Proteger suas soluções de IoT

O diagrama a seguir mostra uma visão geral dos componentes em uma solução típica de IoT baseada em borda. O foco deste artigo é a segurança em uma solução IoT baseada em borda:

Em uma solução de IoT baseada em computação de borda, você pode dividir a segurança nas quatro áreas seguintes:

• Segurança de ativos: proteja o ativo IoT enquanto ele é implantado no local.

• Segurança de conexão: verifique se todos os dados em trânsito entre os serviços de ativo, borda e nuvem são confidenciais e à prova de adulteração.

• Segurança de borda: proteja seus dados à medida que eles se movem e são armazenados na borda.

• Segurança na nuvem: proteja seus dados conforme eles são movidos e armazenados na nuvem.

Microsoft Defender para IoT e para contêineres

O Microsoft Defender para IoT é uma solução de segurança unificada criada especificamente para identificar dispositivos IoT e OT (tecnologia operacional), vulnerabilidades e ameaças. O Microsoft Defender para contêineres é uma solução nativa da nuvem para melhorar, monitorar e manter a segurança de seus ativos conteinerizados (clusters do Kubernetes, nós do Kubernetes, cargas de trabalho do Kubernetes, registros de contêineres, imagens de contêineres e muito mais) e seus aplicativos, em ambientes multinuvem e locais.

O Defender para IoT e o Defender para contêineres podem monitorar automaticamente algumas das recomendações incluídas neste artigo. O Defender para IoT e o Defender para contêineres devem ser a linha de frente de defesa para proteger sua solução baseada em borda. Para obter mais informações, consulte:

• Microsoft Defender para contêineres ─ visão geral
• Microsoft Defender para IoT para organizações ─ visão geral

Segurança de ativos

Esta seção fornece diretrizes sobre como proteger seus ativos, como equipamentos industriais, sensores e outros dispositivos que fazem parte de sua solução de IoT. A segurança do ativo é crucial para garantir a integridade e a confidencialidade dos dados que ele gera e transmite.

• Use o Azure Key Vault e a extensão do repositório de segredos: use o Azure Key Vault para armazenar e gerenciar informações confidenciais do ativo, como chaves, senhas, certificados e segredos. As Operações do Azure IoT usam o Azure Key Vault como a solução de cofre gerenciado na nuvem e usam a extensão de Repositório de segredos do Azure Key Vault para Kubernetes para sincronizar os segredos da nuvem e armazená-los na borda como segredos do Kubernetes. Para saber mais, confira Gerenciar segredos para sua implantação de Operações do Azure IoT.

• Configurar o gerenciamento seguro de certificados: o gerenciamento de certificados é crucial para garantir a comunicação segura entre ativos e seu ambiente de runtime de borda. As Operações do Azure IoT fornecem ferramentas para gerenciar certificados, incluindo emissão, renovação e revogação de certificados. Para saber mais, consulte Gerenciamento de certificados para a comunicação interna das Operações do Azure IoT.

• Selecione hardware à prova de adulteração: escolha o hardware do ativo com mecanismos internos para detectar violação física, como a abertura da cobertura do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, alertando os operadores sobre tais eventos.

• Habilitar atualizações seguras para firmware de ativos: use serviços que habilitam atualizações no ar para seus ativos. Crie ativos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus ativos durante e após as atualizações.

• Implantar hardware de ativo com segurança: verifique se a implantação de hardware de ativo é o mais à prova de adulteração possível, especialmente em locais não seguros, como espaços públicos ou localidades não supervisionadas. Habilite apenas os recursos necessários para minimizar o volume de ataque físico, como cobrir com segurança as portas USB se elas não forem necessárias.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essa orientação juntamente com as diretrizes gerais neste artigo.

Segurança da conexão

Esta seção fornece diretrizes sobre como proteger as conexões entre seus ativos, o ambiente de runtime de borda e os serviços de nuvem. A segurança das conexões é crucial para garantir a integridade e a confidencialidade dos dados transmitidos.

• Use o TLS (Transport Layer Security) para proteger conexões de ativos: toda a comunicação dentro das Operações de IoT do Azure é criptografada usando TLS. Para fornecer uma experiência segura por padrão que minimiza a exposição inadvertida de sua solução baseada em borda para invasores, as Operações IoT do Azure são implantadas com uma AC raiz padrão e um emissor para certificados de servidor TLS. Para uma implantação de produção, recomendamos usar seu próprio emissor de autoridade de certificação e uma solução PKI corporativa.

• Traga sua própria AC para produção: para implantações de produção, substitua a AC raiz autoassinada padrão por seu próprio emissor de AC e integre-se a uma PKI corporativa para garantir a confiança e a conformidade. Para saber mais, consulte Gerenciamento de certificados para a comunicação interna das Operações do Azure IoT.

• Considere usar firewalls ou proxies corporativos para gerenciar o tráfegode saída: se você usar firewalls ou proxies corporativos, adicione os pontos de extremidade das Operações de IoT do Azure à sua lista de permissões.

• Criptografar o tráfego interno do agente de mensagens: garantir a segurança das comunicações internas em sua infraestrutura de borda é importante para manter a integridade e a confidencialidade dos dados. Configure o Agente MQTT para criptografar o tráfego interno e os dados em trânsito entre os pods de front-end e back-end do Agente MQTT. Para saber mais, consulte Configurar a criptografia de tráfego interno do agente e certificados internos.

• Configurar o TLS com o gerenciamento automático de certificados para ouvintes em seu Agente MQTT: as Operações do Azure IoT fornecem gerenciamento automático de certificados para ouvintes em seu agente MQTT. Esse recurso reduz a sobrecarga administrativa do gerenciamento manual de certificados, garante renovações oportunas e ajuda a manter a conformidade com as políticas de segurança. Para saber mais, confira Proteger a comunicação do Agente MQTT usando o BrokerListener.

• Configure uma conexão segura com o servidor OPC UA: ao se conectar a um servidor OPC UA, determine com quais servidores OPC você confia para estabelecer com segurança uma sessão. Para saber mais, confira Configurar a infraestrutura de certificados OPC UA para o conector OPC UA.

• Isolar e segmentar redes: use segmentação de rede e firewalls para isolar clusters de Operações de IoT e dispositivos de borda de outros recursos de rede. Adicione pontos de extremidade necessários à sua lista de permissões se estiver usando firewalls ou proxies corporativos. Para saber mais, confira as diretrizes de implantação de produção – Rede.

Segurança de borda

Esta seção fornece diretrizes sobre como proteger seu ambiente de runtime de borda, que é o software executado em sua plataforma de borda. Esse software processa seus dados de ativo e gerencia a comunicação entre seus ativos e serviços de nuvem. A segurança do ambiente de runtime de borda é crucial para garantir a integridade e a confidencialidade dos dados processados e transmitidos.

• Mantenha o ambiente de runtime de borda atualizado: mantenha sua implantação de cluster e das Operações de IoT do Azure atualizadas com os patches mais recentes e versões secundárias para obter todas as correções de segurança e bug disponíveis. Para implantações de produção, desative a atualização automática do Azure Arc para ter controle total sobre quando novas atualizações são aplicadas ao seu cluster. Em vez disso, atualize manualmente os agentes conforme necessário.

• Verifique a integridade das imagens do contêiner e do Helm: antes de implantar qualquer imagem no cluster, verifique se a imagem está assinada pela Microsoft. Para saber mais, confira Validar assinatura de imagem.

• Sempre use certificados X.509 ou tokens de conta de serviço do Kubernetes para autenticação com seu Agente MQTT: um Agente MQTT dá suporte a vários métodos de autenticação para clientes. Você pode definir cada porta de ouvinte para ter suas configurações de autenticação com um recurso BrokerAuthentication. Para saber mais, consulte Configurar a autenticação do Agente MQTT.

• Forneça o privilégio mínimo necessário para o ativo de tópico em seu Agente MQTT: as políticas de autorização determinam quais ações os clientes podem executar no agente, como conectar, publicar ou assinar tópicos. Configure o agente MQTT para usar uma ou várias políticas de autorização com o recurso BrokerAuthorization. Para saber mais, consulte Configurar a autorização do Agente MQTT.

Segurança de Nuvem

Esta seção fornece diretrizes sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam seus dados de ativo. A segurança dos serviços de nuvem é crucial para garantir a integridade e a confidencialidade de seus dados.

• Use identidades gerenciadas atribuídas pelo usuário para conexões de nuvem: sempre use a autenticação de identidade gerenciada. Quando possível, use a identidade gerenciada atribuída pelo usuário em pontos de extremidade do fluxo de dados para ter flexibilidade e capacidade de auditoria. Para saber mais, confira Habilitar configurações seguras nas Operações de IoT do Azure.

• Implantar recursos de observabilidade e configurar logs: a observabilidade fornece visibilidade em cada camada da configuração das Operações de IoT do Azure. Ele fornece informações sobre o comportamento real dos problemas, o que aumenta a eficácia da engenharia de confiabilidade do site. As Operações do Azure IoT oferecem observabilidade por meio de painéis personalizados do Grafana hospedados no Azure. Esses painéis são alimentados pelo serviço gerenciado do Azure Monitor para Prometheus e pelo Container Insights. Implante recursos de observabilidade em seu cluster antes de implantar as Operações de IoT do Azure.

• Acesso seguro a ativos e pontos de extremidade de ativos com o RBAC do Azure: ativos e pontos de extremidade de ativos nas Operações do Azure IoT têm representações no cluster do Kubernetes e no portal do Azure. Use o RBAC do Azure para proteger o acesso a esses recursos. O RBAC do Azure é um sistema de autorização que permite gerenciar o acesso aos recursos do Azure. Use o RBAC do Azure para conceder permissões a usuários, grupos e aplicativos em um determinado escopo. Para saber mais, confira Acesso seguro a ativos e pontos de extremidade de ativos.

O diagrama a seguir mostra uma exibição de alto nível dos componentes em uma solução de IoT típica baseada em nuvem. Este artigo se concentra na segurança em uma solução de IoT baseada em nuvem:

Em uma solução de IoT baseada em nuvem, você pode dividir a segurança nas três áreas a seguir:

• Segurança do dispositivo: proteja o dispositivo IoT enquanto ele é implantado no local.

• Segurança da conexão: garanta que todos os dados transmitidos entre o dispositivo IoT e os serviços de nuvem IoT sejam confidenciais e à prova de adulteração.

• Segurança na nuvem: proteja seus dados conforme eles são movidos e armazenados na nuvem.

As recomendações neste artigo ajudam você a cumprir as obrigações de segurança descritas no modelo de responsabilidade compartilhada.

Microsoft Defender para IoT

O Microsoft Defender para IoT monitora automaticamente algumas das recomendações neste artigo. O Microsoft Defender para IoT analisa periodicamente o estado de segurança dos recursos do Azure para identificar possíveis vulnerabilidades de segurança e, em seguida, oferece recomendações sobre como resolvê-las. Para obter mais informações, consulte:

• O que é o Microsoft Defender para IoT para organizações?.
• O que é o Microsoft Defender para IoT para fabricantes de dispositivos?.
• Aprimorar a postura de segurança com recomendações de segurança.

Segurança do dispositivo

Esta seção fornece diretrizes sobre como proteger seus dispositivos IoT, que são os componentes de hardware que coletam e transmitem dados. A segurança do dispositivo é crucial para garantir a integridade e a confidencialidade dos dados que ele gera e transmite.

• Adeque o hardware aos requisitos mínimos: selecione seu dispositivo de hardware incluindo apenas os recursos mínimos necessários para a operação e nada mais. Por exemplo, inclua portas USB somente se forem necessárias para o funcionamento do dispositivo em sua solução. Funcionalidades extras podem expor o dispositivo a vetores de ataque indesejados.

• Selecione hardware à prova de adulteração: selecione o hardware do dispositivo com mecanismos internos para detectar violação física, como a abertura da cobertura do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, o que poderia alertar os operadores sobre tais eventos.

• Selecione o hardware seguro: se possível, escolha o hardware do dispositivo que inclui recursos de segurança, como funcionalidade de armazenamento e inicialização segura e criptografada com base em um Módulo de Plataforma Confiável. Esses recursos tornam os dispositivos mais seguros e ajudam a proteger a infraestrutura geral de IoT.

• Habilitar atualizações seguras: Use serviços como Atualização de Dispositivo para o Hub IoT para atualizações remotas nos seus dispositivos IoT. Desenvolva dispositivos com caminhos seguros para atualizações e garantia criptográfica das versões de firmware para proteger seus dispositivos durante e após as atualizações.

• Siga uma metodologia de desenvolvimento de software seguro: o desenvolvimento de software seguro exige que você considere a segurança desde a concepção do projeto até sua implementação, teste e implantação. O Microsoft Security Development Lifecycle fornece uma abordagem passo a passo para a criação de software seguro.

• Use SDKs de dispositivos sempre que possível: os SDKs de dispositivos implementam diversas funcionalidades de segurança, como criptografia e autenticação, que auxiliam no desenvolvimento de aplicativos robustos e seguros para os dispositivos. Para saber mais, confira SDKs da Internet das Coisas do Azure.

• Escolher software livre com cuidado: software livre fornece uma oportunidade o rápido desenvolvimento de soluções. Ao escolher o software de software livre, considere o nível de atividade da comunidade para cada componente de software livre. Uma comunidade ativa garante que existirá suporte para o software e que os problemas serão descobertos e tratados. Talvez não haja suporte para um projeto de software open-source obscuro e inativo e problemas provavelmente não sejam descobertos.

• Implantar hardware com segurança: as implantações de IoT podem exigir que você implante hardware em locais não seguros, como em espaços públicos ou localidades não supervisionadas. Nessas situações, torne a implantação de hardware o mais resistente possível a adulterações e ative apenas os recursos necessários para minimizar a superfície de ataque física.

• Armazenar credenciais em HSMs (módulos de segurança de hardware): use HSMs para armazenar com segurança os segredos do dispositivo, como chaves privadas e certificados, para proteger contra extração e adulteração. Para saber mais, confira a autenticação do Hub IoT X.509, as diretrizes de HSM do DPS e o gerenciador de segurança do IoT Edge.

• Girar regularmente as chaves e certificados do dispositivo: gire regularmente as credenciais, especialmente após uma violação ou expiração, para minimizar o risco de acesso não autorizado. Para saber mais, confira Como rolar certificados no DPS e no gerenciamento de certificados do IoT Central X.509.

• Atualização e correção: mantenha todos os ambientes de execução, SDKs e componentes do sistema operacional atualizados com os patches e atualizações de segurança mais recentes. Para saber mais, confira as diretrizes de atualização do IoT Edge.

• Proteger contra atividades mal-intencionadas: se o sistema operacional permitir, instale as funcionalidades antivírus e anti-malware mais recentes em cada sistema operacional do dispositivo.

• Auditoria com frequência: audite a infraestrutura de IoT para problemas de segurança para permitir que você responda a incidentes de segurança. A maioria dos sistemas operacionais fornece log de eventos interno. Examine os logs com frequência para verificar se há violações de segurança. Um dispositivo pode enviar informações de auditoria como um fluxo de dados separado para o serviço de nuvem, onde você pode analisá-lo.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essa orientação juntamente com as diretrizes gerais neste artigo.

• Use um gateway de campo para fornecer serviços de segurança para dispositivos herdados ou com limitações: talvez os dispositivos herdados e com restrições não tenham a capacidade de criptografar dados, conectar-se à internet ou realizar auditorias avançadas. Nesses casos, um gateway de campo moderno e seguro pode agregar dados de dispositivos legados e fornecer a segurança necessária para conectar esses dispositivos pela internet. Um dispositivo IoT Edge pode ser usado como um gateway e fornecer autenticação segura, negociação de sessões criptografadas, recebimento de comandos da nuvem e muitos outros recursos de segurança. O Azure Sphere pode atuar como um módulo guardião para proteger outros dispositivos, incluindo sistemas herdados existentes não projetados para conectividade confiável.

• Criptografe os dados inativos: use criptografia no nível do sistema operacional, como o BitLocker para Windows, para dispositivos e armazenamento na borda, a fim de proteger os dados em caso de perda ou roubo dos dispositivos. Para saber mais, confira a segurança do IoT Edge.

Segurança da conexão

Esta seção fornece diretrizes sobre como proteger as conexões entre seus dispositivos IoT e serviços de nuvem. A segurança das conexões é crucial para garantir a integridade e a confidencialidade dos dados transmitidos.

• Use certificados X.509 para autenticar seus dispositivos no Hub IoT ou IoT Central: o Hub IoT e o IoT Central dão suporte a certificados X509 para autenticação de dispositivo. Use a autenticação baseada em X509 em ambientes de produção, pois ela fornece maior segurança do que chaves simétricas. Para aprender mais, veja Como autenticar um dispositivo no Hub IoT e Conceitos de autenticação de dispositivo no IoT Central.

• Evite chaves simétricas compartilhadas: se você usar chaves simétricas, não compartilhe chaves simétricas entre dispositivos. Cada dispositivo precisa de credenciais exclusivas para evitar um comprometimento generalizado se uma chave for vazada. Para saber mais, confira as práticas de segurança para fabricantes de dispositivos.

• Utilize o protocolo TLS 1.2 para proteger as conexões dos dispositivos: o Hub IoT e o IoT Central utilizam o TLS para proteger as conexões de dispositivos e serviços IoT. Atualmente, três versões do protocolo TLS são suportadas: 1.0, 1.1 e 1.2. As versões TLS 1.0 e 1.1 são consideradas obsoletas. Para saber mais, confira o suporte de TLS (Transport Layer Security) no Hub IoT e o suporte de TLS no Serviço de Provisionamento de Dispositivo (DPS) no Hub IoT do Azure.

• Use conjuntos de criptografia fortes e mantenha os certificados de autoridade raiz atualizados: atualize regularmente os conjuntos de criptografia e os certificados raiz confiáveis para garantir conexões seguras. Para saber mais, confira o suporte ao TLS do Hub IoT.

• Verifique se você tem uma maneira de atualizar o certificado raiz do TLS em seus dispositivos: os certificados raiz TLS duram muito tempo, mas eles podem expirar ou ser revogados. Se você não conseguir atualizar o certificado no dispositivo, talvez o dispositivo não consiga se conectar ao Hub IoT, ao IoT Central ou a qualquer outro serviço de nuvem posteriormente. Para saber mais, confira Como rolar certificados de dispositivo X.509.

• Considere usar o Link Privado do Azure: O Link Privado do Azure permite conectar os dispositivos a um ponto de extremidade privado na sua rede virtual, o que possibilita o bloqueio do acesso aos pontos de extremidade públicos do seu hub IoT voltado para dispositivos. Para mais informações, confira a Conectividade de entrada para o Hub IoT usando o Link Privado do Azure e Segurança de rede no IoT Central usando pontos de extremidade privados.

• Restringir o acesso à rede: use a filtragem de IP para limitar o acesso a fontes e redes confiáveis. Para saber mais, consulte filtragem de IP do Hub IoT, pontos de extremidade privados do IoT Central e filtragem de IP do DPS.

• Desabilite o acesso à rede pública se não for necessário: impeça a exposição à Internet pública desabilitando pontos de extremidade públicos quando possível. Para saber mais, confira o acesso à rede pública do Hub IoT e o acesso à rede pública DPS.

• Isole dispositivos e serviços de borda em segmentos de rede seguros: use segmentação de rede e firewalls para isolar dispositivos e serviços IoT Edge dos demais recursos da rede. Para saber mais, consulte o IoT Edge para Linux na segurança do Windows.

Segurança de Nuvem

Esta seção fornece diretrizes sobre como proteger seus serviços de nuvem, que são os serviços que processam e armazenam os dados do dispositivo IoT. A segurança dos serviços de nuvem é crucial para garantir a integridade e a confidencialidade de seus dados.

• Siga uma metodologia de desenvolvimento de software seguro: o desenvolvimento de software seguro exige que você considere a segurança desde a concepção do projeto até sua implementação, teste e implantação. O Microsoft Security Development Lifecycle fornece uma abordagem passo a passo para a criação de software seguro.

• Escolher software livre com cuidado: software livre fornece uma oportunidade o rápido desenvolvimento de soluções. Ao escolher o software livre, considere o nível de atividade da comunidade para cada componente de software livre. Uma comunidade ativa garante que existirá suporte para o software e que os problemas serão descobertos e tratados. Um projeto de software de código aberto obscuro e inativo poderá não ter suporte e os problemas provavelmente não serão descobertos.

• Integrar com cuidado: há muitas das falhas de segurança de software no limite de bibliotecas e APIs. A funcionalidade que não é necessária para a implantação atual ainda pode estar disponível por meio de uma camada de API. Para garantir a segurança geral, verifique todas as interfaces de componentes integrados em busca de falhas de segurança.

• Proteja as credenciais de nuvem: um invasor pode utilizar as credenciais de autenticação na nuvem que você usa para configurar e gerenciar sua implantação IoT para acessar e comprometer seu sistema IoT. Proteja as credenciais alterando a senha com frequência e não use essas credenciais em máquinas públicas.

• Use o Microsoft Entra ID e o RBAC com o Hub IoT: Utilize o Microsoft Entra ID e o RBAC do Azure para acesso às APIs de serviço e gerenciamento, permitindo um controle de acesso granular baseado em identidade. Para saber mais, confira a autenticação de Entra ID do IoT Hub e a autenticação de Entra ID do DPS.

• Desabilite as políticas de acesso compartilhado se não for necessário: reduza a superfície de ataque desabilitando políticas de acesso compartilhado e tokens quando não precisar delas. Para saber mais, confira as políticas de acesso compartilhado do Hub IoT.

• Estabeleça controles de acesso para o aplicativo IoT Central: compreenda e defina o tipo de acesso permitido no aplicativo IoT Central. Para obter mais informações, consulte:

  • Gerencie usuários e funções em seu aplicativo IoT Central
  • Gerenciar organizações do IoT Central
  • Usar logs de auditoria para acompanhar a atividade no aplicativo do Azure IoT Central
  • Como autenticar e autorizar as chamadas à API REST do IoT Central

• Defina controles de acesso para serviços de back-end: outros serviços do Azure podem usar os dados que o seu Hub IoT ou aplicativo IoT Central ingerem dos seus dispositivos. Você pode rotear mensagens dos seus dispositivos para outros serviços do Azure. Entenda e configure as permissões de acesso adequadas para o Hub IoT ou o IoT Central se conectem a esses serviços. Para obter mais informações, consulte:

  • Ler mensagens de dispositivo para nuvem do ponto de extremidade interno do Hub IoT
  • Usar o roteamento de mensagens do Hub IoT para enviar mensagens de dispositivo para nuvem para diferentes pontos de extremidade
  • Exportar dados do IoT Central
  • Exportar dados do IoT Central para um destino seguro em uma Rede Virtual do Azure

• Conceda apenas as permissões mínimas necessárias: aplique o princípio de privilégio mínimo ao atribuir funções e permissões a usuários, aplicativos e dispositivos. Para saber mais, confira as práticas recomendadas de gerenciamento de identidades.

• Monitore sua solução de IoT na nuvem: monitore a integridade geral da sua solução de IoT usando métricas do Hub IoT no Azure Monitor ou monitore a integridade do aplicativo IoT Central.

• Configurar o diagnóstico: monitorar suas operações registrando eventos em log em sua solução e, em seguida, envie os logs de diagnóstico para o Azure Monitor. Para aprender mais, veja Monitorar e diagnosticar problemas no Hub IoT.