. IoT ağ geçitlerini, daha az özellikli bu cihazlarla yerel olarak arabirim yapmak için koruyucu olarak kullanın ve güçlü kimlik desenlerine sahip IoT hizmetlerine erişmek için bu cihazları köprüleyin. Bu uygulama, zaman içinde daha yetenekli cihazlar kullanmaya geçiş yaparken bugün sıfır güven benimsemenizi sağlar.

Sanal makineler (VM'ler), kapsayıcılar veya IoT istemcisi ekleyen herhangi bir hizmet, donanım güven kökünü kullanamaz. Bu bileşenlerle kullanılabilir özellikleri kullanın. Donanım güven desteğine sahip olmayan VM'ler ve kapsayıcılar parolasız kimlik doğrulaması ve yenilenebilir kimlik bilgilerini kullanabilir. Derinlemesine savunma çözümü mümkün olduğunda yedeklilik sağlar ve gerektiğinde boşlukları doldurur. Örneğin, alandaki ioT cihazıyla karşılaştırıldığında veri merkezi gibi daha fazla fiziksel güvenliğe sahip bir alanda VM'leri ve kapsayıcıları bulabilirsiniz.

Kuruluşunuzun IoT cihaz yaşam döngüsünü yönetmek ve cihaz erişimini denetlemek için merkezi bir kurumsal IoT cihaz kayıt defteri kullanın. Bu yaklaşım, sıfır güven güvenliği elde etmek için kuruluşun iş gücünün kullanıcı kimliklerinin güvenliğini sağlama yönteminize benzer. Bulut tabanlı kimlik kayıt defteri bir IoT çözümünün ölçeğini, yönetimini ve güvenliğini işleyebilir.

IoT cihaz kayıt defteri bilgileri, cihaz kimliğinin ve kimlik bilgilerinin bilindiğini ve yetkilendirildiğini doğrulayarak cihazları bir IoT çözümüne ekler. Bir cihaz eklendikten sonra cihaz kayıt defteri, cihazın işletimsel kimliği ve günlük kullanım için kimlik doğrulaması için kullanılan yenilenebilir kimlik bilgileri de dahil olmak üzere temel özelliklerini içerir.

IoT cihaz kayıt defteri verilerini kullanarak şunları yapabilirsiniz:

  • Sistem durumu, düzeltme eki ve güvenlik durumu dahil olmak üzere kuruluşun IoT cihazlarının envanterini görüntüleyin.
  • Ölçeklendirilen işlem, yönetim, iş yükü dağıtımı ve erişim denetimi için cihazları sorgulayıp gruplandırma.

Tanıma ve izleme amacıyla Azure IoT hizmetlerine bağlanmayan yönetilmeyen IoT cihazlarını algılamak ve envantere kaydetmek için ağ algılayıcılarını kullanın.

En az ayrıcalıklı erişim

En az ayrıcalıklı erişim denetimi, güvenliği aşılmış veya onaylanmamış iş yüklerini çalıştırabilecek kimliği doğrulanmış kimliklerin etkisini sınırlamaya yardımcı olur. IoT senaryoları için aşağıdakileri kullanarak operatör, cihaz ve iş yükü erişimi verin:

  • Yalnızca cihazdaki kapsamlı iş yüklerine erişim için cihaz ve iş yükü erişim denetimi.
  • Tam zamanında erişim.
  • MFA ve parolasız kimlik doğrulaması gibi güçlü kimlik doğrulama mekanizmaları.
  • IP adresi veya GPS konumu, sistem yapılandırması, benzersizlik, günün saati veya ağ trafiği desenleri gibi bir cihazın bağlamını temel alan koşullu erişim. Hizmetler, iş yüklerini koşullu olarak dağıtmak için cihaz bağlamı da kullanabilir.

Etkin ve en az ayrıcalıklı erişimi uygulamak için:

  • IoT bulut ağ geçidi erişim yönetimini yalnızca arka ucun gerektirdiği işlevsellik için uygun erişim izinleri vermek üzere yapılandırın.
  • Bağlantı noktalarının minimum erişime sahip olmasını sağlayarak erişim noktalarını IoT cihazları ve bulut uygulamalarıyla sınırlayın.
  • Fiziksel cihaz kurcalamasını önlemek ve algılamak için mekanizmalar oluşturun.
  • Rol tabanlı veya öznitelik tabanlı erişim denetimi gibi uygun bir erişim denetimi modeli aracılığıyla kullanıcı erişimini yönetin.
  • Ağ kesimlemesi kullanarak IoT cihazları için katman en az ayrıcalıklı erişim.

Ağ mikro segmentasyonu

Ağ tasarımı ve yapılandırması, IoT cihazlarını trafik desenlerine ve risklere maruz kalmalarına göre segmentlere ayırma yoluyla derinlemesine savunma oluşturma fırsatları sunar. Bu segmentasyon, güvenliği aşılmış cihazların ve daha yüksek değerli varlıklara özetlenen saldırganların olası etkisini en aza indirir. Ağ segmentasyonu genellikle yeni nesil güvenlik duvarlarını kullanır.

Ağ mikro segmentasyonu, ağ geçidinin arkasında veya ayrı bir ağ kesiminde ağ katmanında daha az özellikli cihazların yalıtılmasına olanak tanır. IoT cihazlarını gruplandırmak için ağ segmentasyonunu kullanın ve olası güvenlik ihlalinin etkisini azaltmak için uç nokta korumasını kullanın.

Cihazların gerektiğinde ağa erişmesine izin veren ve izin verilmediğinde erişimi engelleyen bütünsel bir güvenlik duvarı kuralı stratejisi uygulayın. Derinlemesine savunmayı desteklemek için olgun kuruluşlar Purdue modelinin birden çok katmanında mikro segmentasyon ilkeleri uygulayabilir. Gerekirse, ağ erişimini kısıtlamak için cihazlarda güvenlik duvarlarını kullanın.

Device health

Sıfır güven ilkesi kapsamında cihaz durumu, bir cihazın güven düzeyi de dahil olmak üzere risk profilini belirlemek için önemli bir faktördür. IoT uygulamalarına ve hizmetlerine yalnızca iyi durumdaki cihazların erişebildiğinden emin olmak veya düzeltme için sorgulanabilir durumdaki cihazları belirlemek için risk profilini erişim geçidi olarak kullanın.

Endüstri standartlarına göre cihaz durumu değerlendirmesi şunları içermelidir:

  • Güvenlik yapılandırması değerlendirmesi ve cihazın güvenli bir şekilde yapılandırıldığını kanıtlama.
  • Cihaz yazılımının güncel olup olmadığını veya bilinen güvenlik açıklarına sahip olup olmadığını belirlemek için güvenlik açığı değerlendirmesi.
  • Sertifikalar gibi cihaz kimlik bilgilerini ve Aktarım Katmanı Güvenliği (TLS) 1.2+ gibi protokolleri denetlemek için güvenli olmayan kimlik bilgisi değerlendirmesi.
  • Etkin tehditler ve tehdit uyarıları.
  • Ağ deseni ve kullanım sapması gibi anormal davranış uyarıları.

Cihazlar için sıfır güven ölçütleri

Sıfır güveni desteklemek için IoT cihazlarının şunları yapması gerekir:

  • Güçlü bir cihaz kimliği sağlamak için bir donanım güven kökü içerir.
  • Düzenli çalışma ve erişim için yenilenebilir kimlik bilgilerini kullanın.
  • Kameralar, depolama alanı ve algılayıcılar gibi yerel cihaz kaynaklarına en az ayrıcalıklı erişim denetimini zorunlu kılın.
  • Koşullu erişimin zorunlu olmasını sağlamak için uygun cihaz durumu sinyallerini yayma.
  • Güvenlik güncelleştirmelerinin uygulanaabildiğinden emin olmak için cihazın kullanılabilir ömrü boyunca güncelleştirme aracıları ve ilgili yazılım güncelleştirmelerini sağlayın.
  • Bulut tabanlı cihaz yapılandırmasını ve otomatik güvenlik yanıtlarını etkinleştirmek için cihaz yönetimi özelliklerini ekleyin.
  • Güvenlik izleme, algılama ve yanıt sistemleriyle tümleşen güvenlik aracılarını çalıştırın.
  • Fiziksel saldırı ayak izini en aza indirmek için, örneğin fiziksel USB veya UART bağlantı noktaları ya da WiFi ya da Bluetooth bağlantısı gibi gerekli olmayan cihaz özelliklerini kapatın veya devre dışı bırakın. Gerektiğinde fiziksel kaldırma, kaplama veya engelleme kullanın.
  • Cihazlardaki verileri koruma. Bekleyen veriler cihazlarda depolanıyorsa, verileri şifrelemek için standart şifreleme algoritmalarını kullanın.

Çeşitli Azure ürün ve hizmetleri IoT cihaz güvenliğini destekler:

  • Azure Sphere koruyucu modülleri güçlü kimlik, uçtan uca şifreleme ve düzenli güvenlik güncelleştirmeleri gibi sıfır güven özellikleriyle kritik eski cihazları IoT hizmetlerine bağlar.

  • Azure IoT Edge, IoT Hub ve diğer Azure hizmetlerine uç çalışma zamanı bağlantısı sağlar ve güçlü cihaz kimlikleri olarak sertifikaları destekler. IoT Edge, güvenilir platform modülünde (TPM) veya Donanım Güvenlik Modülü'nde (HSM) depolanan cihaz üretim kimlikleri ve diğer gizli diziler için PKCS#11 standardını destekler.

  • Azure IoT Hub SDK'ları bir cihaz istemci kitaplıkları, geliştirici kılavuzları, örnekler ve belgeler kümesidir. Cihaz SDK'ları, sağlam ve güvenli bir cihaz uygulaması geliştirmenize yardımcı olmak için şifreleme ve kimlik doğrulaması gibi çeşitli güvenlik özelliklerini uygular.

  • Azure RTOS , çok çeşitli tümleşik IoT cihaz platformlarına dağıtabileceğiniz bir C dili kitaplık koleksiyonu olarak gerçek zamanlı bir işletim sistemi sağlar.

    Azure RTOS, TLS 1.2 ve 1.3 ile temel X.509 özelliklerine sahip eksiksiz bir TCP/IP yığını içerir. Azure RTOS ve Azure IoT Embedded SDK'sı Azure IoT Hub, Azure Cihaz Sağlama Hizmeti (DPS) ve Microsoft Defender ile de tümleşir. X.509 karşılıklı kimlik doğrulaması ve ECDHE ve AES-GCM gibi modern TLS şifreleme paketleri için destek gibi özellikler, güvenli ağ iletişiminin temellerini kapsar.

    Azure RTOS şunları da destekler:

    • Arm TrustZone, bellek koruması ve bölümleme mimarisi gibi donanım güvenlik özelliklerini destekleyen mikrodenetleyici platformlarında sıfır güven tasarımı.
    • ST Microelectronics'ten STSAFE-A110 gibi güvenli eleman cihazları.
    • Güvenli önyükleme, şifreleme ve kanıtlama gibi standartlaştırılmış bir güvenlik özellikleri kümesi sağlamak için donanım ve üretici yazılımını birleştiren Arm Platform Güvenlik Mimarisi (PSA) gibi endüstri standartları.

  • Azure Sertifikalı Cihaz programı, cihaz iş ortaklarının cihazları kolayca ayırt etmelerini ve tanıtmalarını sağlar. Program, çözüm oluşturucularının ve müşterilerin sıfır güven çözümü sağlayan özelliklerle oluşturulmuş IoT cihazlarını bulmasına yardımcı olur.

  • Edge Secure-core programı (önizleme), cihazların cihaz kimliği, güvenli önyükleme, işletim sistemi sağlamlaştırma, cihaz güncelleştirmeleri, veri koruması ve güvenlik açığı açıklamaları için güvenlik gereksinimlerini karşılayıp karşılamadığını doğrular. Edge Güvenli çekirdek program gereksinimleri, çeşitli sektör gereksinimleri ve güvenlik mühendisliği bakış açılarından dağıtılır.

    Edge Güvenli Çekirdek programı, Azure Doğrulama hizmeti gibi Azure hizmetlerinin cihaz duruşunu temel alarak koşullu kararlar vermesine olanak tanıyarak sıfır güven modelini etkinleştirir. Cihazlar bir donanım güven kökü içermeli ve güvenli önyükleme ve üretici yazılımı koruması sağlamalıdır. Bu öznitelikler kanıtlama hizmeti tarafından ölçülebilir ve aşağı akış hizmetleri tarafından hassas kaynaklara koşullu erişim vermek için kullanılabilir.

Alım ve iletişim katmanı

IoT çözümüne alınan veriler , Azure Well-Architected Framework güvenlik dayanağındaki yönergelerle korunmalıdır. Ayrıca IoT çözümleri için cihazdan buluta iletişimin güvenli ve en son TLS standartları kullanılarak şifrelendiğinden emin olmak kritik önem taşır.

Cihaz yönetimi ve modelleme katmanı

Bu mimari katmanı, hem veri toplama ve analiz hem de komut ve denetim için cihazlar ve ağ geçitleriyle arabirim oluşturan bulutta çalışan yazılım bileşenlerini veya modülleri içerir.

IoT hizmetleri için sıfır güven ölçütleri

Aşağıdaki temel sıfır güven özellikleri sunan IoT hizmetlerini kullanın:

  • Güçlü kullanıcı kimlikleri, MFA ve koşullu kullanıcı erişimi gibi sıfır güven kullanıcı erişim denetimi için tam destek.
  • En az ayrıcalıklı erişim ve koşullu denetimler için kullanıcı erişim denetim sistemleriyle tümleştirme.
  • Tam cihaz envanteri ve cihaz yönetimi için merkezi bir cihaz kayıt defteri.
  • Güçlü kimlik doğrulaması ile yenilenebilir cihaz kimlik bilgileri sunan karşılıklı kimlik doğrulaması.
  • Yalnızca sistem durumu veya bilinen konum gibi ölçütleri karşılayan cihazların bağlanabilmesi için koşullu erişimle en az ayrıcalıklı cihaz erişim denetimi.
  • Cihazların sağlıklı kalmasını sağlamak için OTA güncelleştirmeleri.
  • Hem IoT hizmetlerinin hem de bağlı IoT cihazlarının güvenlik izlemesi.
  • Tüm genel uç noktalar için izleme ve erişim denetimi ve bu uç noktalara yapılan tüm çağrılar için kimlik doğrulaması ve yetkilendirme.

Bazı Azure IoT hizmetleri bu sıfır güven özelliklerini sağlar.

  • IoT için Windows, IoT güvenlik spektrumunun temel yapı taşlarında güvenliğin sağlanmasına yardımcı olur.

    • BitLocker Sürücü Şifrelemesi, Güvenli Önyükleme, Windows Defender Uygulama Denetimi, Windows Defender Exploit Guard, güvenli Evrensel Windows Platformu (UWP) uygulamaları, Birleşik Yazma Filtresi, güvenli bir iletişim yığını ve güvenlik kimlik bilgisi yönetimi bekleyen verileri kod yürütme sırasında ve aktarım sırasında korur.

    • Cihaz Durumu Kanıtlaması (DHA), güvenilir bir cihazla başlayıp zaman içinde güveni korumanıza olanak sağlamak için güvenilir cihazları algılar ve izler.

    • Cihaz Güncelleştirme Merkezi ve Windows Server Update Services en son güvenlik düzeltme eklerini uygular. Azure IoT Hub cihaz yönetimi özelliklerini, Microsoft Intune veya üçüncü taraf mobil cihaz yönetimi çözümlerini ve Microsoft System Center Configuration Manager kullanarak cihazlara yönelik tehditleri düzeltebilirsiniz.

  • IoT için Microsoft Defender, IoT ve OT cihazları için sürekli varlık bulma, güvenlik açığı yönetimi ve tehdit algılama sağlayan aracısız bir ağ katmanı güvenlik platformudur. IoT için Defender, yetkisiz veya güvenliği aşılmış bileşenleri tanımlamak için IoT kullanan davranış analizini kullanarak ağ trafiğini sürekli izler.

    IoT için Defender, OT ortamlarında yaygın olarak bulunan özel ekli OT cihazlarını ve eski Windows sistemlerini destekler. IoT için Defender tüm IoT cihazlarının envanterini oluşturabilir, güvenlik açıklarını değerlendirebilir, risk tabanlı risk azaltma önerileri sağlayabilir ve anormal veya yetkisiz davranışlar için cihazları sürekli izleyebilir.

  • IoT için Microsoft Defender ile sıkı bir şekilde tümleşen bulut tabanlı bir güvenlik bilgileri ve olay yönetimi (SIEM) ve güvenlik düzenleme, otomasyon ve yanıt (SOAR) platformu olan Microsoft Sentinel. Microsoft Sentinel, güvenlik duvarları, ağ erişim denetimi ve ağ anahtarı cihazları dahil olmak üzere tüm kullanıcılar, cihazlar, uygulamalar ve altyapı genelinde veri toplayarak kuruluşunuz genelinde güvenliğin bulut ölçeğinde bir görünümünü sağlar.

    Microsoft Sentinel, IoT veya OT cihazlarının olası güvenliğinin aşıldığını gösteren anormal davranışları hızla tespit edebilir. Microsoft Sentinel ayrıca Splunk, IBM QRadar ve ServiceNow gibi üçüncü taraf güvenlik operasyonları merkezi (SOC) çözümlerini de destekler.

  • Azure IoT Hub, IoT cihazları için bir işletimsel kayıt defteri sağlar. IoT Hub, güçlü kimlik sağlamak için cihaz işlem sertifikalarını kabul eder ve yetkisiz bağlantıları önlemek için cihazları merkezi olarak devre dışı bırakabilir. IoT Hub, IoT Edge iş yüklerini destekleyen modül kimliklerinin sağlanmasını destekler.

    • Azure IoT Hub Cihaz Sağlama Hizmeti (DPS), kuruluş cihazlarının büyük ölçekte eklemeye kaydolması için merkezi bir cihaz kayıt defteri sağlar. DPS, güçlü cihaz kimliği ve yenilenebilir kimlik bilgileriyle eklemeye olanak tanımak için cihaz sertifikalarını kabul eder ve cihazları günlük işlemleri için IoT Hub kaydeder.

    • IoT Hub için Azure Cihaz Güncelleştirmesi (ADU), IoT cihazlarınız için OTA güncelleştirmelerini dağıtmanıza olanak tanır. ADU, neredeyse tüm cihazları bağlamak için bulutta barındırılan bir çözüm sağlar ve Linux ve Azure RTOS dahil olmak üzere çok çeşitli IoT işletim sistemlerini destekler.

    • sanal ağlar için Azure IoT Hub desteği, IoT Hub bağlantısını, çalıştırdığınız bir sanal ağ üzerinden kısıtlamanıza olanak tanır. Bu ağ yalıtımı, genel İnternet bağlantısının açıklanmasını önler ve hassas şirket içi ağlardan sızdırma saldırılarını önlemeye yardımcı olabilir.

Aşağıdaki Microsoft ürünleri, genel IoT çözümleriyle donanım ve Azure hizmetlerini tamamen tümleştirir.

  • Azure Sphere , orta ve düşük güçte IoT cihazlarının sıfır güven uygulamak için yüksek oranda güvenli cihazların yedi özelliğine erişmesine yardımcı olan, tam olarak yönetilen bir tümleşik donanım, işletim sistemi ve bulut platformu çözümüdür. Cihazlar açık doğrulama kullanır ve güveni otomatik olarak yenileyen sertifika tabanlı Cihaz Kanıtlama ve Kimlik Doğrulaması (DAA) uygular.

    Azure Sphere, uygulamaların tüm çevre birimi ve bağlantı seçeneklerine varsayılan olarak erişiminin reddedildiği en az ayrıcalıklı erişimi kullanır. Ağ bağlantısı için izin verilen web etki alanlarının yazılım bildirimine dahil edilmesi gerekir, aksi durumda uygulama cihazın dışına bağlanamaz.

    Azure Sphere, varsayılan ihlaller üzerine kurulmuştur. Derinlemesine savunma, işletim sistemi tasarımı boyunca korumaları katmanlar. Azure Sphere cihazlarında Arm TrustZone'da çalışan güvenli bir dünya bölümü, Pluton veya donanım kaynaklarına erişimden işletim sistemi ihlallerini segmentlere ayırmaya yardımcı olur.

    Azure Sphere, güvenilir bağlantı için tasarlanmamış mevcut eski sistemler de dahil olmak üzere diğer cihazların güvenliğini sağlamaya yönelik bir koruyucu modül olabilir. Bu senaryoda, Bir Azure Sphere koruyucu modülü ethernet, seri veya BLE aracılığıyla bir uygulama ve mevcut cihazlarla arabirimler ile dağıtılır. Cihazların doğrudan İnternet bağlantısı olması gerekmez.

  • Azure Percept , dakikalar içinde kavram kanıtı başlatmanıza yardımcı olabilecek uçtan uca bir yapay zeka platformudur. Azure Percept, Azure AI ve IoT hizmetleriyle tümleşik donanım hızlandırıcıları, önceden oluşturulmuş yapay zeka modelleri ve çözüm yönetimi içerir.

    Azure Percept cihazları çıkarım verilerini, yapay zeka modellerini ve kameralar ve mikrofonlar gibi gizliliğe duyarlı algılayıcıları korumaya yardımcı olmak için bir donanım güven kökü kullanır. Azure Percept, Azure Percept Studio hizmetleri için cihaz kimlik doğrulaması ve yetkilendirmesini etkinleştirir. Daha fazla bilgi için bkz. Azure Percept güvenliği.

DevOps katmanı

Kurumsal bir IoT çözümü, operatörlerin sistemi yönetmesi için bir strateji sağlamalıdır. Proaktif olarak güvenliğe odaklanan DevOps yöntemleri şunlardır:

  • İlkeleri güvenli bir şekilde uygulamak ve sertifikaları dağıtmak ve güncelleştirmek için merkezi yapılandırma ve uyumluluk yönetimi.
  • Cihazlar, üretici yazılımı, sürücüler, temel işletim sistemi ve konak uygulamaları ile bulutta dağıtılan iş yükleri üzerindeki yazılım kümesinin tamamını güncelleştirmek için dağıtılabilir güncelleştirmeler.

Daha fazla bilgi için bkz . Azure ve GitHub ile DevSecOps'ı etkinleştirme.

Sürekli güncelleştirmeler

Cihaz erişimini sistem durumuna göre denetlemek için üretim cihazlarını proaktif olarak çalışır ve iyi durumda bir hedef durumunda tutmanız gerekir. Güncelleştirme mekanizmaları:

  • Uzaktan dağıtım özelliklerine sahip olmak.
  • Süre sonu veya iptal nedeniyle sertifika değişiklikleri gibi ortamdaki değişikliklere, çalışma koşullarına ve kimlik doğrulama mekanizmasına dayanıklı olun.
  • Güncelleştirme dağıtımı doğrulama desteği.
  • Güvenlik için zamanlanmış güncelleştirmeleri etkinleştirmek için sürekli güvenlik izlemesiyle tümleştirin.

İş sürekliliğini engelleyen güncelleştirmeleri erteleyebilmeli, ancak bir güvenlik açığı algıladıktan sonra bunları iyi tanımlanmış bir zaman aralığı içinde tamamlayabilmelisiniz. Güncelleştirilmemiş cihazlar iyi durumda değil olarak işaretlenmelidir.

Güvenlik izleme ve yanıt

IoT çözümünün tüm bağlı cihazları için büyük ölçekte izleme ve düzeltme gerçekleştirebilmesi gerekir. Derinlemesine savunma stratejisi olarak izleme, yönetilen yeşil alan cihazları için ek bir koruma katmanı ekler ve aracıları desteklemeyen ve uzaktan yama uygulanamayan veya yapılandırılamayan eski, yönetilmeyen brownfield cihazları için telafi edici bir denetim sağlar.

Günlük düzeylerine, izlenecek etkinlik türlerine ve uyarılar için gereken yanıtlara karar vermeniz gerekir. Günlükler güvenli bir şekilde depolanmalı ve hiçbir güvenlik ayrıntısı içermemelidir.

Siber Güvenlik ve Altyapı Güvenlik Ajansı'na (CISA) göre, bir güvenlik izleme programı denetleyicilerde yetkisiz değişiklikleri, cihazlardan olağan dışı davranışları ve erişim ve yetkilendirme girişimlerini izlemeli ve denetlemelidir. Güvenlik izleme şunları içermelidir:

  • Tüm IoT ve OT cihazlarının olduğu gibi varlık envanteri ve ağ haritası oluşturma.
  • IoT ve OT ağlarında kullanılan tüm iletişim protokollerini tanımlama.
  • Ağlara ve ağlardan gelen tüm dış bağlantıları kataloglama.
  • IoT ve OT cihazlarında güvenlik açıklarını tanımlama ve bunları azaltmak için risk tabanlı bir yaklaşım kullanma.
  • IoT sistemleri içinde karada yaşamak gibi kötü amaçlı siber taktikleri algılamak için anomali algılama ile tetikte bir izleme programı uygulama.

IoT saldırılarının çoğu, saldırganların bir başlangıç kalesi oluşturduğu, ayrıcalıklarını yükselttiği ve ağ üzerinde yanyana hareket ettiği bir sonlandırma zinciri desenini izler. Saldırganlar genellikle, alt ağlar arasında ağ segmentasyonu uygulamak için oluşturulan yeni nesil güvenlik duvarları gibi engelleri atlamak için ayrıcalıklı kimlik bilgilerini kullanır. Bu çok aşamalı saldırıları hızla algılamak ve bunlara yanıt vermek için BT, IoT ve OT ağlarında otomasyon, makine öğrenmesi ve tehdit bilgileriyle birlikte birleşik bir görünüm gerekir.

Hem şirket içinde hem de birden çok bulutta tüm kullanıcılar, cihazlar, uygulamalar ve altyapı dahil olmak üzere tüm ortamdan sinyalleri toplayın. MERKEZI SIEM ve genişletilmiş algılama ve yanıt (XDR) platformlarındaki sinyalleri analiz edin. Burada SOC analistleri önceden bilinmeyen tehditleri bulup ortaya çıkarabiliyor.

Son olarak, olaylara hızlı bir şekilde yanıt vermek ve saldırıları kuruluşunuzu maddi olarak etkilemeden önce azaltmak için SOAR platformlarını kullanın. Belirli olaylar algılandığında otomatik olarak yürütülen playbook'ları tanımlayabilirsiniz. Örneğin, güvenliği aşılmış cihazların diğer sistemlere bulaşamaması için cihazları otomatik olarak engelleyebilir veya karantinaya alabilirsiniz.

Sonraki adımlar

IoT iş yükünüzde maliyet iyileştirmesi