Proteja suas soluções de IoT

O diagrama seguinte mostra uma visão de alto nível dos componentes numa solução típica de IoT conectada na periferia. Este artigo concentra-se na segurança de uma solução IoT conectada à periferia:

Numa solução IoT conectada à borda, pode-se dividir a segurança nas seguintes quatro áreas:

• Segurança de ativos: proteja o ativo de IoT enquanto ele é implantado no local.

• Segurança da ligação: Garanta que todos os dados em transferência entre o ativo, a periferia e os serviços de nuvem sejam confidenciais e invioláveis.

• Segurança de borda: proteja seus dados à medida que eles se movem e são armazenados na borda.

• Segurança na nuvem: proteja os seus dados à medida que se movem e são armazenados na nuvem.

Microsoft Defender para IoT e para Containers

Microsoft Defender para IoT é uma solução de segurança unificada construída especificamente para identificar dispositivos, vulnerabilidades e ameaças de IoT e tecnologia operacional (OT). O Microsoft Defender for Containers é uma solução cloud-native para melhorar, monitorizar e manter a segurança dos seus ativos containerizados (clusters Kubernetes, nós Kubernetes, cargas de trabalho Kubernetes, registos de containers, imagens de containers e mais), e das suas aplicações, em ambientes multicloud e on-premises.

Tanto o Defender for IoT como o Defender for Containers podem monitorizar automaticamente algumas das recomendações incluídas neste artigo. O Defender for IoT e o Defender for Containers devem ser a primeira linha de defesa para proteger a sua solução conectada de edge. Para saber mais, veja:

• Microsoft Defender para Contentores - visão geral
• Microsoft Defender para IoT para organizações - visão geral.

Segurança patrimonial

Esta seção fornece orientação sobre como proteger seus ativos, como equipamentos industriais, sensores e outros dispositivos que fazem parte de sua solução de IoT. A segurança do ativo é crucial para garantir a integridade e confidencialidade dos dados que gera e transmite.

• Use Azure Key Vault e a extensão de armazenamento secreto: Use Azure Key Vault para armazenar e gerir informações sensíveis do ativo, como chaves, palavras-passe, certificados e segredos. Operações IoT do Azure utiliza o Azure Key Vault como solução de cofre gerido na cloud e utiliza a extensão Azure Key Vault Secret Store para Kubernetes para sincronizar os segredos da cloud e armazená-los na periferia como segredos do Kubernetes. Para saber mais, consulte Gerenciar segredos para a sua implantação Operações IoT do Azure.

• Configure o gerenciamento seguro de certificados: o gerenciamento de certificados é crucial para garantir uma comunicação segura entre os ativos e seu ambiente de tempo de execução de borda. O Operações IoT do Azure fornece ferramentas para gerir certificados, incluindo a emissão, renovação e revogação de certificados. Para saber mais, consulte Gestão de certificados para comunicação interna Operações IoT do Azure.

• Selecione hardware à prova de violação: escolha hardware de ativo com mecanismos integrados para detetar adulteração física, como a abertura da tampa do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, alertando os operadores sobre esses eventos.

• Habilitar atualizações seguras para firmware de ativos: use serviços que permitam atualizações sem fio para os seus ativos. Crie ativos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus ativos durante e após as atualizações.

• Implante o hardware de ativos com segurança: certifique-se de que a implantação de hardware de ativos seja o mais inviolável possível, especialmente em locais não seguros, como espaços públicos ou localidades não supervisionadas. Habilite apenas os recursos necessários para minimizar a pegada de ataque físico, como cobrir com segurança as portas USB se elas não forem necessárias.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essas orientações juntamente com as orientações gerais neste artigo.

Segurança da Ligação

Esta seção fornece orientação sobre como proteger as conexões entre seus ativos, ambiente de tempo de execução de borda e serviços de nuvem. A segurança das ligações é crucial para garantir a integridade e confidencialidade dos dados transmitidos.

• Use a Segurança de Camada de Transporte (TLS) para proteger as ligações dos ativos: Toda a comunicação dentro do Operações IoT do Azure é codificada usando TLS. Para proporcionar uma experiência segura por defeito que minimize a exposição inadvertida da sua solução conectada à periferia a atacantes, o Operações IoT do Azure é implementado com uma autoridade de certificação (CA) raiz e um emissor por defeito para certificados de servidor TLS. Para uma implantação de produção, recomendamos o uso de seu próprio emissor de CA e uma solução PKI corporativa.

• Traga sua própria CA para produção: para implantações de produção, substitua a CA raiz autoassinada padrão por seu próprio emissor de CA e integre-se a uma PKI corporativa para garantir confiança e conformidade. Para saber mais, consulte Gestão de certificados para comunicação interna Operações IoT do Azure.

• Considere usar firewalls ou proxies empresariais para gerir o tráfego de saída: Se usar firewalls ou proxies empresariais, adicione os endpoints Operações IoT do Azure à sua lista de permissões.

• Criptografar o tráfego interno do agente de mensagens: Garantir a segurança das comunicações internas em sua infraestrutura de borda é importante para manter a integridade e a confidencialidade dos dados. Você deve configurar o broker MQTT para criptografar o tráfego interno e os dados em trânsito entre o frontend do MQTT broker e os pods de backend. Para saber mais, consulte Configurar a criptografia do tráfego interno do broker e certificados internos.

• Configure o TLS com gestão automática de certificados para ouvintes no seu broker MQTT: Operações IoT do Azure fornece gestão automática de certificados para ouvintes no seu broker MQTT. Esse recurso reduz a sobrecarga administrativa do gerenciamento manual de certificados, garante renovações oportunas e ajuda a manter a conformidade com as políticas de segurança. Para saber mais, consulte Proteger a comunicação do broker MQTT usando o BrokerListener.

• Configurar uma conexão segura com o servidor OPC UA: Ao se conectar a um servidor OPC UA, você deve determinar em quais servidores OPC UA você confia para estabelecer uma sessão com segurança. Para saber mais, consulte Configurar a infraestrutura de certificados OPC UA para o conector para OPC UA.

• Isolar e segmentar redes: use segmentação de rede e firewalls para isolar os clusters de operações de IoT e dispositivos de ponta de outros recursos de rede. Adicione os pontos de extremidade necessários à sua lista de permissões se estiver usando firewalls ou proxies corporativos. Para saber mais, consulte Diretrizes de implantação de produção – Rede.

Segurança de Periferia

Esta secção fornece orientação sobre como proteger o seu ambiente de execução de borda, que é o software executado na sua plataforma de borda. Este software processa os dados dos seus ativos e gere a comunicação entre os seus ativos e os serviços na nuvem. A segurança do ambiente de execução na periferia é crucial para garantir a integridade e a confidencialidade dos dados processados e transmitidos.

• Mantenha o ambiente de execução da borda atualizado: Mantenha o cluster e a implementação do Operações IoT do Azure atualizados com os últimos patches e atualizações menores para obter todas as correções de segurança e bugs disponíveis. Para implementações em produção, desliga a atualização automática para Azure Arc para teres controlo total sobre quando novas atualizações são aplicadas ao teu cluster. Em vez disso, atualize manualmente os agentes conforme necessário.

• Verifique a integridade das imagens de contêiner e de helm: Antes de implantar qualquer imagem no seu cluster, verifique se a imagem está assinada pela Microsoft. Para saber mais, consulte Validar assinatura de imagem.

• Sempre use certificados X.509 ou tokens de conta de serviço Kubernetes para a autenticação com o corretor MQTT: Um corretor MQTT suporta vários métodos de autenticação para clientes. Você pode configurar cada porta de ouvinte para ter suas próprias configurações de autenticação com um recurso BrokerAuthentication. Para saber mais, consulte Configurar a autenticação do agente MQTT.

• Forneça o menor privilégio necessário para o ativo de tópico em seu broker MQTT: as políticas de autorização determinam quais ações os clientes podem executar no broker, como conectar, publicar ou assinar tópicos. Configure o broker MQTT para usar uma ou várias políticas de autorização com o recurso BrokerAuthorization. Para saber mais, consulte Configurar autorização do broker MQTT.

Segurança da cloud

Esta seção fornece orientação sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam seus dados de ativos. A segurança dos serviços na nuvem é crucial para garantir a integridade e confidencialidade dos seus dados.

• Usar identidades gerenciadas atribuídas pelo usuário para conexões de nuvem: sempre use a autenticação de identidade gerenciada. Sempre que possível, utilize uma identidade gerida atribuída pelo utilizador em pontos de extremidade de fluxos de dados para flexibilidade e auditabilidade. Para saber mais, consulte Ativar definições seguras em Operações IoT do Azure.

• Implemente recursos de observabilidade e configure logs: A observabilidade oferece visibilidade de todas as camadas da configuração das Operações do Azure IoT. Ele fornece informações sobre o comportamento real dos problemas, o que aumenta a eficácia da engenharia de confiabilidade do site. O Operações IoT do Azure oferece observabilidade através de painéis Grafana personalizados e curados, alojados no Azure. Estes dashboards são alimentados pelo serviço gerido Azure Monitor para Prometheus e pelo Container Insights. Implemente recursos de observabilidade no seu cluster antes de implementar Operações IoT do Azure.

• Acesso seguro a ativos e endpoints de ativos com Azure RBAC: Ativos e endpoints de ativos em Operações IoT do Azure têm representações tanto no cluster Kubernetes como no portal Azure. Use o Azure RBAC para garantir o acesso a estes recursos. O Azure RBAC é um sistema de autorização que lhe permite gerir o acesso aos recursos do Azure. Use o Azure RBAC para conceder permissões a utilizadores, grupos e aplicações num determinado âmbito. Para saber mais, consulte Acesso seguro a ativos e pontos de extremidade dos ativos.

O diagrama seguinte mostra uma visão geral dos componentes numa solução IoT típica ligada à cloud. Este artigo foca-se na segurança numa solução IoT ligada à cloud:

Numa solução IoT ligada à cloud, pode dividir a segurança nas seguintes três áreas:

• Segurança do dispositivo: proteja o dispositivo IoT enquanto ele é implantado no local.

• Segurança da conexão: certifique-se de que todos os dados transmitidos entre o dispositivo IoT e os serviços de nuvem IoT sejam confidenciais e invioláveis.

• Segurança na nuvem: proteja os seus dados à medida que se movem e são armazenados na nuvem.

As recomendações neste artigo ajudam você a cumprir as obrigações de segurança descritas no modelo de responsabilidade compartilhada.

Microsoft Defender para IoT

O Microsoft Defender para IoT monitoriza automaticamente algumas das recomendações deste artigo. O Microsoft Defender para IoT analisa periodicamente o estado de segurança dos seus recursos Azure para identificar potenciais vulnerabilidades de segurança e depois oferece recomendações sobre como as resolver. Para saber mais, veja:

• Qual é a Microsoft Defender para IoT para organizações?
• Qual é a Microsoft Defender para IoT para os construtores de dispositivos?
• Melhore a postura de segurança com recomendações para segurança.

Segurança dos dispositivos

Esta seção fornece orientação sobre como proteger seus dispositivos IoT, que são os componentes de hardware que coletam e transmitem dados. A segurança do dispositivo é crucial para garantir a integridade e confidencialidade dos dados que gera e transmite.

• Escopo de hardware para requisitos mínimos: Selecione o hardware do dispositivo para incluir os recursos mínimos necessários para sua operação, e nada mais. Por exemplo, inclua apenas portas USB se forem necessárias para o funcionamento do dispositivo na sua solução. Recursos extras podem expor o dispositivo a vetores de ataque indesejados.

• Selecione hardware à prova de violação: selecione o hardware do dispositivo com mecanismos integrados para detetar adulterações físicas, como a abertura da tampa do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, o que pode alertar os operadores sobre esses eventos.

• Selecione hardware seguro: se possível, escolha o hardware do dispositivo que inclua recursos de segurança, como armazenamento seguro e criptografado e funcionalidade de inicialização com base em um Trusted Platform Module. Esses recursos tornam os dispositivos mais seguros e ajudam a proteger a infraestrutura geral de IoT.

• Ativar atualizações seguras: Use serviços como Device Update para Hub IoT para atualizações remotas dos seus dispositivos IoT. Crie dispositivos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus dispositivos durante e após as atualizações.

• Siga uma metodologia de desenvolvimento de software seguro: O desenvolvimento de software seguro requer que você considere a segurança desde o início do projeto até a implementação, teste e implantação. O Ciclo de Vida de Desenvolvimento Centrado na Segurança da Microsoft fornece uma abordagem passo a passo para construir software seguro.

• Use SDKs de dispositivo sempre que possível: os SDKs de dispositivo implementam vários recursos de segurança, como criptografia e autenticação, que ajudam a desenvolver aplicativos de dispositivo robustos e seguros. Para saber mais, consulte Azure IoT SDKs.

• Escolha software de código aberto com cuidado: O software de código aberto oferece uma oportunidade para desenvolver soluções rapidamente. Ao escolher software de código aberto, considere o nível de atividade da comunidade para cada componente de código aberto. Uma comunidade ativa garante que o software é suportado e que os problemas são descobertos e resolvidos. Um projeto de software de código aberto obscuro e inativo pode não ser suportado, e os problemas provavelmente não são descobertos.

• Implante hardware com segurança: as implantações de IoT podem exigir que você implante hardware em locais não seguros, como espaços públicos ou localidades não supervisionadas. Nessas situações, torne a implantação de hardware o mais inviolável possível e habilite apenas os recursos necessários para minimizar a pegada de ataque físico.

• Armazene credenciais em módulos de segurança de hardware (HSMs): Use HSMs para armazenar segredos do dispositivo com segurança, como chaves privadas e certificados, para proteger contra extração e adulteração. Para saber mais, consulte autenticação X.509 do Hub IoT, orientação do HSM do DPS e gestor de segurança do IoT Edge.

• Alterne as chaves de dispositivo e certificados regularmente: alterne regularmente as credenciais, especialmente após uma violação ou expiração, de modo a minimizar o risco de acesso não autorizado. Para saber mais, consulte Como rolar certificados no DPS e Gerenciamento de certificados do IoT Central X.509.

• Atualização e patch: mantenha todos os tempos de execução, SDKs e componentes do sistema operacional atualizados com os patches e atualizações de segurança mais recentes. Para saber mais, consulte orientações de atualização do IoT Edge.

• Proteja-se contra atividades maliciosas: Se o sistema operacional permitir, instale os recursos antivírus e antimalware mais recentes em cada sistema operacional do dispositivo.

• Audite com frequência: audite a infraestrutura da IoT em busca de problemas de segurança para permitir que você responda a incidentes de segurança. A maioria dos sistemas operativos fornece registo de eventos incorporado. Revise os logs com frequência para verificar se há violações de segurança. Um dispositivo pode enviar informações de auditoria como um fluxo de dados separado para o serviço de nuvem, onde você pode analisá-las.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essas orientações juntamente com as orientações gerais neste artigo.

• Use um gateway de campo para fornecer serviços de segurança para dispositivos herdados ou restritos: dispositivos herdados e restritos podem não ter a capacidade de criptografar dados, conectar-se à Internet ou fornecer auditoria avançada. Nesses casos, um gateway de campo moderno e seguro pode agregar dados de dispositivos legados e fornecer a segurança necessária para conectar esses dispositivos pela Internet. Um dispositivo IoT Edge pode ser usado como gateway e fornecer autenticação segura, negociação de sessões encriptadas, receção de comandos da cloud e muitas outras funcionalidades de segurança. Azure Sphere pode atuar como módulo guardião para proteger outros dispositivos, incluindo sistemas legados existentes que não foram concebidos para conectividade confiável.

• Encriptar dados em estado inativo: Use encriptação ao nível do sistema operativo, como o BitLocker para Windows, para armazenamento em dispositivos e na borda para proteger dados caso os dispositivos sejam perdidos ou roubados. Para saber mais, consulte segurança do IoT Edge.

Segurança da Ligação

Esta seção fornece orientação sobre como proteger as conexões entre seus dispositivos IoT e serviços de nuvem. A segurança das ligações é crucial para garantir a integridade e confidencialidade dos dados transmitidos.

• Utilize certificados X.509 para autenticar os seus dispositivos no Hub IoT ou IoT Central: Hub IoT e IoT Central suportam certificados X509 para autenticação de dispositivos. Use a autenticação baseada em X509 em ambientes de produção, pois ela oferece maior segurança do que chaves simétricas. Para saber mais, consulte Autenticar um dispositivo para Hub IoT e Conceitos de autenticação de dispositivos no IoT Central.

• Evite chaves simétricas compartilhadas: se você usar chaves simétricas, não compartilhe chaves simétricas entre dispositivos. Cada dispositivo precisa de credenciais exclusivas para evitar um comprometimento generalizado se uma chave for vazada. Para saber mais, consulte Práticas de segurança para fabricantes de dispositivos.

• Use o Transport Layer Security (TLS) 1.2 para proteger ligações de dispositivos: Hub IoT e IoT Central usam TLS para proteger ligações de dispositivos e serviços IoT. Três versões do protocolo TLS são suportadas atualmente: 1.0, 1.1 e 1.2. TLS 1.0 e 1.1 são considerados legados. Para saber mais, consulte o suporte Transport Layer Security (TLS) em Hub IoT e o suporte TLS no Hub IoT do Azure Device Provisioning Service (DPS).

• Use pacotes de codificação fortes e mantenha os certificados de CA raiz atualizados: atualize os pacotes de codificação e os certificados raiz confiáveis regularmente para manter conexões seguras. Para saber mais, consulte Hub IoT suporte TLS.

• Certifique-se de ter uma maneira de atualizar o certificado raiz TLS em seus dispositivos: os certificados raiz TLS duram muito tempo, mas podem expirar ou ser revogados. Se não conseguir atualizar o certificado no dispositivo, este pode não conseguir ligar-se ao Hub IoT, IoT Central ou a qualquer outro serviço cloud numa data posterior. Para saber mais, consulte Como renovar certificados de dispositivo X.509.

• Considere usar Azure Private Link: Azure Private Link permite-lhe ligar os seus dispositivos a um endpoint privado na sua rede virtual, permitindo-lhe bloquear o acesso aos endpoints públicos do seu hub IoT que ficam voltados para dispositivos. Para saber mais, consulte Conectividade de entrada para Hub IoT usando Azure Private Link e Segurança de Rede para IoT Central usando endpoints privados.

• Restringir o acesso à rede: use a filtragem de IP para limitar o acesso a fontes e redes confiáveis. Para saber mais, consulte Hub IoT filtragem IP, IoT Central Private Endpoints e DPS IP filtering.

• Desative o acesso à rede pública se não for necessário: impeça a exposição à Internet pública desativando os pontos de extremidade públicos quando puder. Para saber mais, consulte Hub IoT acesso à rede pública e DPS acesso à rede pública.

• Isolar dispositivos e serviços Edge em segmentos de rede seguros: Utilize segmentação de rede e firewalls para isolar dispositivos e serviços Edge IoT de outros recursos de rede. Para saber mais, consulte IoT Edge para Linux sobre segurança Windows.

Segurança da cloud

Esta seção fornece orientação sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam seus dados de dispositivo IoT. A segurança dos serviços na nuvem é crucial para garantir a integridade e confidencialidade dos seus dados.

• Siga uma metodologia de desenvolvimento de software seguro: O desenvolvimento de software seguro requer que você considere a segurança desde o início do projeto até a implementação, teste e implantação. O Ciclo de Vida de Desenvolvimento Centrado na Segurança da Microsoft fornece uma abordagem passo a passo para construir software seguro.

• Escolha software de código aberto com cuidado: O software de código aberto oferece uma oportunidade para desenvolver soluções rapidamente. Ao escolher software de código aberto, considere o nível de atividade da comunidade para cada componente de código aberto. Uma comunidade ativa garante que o software é suportado e que os problemas são descobertos e resolvidos. Um projeto de software de código aberto obscuro e inativo pode não ser suportado e os problemas provavelmente não são descobertos.

• Integre com cuidado: muitas falhas de segurança de software existem no limite de bibliotecas e APIs. A funcionalidade que não é necessária para a implantação atual ainda pode estar disponível por meio de uma camada de API. Para garantir a segurança geral, verifique todas as interfaces dos componentes integrados quanto a falhas de segurança.

• Proteja as credenciais da nuvem: um invasor pode usar as credenciais de autenticação na nuvem que você usa para configurar e operar sua implantação de IoT para obter acesso e comprometer seu sistema IoT. Proteja as credenciais alterando a senha com frequência e não use essas credenciais em máquinas públicas.

• Usar Microsoft Entra ID e RBAC com Hub IoT: Utilize Microsoft Entra ID e Azure RBAC para acesso à API de serviços e gestão para permitir controlo de acesso granular baseado em identidade. Para saber mais, consulte Hub IoT Entra ID autenticação e DPS Entra ID autenticação.

• Desative as políticas de acesso compartilhado, se não for necessário: reduza a superfície de ataque desativando as políticas de acesso compartilhado e os tokens quando não precisar deles. Para saber mais, consulte Hub IoT políticas de acesso partilhado.

• Definir controles de acesso para seu aplicativo IoT Central: entenda e defina o tipo de acesso que você habilita para seu aplicativo IoT Central. Para saber mais, veja:

  • Gerir utilizadores e funções na aplicação IoT Central
  • Gerenciar organizações do IoT Central
  • Usar logs de auditoria para rastrear a atividade em seu aplicativo IoT Central
  • Como autenticar e autorizar chamadas à API REST do IoT Central

• Define controlos de acesso para serviços de backend: Outros serviços Azure podem consumir os dados que o teu hub IoT ou aplicação IoT Central ingere dos teus dispositivos. Pode encaminhar mensagens dos seus dispositivos para outros serviços do Azure. Compreenda e configure as permissões de acesso adequadas para o Hub IoT ou IoT Central para se ligar a estes serviços. Para saber mais, veja:

  • Ler mensagens de dispositivo para a nuvem a partir do ponto final integrado do Hub IoT
  • Utiliza o encaminhamento de mensagens do Hub IoT para enviar mensagens de dispositivo para a nuvem para diferentes endpoints
  • Exportar dados do IoT Central
  • Exportar dados do IoT Central para um destino seguro num Rede Virtual do Azure

• Conceda apenas as permissões mínimas necessárias: aplique o princípio do menor privilégio ao atribuir funções e permissões a usuários, aplicativos e dispositivos. Para saber mais, consulte Práticas recomendadas de gerenciamento de identidade.

• Monitorize a sua solução IoT a partir da cloud: Monitorize a saúde geral da sua solução IoT usando métricas Hub IoT em Azure Monitor ou Monitorize a saúde da aplicação IoT Central.

• Configurar diagnósticos: Monitorize as suas operações registando eventos na sua solução e depois envie os registos de diagnóstico para Azure Monitor. Para saber mais, consulte Monitorar e diagnosticar problemas em seu hub IoT.