Proteger suas soluções de IoT

O diagrama a seguir mostra uma exibição de alto nível dos componentes em uma solução de IoT conectada à borda típica. Este artigo se concentra na segurança de uma solução de IoT conectada à edge.

Em uma solução de IoT conectada à borda, você pode dividir a segurança nas quatro áreas a seguir:

• Segurança de ativos: proteja o ativo IoT enquanto ele é implantado no local.

• Segurança de conexão: verifique se todos os dados em trânsito entre os serviços de ativo, borda e nuvem são confidenciais e à prova de adulteração.

• Segurança de borda: proteja seus dados à medida que eles se movem e são armazenados na borda.

• Segurança na nuvem: proteja seus dados conforme eles são movidos e armazenados na nuvem.

Microsoft Defender para IoT e Contêineres

Microsoft Defender para IoT é uma solução de segurança unificada criada especificamente para identificar dispositivos de IoT e tecnologia operacional (OT), vulnerabilidades e ameaças. Microsoft Defender para Contêineres é uma solução nativa de nuvem para melhorar, monitorar e manter a segurança de seus ativos em contêineres (clusters do Kubernetes, nós do Kubernetes, cargas de trabalho do Kubernetes, registros de contêiner, imagens de contêiner e muito mais) e seus aplicativos, em ambientes locais e multinuvem.

Tanto Defender para IoT quanto Defender para Contêineres podem monitorar automaticamente algumas das recomendações incluídas neste artigo. Defender para IoT e Defender para Contêineres devem ser a linha de frente de defesa para proteger sua solução de borda conectada. Para obter mais informações, consulte:

• Microsoft Defender para contêineres – visão geral
• Microsoft Defender para IoT para organizações – visão geral.

Segurança de ativos

Esta seção fornece diretrizes sobre como proteger seus ativos, como equipamentos industriais, sensores e outros dispositivos que fazem parte de sua solução de IoT. A segurança do ativo é crucial para garantir a integridade e a confidencialidade dos dados que ele gera e transmite.

• Use Azure Key Vault e a extensão do repositório de segredos: Use Azure Key Vault para armazenar e gerenciar informações confidenciais de recursos, como chaves, senhas, certificados e segredos. Operações do Azure IoT usa Azure Key Vault como a solução de cofre gerenciado na nuvem e usa a extensão Azure Key Vault Secret Store para Kubernetes para sincronizar os segredos da nuvem e armazená-los na borda como segredos do Kubernetes. Para saber mais, consulte Gerenciar segredos para a sua implantação de "Operações do Azure IoT".

• Configurar o gerenciamento seguro de certificados: o gerenciamento de certificados é crucial para garantir a comunicação segura entre ativos e seu ambiente de runtime de borda. Operações do Azure IoT fornece ferramentas para gerenciar certificados, incluindo emissão, renovação e revogação de certificados. Para saber mais, consulte Gerenciamento de certificados para comunicação interna em Operações do Azure IoT.

• Selecione hardware à prova de adulteração: escolha o hardware do ativo com mecanismos internos para detectar violação física, como a abertura da cobertura do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, alertando os operadores sobre tais eventos.

• Habilitar atualizações seguras para firmware de ativos: use serviços que habilitam atualizações no ar para seus ativos. Crie ativos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus ativos durante e após as atualizações.

• Implantar hardware de ativo com segurança: verifique se a implantação de hardware de ativo é o mais à prova de adulteração possível, especialmente em locais não seguros, como espaços públicos ou localidades não supervisionadas. Habilite apenas os recursos necessários para minimizar o volume de ataque físico, como cobrir com segurança as portas USB se elas não forem necessárias.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essa orientação juntamente com as diretrizes gerais neste artigo.

Segurança da conexão

Esta seção fornece diretrizes sobre como proteger as conexões entre seus ativos, o ambiente de runtime de borda e os serviços de nuvem. A segurança das conexões é crucial para garantir a integridade e a confidencialidade dos dados transmitidos.

• Use Transport Layer Security (TLS) para proteger conexões de ativos: todas as comunicações dentro do Operações do Azure IoT são criptografadas usando TLS. Para fornecer uma experiência segura por padrão que minimize a exposição inadvertida de sua solução conectada à borda para invasores, o Operações do Azure IoT é implementado com uma AC raiz padrão e um emissor padrão para certificados de servidor TLS. Para uma implantação de produção, recomendamos usar seu próprio emissor de autoridade de certificação e uma solução PKI corporativa.

• Traga sua própria AC para produção: para implantações de produção, substitua a AC raiz autoassinada padrão por seu próprio emissor de AC e integre-se a uma PKI corporativa para garantir a confiança e a conformidade. Para saber mais, consulte Gerenciamento de certificados para comunicação interna de operações do Azure IoT.

• Consider usando firewalls corporativos ou proxies para gerenciar o tráfego de saída: se você usar firewalls ou proxies corporativos, adicione os "endpoints" Operações do Azure IoT à sua lista de permitidos.

• Criptografar o tráfego interno do agente de mensagens: garantir a segurança das comunicações internas em sua infraestrutura de borda é importante para manter a integridade e a confidencialidade dos dados. Configure o Agente MQTT para criptografar o tráfego interno e os dados em trânsito entre os pods de front-end e back-end do Agente MQTT. Para saber mais, consulte Configurar a criptografia de tráfego interno do agente e certificados internos.

• Configure TLS com gerenciamento automático de certificados para ouvintes em seu agente MQTT: Operações do Azure IoT fornece gerenciamento automático de certificados para ouvintes em seu agente MQTT. Esse recurso reduz a sobrecarga administrativa do gerenciamento manual de certificados, garante renovações oportunas e ajuda a manter a conformidade com as políticas de segurança. Para saber mais, confira Proteger a comunicação do Agente MQTT usando o BrokerListener.

• Configure uma conexão segura com o servidor OPC UA: ao se conectar a um servidor OPC UA, determine com quais servidores OPC você confia para estabelecer com segurança uma sessão. Para saber mais, confira Configurar a infraestrutura de certificados OPC UA para o conector OPC UA.

• Isolar e segmentar redes: use segmentação de rede e firewalls para isolar clusters de Operações de IoT e dispositivos de borda de outros recursos de rede. Adicione pontos de extremidade necessários à sua lista de permissões se estiver usando firewalls ou proxies corporativos. Para saber mais, confira as diretrizes de implantação de produção – Rede.

Segurança de borda

Esta seção fornece diretrizes sobre como proteger seu ambiente de runtime de borda, que é o software executado em sua plataforma de borda. Esse software processa seus dados de ativo e gerencia a comunicação entre seus ativos e serviços de nuvem. A segurança do ambiente de runtime de borda é crucial para garantir a integridade e a confidencialidade dos dados processados e transmitidos.

• Mantenha o ambiente de execução de borda atualizado: mantenha seu cluster e a implantação do Operações do Azure IoT atualizada com os patches mais recentes e atualizações secundárias para obter todas as correções de segurança e bugs disponíveis. Para implantações de produção, desative a atualização automática do Azure Arc para ter controle total sobre quando novas atualizações são aplicadas ao cluster. Em vez disso, atualize manualmente os agentes conforme necessário.

• Verifique a integridade das imagens de contêiner e helm: antes de implantar qualquer imagem no cluster, verifique se a imagem está assinada pela Microsoft. Para saber mais, confira Validar assinatura de imagem.

• Sempre use certificados X.509 ou tokens de conta de serviço do Kubernetes para autenticação com seu Agente MQTT: um Agente MQTT dá suporte a vários métodos de autenticação para clientes. Você pode definir cada porta de ouvinte para ter suas configurações de autenticação com um recurso BrokerAuthentication. Para saber mais, consulte Configurar a autenticação do Agente MQTT.

• Forneça o privilégio mínimo necessário para o ativo de tópico em seu Agente MQTT: as políticas de autorização determinam quais ações os clientes podem executar no agente, como conectar, publicar ou assinar tópicos. Configure o agente MQTT para usar uma ou várias políticas de autorização com o recurso BrokerAuthorization. Para saber mais, consulte Configurar a autorização do Agente MQTT.

Segurança de Nuvem

Esta seção fornece diretrizes sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam seus dados de ativo. A segurança dos serviços de nuvem é crucial para garantir a integridade e a confidencialidade de seus dados.

• Use identidades gerenciadas atribuídas pelo usuário para conexões de nuvem: sempre use a autenticação de identidade gerenciada. Quando possível, use a identidade gerenciada atribuída pelo usuário em pontos de extremidade do fluxo de dados para ter flexibilidade e capacidade de auditoria. Para saber mais, consulte Habilitar definições seguras no Operações do Azure IoT.

• Implantar recursos de observabilidade e configuração de logs: Observabilidade fornece visibilidade em cada camada de sua configuração de Operações do Azure IoT. Ele fornece informações sobre o comportamento real dos problemas, o que aumenta a eficácia da engenharia de confiabilidade do site. Operações do Azure IoT oferece observabilidade por meio de painéis personalizados do Grafana hospedados em Azure. Esses dashboards são alimentados por serviço gerenciado do Azure Monitor para Prometheus e pelo Container Insights. Deploy recursos de observabilidade em seu cluster antes de implantar Operações do Azure IoT.

• Acesso seguro a ativos e pontos de extremidade de ativos com o Azure RBAC: Ativos e pontos de extremidade de ativos em Operações do Azure IoT têm representações no cluster Kubernetes e no portal Azure. Use Azure RBAC para proteger o acesso a esses recursos. Azure RBAC é um sistema de autorização que permite gerenciar o acesso aos recursos de Azure. Use Azure RBAC para conceder permissões a usuários, grupos e aplicativos em um determinado escopo. Para saber mais, confira Acesso seguro a ativos e pontos de extremidade de ativos.

O diagrama a seguir mostra uma exibição de alto nível dos componentes em uma solução de IoT conectada à nuvem típica. Este artigo se concentra na segurança em uma solução de IoT conectada à nuvem:

Em uma solução de IoT conectada à nuvem, você pode dividir a segurança nas três seguintes áreas:

• Segurança do dispositivo: proteja o dispositivo IoT enquanto ele é implantado no local.

• Segurança da conexão: garanta que todos os dados transmitidos entre o dispositivo IoT e os serviços de nuvem IoT sejam confidenciais e à prova de adulteração.

• Segurança na nuvem: proteja seus dados conforme eles são movidos e armazenados na nuvem.

As recomendações neste artigo ajudam você a cumprir as obrigações de segurança descritas no modelo de responsabilidade compartilhada.

Microsoft Defender para IoT

Microsoft Defender para IoT monitora automaticamente algumas das recomendações neste artigo. Microsoft Defender para IoT analisa periodicamente o estado de segurança de seus recursos de Azure para identificar possíveis vulnerabilidades de segurança e, em seguida, oferece recomendações sobre como resolvê-las. Para obter mais informações, consulte:

• O que é Microsoft Defender para IoT para organizações?
• O que é Microsoft Defender para IoT para construtores de dispositivos?
• Aprimorar a postura de segurança com recomendações de segurança.

Segurança do dispositivo

Esta seção fornece diretrizes sobre como proteger seus dispositivos IoT, que são os componentes de hardware que coletam e transmitem dados. A segurança do dispositivo é crucial para garantir a integridade e a confidencialidade dos dados que ele gera e transmite.

• Adeque o hardware aos requisitos mínimos: selecione seu dispositivo de hardware incluindo apenas os recursos mínimos necessários para a operação e nada mais. Por exemplo, inclua portas USB somente se forem necessárias para o funcionamento do dispositivo em sua solução. Funcionalidades extras podem expor o dispositivo a vetores de ataque indesejados.

• Selecione hardware à prova de adulteração: selecione o hardware do dispositivo com mecanismos internos para detectar violação física, como a abertura da cobertura do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, o que poderia alertar os operadores sobre tais eventos.

• Selecione o hardware seguro: se possível, escolha o hardware do dispositivo que inclui recursos de segurança, como funcionalidade de armazenamento e inicialização segura e criptografada com base em um Módulo de Plataforma Confiável. Esses recursos tornam os dispositivos mais seguros e ajudam a proteger a infraestrutura geral de IoT.

• Enable secure updates: Use serviços como Device Update for Hub IoT para atualizações OTA para seus dispositivos IoT. Desenvolva dispositivos com caminhos seguros para atualizações e garantia criptográfica das versões de firmware para proteger seus dispositivos durante e após as atualizações.

• Siga uma metodologia de desenvolvimento de software seguro: o desenvolvimento de software seguro exige que você considere a segurança desde a concepção do projeto até sua implementação, teste e implantação. O Microsoft Security Development Lifecycle fornece uma abordagem passo a passo para a criação de software seguro.

• Use SDKs de dispositivos sempre que possível: os SDKs de dispositivos implementam diversas funcionalidades de segurança, como criptografia e autenticação, que auxiliam no desenvolvimento de aplicativos robustos e seguros para os dispositivos. Para saber mais, consulte IoT do Azure SDKs.

• Escolher software livre com cuidado: software livre fornece uma oportunidade o rápido desenvolvimento de soluções. Ao escolher o software de software livre, considere o nível de atividade da comunidade para cada componente de software livre. Uma comunidade ativa garante que existirá suporte para o software e que os problemas serão descobertos e tratados. Talvez não haja suporte para um projeto de software open-source obscuro e inativo e problemas provavelmente não sejam descobertos.

• Implantar hardware com segurança: as implantações de IoT podem exigir que você implante hardware em locais não seguros, como em espaços públicos ou localidades não supervisionadas. Nessas situações, torne a implantação de hardware o mais resistente possível a adulterações e ative apenas os recursos necessários para minimizar a superfície de ataque física.

• Armazenar credenciais em HSMs (módulos de segurança de hardware): use HSMs para armazenar com segurança os segredos do dispositivo, como chaves privadas e certificados, para proteger contra extração e adulteração. Para saber mais, consulte autenticação X.509 do Hub IoT, orientação do DPS HSM e gerenciador de segurança do IoT Edge.

• Girar regularmente as chaves e certificados do dispositivo: gire regularmente as credenciais, especialmente após uma violação ou expiração, para minimizar o risco de acesso não autorizado. Para saber mais, confira Como rolar certificados no DPS e no gerenciamento de certificados do IoT Central X.509.

• Atualização e correção: mantenha todos os ambientes de execução, SDKs e componentes do sistema operacional atualizados com os patches e atualizações de segurança mais recentes. Para saber mais, consulte IoT Edge diretrizes de atualização.

• Proteger contra atividades mal-intencionadas: se o sistema operacional permitir, instale as funcionalidades antivírus e anti-malware mais recentes em cada sistema operacional do dispositivo.

• Auditoria com frequência: audite a infraestrutura de IoT para problemas de segurança para permitir que você responda a incidentes de segurança. A maioria dos sistemas operacionais fornece log de eventos interno. Examine os logs com frequência para verificar se há violações de segurança. Um dispositivo pode enviar informações de auditoria como um fluxo de dados separado para o serviço de nuvem, onde você pode analisá-lo.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essa orientação juntamente com as diretrizes gerais neste artigo.

• Use um gateway de campo para fornecer serviços de segurança para dispositivos herdados ou com limitações: talvez os dispositivos herdados e com restrições não tenham a capacidade de criptografar dados, conectar-se à internet ou realizar auditorias avançadas. Nesses casos, um gateway de campo moderno e seguro pode agregar dados de dispositivos legados e fornecer a segurança necessária para conectar esses dispositivos pela internet. Um dispositivo IoT Edge pode ser usado como um gateway e fornecer autenticação segura, negociação de sessões criptografadas, recebimento de comandos da nuvem e muitos outros recursos de segurança. Azure Sphere pode atuar como um módulo guardião para proteger outros dispositivos, incluindo sistemas herdados existentes não projetados para conectividade confiável.

• Encrypt data at rest: Use criptografia no nível do sistema operacional, como o BitLocker para Windows, para armazenamento de dispositivos e periférico, para proteger dados se os dispositivos forem perdidos ou roubados. Para saber mais, consulte IoT Edge security.

Segurança da conexão

Esta seção fornece diretrizes sobre como proteger as conexões entre seus dispositivos IoT e serviços de nuvem. A segurança das conexões é crucial para garantir a integridade e a confidencialidade dos dados transmitidos.

• Use certificados X.509 para autenticar seus dispositivos no Hub IoT ou IoT Central: O Hub IoT e o IoT Central oferecem suporte a certificados X.509 para autenticação de dispositivos. Use a autenticação baseada em X509 em ambientes de produção, pois ela fornece maior segurança do que chaves simétricas. Para saber mais, consulte Autenticação de um dispositivo no Hub IoT e Conceitos de autenticação de dispositivos no IoT Central.

• Evite chaves simétricas compartilhadas: se você usar chaves simétricas, não compartilhe chaves simétricas entre dispositivos. Cada dispositivo precisa de credenciais exclusivas para evitar um comprometimento generalizado se uma chave for vazada. Para saber mais, confira as práticas de segurança para fabricantes de dispositivos.

• Use Transport Layer Security (TLS) 1.2 para proteger conexões de dispositivos: Hub IoT e O IoT Central usam o TLS para proteger conexões de dispositivos e serviços IoT. Atualmente, três versões do protocolo TLS são suportadas: 1.0, 1.1 e 1.2. As versões TLS 1.0 e 1.1 são consideradas obsoletas. Para saber mais, consulte o suporte a Transport Layer Security (TLS) em Hub IoT e o suporte a TLS no Serviço de Provisionamento de Dispositivos (DPS) do Hub IoT do Azure.

• Use conjuntos de criptografia fortes e mantenha os certificados de autoridade raiz atualizados: atualize regularmente os conjuntos de criptografia e os certificados raiz confiáveis para garantir conexões seguras. Para saber mais, consulte Hub IoT suporte ao TLS.

• Verifique se você tem uma maneira de atualizar o certificado raiz do TLS em seus dispositivos: os certificados raiz TLS duram muito tempo, mas eles podem expirar ou ser revogados. Se você não conseguir atualizar o certificado no dispositivo, talvez o dispositivo não consiga se conectar ao Hub IoT, ao IoT Central ou a qualquer outro serviço de nuvem posteriormente. Para saber mais, confira Como rolar certificados de dispositivo X.509.

• Considere usar o Link Privado do Azure: O Link Privado do Azure permite conectar seus dispositivos a um endpoint privado na sua rede virtual, permitindo que você bloqueie o acesso aos endpoints públicos do dispositivo no hub IoT. Para saber mais, consulte Conectividade de Ingresso ao Hub IoT usando Link Privado do Azure e Segurança de Rede para IoT Central usando endpoints privados.

• Restringir o acesso à rede: use a filtragem de IP para limitar o acesso a fontes e redes confiáveis. Para saber mais, consulte filtragem de IP do Hub IoT, pontos de extremidade privados do IoT Central e filtragem de IP do DPS.

• Desabilite o acesso à rede pública se não for necessário: impeça a exposição à Internet pública desabilitando pontos de extremidade públicos quando possível. Para saber mais, consulte acesso à rede pública do Hub IoT e acesso à rede pública do DPS.

• Isolar dispositivos e serviços IoT Edge em segmentos de rede seguros: use segmentação de rede e firewalls para isolar dispositivos e serviços IoT Edge de outros recursos de rede. Para saber mais, consulte Segurança do IoT Edge para Linux no Windows.

Segurança de Nuvem

Esta seção fornece diretrizes sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam os dados do dispositivo IoT. A segurança dos serviços de nuvem é crucial para garantir a integridade e a confidencialidade de seus dados.

• Siga uma metodologia de desenvolvimento de software seguro: o desenvolvimento de software seguro exige que você considere a segurança desde a concepção do projeto até sua implementação, teste e implantação. O Microsoft Security Development Lifecycle fornece uma abordagem passo a passo para a criação de software seguro.

• Escolher software livre com cuidado: software livre fornece uma oportunidade o rápido desenvolvimento de soluções. Ao escolher o software livre, considere o nível de atividade da comunidade para cada componente de software livre. Uma comunidade ativa garante que existirá suporte para o software e que os problemas serão descobertos e tratados. Um projeto de software de código aberto obscuro e inativo poderá não ter suporte e os problemas provavelmente não serão descobertos.

• Integrar com cuidado: há muitas das falhas de segurança de software no limite de bibliotecas e APIs. A funcionalidade que não é necessária para a implantação atual ainda pode estar disponível por meio de uma camada de API. Para garantir a segurança geral, verifique todas as interfaces de componentes integrados em busca de falhas de segurança.

• Proteja as credenciais de nuvem: um invasor pode utilizar as credenciais de autenticação na nuvem que você usa para configurar e gerenciar sua implantação IoT para acessar e comprometer seu sistema IoT. Proteja as credenciais alterando a senha com frequência e não use essas credenciais em máquinas públicas.

• Use Microsoft Entra ID e RBAC com Hub IoT: Use Microsoft Entra ID e Azure RBAC para acessar a API de serviço e gerenciamento e habilitar o controle de acesso granular baseado em identidade. Para saber mais, consulte Hub IoT Entra ID authentication and DPS Entra ID authentication.

• Desabilite as políticas de acesso compartilhado se não for necessário: reduza a superfície de ataque desabilitando políticas de acesso compartilhado e tokens quando não precisar delas. Para saber mais, consulte Hub IoT políticas de acesso compartilhado.

• Estabeleça controles de acesso para o aplicativo IoT Central: compreenda e defina o tipo de acesso permitido no aplicativo IoT Central. Para obter mais informações, consulte:

  • Gerencie usuários e funções em seu aplicativo IoT Central
  • Gerenciar organizações do IoT Central
  • Usar logs de auditoria para acompanhar a atividade no aplicativo do Azure IoT Central
  • Como autenticar e autorizar as chamadas à API REST do IoT Central

• Define controles de acesso para serviços de back-end: outros serviços de Azure podem consumir os dados que o hub IoT ou o aplicativo IoT Central ingere de seus dispositivos. Você pode rotear mensagens de seus dispositivos para outros serviços de Azure. Entenda e configure as permissões de acesso apropriadas para Hub IoT ou IoT Central para se conectar a esses serviços. Para obter mais informações, consulte:

  • Leia as mensagens de dispositivo para nuvem a partir do ponto de extremidade integrado do Hub IoT
  • Use o roteamento de mensagens do Hub IoT para enviar mensagens do dispositivo para a nuvem para diferentes destinos
  • Exportar dados do IoT Central
  • Exportar dados do IoT Central para um destino seguro em uma Rede Virtual do Azure

• Conceda apenas as permissões mínimas necessárias: aplique o princípio de privilégio mínimo ao atribuir funções e permissões a usuários, aplicativos e dispositivos. Para saber mais, confira as práticas recomendadas de gerenciamento de identidades.

• Monitore sua solução de IoT na nuvem: monitore a integridade geral da solução de IoT usando métricas de Hub IoT em Azure Monitor ou Monitor IoT Central application health.

• Set up diagnostics: Monitore suas operações registrando eventos em log dentro da sua solução e envie os logs de diagnóstico para o Azure Monitor. Para aprender mais, veja Monitorar e diagnosticar problemas no Hub IoT.