保護您的IoT解決方案

下圖展示了典型 邊緣連接物聯網解決方案中元件的高階視圖。 本文聚焦於邊緣連接物聯網解決方案的安全性：

在邊緣連接的物聯網解決方案中，您可以將安全分為以下四個領域：

• 資產安全性：在內部部署時保護IoT資產。

• 線上安全性：確保資產、邊緣和雲端服務之間的傳輸中所有數據都是機密且防竄改的。

• 邊緣安全性：保護數據在移動時的安全，並儲存在邊緣。

• 雲端安全性：保護數據在移動時的安全，並儲存在雲端中。

適用於 IoT 的 Microsoft Defender 與 Microsoft Defender for Containers

適用於 IoT 的 Microsoft Defender 是一款統一的安全解決方案，專門用來識別物聯網及營運技術（OT）裝置、漏洞與威脅。 Microsoft Defender for Containers 是一款雲端原生解決方案，幫助您提升、監控並維護容器化資產（Kubernetes 叢集、Kubernetes 節點、Kubernetes 工作負載、容器登錄檔、容器映像等）及其應用的安全性，涵蓋多雲與本地環境。

Defender for IoT 與 Defender for Containers 都能自動監控本文部分建議。 Defender for IoT 與 Defender for Containers 應該是保護你邊緣連接解決方案的第一道防線。 若要深入了解，請參閱：

• Microsoft Defender for Containers - 概述
• 適用於 IoT 的 Microsoft Defender for Organizations - 概述。

OT、IT 與雲端安全邊界

Azure IoT 操作 讓組織能將 OT 資產與產業資料來源連結至雲端管理、分析及自動化服務。

將OT環境與IT及雲端系統連結，不僅帶來顯著的營運效益，也改變了傳統的安全界限。 資料、身份、管理操作與工作負載可能跨越過去孤立運作的環境。

設計 Azure IoT 操作 部署時，請考慮以下原則：

• 在OT、IT與雲端連接環境間進行網路分割。 對於 Purdue/ISA-95 分段拓撲，應使用 分層網路 部署來限制通訊至相鄰層。
• 對使用者、應用程式及管理系統使用最小權限存取控制，並透過 安全設定與受管理身份設定專用身份。
• 除非經過您的作業安全流程驗證，否則請將連接雲端的作業資料視為僅供參考的資訊。 透過 營運體驗與儀表板 路由的資料，最適合用於監控。
• 避免將雲端儀表板、分析或監控視圖作為安全關鍵或緊急營運決策的唯一權威。
• 在將 OT 資產連接至雲端服務時，請遵守相關的產業標準、法規要求及現場特定安全政策。

應用 零信任 安全原則，有助於你保護這些邊界：明確驗證、使用最低權限存取，並假設遭到入侵。 您仍需負責判斷哪些營運資料與控制路徑適合在環境中進行雲端整合。

資產安全性

本節提供如何保護您的資產的指引，例如工業設備、感測器和其他屬於IoT解決方案的裝置。 資產的安全性對於確保其產生和傳輸之數據的完整性和機密性至關重要。

• 使用 Azure Key Vault 及秘密儲存擴充功能：使用 Azure Key Vault 來儲存和管理你資產的敏感資訊，例如金鑰、密碼、憑證和秘密。 Azure IoT 操作 在雲端使用 Azure Key Vault 作為受控保存庫解決方案，並使用 適用於 Kubernetes 的 Azure Key Vault Secret Store 擴充功能，將祕密從雲端同步，並以 Kubernetes 祕密的形式儲存在邊緣。 欲了解更多，請參閱 管理您的Azure IoT 操作部署秘密。

• 設定安全憑證管理：管理憑證對於確保資產與邊緣運行時間環境之間的安全通訊至關重要。 Azure IoT 操作 提供管理憑證的工具，包括憑證的發行、續期及撤銷。 欲了解更多，請參閱「管理您的 Azure IoT 操作 部署憑證」。

• 選取防竄改硬體：選擇具有內建機制的資產硬體來偵測實體竄改，例如開啟裝置封面或移除裝置的一部分。 這些竄改訊號可以是上傳至雲端的數據流的一部分，向作員發出這些事件的警示。

• 啟用資產韌體的安全更新：使用服務以啟用資產的無線更新。 使用安全路徑建置資產，以確保韌體版本的更新和密碼編譯保證，以在更新期間和之後保護您的資產。

• 安全地部署資產硬體：確保資產硬體部署可防止被篡改，特別是在不安全的地點，例如公用空間或未監督的地方。 只啟用必要的功能，以將實體攻擊面降到最低，例如，若不需要，請安全地覆蓋USB埠。

• 遵循裝置製造商安全性和部署最佳做法：如果裝置製造商提供安全性和部署指引，請遵循該指導方針以及本文中的一般指導方針。

連線安全性

本節提供如何保護資產、邊緣運行時間環境和雲端服務之間連線的指引。 線上的安全性對於確保所傳輸數據的完整性和機密性至關重要。

• 遵循 Azure IoT 操作 生產部署連線指引：針對生產環境的 Azure IoT 操作 部署，生產部署指引提供詳細配置，協助你將自己的 CA 發行者引入企業 PKI、MQTT 代理內部流量加密、自動 TLS 憑證管理等BrokerListener，以及與 OPC UA 伺服器的安全連線。

• 使用傳輸層安全（TLS）來保護資產連線：Azure IoT 操作 內的所有通訊皆透過 TLS 加密。 為了提供預設安全的體驗，減少你的邊緣連接解決方案無意中暴露於攻擊者的風險，Azure IoT 操作 部署時預設有根憑證（root CA）及 TLS 伺服器憑證的發行者。 對於生產部署，請使用您自己的 CA 發行商和企業 PKI 解決方案。

• 隔離和區隔網路：使用網路分割和防火牆，將IoT作業叢集和邊緣裝置與其他網路資源隔離。 如果使用企業防火牆或代理伺服器，請將必要的端點加入你的允許清單。 若要深入瞭解，請參閱 生產部署指導方針 – 網路功能。

邊緣安全性

本節提供如何保護邊緣運行時間環境的指引，也就是在邊緣平臺上執行的軟體。 此軟體會處理資產數據，並管理資產與雲端服務之間的通訊。 邊緣運行時間環境的安全性對於確保處理和傳輸之數據的完整性和機密性至關重要。

• 遵循 Azure IoT 操作 邊緣執行環境的生產部署指引：針對生產環境的 Azure IoT 操作 部署，請遵循生產部署指引，包括驗證 Microsoft 簽名映像檔、保持叢集修補、控制 Arc 自動升級及 MQTT經紀人身份驗證，以及最低權限主題授權。

雲端安全性

本節提供如何保護雲端服務的指引，這些服務是處理和儲存資產數據的服務。 雲端服務的安全性對於確保數據的完整性和機密性至關重要。

• 遵循 Azure IoT 操作 的雲端連線生產部署指引：針對生產環境的 Azure IoT 操作 部署，生產部署指引涵蓋使用者指派的資料流端點與雲端連線管理身份，以及部署前部署可觀察性資源。

• 使用 Azure RBAC 確保存取資產與資產端點的安全性：Azure IoT 操作 中的資產與資產端點在 Kubernetes 叢集與 Azure 入口網站中都有表示。 使用 Azure RBAC 來保護對這些資源的存取權限。 Azure RBAC 是一個授權系統，讓你能管理對 Azure 資源的存取。 使用 Azure RBAC 在特定範圍內授予使用者、群組和應用程式權限。 欲了解更多，請參閱 Azure IoT 操作 資源的自訂 RBAC 角色。

下圖展示典型 雲端連接物聯網解決方案中各元件的高階視角。 本文聚焦於雲端連接物聯網解決方案的安全性：

在雲端連接的物聯網解決方案中，您可以將安全細分為以下三個領域：

• 裝置安全性：在內部部署時保護IoT裝置的安全。

• 連線安全性︰確保在 IoT 裝置與 IoT 雲端服務之間傳輸的所有資料均有加密並防止竄改。

• 雲端安全性：保護數據在移動時的安全，並儲存在雲端中。

本文中的建議可協助您符合 共同責任模型中所述的安全性義務。

適用於 IoT 的 Microsoft Defender

適用於 IoT 的 Microsoft Defender 會自動監控本文中的一些建議。 適用於 IoT 的 Microsoft Defender 會定期分析您 Azure 資源的安全狀態，以識別潛在的安全漏洞，並提供解決建議。 若要深入了解，請參閱：

• 什麼是 適用於 IoT 的 Microsoft Defender 組織版？
• 什麼是針對裝置開發者的 適用於 IoT 的 Microsoft Defender？
• 使用安全性建議增強安全性態勢

裝置安全性

本節提供如何保護您的 IoT 裝置的指引，這些裝置是收集和傳輸數據的硬體元件。 裝置的安全性對於確保它產生和傳輸之數據的完整性和機密性至關重要。

• 設定符合最小需求的硬體範圍：選取您的裝置硬體，以包含其運作時所需的最少功能，僅此而已。 例如，僅在解決方案中的裝置運作需要 USB 連接埠時，才包含這些連接埠。 額外的功能可能會使裝置遭受不必要的媒介攻擊。

• 選取防竄改硬體：選取具有內建機制的裝置硬體來偵測實體竄改，例如開啟裝置封面或移除裝置的一部分。 這些竄改訊號可以是上傳至雲端的資料流一部分，從而向操作員發出這些事件的警示。

• 選取安全硬體：可能的話，請選擇包含安全性功能的裝置硬體，例如根據 信賴平臺模組的安全和加密記憶體和開機功能。 這些功能可讓裝置更安全，有助於保護整體 IoT 的基礎結構。

• 啟用安全更新：使用像是 Device Update for IoT 中樞 這類服務，為您的物聯網裝置提供空中更新。 建置具有更新安全路徑的裝置，以及韌體版本的密碼編譯保證，以在更新期間和之後保護您的裝置。

• 依循安全軟體開發方法：安全軟體開發需求您從專案一開始時就考慮安全性，一直到完成專案的實作、測試及部署。 Microsoft 安全性開發週期 提供逐步建構安全軟體的方法。

• 盡可能使用裝置 SDK：裝置 SDK 會實作各種安全性功能，例如加密和驗證，其會協助您開發強固且安全的裝置應用程式。 欲了解更多，請參閱 Azure IoT SDKs。

• 小心選擇開放原始碼軟體：開放原始碼軟體可提供快速開發解決方案的機會。 當您選擇開放原始碼軟體時，請考慮每個開放原始碼元件社群的活動層級。 活躍的社群可確保軟體受到支援，且能發現問題並加以解決。 一個鮮為人知且不活躍的開源軟體專案可能不被支援，問題也不太可能被發現。

• 安全地部署硬體：IoT 部署可能會要求您在不安全的位置部署硬體，例如在公用空間或未監督的地區設定中。 在這種情況下，應盡量讓硬體部署具備防篡改性，並只啟用必要的功能，以減少物理攻擊的衝擊。

• 將認證儲存在硬體安全性模組 （HSM）中：使用 HSM 安全地儲存裝置密碼，例如私鑰和憑證，以防止擷取和竄改。 欲了解更多，請參閱 IoT 中樞 X.509 認證、DPS HSM guidance，以及 IoT Edge security manager。

• 定期輪替裝置密鑰和憑證：定期輪替認證，特別是在缺口或到期之後，以將未經授權的存取風險降到最低。 若要深入瞭解，請參閱 如何在 DPS 中變換憑證，以及 IoT Central X.509 憑證管理。

• 更新和修補：使用最新的安全性修補程式和更新，將所有運行時間、SDK 和 OS 元件保持在最新狀態。 欲了解更多，請參閱 IoT Edge 更新指引。

• 防範惡意活動：如果作系統允許，請在每個裝置作系統上安裝最新的防毒和反惡意代碼功能。

• 經常稽核：經常對 IoT 基礎設施進行稽核，以確保能夠有效回應安全性事件。 大部分的作系統都提供內建的事件記錄。 經常檢閱記錄，以檢查是否有安全性缺口。 裝置可以將稽核信息當做個別數據流傳送至雲端服務，您可以在其中進行分析。

• 遵循裝置製造商安全性和部署最佳做法：如果裝置製造商提供安全性和部署指引，請遵循該指導方針以及本文中的一般指導方針。

• 使用現場閘道器為舊有或受限裝置提供安全服務：舊有且受限裝置可能缺乏加密資料、連網或提供進階稽核的能力。 在這些情況下，新式且安全的現場閘道可以匯總舊版裝置的數據，並提供透過因特網連接這些裝置所需的安全性。 IoT Edge 裝置可用作閘道，提供安全認證、加密會話協商、雲端指令接收及其他多項安全功能。 Azure Sphere 可作為守護模組，保護其他裝置，包括未設計用於可信連接的舊有系統。

• 加密靜止資料：使用作業系統層級加密，如 BitLocker for Windows，用於裝置與邊緣儲存，以保護裝置遺失或被竊時的資料。 欲了解更多，請參閱 IoT Edge security。

連線安全性

本節提供如何保護IoT裝置與雲端服務之間連線的指引。 線上的安全性對於確保所傳輸數據的完整性和機密性至關重要。

• 使用 X.509 憑證將您的裝置認證至 IoT 中樞 或 IoT Central：IoT 中樞 與 IoT Central 支援 X.509 憑證進行裝置認證。 在生產環境中使用基於 X.509 的認證，因為它比對稱金鑰提供更高的安全性。 欲了解更多，請參閱認證裝置至IoT 中樞及IoT Central 中的裝置認證概念。

• 避免共用對稱金鑰：如果您使用對稱密鑰，請勿在裝置之間共用對稱密鑰。 如果密鑰外泄，每個裝置都需要唯一認證，以避免發生廣泛入侵。 若要深入瞭解，請參閱 裝置製造商的安全性做法。

• 使用 TLS（TLS）1.2 來保護裝置間的連線安全：IoT 中樞 與 IoT Central 使用 TLS 來保護物聯網裝置與服務的連線。 IoT 中樞 支援 TLS 1.0、1.1 和 1.2。 TLS 1.0 和 1.1 是舊版，應該避免使用。 欲了解更多，請參閱IoT 中樞<>中的傳輸層安全（TLS）支援，以及Azure IoT 中樞裝置配置服務（DPS）中的TLS支援。

• 使用強式加密套件並將根 CA 憑證保持在最新狀態：定期更新加密套件和受信任的跟證書，以維護安全的連線。 欲了解更多，請參閱 IoT 中樞 TLS 支援。

• 請確定您有辦法更新裝置上的 TLS 跟證書：TLS 跟證書持續很長時間，但可能會過期或撤銷。 如果你無法更新裝置上的憑證，裝置可能無法在未來連接 IoT 中樞、IoT Central 或其他任何雲端服務。 若要深入瞭解，請參閱 如何變換 X.509 裝置憑證。

• 考慮使用 Azure Private Link：Azure Private Link 讓你能將裝置連接到虛擬網路上的私人端點，這樣你就能阻擋對物聯網中樞面向裝置的公共端點的存取。 若要了解更多，請參閱 使用 Azure Private Link 進行 IoT 中樞 的 Ingress 連接 和 使用私有端點加強 IoT Central 的網路安全。

• 限制網路存取：使用IP篩選來限制對受信任來源和網路的存取。 欲了解更多，請參閱 IoT 中樞 IP 過濾、IoT Central 私有端點，以及 DPS IP 過濾。

• 若無必要，請停用公用網路存取：停用公用端點以避免公開至公共網路。 欲了解更多，請參閱 IoT 中樞 公共網路存取 及 DPS 公共網路存取。

• 將邊緣設備與服務隔離於安全的網路區段：利用網路分段與防火牆將IoT Edge裝置與服務與其他網路資源隔離。 欲了解更多，請參閱Linux on Windows 的 IoT Edge 安全性。

雲端安全性

本節提供如何保護雲端服務的指引，也就是處理和儲存IoT裝置數據的服務。 雲端服務的安全性對於確保數據的完整性和機密性至關重要。

• 依循安全軟體開發方法：安全軟體開發需求您從專案一開始時就考慮安全性，一直到完成專案的實作、測試及部署。 Microsoft 安全性開發週期 提供逐步建構安全軟體的方法。

• 小心選擇開放原始碼軟體：開放原始碼軟體可提供快速開發解決方案的機會。 選擇開放原始碼軟體時，請考量每個開放原始碼元件的社群活動層級。 活躍的社群可確保軟體受到支援，且能發現問題並加以解決。 一個鮮為人知且不活躍的開源軟體專案可能不被支援，問題也不太可能被發現。

• 小心整合：程式庫和 API 的界限中存在許多軟體安全性問題。 目前部署不需要的功能可能仍可透過 API 層取得。 若要確保整體安全性，請檢查整合元件的所有介面是否有安全性缺陷。

• 保護雲端憑證：攻擊者可利用你用來配置與操作物聯網部署的雲端認證憑證，取得並入侵你的物聯網系統。 請經常更改密碼來保護憑證，且不要在共用或未受管理的機器上使用這些憑證。

• 使用 Microsoft Entra ID 與 RBAC 搭配 IoT 中樞：使用 Microsoft Entra ID 和 Azure RBAC 進行服務與管理 API 存取，以實現細緻且基於身份的存取控制。 欲了解更多，請參閱 IoT 中樞 Entra ID 認證 及 DPS Entra ID認證。

• 若不需要，請停用共用存取原則：當您不需要共用存取原則和令牌時，停用它們以減少攻擊面。 欲了解更多，請參閱 IoT 中樞共享存取政策。

• 定義 IoT Central 應用程式的存取控制：了解並定義您為 IoT Central 應用程式啟用的存取類型。 若要深入了解，請參閱：

  • 管理 IoT Central 應用程式中的使用者和角色
  • 管理 IoT Central 組織
  • 使用稽核記錄來追蹤 IoT Central 應用程式中的活動
  • 如何驗證和授權 IoT Central REST API 呼叫

• 定義後端服務的存取控制：其他Azure服務可能會消耗你的物聯網中樞或物聯網中央應用程式從裝置接收的資料。 你可以將訊息從裝置轉發到其他 Azure 服務。 了解並設定 IoT 中樞 或 IoT Central 的適當存取權限，以便連接這些服務。 若要深入了解，請參閱：

  • 從IoT 中樞內建端點讀取裝置到雲端的訊息
  • 使用IoT 中樞訊息路由將裝置到雲端訊息傳送到不同端點
  • 匯出 IoT Central 資料
  • 將 IoT Central 資料匯出到安全目的地，Azure 虛擬網路

• 僅授與所需的最低許可權：將角色和許可權指派給使用者、應用程式和裝置時，套用最低許可權的原則。 若要深入瞭解，請參閱 身分識別管理最佳做法。

• 從雲端監控您的 IoT 解決方案：使用 Azure 監視器 中的 IoT 中樞 指標 或 監控 IoT Central 應用程式健康狀況，監控您的 IoT 解決方案的整體健康狀況。

• 設置診斷：透過在解決方案中記錄事件來監控操作，然後將診斷日誌送給Azure 監視器。 若要深入了解，請參閱監視和診斷 IoT 中樞的問題。