Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
L'hub IoT di Azure fornisce un hub messaggi centrale per la comunicazione bidirezionale tra le applicazioni IoT e i dispositivi gestiti. Quando si distribuisce questo servizio, è importante seguire le procedure consigliate per la sicurezza per proteggere dati, configurazioni e infrastruttura.
Questo articolo fornisce indicazioni su come proteggere al meglio la distribuzione dell'hub IoT di Azure. Se si usano anche altri servizi Azure IoT, vedere Proteggere le soluzioni IoT.
Sicurezza della rete
La protezione dell'accesso di rete all'hub IoT è fondamentale per impedire l'accesso non autorizzato e proteggere il flusso di dati tra i dispositivi e il cloud.
Abilitare gli endpoint privati: eliminare l'esposizione a Internet pubblico instradando il traffico attraverso la rete virtuale con collegamento privato di Azure, consentendo ai dispositivi di connettersi all'hub IoT senza esposizione alla rete Internet pubblica. Vedere Supporto dell'hub IoT per le reti virtuali con collegamento privato di Azure.
Disabilitare l'accesso alla rete pubblica: impedire l'accesso diretto da Internet pubblico disabilitando invece gli endpoint pubblici quando è possibile usare endpoint privati. Vedere Gestione dell'accesso alla rete pubblica per l'hub IoT.
Configurare il filtro IP: limitare le connessioni all'hub IoT consentendo solo indirizzi IP o intervalli specifici, limitando l'esposizione a potenziali attacchi. Consultare il filtro IP dell'hub IoT.
Applicare TLS 1.2 e pacchetti di crittografia sicuri: rafforzare la sicurezza delle connessioni applicando l'uso di TLS 1.2 e i pacchetti di crittografia consigliati per tutte le connessioni di dispositivi e servizi. Consulta il Supporto TLS (Transport Layer Security) nell'hub IoT.
Gestione delle identità e degli accessi
La gestione corretta delle identità e degli accessi è essenziale per controllare chi può amministrare l'hub IoT e il modo in cui i dispositivi eseguono l'autenticazione.
Usare l'autenticazione microsoft Entra ID: implementare Microsoft Entra ID (in precedenza Azure AD) per l'autenticazione e l'autorizzazione delle richieste dell'API del servizio, abilitando un controllo di accesso più granulare rispetto ai criteri di accesso condiviso. Vedere Controllare l'accesso all'hub IoT usando Azure Active Directory.
Implementare Azure RBAC per autorizzazioni granulari: assegnare un controllo degli accessi basato sui ruoli con il principio del privilegio minimo agli utenti e alle applicazioni che accedono alle API di gestione di IoT Hub, riducendo così il rischio di operazioni non autorizzate. Vedere Gestire l'accesso a IoT Hub utilizzando l'assegnazione dei ruoli con controllo degli accessi basato sul ruolo in Azure.
Usare certificati X.509 per l'autenticazione del dispositivo: implementare l'autenticazione basata su certificati X.509 anziché i token di firma di accesso condiviso per gli ambienti di produzione per aumentare la sicurezza e consentire una migliore gestione delle credenziali. Vedere Autenticare le identità con certificati X.509.
Evitare chiavi simmetriche condivise tra dispositivi: assegnare credenziali univoche a ogni dispositivo per evitare una compromissione diffusa se una singola chiave viene persa, limitando l'impatto della potenziale esposizione delle credenziali. Vedere Procedure di sicurezza per i produttori di dispositivi.
Disabilitare i criteri di accesso condiviso quando non è necessario: ridurre la superficie di attacco disabilitando i criteri di accesso condiviso e i token quando si usa Microsoft Entra ID per l'autenticazione. Vedere Applicare l'autenticazione di Microsoft Entra.
Protezione dei dati
La protezione dei dati sia in transito che inattivi è fondamentale per mantenere la riservatezza e l'integrità della soluzione IoT.
Usare i moduli di sicurezza hardware per i segreti dei dispositivi: archiviare i certificati dei dispositivi e le chiavi private nei moduli di protezione hardware (HSM) per proteggersi dall'estrazione e dalla manomissione, migliorando la sicurezza delle credenziali di autenticazione. Vedere Modulo di sicurezza hardware.
Implementare la crittografia dei dati a livello di dispositivo: crittografare i dati sensibili nei dispositivi prima della trasmissione all'hub IoT per aggiungere un ulteriore livello di protezione oltre a TLS, in particolare per informazioni altamente riservate. Oltre a crittografare i dati sensibili nei dispositivi prima della trasmissione all'hub IoT, assicurarsi che anche tutti i dati archiviati in componenti con stato di Azure IoT, ad esempio i dispositivi gemelli, siano crittografati. Questo vale sia per la comunicazione da dispositivo a cloud che da cloud a dispositivo. Consultare Protezione dei dati a riposo tramite algoritmi di crittografia standard.
Usare le versioni più recenti dell'SDK: assicurarsi di usare gli SDK dei dispositivi dell'hub IoT più recenti che implementano varie funzionalità di sicurezza, tra cui crittografia e autenticazione. Vedere Azure IoT SDK.
Mantenere aggiornati i certificati CA radice: aggiornare regolarmente i certificati radice attendibili nei dispositivi per mantenere connessioni TLS sicure, evitando errori di connessione a causa di certificati scaduti o revocati. Vedere Supporto TLS dell'hub IoT.
Registrazione e monitoraggio
La registrazione e il monitoraggio completi sono essenziali per rilevare e rispondere a potenziali problemi di sicurezza nella soluzione IoT.
Abilitare i log delle risorse per le connessioni e i dati di telemetria del dispositivo: configurare le impostazioni di diagnostica per inviare i log delle risorse dell'hub IoT ai log di Monitoraggio di Azure per tenere traccia dei tentativi di connessione, degli errori e delle operazioni per l'analisi della sicurezza. Vedere Monitorare e diagnosticare i problemi nell'hub IoT.
Configurare gli avvisi per i problemi di connettività: creare avvisi basati su metriche e log per rilevare modelli insoliti come errori di autenticazione ripetuti o disconnessioni impreviste che potrebbero indicare problemi di sicurezza. Vedere Monitorare, diagnosticare e risolvere i problemi di connettività dei dispositivi dell'hub IoT di Azure.
Abilitare Microsoft Defender per IoT: attivare Microsoft Defender per IoT nell'hub IoT per ottenere il monitoraggio, le raccomandazioni e gli avvisi di sicurezza in tempo reale per potenziali minacce destinate alla soluzione IoT. Vedere Avvio rapido: Abilitare Microsoft Defender per IoT nell'hub IoT di Azure.
Monitorare le versioni dell'SDK dei dispositivi: tenere traccia delle versioni dell'SDK usate connettendo i dispositivi per assicurarsi che usino versioni sicure e up-to-date che includono le patch di sicurezza più recenti. Vedere Monitoraggio dell'hub IoT di Azure.
Conformità e governance
Stabilire una governance appropriata e garantire la conformità agli standard di sicurezza sono aspetti chiave della gestione di una soluzione IoT sicura.
Applicare Criteri di Azure per l'hub IoT: implementare Criteri di Azure per applicare e controllare le configurazioni di sicurezza tra gli hub IoT, assicurando che vengano mantenuti standard di sicurezza coerenti. Vedere Definizioni predefinite di Criteri di Azure per l'hub IoT di Azure.
Controllare regolarmente le autorizzazioni di accesso: esaminare e convalidare le autorizzazioni di accesso concesse a utenti, applicazioni e dispositivi regolarmente per garantire che rispettino il principio dei privilegi minimi. Vedere Procedure consigliate per la gestione delle identità.
Abilitare le impostazioni di diagnostica per il controllo: configurare le impostazioni di diagnostica per acquisire e archiviare i log di controllo per l'hub IoT per supportare le indagini sulla sicurezza e i requisiti di conformità. Consultare I log delle risorse nell'hub IoT devono essere abilitati.
Implementare la micro-segmentazione di rete: separare logicamente i dispositivi IoT da altre risorse organizzative implementando la micro-segmentazione di rete, limitando il potenziale raggio di esplosione di un evento imprevisto di sicurezza. Vedere Segmentazione di rete.
Sicurezza dei dispositivi
La protezione dei dispositivi che si connettono all'hub IoT è fondamentale per la sicurezza complessiva della soluzione IoT.
Usare le credenziali dei dispositivi rinnovabili: implementare un processo per aggiornare regolarmente le credenziali del dispositivo, ad esempio i certificati X.509 in sequenza, per limitare l'impatto dell'autenticazione compromessa. Vedere Come rinnovare i certificati X.509 dei dispositivi.
Distribuire agenti di aggiornamento nei dispositivi: assicurarsi che i dispositivi dispongano di agenti di aggiornamento per la ricezione e l'applicazione di aggiornamenti della sicurezza, mantenendo il firmware e il software protetti durante tutto il ciclo di vita del dispositivo. Vedere Aggiornamento dei dispositivi per l'hub IoT.
Implementare il provisioning sicuro dei dispositivi: usare il servizio Device Provisioning in hub IoT di Azure per un provisioning sicuro e automatico dei dispositivi su larga scala, con meccanismi di autenticazione adeguati. Vedere Servizio di provisioning dei dispositivi di IoT Hub.
Usare i moduli della piattaforma trusted: distribuire dispositivi con funzionalità di sicurezza basate su hardware come I TPM (Trusted Platform Modules) per fornire un'archiviazione sicura per le chiavi di crittografia e la protezione da manomissioni fisiche. Vedere Attestazione TPM.
Revocare l'accesso per i dispositivi compromessi: implementare procedure per revocare rapidamente l'accesso per i dispositivi che mostrano segni di compromissione, impedendo loro di connettersi all'hub IoT e di influire potenzialmente su altri dispositivi. Vedere Come revocare l'accesso ai dispositivi.