Proteger suas soluções de IoT

O diagrama a seguir mostra uma visão geral dos componentes em uma solução típica de IoT conectada à borda. Este artigo se concentra na segurança de uma solução de IoT conectada à edge.

Em uma solução de IoT conectada à borda, você pode dividir a segurança nas seguintes quatro áreas:

• Segurança de ativos: proteja o ativo IoT enquanto ele é implantado no local.

• Segurança de conexão: verifique se todos os dados em trânsito entre os serviços de ativo, borda e nuvem são confidenciais e à prova de adulteração.

• Segurança de borda: proteja seus dados à medida que eles se movem e são armazenados na borda.

• Segurança na nuvem: proteja seus dados conforme eles são movidos e armazenados na nuvem.

Microsoft Defender para IoT e Microsoft Defender para contêineres

Microsoft Defender para IoT é uma solução de segurança unificada criada especificamente para identificar dispositivos de IoT e tecnologia operacional (OT), vulnerabilidades e ameaças. Microsoft Defender para Contêineres é uma solução nativa de nuvem que ajuda você a melhorar, monitorar e manter a segurança de seus ativos em contêineres (clusters do Kubernetes, nós do Kubernetes, cargas de trabalho do Kubernetes, registros de contêiner, imagens de contêiner e muito mais) e seus aplicativos em ambientes locais e multinuvem.

Tanto Defender para IoT quanto Defender para Contêineres podem monitorar automaticamente algumas das recomendações incluídas neste artigo. O Defender para IoT e o Defender para contêineres devem ser a primeira linha de defesa para proteger a solução conectada à borda. Para obter mais informações, consulte:

• Microsoft Defender para contêineres – visão geral
• Microsoft Defender para IoT para organizações – visão geral.

Limites de segurança de nuvem, TI e OT

Operações do Azure IoT permite que as organizações conectem ativos OT e fontes de dados industriais a serviços de gerenciamento, análise e automação baseados em nuvem.

Conectar ambientes OT a sistemas de TI e nuvem oferece benefícios operacionais significativos, mas também altera os limites de segurança tradicionais. Dados, identidades, operações de gerenciamento e cargas de trabalho podem abranger ambientes historicamente operados isoladamente.

Ao projetar uma implantação de Operações do Azure IoT, considere os seguintes princípios:

• Aplique a segmentação de rede entre o OT, a TI e os ambientes conectados à nuvem. Para uma topologia segmentada Purdue/ISA-95, use uma implantação de rede em camadas para restringir a comunicação com camadas adjacentes.
• Use controles de acesso com privilégios mínimos para usuários, aplicativos e sistemas de gerenciamento e configure identidades dedicadas por meio de configurações seguras e identidades gerenciadas.
• Trate os dados operacionais conectados à nuvem como informativos, a menos que sejam validados pelos processos de segurança operacional. Os dados encaminhador por meio da experiência de operações e painéis são mais indicados para monitoramento.
• Evite usar painéis na nuvem, análises ou visualizações de monitoramento como única fonte confiável para decisões operacionais de segurança crítica ou de emergência.
• Siga os padrões aplicáveis do setor, os requisitos regulatórios e as políticas de segurança específicas do site ao conectar ativos OT aos serviços de nuvem.

A aplicação dos princípios de segurança de Confiança Zero ajuda a proteger esses limites: verificar explicitamente, usar acesso de privilégio mínimo e presumir violação. Você permanece responsável por determinar quais dados operacionais e caminhos de controle são apropriados para a integração de nuvem em seu ambiente.

Segurança de ativos

Esta seção fornece diretrizes sobre como proteger seus ativos, como equipamentos industriais, sensores e outros dispositivos que fazem parte de sua solução de IoT. A segurança do ativo é crucial para garantir a integridade e a confidencialidade dos dados que ele gera e transmite.

• Use o Azure Key Vault e a extensão de armazenamento de segredos: Use o Azure Key Vault para armazenar e gerenciar informações confidenciais dos seus ativos, como chaves, senhas, certificados e segredos. As Operações do Azure IoT usam o Azure Key Vault como a solução de cofre gerenciado na nuvem e usam a extensão Repositório de Segredos do Azure Key Vault para Kubernetes a fim de sincronizar os segredos da nuvem e armazená-los na borda como segredos do Kubernetes. Para saber mais, consulte Gerenciar segredos para a sua implantação de "Operações do Azure IoT".

• Configurar o gerenciamento seguro de certificados: o gerenciamento de certificados é crucial para garantir a comunicação segura entre ativos e seu ambiente de runtime de borda. Operações do Azure IoT fornece ferramentas para gerenciar certificados, incluindo emissão, renovação e revogação de certificados. Para saber mais, consulte Gerenciar certificados para sua implantação de Operações do Azure IoT.

• Selecione hardware à prova de adulteração: escolha o hardware do ativo com mecanismos internos para detectar violação física, como a abertura da cobertura do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, alertando os operadores sobre tais eventos.

• Habilitar atualizações seguras para firmware de ativos: use serviços que habilitam atualizações no ar para seus ativos. Crie ativos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus ativos durante e após as atualizações.

• Implantar hardware de ativo com segurança: verifique se a implantação de hardware de ativo é o mais à prova de adulteração possível, especialmente em locais não seguros, como espaços públicos ou localidades não supervisionadas. Habilite apenas os recursos necessários para minimizar o volume de ataque físico, como cobrir com segurança as portas USB se elas não forem necessárias.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essa orientação juntamente com as diretrizes gerais neste artigo.

Segurança da conexão

Esta seção fornece diretrizes sobre como proteger as conexões entre seus ativos, o ambiente de runtime de borda e os serviços de nuvem. A segurança das conexões é crucial para garantir a integridade e a confidencialidade dos dados transmitidos.

• Siga as diretrizes de implantação de produção do Operações do Azure IoT para conexões: para implantações de produção do Operações do Azure IoT, as diretrizes de implantação de produção fornecem configuração detalhada para usar seu próprio emissor de AC com PKI empresarial, criptografia do tráfego interno do broker MQTT, gerenciamento automático de certificados TLS para o BrokerListener e conexões seguras com servidores OPC UA.

• Use a Segurança da Camada de Transporte (TLS) para proteger conexões provenientes dos ativos: toda a comunicação no Operações do Azure IoT é criptografada com TLS. Para fornecer uma experiência segura por padrão que minimize a exposição inadvertida da sua solução conectada à borda a invasores, o Operações do Azure IoT é implantado com uma Autoridade de Certificação (CA) raiz e um emissor padrão para certificados de servidor TLS. Para uma implantação em produção, use sua própria autoridade certificadora (AC) e uma solução de PKI corporativa.

• Isolar e segmentar redes: use segmentação de rede e firewalls para isolar clusters de Operações de IoT e dispositivos de borda de outros recursos de rede. Adicione os endpoints obrigatórios à sua lista de permissões caso esteja usando firewalls ou proxies corporativos. Para saber mais, confira as diretrizes de implantação de produção – Rede.

Segurança de borda

Esta seção fornece diretrizes sobre como proteger seu ambiente de runtime de borda, que é o software executado em sua plataforma de borda. Esse software processa seus dados de ativo e gerencia a comunicação entre seus ativos e serviços de nuvem. A segurança do ambiente de runtime de borda é crucial para garantir a integridade e a confidencialidade dos dados processados e transmitidos.

• Siga as diretrizes de implantação em produção do Operações do Azure IoT para o runtime de borda: para implantações do Operações do Azure IoT em produção, siga as diretrizes de implantação em produção, que abrangem a validação de imagens assinadas pela Microsoft, manter o cluster atualizado com patches, controlar a atualização automática do Arc, autenticação do broker MQTT e autorização de tópico com privilégio mínimo.

Segurança de Nuvem

Esta seção fornece diretrizes sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam seus dados de ativo. A segurança dos serviços de nuvem é crucial para garantir a integridade e a confidencialidade de seus dados.

• Siga as diretrizes de implantação de produção do Operações do Azure IoT para conexões de nuvem: para implantações de produção do Operações do Azure IoT, as diretrizes de implantação de produção abrangem identidades gerenciadas atribuídas pelo usuário para extremidades de fluxo de dados e conexões de nuvem e a implantação de recursos de observabilidade antes da implantação.

• Acesso seguro a ativos e endpoints de ativos com o Azure RBAC: os ativos e endpoints de ativos no Operações do Azure IoT têm representações tanto no cluster Kubernetes quanto no portal do Azure. Use Azure RBAC para proteger o acesso a esses recursos. Azure RBAC é um sistema de autorização que permite gerenciar o acesso aos recursos de Azure. Use Azure RBAC para conceder permissões a usuários, grupos e aplicativos em um determinado escopo. Para saber mais, consulte as funções RBAC personalizadas para seus recursos de Operações do Azure IoT.

O diagrama a seguir mostra uma exibição de alto nível dos componentes em uma solução de IoT conectada à nuvem típica. Este artigo se concentra na segurança de uma solução de IoT conectada à nuvem:

Em uma solução de IoT conectada à nuvem, você pode dividir a segurança nas três seguintes áreas:

• Segurança do dispositivo: proteja o dispositivo IoT enquanto ele é implantado no local.

• Segurança da conexão: garanta que todos os dados transmitidos entre o dispositivo IoT e os serviços de nuvem IoT sejam confidenciais e à prova de adulteração.

• Segurança na nuvem: proteja seus dados conforme eles são movidos e armazenados na nuvem.

As recomendações neste artigo ajudam você a cumprir as obrigações de segurança descritas no modelo de responsabilidade compartilhada.

Microsoft Defender para IoT

Microsoft Defender para IoT monitora automaticamente algumas das recomendações neste artigo. Microsoft Defender para IoT analisa periodicamente o estado de segurança de seus recursos de Azure para identificar possíveis vulnerabilidades de segurança e, em seguida, oferece recomendações sobre como resolvê-las. Para obter mais informações, consulte:

• O que é Microsoft Defender para IoT para organizações?
• O que é Microsoft Defender para IoT para construtores de dispositivos?
• Aprimorar a postura de segurança com recomendações de segurança

Segurança do dispositivo

Esta seção fornece diretrizes sobre como proteger seus dispositivos IoT, que são os componentes de hardware que coletam e transmitem dados. A segurança do dispositivo é crucial para garantir a integridade e a confidencialidade dos dados que ele gera e transmite.

• Adeque o hardware aos requisitos mínimos: selecione seu dispositivo de hardware incluindo apenas os recursos mínimos necessários para a operação e nada mais. Por exemplo, inclua portas USB somente se forem necessárias para o funcionamento do dispositivo em sua solução. Funcionalidades extras podem expor o dispositivo a vetores de ataque indesejados.

• Selecione hardware à prova de adulteração: selecione o hardware do dispositivo com mecanismos internos para detectar violação física, como a abertura da cobertura do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, o que poderia alertar os operadores sobre tais eventos.

• Selecione o hardware seguro: se possível, escolha o hardware do dispositivo que inclui recursos de segurança, como funcionalidade de armazenamento e inicialização segura e criptografada com base em um Módulo de Plataforma Confiável. Esses recursos tornam os dispositivos mais seguros e ajudam a proteger a infraestrutura geral de IoT.

• Habilite atualizações seguras: use serviços como o Device Update for Hub IoT para atualizações remotas dos seus dispositivos IoT. Desenvolva dispositivos com caminhos seguros para atualizações e garantia criptográfica das versões de firmware para proteger seus dispositivos durante e após as atualizações.

• Siga uma metodologia de desenvolvimento de software seguro: o desenvolvimento de software seguro exige que você considere a segurança desde a concepção do projeto até sua implementação, teste e implantação. O Microsoft Security Development Lifecycle fornece uma abordagem passo a passo para a criação de software seguro.

• Use SDKs de dispositivos sempre que possível: os SDKs de dispositivos implementam diversas funcionalidades de segurança, como criptografia e autenticação, que auxiliam no desenvolvimento de aplicativos robustos e seguros para os dispositivos. Para saber mais, consulte IoT do Azure SDKs.

• Escolher software livre com cuidado: software livre fornece uma oportunidade o rápido desenvolvimento de soluções. Ao escolher o software de software livre, considere o nível de atividade da comunidade para cada componente de software livre. Uma comunidade ativa garante que existirá suporte para o software e que os problemas serão descobertos e tratados. Talvez não haja suporte para um projeto de software open-source obscuro e inativo e os problemas provavelmente não serão descobertos.

• Implantar hardware com segurança: as implantações de IoT podem exigir que você implante hardware em locais não seguros, como em espaços públicos ou localidades não supervisionadas. Nessas situações, torne a implantação de hardware o mais à prova de adulteração possível e habilite apenas os recursos necessários para minimizar o volume de ataque físico.

• Armazenar credenciais em HSMs (módulos de segurança de hardware): use HSMs para armazenar com segurança os segredos do dispositivo, como chaves privadas e certificados, para proteger contra extração e adulteração. Para saber mais, consulte autenticação X.509 do Hub IoT, orientação do DPS HSM e gerenciador de segurança do IoT Edge.

• Girar regularmente as chaves e certificados do dispositivo: gire regularmente as credenciais, especialmente após uma violação ou expiração, para minimizar o risco de acesso não autorizado. Para saber mais, confira Como rolar certificados no DPS e no gerenciamento de certificados do IoT Central X.509.

• Atualização e correção: mantenha todos os ambientes de execução, SDKs e componentes do sistema operacional atualizados com os patches e atualizações de segurança mais recentes. Para saber mais, consulte IoT Edge diretrizes de atualização.

• Proteger contra atividades mal-intencionadas: se o sistema operacional permitir, instale as funcionalidades antivírus e anti-malware mais recentes em cada sistema operacional do dispositivo.

• Auditoria com frequência: audite a infraestrutura de IoT para problemas de segurança para permitir que você responda a incidentes de segurança. A maioria dos sistemas operacionais fornece log de eventos interno. Examine os logs com frequência para verificar se há violações de segurança. Um dispositivo pode enviar informações de auditoria como um fluxo de dados separado para o serviço de nuvem, onde você pode analisá-lo.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essa orientação juntamente com as diretrizes gerais neste artigo.

• Use um gateway de campo a fim de fornecer serviços de segurança para dispositivos herdados ou restritos: dispositivos herdados e restritos talvez não tenham a capacidade de criptografar dados, conectar-se à Internet ou oferecer auditoria avançada. Nesses casos, um gateway de campo moderno e seguro pode agregar dados de dispositivos legados e fornecer a segurança necessária para conectar esses dispositivos pela internet. Um dispositivo IoT Edge pode ser usado como um gateway e fornecer autenticação segura, negociação de sessões criptografadas, recebimento de comandos da nuvem e muitos outros recursos de segurança. Azure Sphere pode atuar como um módulo guardião para proteger outros dispositivos, incluindo sistemas herdados existentes não projetados para conectividade confiável.

• Criptografe dados em repouso: use criptografia em nível de sistema operacional, como o BitLocker para Windows, para armazenamento de dispositivos e de borda para proteger os dados caso os dispositivos sejam perdidos ou roubados. Para saber mais, consulte IoT Edge security.

Segurança da conexão

Esta seção fornece diretrizes sobre como proteger as conexões entre seus dispositivos IoT e serviços de nuvem. A segurança das conexões é crucial para garantir a integridade e a confidencialidade dos dados transmitidos.

• Use certificados X.509 para autenticar seus dispositivos para Hub IoT ou IoT Central: Hub IoT e IoT Central dão suporte a certificados X.509 para autenticação de dispositivo. Use a autenticação baseada em X.509 em ambientes de produção porque ela fornece maior segurança do que chaves simétricas. Para saber mais, consulte Autenticação de um dispositivo no Hub IoT e Conceitos de autenticação de dispositivos no IoT Central.

• Evite chaves simétricas compartilhadas: se você usar chaves simétricas, não compartilhe chaves simétricas entre dispositivos. Cada dispositivo precisa de credenciais exclusivas para evitar um comprometimento generalizado se uma chave for vazada. Para saber mais, confira as práticas de segurança para fabricantes de dispositivos.

• Use Transport Layer Security (TLS) 1.2 para proteger conexões de dispositivos: Hub IoT e O IoT Central usam o TLS para proteger conexões de dispositivos e serviços IoT. Hub IoT dá suporte ao TLS 1.0, 1.1 e 1.2. TLS 1.0 e 1.1 são herdados e devem ser evitados. Para saber mais, consulte o suporte a Transport Layer Security (TLS) em Hub IoT e o suporte a TLS no Serviço de Provisionamento de Dispositivos (DPS) do Hub IoT do Azure.

• Use conjuntos de criptografia fortes e mantenha os certificados de autoridade raiz atualizados: atualize regularmente os conjuntos de criptografia e os certificados raiz confiáveis para garantir conexões seguras. Para saber mais, consulte Hub IoT suporte ao TLS.

• Verifique se você tem uma maneira de atualizar o certificado raiz do TLS em seus dispositivos: os certificados raiz TLS duram muito tempo, mas eles podem expirar ou ser revogados. Se você não conseguir atualizar o certificado no dispositivo, talvez o dispositivo não consiga se conectar ao Hub IoT, ao IoT Central ou a qualquer outro serviço de nuvem posteriormente. Para saber mais, confira Como rolar certificados de dispositivo X.509.

• Considere usar Link Privado do Azure: Link Privado do Azure permite conectar seus dispositivos a um ponto de extremidade privado em sua rede virtual, para que você possa bloquear o acesso aos pontos de extremidade públicos voltados para o dispositivo do hub IoT. Para saber mais, consulte Conectividade de Ingresso ao Hub IoT usando Link Privado do Azure e Segurança de Rede para IoT Central usando endpoints privados.

• Restringir o acesso à rede: use a filtragem de IP para limitar o acesso a fontes e redes confiáveis. Para saber mais, consulte filtragem de IP do Hub IoT, pontos de extremidade privados do IoT Central e filtragem de IP do DPS.

• Desabilite o acesso à rede pública se não for necessário: impeça a exposição à Internet pública desabilitando pontos de extremidade públicos quando possível. Para saber mais, consulte acesso à rede pública do Hub IoT e acesso à rede pública do DPS.

• Isole dispositivos e serviços de borda em segmentos de rede seguros: use segmentação de rede e firewalls para isolar dispositivos e serviços de IoT Edge de outros recursos de rede. Para saber mais, consulte Segurança do IoT Edge para Linux no Windows.

Segurança de Nuvem

Esta seção fornece diretrizes sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam os dados do dispositivo IoT. A segurança dos serviços de nuvem é crucial para garantir a integridade e a confidencialidade de seus dados.

• Siga uma metodologia de desenvolvimento de software seguro: o desenvolvimento de software seguro exige que você considere a segurança desde a concepção do projeto até sua implementação, teste e implantação. O Microsoft Security Development Lifecycle fornece uma abordagem passo a passo para a criação de software seguro.

• Escolher software livre com cuidado: software livre fornece uma oportunidade o rápido desenvolvimento de soluções. Ao escolher o software livre, considere o nível de atividade da comunidade para cada componente de software livre. Uma comunidade ativa garante que existirá suporte para o software e que os problemas serão descobertos e tratados. Talvez não haja suporte para um projeto de software open-source obscuro e inativo e os problemas provavelmente não serão descobertos.

• Integrar com cuidado: há muitas das falhas de segurança de software no limite de bibliotecas e APIs. A funcionalidade que não é necessária para a implantação atual ainda pode estar disponível por meio de uma camada de API. Para garantir a segurança geral, verifique todas as interfaces de componentes integrados em busca de falhas de segurança.

• Proteger credenciais de nuvem: os invasores podem usar as credenciais de autenticação de nuvem que você usa para configurar e operar sua implantação de IoT para obter acesso e comprometer seu sistema IoT. Proteja as credenciais alterando a senha com frequência e não use essas credenciais em computadores compartilhados ou não gerenciados.

• Use Microsoft Entra ID e RBAC com Hub IoT: Use Microsoft Entra ID e Azure RBAC para acessar a API de serviço e gerenciamento e habilitar o controle de acesso granular baseado em identidade. Para saber mais, consulte Hub IoT Entra ID authentication and DPS Entra ID authentication.

• Desabilite as políticas de acesso compartilhado se não for necessário: reduza a superfície de ataque desabilitando políticas de acesso compartilhado e tokens quando não precisar delas. Para saber mais, consulte Hub IoT políticas de acesso compartilhado.

• Estabeleça controles de acesso para o aplicativo IoT Central: compreenda e defina o tipo de acesso permitido no aplicativo IoT Central. Para obter mais informações, consulte:

  • Gerencie usuários e funções em seu aplicativo IoT Central
  • Gerenciar organizações do IoT Central
  • Usar logs de auditoria para acompanhar a atividade no aplicativo do Azure IoT Central
  • Como autenticar e autorizar as chamadas à API REST do IoT Central

• Define controles de acesso para serviços de back-end: outros serviços de Azure podem consumir os dados que o hub IoT ou o aplicativo IoT Central ingere de seus dispositivos. Você pode rotear mensagens de seus dispositivos para outros serviços de Azure. Entenda e configure as permissões de acesso apropriadas para Hub IoT ou IoT Central para se conectar a esses serviços. Para obter mais informações, consulte:

  • Ler mensagens de dispositivo para nuvem a partir do ponto de extremidade integrado do Hub IoT
  • Use o roteamento de mensagens do Hub IoT para enviar mensagens do dispositivo para a nuvem para diferentes destinos
  • Exportar dados do IoT Central
  • Exportar dados do IoT Central para um destino seguro em uma Rede Virtual do Azure

• Conceda apenas as permissões mínimas necessárias: aplique o princípio de privilégio mínimo ao atribuir funções e permissões a usuários, aplicativos e dispositivos. Para saber mais, confira as práticas recomendadas de gerenciamento de identidades.

• Monitore sua solução de IoT na nuvem: monitore a integridade geral da solução de IoT usando métricas de Hub IoT em Azure Monitor ou Monitor IoT Central application health.

• Set up diagnostics: Monitore suas operações registrando eventos em log dentro da sua solução e envie os logs de diagnóstico para o Azure Monitor. Para aprender mais, veja Monitorar e diagnosticar problemas no Hub IoT.