Skydda dina IoT-lösningar

Följande diagram visar en översikt över komponenterna i en typisk kantansluten IoT-lösning. Den här artikeln fokuserar på säkerheten för en gränsansluten IoT-lösning:

I en gränsansluten IoT-lösning kan du dela in säkerheten i följande fyra områden:

• Tillgångssäkerhet: Skydda IoT-tillgången när den distribueras lokalt.

• Anslutningssäkerhet: Se till att alla data som överförs mellan tillgångs-, gräns- och molntjänsterna är konfidentiella och manipuleringssäkra.

• Edge-säkerhet: Skydda dina data när de rör sig igenom och lagras vid gränsen.

• Molnsäkerhet: Skydda dina data när de flyttas igenom och lagras i molnet.

Microsoft Defender for IoT och Microsoft Defender för containrar

Microsoft Defender for IoT är en enhetlig säkerhetslösning som skapats specifikt för att identifiera IoT- och driftteknikenheter (OT), sårbarheter och hot. Microsoft Defender för containrar är en molnbaserad lösning som hjälper dig att förbättra, övervaka och upprätthålla säkerheten för dina containerbaserade tillgångar (Kubernetes-kluster, Kubernetes-noder, Kubernetes-arbetsbelastningar, containerregister, containeravbildningar med mera) och deras program i miljöer med flera moln och lokalt.

Både Defender för IoT och Defender för containrar kan automatiskt övervaka några av rekommendationerna i den här artikeln. Defender för IoT och Defender för containrar bör vara din första försvarslinje för att skydda din gränsanslutna lösning. Mer information finns i:

• Microsoft Defender för containrar – översikt
• Microsoft Defender for IoT för organisationer – översikt.

OT-, IT- och molnsäkerhetsgränser

Azure IoT Operations låter organisationer ansluta OT-tillgångar och industriella datakällor till molnbaserade hanterings-, analys- och automatiseringstjänster.

Att ansluta OT-miljöer till IT- och molnsystem ger betydande operativa fördelar, men det ändrar också traditionella säkerhetsgränser. Data, identiteter, hanteringsåtgärder och arbetsbelastningar kan omfatta miljöer som tidigare har fungerat isolerat.

När du utformar en Azure IoT Operations distribution bör du tänka på följande principer:

• Tillämpa nätverkssegmentering mellan OT-, IT- och molnanslutna miljöer. För en purdue/ISA-95-segmenterad topologi använder du en nätverksdistribution i flera lager för att begränsa kommunikationen till angränsande lager.
• Använd åtkomstkontroller med minst privilegier för användare, program och hanteringssystem och konfigurera dedikerade identiteter via säkra inställningar och hanterade identiteter.
• Behandla molnanslutna driftdata som information om de inte verifieras av dina driftsäkerhetsprocesser. Data som dirigeras via driftupplevelsen och instrumentpaneler passar bäst för övervakning.
• Undvik att använda molninstrumentpaneler, analys- eller övervakningsvyer som ensam utfärdare för säkerhetskritiska eller akuta driftsbeslut.
• Följ tillämpliga branschstandarder, regelkrav och platsspecifika säkerhetsprinciper när du ansluter OT-tillgångar till molntjänster.

Genom att tillämpa Nulová dôvera (Zero Trust) säkerhetsprinciper kan du skydda dessa gränser: verifiera explicit, använda åtkomst med minst privilegier och anta intrång. Du ansvarar fortfarande för att avgöra vilka driftdata och kontrollvägar som är lämpliga för molnintegrering i din miljö.

Skydd av tillgångar

Det här avsnittet innehåller vägledning om hur du skyddar dina tillgångar, till exempel industriell utrustning, sensorer och andra enheter som ingår i din IoT-lösning. Tillgångens säkerhet är avgörande för att säkerställa integriteten och konfidentialiteten för de data som den genererar och överför.

• Använd Azure Key Vault och tillägget för hemligt arkiv: Använd Azure Key Vault för att lagra och hantera känslig information för dina tillgångar, till exempel nycklar, lösenord, certifikat och hemligheter. Azure IoT Operations använder Azure Key Vault som lösning för hanterade valv i molnet och använder tillägget Azure Key Vault Secret Store för Kubernetes för att synkronisera hemligheter från molnet och lagra dem vid gränsen som Kubernetes-hemligheter. Mer information finns i Hantera hemligheter för din Azure IoT Operations-distribution.

• Konfigurera säker certifikathantering: Det är viktigt att hantera certifikat för att säkerställa säker kommunikation mellan tillgångar och din gränskörningsmiljö. Azure IoT Operations innehåller verktyg för att hantera certifikat, inklusive utfärdande, förnyelse och återkallande av certifikat. Mer information finns i Hantera certifikat för din Azure IoT Operations distribution.

• Välj manipulationssäker maskinvara: Välj tillgångsmaskinvara med inbyggda mekanismer för att identifiera fysisk manipulering, till exempel öppnande av enhetsskyddet eller borttagning av en del av enheten. Dessa manipuleringssignaler kan vara en del av dataströmmen som laddas upp till molnet och avisera operatörer om dessa händelser.

• Aktivera säkra uppdateringar för tillgångarnas firmware: Använd tjänster som möjliggör trådlösa uppdateringar för dina tillgångar. Skapa tillgångar med säkra sökvägar för uppdateringar och kryptografisk säkerhet för versioner av inbyggd programvara för att skydda dina tillgångar under och efter uppdateringar.

• Distribuera hårdvara för tillgångar på ett säkert sätt: Säkerställ att distributionen av hårdvara för tillgångar är så manipuleringssäker som möjligt, särskilt på osäkra platser som offentliga utrymmen eller oövervakade områden. Aktivera endast nödvändiga funktioner för att minimera fotavtrycket för fysiska attacker, till exempel att skydda USB-portar om de inte behövs.

• Följ enhetstillverkarens bästa praxis för säkerhet och distribution: Om tillverkaren av enheten tillhandahåller säkerhets- och distributionsvägledning ska du följa den vägledningen tillsammans med den allmänna vägledningen i den här artikeln.

Anslutningssäkerhet

Det här avsnittet innehåller vägledning om hur du skyddar anslutningarna mellan dina tillgångar, gränskörningsmiljö och molntjänster. Säkerheten för anslutningarna är avgörande för att säkerställa integriteten och konfidentialiteten för de data som överförs.

• Följ riktlinjerna för Azure IoT Operations produktionsdistribution för anslutningar: För produktionsdistributioner Azure IoT Operations tillhandahåller riktlinjerna för produktionsdistribution detaljerad konfiguration för att ta med din egen CA-utfärdare med enterprise PKI, MQTT Broker intern trafikkryptering, automatisk TLS-certifikathantering för BrokerListener och säkra anslutningar till OPC UA-servrar.

• Använd TLS (Transport Layer Security) för att skydda anslutningar från tillgångar: All kommunikation inom Azure IoT Operations krypteras med hjälp av TLS. För att ge en säker standardupplevelse som minimerar oavsiktlig utsättning av din edge-anslutna lösning för angripare, distribueras Azure IoT Operations med en standard rot-CA och utfärdare för TLS-servercertifikat. För en produktionsdistribution använder du din egen CA-utfärdare och en PKI-lösning för företag.

• Isolera och segmentera nätverk: Använd nätverkssegmentering och brandväggar för att isolera IoT Operations-kluster och gränsenheter från andra nätverksresurser. Lägg till nödvändiga slutpunkter i listan över tillåtna om du använder företagsbrandväggar eller proxyservrar. Mer information finns i Riktlinjer för produktionsdistribution – Nätverk.

Edge-säkerhet

Det här avsnittet innehåller vägledning om hur du skyddar din edge-körningsmiljö, vilket är programvaran som körs på din edge-plattform. Den här programvaran bearbetar dina tillgångsdata och hanterar kommunikationen mellan dina tillgångar och molntjänster. Säkerheten i gränskörningsmiljön är avgörande för att säkerställa integriteten och konfidentialiteten för de data som bearbetas och överförs.

• Följ Azure IoT Operations riktlinjer för produktionsdistribution för gränkkörningen: För Azure IoT Operations-produktionsdistributioner följer du riktlinjerna för produktionsdistribution, som omfattar validering av Microsoft-signerade avbildningar, att hålla klustret uppdaterat, styrning av automatisk Arc-uppgradering, MQTT-brokerautentisering och ämnesauktorisering enligt principen om minsta privilegium.

Molnsäkerhet

Det här avsnittet innehåller vägledning om hur du skyddar dina molntjänster, som är de tjänster som bearbetar och lagrar dina tillgångsdata. Säkerheten för molntjänsterna är avgörande för att säkerställa integriteten och konfidentialiteten för dina data.

• Följ Azure IoT Operations riktlinjer för produktionsdistribution för molnanslutningar: För produktionsdistributioner Azure IoT Operations distributioner omfattar riktlinjerna för produktionsdistributionanvändartilldelade hanterade identiteter för dataflödesslutpunkter och molnanslutningar och distribution av observerbarhetsresurser före distribution.

• Säker åtkomst till tillgångar och tillgångsslutpunkter med Azure RBAC: Tillgångar och tillgångsslutpunkter i Azure IoT Operations har representationer i både Kubernetes-klustret och Azure-portalen. Använd Azure RBAC för att skydda åtkomsten till dessa resurser. Azure RBAC är ett auktoriseringssystem som gör att du kan hantera åtkomst till Azure resurser. Använd Azure RBAC för att bevilja behörigheter till användare, grupper och program i ett visst omfång. Mer information finns i Anpassade RBAC-roller för dina Azure IoT Operations resurser.

Följande diagram visar en översikt över komponenterna i en typisk molnansluten IoT-lösning. Den här artikeln fokuserar på säkerheten för en molnansluten IoT-lösning:

I en molnansluten IoT-lösning kan du dela in säkerheten i följande tre områden:

• Enhetssäkerhet: Skydda IoT-enheten när den distribueras lokalt.

• Anslutningssäkerhet: Se till att alla data som överförs mellan IoT-enheten och IoT-molntjänsterna är konfidentiella och manipuleringssäkra.

• Molnsäkerhet: Skydda dina data när de flyttas igenom och lagras i molnet.

Rekommendationerna i den här artikeln hjälper dig att uppfylla de säkerhetsskyldigheter som beskrivs i modellen med delat ansvar.

Microsoft Defender for IoT

Microsoft Defender for IoT övervakar automatiskt några av rekommendationerna i den här artikeln. Microsoft Defender for IoT analyserar regelbundet säkerhetstillståndet för dina Azure resurser för att identifiera potentiella säkerhetsrisker och ger sedan rekommendationer om hur du hanterar dem. Mer information finns i:

• Vad är Microsoft Defender for IoT för organisationer?
• Vad är Microsoft Defender for IoT för enhetsbyggare?
• Förbättra säkerhetsstatusen med säkerhetsrekommendationer

Enhetssäkerhet

Det här avsnittet innehåller vägledning om hur du skyddar dina IoT-enheter, som är maskinvarukomponenterna som samlar in och överför data. Enhetens säkerhet är avgörande för att säkerställa integriteten och konfidentialiteten för de data som den genererar och överför.

• Välj maskinvara enligt minimikraven: Välj enhetens maskinvara så att den bara inkluderar de nödvändiga funktioner som krävs för att fungera, inget mer. Ta till exempel bara med USB-portar om de behövs för att enheten ska fungera i din lösning. Extra funktioner kan exponera enheten för oönskade attackvektorer.

• Välj manipulationssäker maskinvara: Välj enhetsmaskinvara med inbyggda mekanismer för att identifiera fysisk manipulering, till exempel öppnandet av enhetsskyddet eller borttagning av en del av enheten. Dessa manipuleringssignaler kan vara en del av dataströmmen som laddas upp till molnet, vilket kan varna operatörer för dessa händelser.

• Välj säker maskinvara: Om möjligt väljer du enhetsmaskinvara som innehåller säkerhetsfunktioner som säker och krypterad lagrings- och startfunktion baserat på en betrodd plattformsmodul. De här funktionerna gör enheterna säkrare och skyddar den övergripande IoT-infrastrukturen.

• Aktivera säkra uppdateringar: Använd tjänster som Enhetsuppdatering för IoT Hub för trådlösa uppdateringar för dina IoT-enheter. Skapa enheter med säkra sökvägar för uppdateringar och kryptografisk säkerhet för versioner av inbyggd programvara för att skydda dina enheter under och efter uppdateringar.

• Följ en säker metod för programvaruutveckling: Utvecklingen av säker programvara kräver att du överväger säkerhet från starten av projektet hela vägen genom implementering, testning och distribution. Microsoft Security Development Lifecycle tillhandahåller en stegvis metod för att skapa säker programvara.

• Använd enhets-SDK:er när det är möjligt: Enhets-SDK:er implementerar olika säkerhetsfunktioner, till exempel kryptering och autentisering som hjälper dig att utveckla robusta och säkra enhetsprogram. Mer information finns i Azure IoT SDK:er.

• Välj programvara med öppen källkod med försiktighet: Programvara med öppen källkod ger en möjlighet att snabbt utveckla lösningar. När du väljer programvara med öppen källkod bör du överväga communityns aktivitetsnivå för varje komponent med öppen källkod. En aktiv community ser till att programvara stöds och att problem identifieras och åtgärdas. Ett obskyrt och inaktivt programvaruprojekt med öppen källkod kanske inte stöds och det är inte troligt att problem identifieras.

• Distribuera maskinvara på ett säkert sätt: IoT-implementeringar kan kräva att du distribuerar maskinvara på oskyddade platser, till exempel i offentliga utrymmen eller oövervakade platser. I dessa situationer gör du maskinvarudistributionen så manipuleringssäker som möjligt och aktiverar endast de funktioner som krävs för att minimera fotavtrycket för fysiska attacker.

• Lagra autentiseringsuppgifter i maskinvarusäkerhetsmoduler (HSM): Använd HSM:er för att lagra enhetshemligheter på ett säkert sätt, till exempel privata nycklar och certifikat, för att skydda mot extrahering och manipulering. Mer information finns i IoT Hub X.509-autentisering, DPS HSM-vägledning och IoT Edge säkerhetshanterare.

• Rotera enhetsnycklar och certifikat regelbundet: Rotera regelbundet autentiseringsuppgifter, särskilt efter ett intrång eller förfallodatum, för att minimera risken för obehörig åtkomst. Mer information finns i Så här distribuerar du certifikat i DPS och IoT Central X.509-certifikathantering.

• Uppdatering och korrigering: Håll alla körnings-, SDK:er och OS-komponenter uppdaterade med de senaste säkerhetskorrigeringarna och uppdateringarna. Mer information finns i IoT Edge uppdateringsvägledning.

• Skydda mot skadlig aktivitet: Om operativsystemet tillåter det installerar du de senaste funktionerna för antivirus och skadlig kod på varje enhets operativsystem.

• Granska ofta: Granska IoT-infrastrukturen för säkerhetsproblem så att du kan svara på säkerhetsincidenter. De flesta operativsystem tillhandahåller inbyggd händelseloggning. Granska loggar ofta för att söka efter säkerhetsöverträdelser. En enhet kan skicka granskningsinformation som en separat dataström till molntjänsten, där du kan analysera den.

• Följ enhetstillverkarens bästa praxis för säkerhet och distribution: Om tillverkaren av enheten tillhandahåller säkerhets- och distributionsvägledning ska du följa den vägledningen tillsammans med den allmänna vägledningen i den här artikeln.

• Använd en fältgateway för att tillhandahålla säkerhetstjänster för äldre eller begränsade enheter: Äldre och begränsade enheter kan sakna möjligheten att kryptera data, ansluta till Internet eller tillhandahålla avancerad granskning. I dessa fall kan en modern och säker fältgateway aggregera data från äldre enheter och ge den säkerhet som krävs för att ansluta dessa enheter via Internet. En IoT Edge enhet kan användas som en gateway och tillhandahålla säker autentisering, förhandling av krypterade sessioner, mottagande av kommandon från molnet och många andra säkerhetsfunktioner. Azure Sphere kan fungera som en skyddsmodul för att skydda andra enheter, inklusive befintliga äldre system som inte är utformade för betrodd anslutning.

• Kryptera vilande data: Använd kryptering på OS-nivå, till exempel BitLocker för Windows, för enhets- och gränslagring för att skydda data om enheter tappas bort eller blir stulna. Mer information finns i IoT Edge security.

Anslutningssäkerhet

Det här avsnittet innehåller vägledning om hur du skyddar anslutningarna mellan dina IoT-enheter och molntjänster. Säkerheten för anslutningarna är avgörande för att säkerställa integriteten och konfidentialiteten för de data som överförs.

• Använd X.509-certifikat för att autentisera dina enheter till IoT Hub eller IoT Central: IoT Hub och IoT Central stöder X.509-certifikat för enhetsautentisering. Använd X.509-baserad autentisering i produktionsmiljöer eftersom den ger större säkerhet än symmetriska nycklar. Mer information finns i Authenticating a device to IoT Hub and Device authentication concepts in IoT Central.

• Undvik delade symmetriska nycklar: Om du använder symmetriska nycklar ska du inte dela symmetriska nycklar mellan enheter. Varje enhet behöver unika autentiseringsuppgifter för att förhindra omfattande kompromisser om en nyckel läcker ut. Mer information finns i Säkerhetsmetoder för enhetstillverkare.

• Använd TLS (Transport Layer Security) 1.2 för att skydda anslutningar från enheter: IoT Hub och IoT Central använder TLS för att skydda anslutningar från IoT-enheter och -tjänster. IoT Hub stöder TLS 1.0, 1.1 och 1.2. TLS 1.0 och 1.1 är äldre och bör undvikas. Mer information finns i stöd för Transport Layer Security (TLS) i IoT Hub och TLS-stöd i Azure IoT Hub Device Provisioning Service (DPS).

• Använd starka chiffersviter och håll rot-CA-certifikat uppdaterade: Uppdatera chiffersviter och betrodda rotcertifikat regelbundet för att upprätthålla säkra anslutningar. Mer information finns i IoT Hub TLS-stöd.

• Se till att du har ett sätt att uppdatera TLS-rotcertifikatet på dina enheter: TLS-rotcertifikaten varar länge, men de kan upphöra att gälla eller återkallas. Om du inte kan uppdatera certifikatet på enheten kanske enheten inte kan ansluta till IoT Hub, IoT Central eller någon annan molntjänst vid ett senare tillfälle. Mer information finns i Så här distribuerar du X.509-enhetscertifikat.

• Överväg att använda Azure Private Link: Azure Private Link gör att du kan ansluta dina enheter till en privat slutpunkt i det virtuella nätverket, så att du kan blockera åtkomsten till IoT-hubbens offentliga enhetsuppkopplade slutpunkter. Mer information finns i Inkommande anslutning till IoT Hub med Azure Private Link och Nätverkssäkerhet för IoT Central med privata slutpunkter.

• Begränsa nätverksåtkomst: Använd IP-filtrering för att begränsa åtkomsten till betrodda källor och nätverk. Mer information finns i IoT Hub IP-filtrering, IoT Central privata slutpunkter och DPS IP-filtrering.

• Inaktivera åtkomst till offentligt nätverk om det inte behövs: Förhindra exponering för det offentliga Internet genom att inaktivera offentliga slutpunkter när du kan. Mer information finns i IoT Hub offentlig nätverksåtkomst och DPS offentlig nätverksåtkomst.

• Isolera IoT Edge-enheter och tjänster i säkra nätverkssegment: Använd nätverkssegmentering och brandväggar för att isolera IoT Edge-enheter och tjänster från andra nätverksresurser. Mer information finns i IoT Edge för säkerhet i Linux på Windows.

Molnsäkerhet

Det här avsnittet innehåller vägledning om hur du skyddar dina molntjänster, som är de tjänster som bearbetar och lagrar dina IoT-enhetsdata. Säkerheten för molntjänsterna är avgörande för att säkerställa integriteten och konfidentialiteten för dina data.

• Följ en säker metod för programvaruutveckling: Utvecklingen av säker programvara kräver att du överväger säkerhet från starten av projektet hela vägen genom implementering, testning och distribution. Microsoft Security Development Lifecycle tillhandahåller en stegvis metod för att skapa säker programvara.

• Välj programvara med öppen källkod med försiktighet: Programvara med öppen källkod ger en möjlighet att snabbt utveckla lösningar. När du väljer programvara med öppen källkod bör du överväga communityns aktivitetsnivå för varje komponent med öppen källkod. En aktiv community ser till att programvara stöds och att problem identifieras och åtgärdas. Ett obskyrt och inaktivt programvaruprojekt med öppen källkod kanske inte stöds och det är inte troligt att problem identifieras.

• Integrera med försiktighet: Det finns många säkerhetsbrister för programvara vid gränsen för bibliotek och API:er. Funktioner som inte krävs för den aktuella distributionen kan fortfarande vara tillgängliga via ett API-lager. Kontrollera om det finns säkerhetsbrister i alla gränssnitt för integrerade komponenter för att säkerställa den övergripande säkerheten.

• Skydda molnautentiseringsuppgifter: Angripare kan använda de autentiseringsuppgifter för molnautentisering som du använder för att konfigurera och använda din IoT-distribution för att få åtkomst till och kompromettera ditt IoT-system. Skydda autentiseringsuppgifterna genom att ändra lösenordet ofta och använd inte dessa autentiseringsuppgifter på delade eller ohanterade datorer.

• Använd Microsoft Entra ID och RBAC med IoT Hub: Använd Microsoft Entra ID och Azure RBAC för tjänst- och hanterings-API-åtkomst för att aktivera detaljerad, identitetsbaserad åtkomstkontroll. Mer information finns i IoT Hub Entra ID-autentisering och DPS Entra ID-autentisering.

• Inaktivera principer för delad åtkomst om det inte behövs: Minska attackytan genom att inaktivera principer och token för delad åtkomst när du inte behöver dem. Mer information finns i IoT Hub principer för delad åtkomst.

• Definiera åtkomstkontroller för ditt IoT Central-program: Förstå och definiera den typ av åtkomst som du aktiverar för ditt IoT Central-program. Mer information finns i:

  • Hantera användare och roller i ditt IoT Central-program
  • Hantera "IoT Central" organisationer
  • Använda granskningsloggar för att spåra aktivitet i ditt IoT Central-program
  • Autentisera och auktorisera IoT Central REST API-anrop

• Definiera åtkomstkontroller för serverdelstjänster: Andra Azure-tjänster kan använda data som din IoT Hub eller IoT Central-applikation matar in från dina enheter. Du kan dirigera meddelanden från dina enheter till andra Azure tjänster. Förstå och konfigurera lämpliga åtkomstbehörigheter för IoT Hub eller IoT Central för att ansluta till dessa tjänster. Mer information finns i:

  • Läs enhet-till-moln-meddelanden från den inbyggda slutpunkten i IoT Hub
  • Använd IoT Hub meddelandedirigering för att skicka meddelanden från enhet till molnet till olika slutpunkter
  • Exportera IoT Central data
  • Exportera IoT Central-data till ett säkert mål på en Azure Virtual Network

• Bevilja endast de minsta behörigheter som krävs: Tillämpa principen om minsta behörighet när du tilldelar roller och behörigheter till användare, appar och enheter. Mer information finns i Metodtips för identitetshantering.

• Övervaka din IoT-lösning från molnet: Övervaka den övergripande hälsan för din IoT-lösning med hjälp av måtten IoT Hub i Azure Monitor eller Övervaka IoT Central-programhälsa.

• Set up diagnostics: Övervaka dina åtgärder genom att logga händelser i lösningen och skicka sedan diagnostikloggarna till Azure Monitor. Mer information finns i Övervaka och diagnostisera problem i din IoT-hubb.