Práticas recomendadas de segurança para soluções de IoT

O diagrama a seguir mostra uma visão de alto nível dos componentes em uma solução típica de IoT baseada em borda. Este artigo se concentra na segurança de uma solução de IoT baseada em borda:

Você pode dividir a segurança em uma solução de IoT baseada em borda nas três áreas a seguir:

• Segurança de ativos: proteja o item de valor físico ou virtual do qual você deseja gerenciar, monitorar e coletar dados.

• Segurança da conexão: garanta que todos os dados em trânsito entre o ativo, a borda e os serviços de nuvem sejam confidenciais e invioláveis.

• Segurança de borda: proteja seus dados enquanto eles se movem e são armazenados na borda.

• Segurança na nuvem: proteja seus dados enquanto eles se movem e são armazenados na nuvem.

Normalmente, em uma solução baseada em borda, você deseja proteger suas operações de ponta a ponta usando os recursos de segurança do Azure. O Azure IoT Operations tem recursos de segurança internos, como gerenciamento de segredos, gerenciamento de certificados e configurações seguras em um cluster Kubernetes habilitado para Azure Arc. Quando um cluster Kubernetes é conectado ao Azure, uma conexão de saída com o Azure é iniciada, usando SSL padrão do setor para proteger dados em trânsito, e vários outros recursos de segurança são habilitados, como:

• Exiba e monitore seus clusters usando o Azure Monitor para contêineres.
• Aplique a proteção contra ameaças usando o Microsoft Defender for Containers.
• Garanta a governança por meio da aplicação de políticas com a Política do Azure para Kubernetes.
• Conceda acesso e conecte-se aos seus clusters Kubernetes de qualquer lugar e gerencie o acesso usando o controle de acesso baseado em função do Azure (Azure RBAC) em seu cluster.

Microsoft Defender para IoT e para contêineres

O Microsoft Defender for IoT é uma solução de segurança unificada criada especificamente para identificar dispositivos, vulnerabilidades e ameaças de IoT e tecnologia operacional (OT). O Microsoft Defender for Containers é uma solução nativa da nuvem para melhorar, monitorar e manter a segurança de seus ativos em contêineres (clusters Kubernetes, nós Kubernetes, cargas de trabalho Kubernetes, registros de contêineres, imagens de contêiner e muito mais) e seus aplicativos, em ambientes multicloud e locais.

Tanto o Defender for IoT quanto o Defender for Containers podem monitorar automaticamente algumas das recomendações incluídas neste artigo. O Defender for IoT e o Defender for Containers devem ser a linha de frente da defesa para proteger sua solução baseada em borda. Para saber mais, veja:

• Microsoft Defender for Containers - visão geral
• Microsoft Defender for IoT para organizações - visão geral.

Segurança patrimonial

• Gerenciamento de segredos: use o Azure Key Vault para armazenar e gerenciar informações confidenciais de ativos, como chaves, senhas, certificados e segredos. O Azure IoT Operations usa o Azure Key Vault como a solução de cofre gerenciado na nuvem e usa a extensão Azure Key Vault Secret Store para Kubernetes para sincronizar os segredos da nuvem e armazená-los na borda como segredos do Kubernetes. Para saber mais, consulte Gerenciar segredos para sua implantação de Operações do Azure IoT.

• Gerenciamento de certificados: o gerenciamento de certificados é crucial para garantir uma comunicação segura entre os ativos e seu ambiente de tempo de execução de borda. O Azure IoT Operations fornece ferramentas para gerenciar certificados, incluindo emissão, renovação e revogação de certificados. Para saber mais, consulte Gerenciamento de certificados para comunicação interna do Azure IoT Operations.

• Selecione hardware à prova de violação para ativos: escolha hardware de ativo com mecanismos integrados para detetar adulteração física, como a abertura da tampa do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, alertando os operadores sobre esses eventos.

• Habilitar atualizações seguras para firmware de ativos: use serviços que habilitam atualizações over-the-air para seus ativos. Crie ativos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus ativos durante e após as atualizações.

• Implante o hardware de ativos com segurança: certifique-se de que a implantação de hardware de ativos seja o mais inviolável possível, especialmente em locais não seguros, como espaços públicos ou localidades não supervisionadas. Habilite apenas os recursos necessários para minimizar a pegada de ataque físico, como cobrir com segurança as portas USB se elas não forem necessárias.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essas orientações além das diretrizes genéricas listadas neste artigo.

Segurança da Ligação

• Usar TLS (Transport Layer Security) para proteger conexões de ativos: toda a comunicação dentro das Operações IoT do Azure é criptografada usando TLS. Para fornecer uma experiência segura por padrão que minimize a exposição inadvertida de sua solução baseada em borda a invasores, o Azure IoT Operations é implantado com uma CA raiz padrão e um emissor para certificados de servidor TLS. Para uma implantação de produção, recomendamos o uso de seu próprio emissor de CA e uma solução PKI corporativa.

• Considere o uso de firewalls ou proxies corporativos para gerenciar o tráfego de saída: se você usar firewalls ou proxies corporativos, adicione os pontos de extremidade do Azure IoT Operations à sua lista de permissões.

• Criptografar o tráfego interno do agente de mensagens: Garantir a segurança das comunicações internas em sua infraestrutura de borda é importante para manter a integridade e a confidencialidade dos dados. Você deve configurar o broker MQTT para criptografar o tráfego interno e os dados em trânsito entre o frontend do MQTT broker e os pods de backend. Para saber mais, consulte Configurar a criptografia do tráfego interno do broker e certificados internos.

• Configure o TLS com gerenciamento automático de certificados para ouvintes em seu broker MQTT: o Azure IoT Operations fornece gerenciamento automático de certificados para ouvintes em seu broker MQTT. Isso reduz a sobrecarga administrativa do gerenciamento manual de certificados, garante renovações oportunas e ajuda a manter a conformidade com as políticas de segurança. Para saber mais, consulte Proteger a comunicação do broker MQTT usando o BrokerListener.

• Configurar uma conexão segura com o servidor OPC UA: Ao se conectar a um servidor OPC UA, você deve determinar em quais servidores OPC UA você confia para estabelecer uma sessão com segurança. Para saber mais, consulte Configurar a infraestrutura de certificados OPC UA para o conector para OPC UA.

Segurança de borda

• Mantenha o ambiente de tempo de execução de borda atualizado: mantenha seu cluster e a implantação do Azure IoT Operations atualizados com os patches mais recentes e versões secundárias para obter todas as correções de segurança e bugs disponíveis. Para implantações de produção, desative a atualização automática para o Azure Arc para ter controle total sobre quando novas atualizações são aplicadas ao cluster. Em vez disso, atualize manualmente os agentes conforme necessário.

• Verifique a integridade das imagens do docker e do helm: antes de implantar qualquer imagem no cluster, verifique se a imagem está assinada pela Microsoft. Para saber mais, consulte Validar assinatura de imagem.

• Sempre use certificados X.509 ou tokens de conta de serviço Kubernetes para autenticação com seu broker MQTT: um broker MQTT suporta vários métodos de autenticação para clientes. Você pode configurar cada porta de ouvinte para ter suas próprias configurações de autenticação com um recurso BrokerAuthentication. Para saber mais, consulte Configurar a autenticação do agente MQTT.

• Forneça o menor privilégio necessário para o ativo de tópico em seu broker MQTT: as políticas de autorização determinam quais ações os clientes podem executar no broker, como conectar, publicar ou assinar tópicos. Configure o broker MQTT para usar uma ou várias políticas de autorização com o recurso BrokerAuthorization. Para saber mais, consulte Configurar autorização do broker MQTT.

• Configurar ambientes de rede isolados usando o Gerenciamento de Rede em Camadas do Azure IoT (visualização): o Gerenciamento de Rede em Camadas do Azure IoT (visualização) é um componente que facilita a conexão entre o Azure e clusters em ambientes de rede isolados. Em cenários industriais, as redes isoladas seguem a arquitetura ISA-95/Purdue Network. Para saber mais, consulte O que é o Gerenciamento de Rede em Camadas do Azure IoT (visualização)?.

Segurança da cloud

• Usar identidades gerenciadas atribuídas pelo usuário para conexões de nuvem: sempre use a autenticação de identidade gerenciada. Sempre que possível, use a identidade gerenciada atribuída pelo usuário em pontos de extremidade de fluxo de dados para flexibilidade e auditabilidade.

• Implantar recursos de observabilidade e configurar logs: a observabilidade fornece visibilidade em cada camada de sua configuração de Operações do Azure IoT. Ele fornece informações sobre o comportamento real dos problemas, o que aumenta a eficácia da engenharia de confiabilidade do site. O Azure IoT Operations oferece observabilidade por meio de painéis Grafana personalizados e selecionados que são hospedados no Azure. Esses painéis são alimentados pelo serviço gerenciado do Azure Monitor para Prometheus e pelo Container Insights. Implante recursos de observabilidade em seu cluster antes de implantar as Operações do Azure IoT.

• Acesso seguro a ativos e pontos de extremidade de ativos com o Azure RBAC: ativos e pontos de extremidade de ativos no Azure IoT Operations têm representações no cluster Kubernetes e no portal do Azure. Você pode usar o RBAC do Azure para proteger o acesso a esses recursos. O RBAC do Azure é um sistema de autorização que permite gerenciar o acesso aos recursos do Azure. Você pode usar o RBAC do Azure para conceder permissões a usuários, grupos e aplicativos em um determinado escopo. Para saber mais, consulte Acesso seguro a ativos e pontos de extremidade de ativos.

O diagrama a seguir mostra uma visão de alto nível dos componentes em uma solução típica de IoT baseada em nuvem. Este artigo se concentra na segurança de uma solução de IoT baseada em nuvem:

Você pode dividir a segurança em uma solução de IoT baseada em nuvem nas três áreas a seguir:

• Segurança do dispositivo: proteja o dispositivo IoT enquanto ele é implantado na natureza.

• Segurança da conexão: certifique-se de que todos os dados transmitidos entre o dispositivo IoT e os serviços de nuvem IoT sejam confidenciais e invioláveis.

• Segurança na nuvem: proteja seus dados enquanto eles se movem e são armazenados na nuvem.

A implementação das recomendações neste artigo ajuda você a cumprir as obrigações de segurança descritas no modelo de responsabilidade compartilhada.

Microsoft Defender para a IoT

O Microsoft Defender para IoT pode monitorar automaticamente algumas das recomendações incluídas neste artigo. O Microsoft Defender for IoT deve ser a linha de frente da defesa para proteger sua solução baseada em nuvem. O Microsoft Defender for IoT analisa periodicamente o estado de segurança dos seus recursos do Azure para identificar potenciais vulnerabilidades de segurança. Em seguida, fornece recomendações sobre como lidar com eles. Para saber mais, veja:

• Melhore a postura de segurança com recomendações de segurança.
• O que é o Microsoft Defender for IoT para organizações?.
• O que é o Microsoft Defender for IoT para construtores de dispositivos?.

Segurança dos dispositivos

• Escopo de hardware para requisitos mínimos: Selecione o hardware do dispositivo para incluir os recursos mínimos necessários para sua operação, e nada mais. Por exemplo, inclua apenas portas USB se forem necessárias para o funcionamento do dispositivo na sua solução. Recursos extras podem expor o dispositivo a vetores de ataque indesejados.

• Selecione hardware à prova de violação: selecione o hardware do dispositivo com mecanismos integrados para detetar adulterações físicas, como a abertura da tampa do dispositivo ou a remoção de uma parte do dispositivo. Esses sinais de violação podem fazer parte do fluxo de dados carregado na nuvem, o que pode alertar os operadores sobre esses eventos.

• Selecione hardware seguro: se possível, escolha o hardware do dispositivo que inclua recursos de segurança, como armazenamento seguro e criptografado e funcionalidade de inicialização com base em um Trusted Platform Module. Esses recursos tornam os dispositivos mais seguros e ajudam a proteger a infraestrutura geral de IoT.

• Habilite atualizações seguras: use serviços como a Atualização de Dispositivo para o Hub IoT para atualizações over-the-air para seus dispositivos IoT. Crie dispositivos com caminhos seguros para atualizações e garantia criptográfica de versões de firmware para proteger seus dispositivos durante e após as atualizações.

• Siga uma metodologia de desenvolvimento de software seguro: O desenvolvimento de software seguro requer que você considere a segurança desde o início do projeto até a implementação, teste e implantação. O Ciclo de Vida de Desenvolvimento de Segurança da Microsoft fornece uma abordagem passo a passo para criar software seguro.

• Use SDKs de dispositivo sempre que possível: os SDKs de dispositivo implementam vários recursos de segurança, como criptografia e autenticação, que ajudam a desenvolver aplicativos de dispositivo robustos e seguros. Para saber mais, consulte Azure IoT SDKs.

• Escolha software de código aberto com cuidado: O software de código aberto oferece uma oportunidade para desenvolver soluções rapidamente. Ao escolher software de código aberto, considere o nível de atividade da comunidade para cada componente de código aberto. Uma comunidade ativa garante que o software é suportado e que os problemas são descobertos e resolvidos. Um projeto de software de código aberto obscuro e inativo pode não ser suportado e os problemas provavelmente não são descobertos.

• Implante hardware com segurança: as implantações de IoT podem exigir que você implante hardware em locais não seguros, como espaços públicos ou localidades não supervisionadas. Nessas situações, certifique-se de que a implantação de hardware seja o mais inviolável possível e apenas os recursos necessários sejam habilitados para minimizar a pegada de ataque físico. Por exemplo, se o hardware tiver portas USB, certifique-se de que estão cobertas de forma segura.

• Mantenha as chaves de autenticação seguras: durante a implantação, cada dispositivo requer IDs de dispositivo e chaves de autenticação associadas geradas pelo serviço de nuvem. Mantenha essas chaves fisicamente seguras e use credenciais renováveis. Um dispositivo mal-intencionado pode usar qualquer chave comprometida para se passar por um dispositivo existente.

• Mantenha o sistema atualizado: certifique-se de que os sistemas operacionais do dispositivo e todos os drivers de dispositivo sejam atualizados para as versões mais recentes. Manter os sistemas operacionais atualizados ajuda a garantir que eles estejam protegidos contra ataques mal-intencionados.

• Proteja-se contra atividades maliciosas: Se o sistema operacional permitir, instale os recursos antivírus e antimalware mais recentes em cada sistema operacional do dispositivo.

• Auditar com frequência: auditar a infraestrutura de IoT para problemas relacionados à segurança é fundamental ao responder a incidentes de segurança. A maioria dos sistemas operativos fornece registo de eventos incorporado que deve rever com frequência para se certificar de que não ocorreu qualquer violação de segurança. Um dispositivo pode enviar informações de auditoria como um fluxo de telemetria separado para o serviço de nuvem onde podem ser analisadas.

• Siga as práticas recomendadas de segurança e implantação do fabricante do dispositivo: se o fabricante do dispositivo fornecer diretrizes de segurança e implantação, siga essas orientações além das diretrizes genéricas listadas neste artigo.

• Use um gateway de campo para fornecer serviços de segurança para dispositivos herdados ou restritos: dispositivos herdados e restritos podem não ter a capacidade de criptografar dados, conectar-se à Internet ou fornecer auditoria avançada. Nesses casos, um gateway de campo moderno e seguro pode agregar dados de dispositivos herdados e fornecer a segurança necessária para conectar esses dispositivos pela Internet. Um dispositivo IoT Edge pode ser usado como um gateway e fornecer autenticação segura, negociação de sessões criptografadas, recebimento de comandos da nuvem e muitos outros recursos de segurança. O Azure Sphere pode ser usado como um módulo guardião para proteger outros dispositivos, incluindo sistemas herdados existentes não projetados para conectividade confiável.

Segurança da Ligação

• Use certificados X.509 para autenticar seus dispositivos no Hub IoT ou no IoT Central: o Hub IoT e o IoT Central suportam autenticação baseada em certificado X509 e tokens de segurança como métodos para autenticação de um dispositivo. Se possível, use a autenticação baseada em X509 em ambientes de produção, pois ela oferece maior segurança. Para saber mais, consulte Autenticando um dispositivo no Hub IoT e Conceitos de autenticação de dispositivo no IoT Central.

• Use o Transport Layer Security (TLS) 1.2 para proteger conexões de dispositivos: o Hub IoT e o IoT Central usam TLS para proteger conexões de dispositivos e serviços IoT. Três versões do protocolo TLS são suportadas atualmente: 1.0, 1.1 e 1.2. TLS 1.0 e 1.1 são considerados legados. Para saber mais, consulte Suporte a TLS (Transport Layer Security) no Hub IoT e Suporte a TLS no DPS (Serviço de Provisionamento de Dispositivo) do Hub IoT do Azure.

• Certifique-se de ter uma maneira de atualizar o certificado raiz TLS em seus dispositivos: os certificados raiz TLS são de longa duração, mas ainda podem expirar ou ser revogados. Se não houver nenhuma maneira de atualizar o certificado no dispositivo, o dispositivo pode não ser capaz de se conectar ao Hub IoT, IoT Central ou qualquer outro serviço de nuvem em uma data posterior. Para saber mais, consulte Como rolar certificados de dispositivo X.509.

• Considere usar o Azure Private Link: o Azure Private Link permite conectar seus dispositivos a um ponto de extremidade privado em sua rede virtual, permitindo que você bloqueie o acesso aos pontos de extremidade voltados para dispositivos públicos do seu hub IoT. Para saber mais, consulte Ingressar conectividade com o Hub IoT usando o Azure Private Link e Segurança de rede para IoT Central usando pontos de extremidade privados.

Segurança da cloud

• Siga uma metodologia de desenvolvimento de software seguro: O desenvolvimento de software seguro requer que você considere a segurança desde o início do projeto até a implementação, teste e implantação. O Ciclo de Vida de Desenvolvimento de Segurança da Microsoft fornece uma abordagem passo a passo para criar software seguro.

• Escolha software de código aberto com cuidado: O software de código aberto oferece uma oportunidade para desenvolver soluções rapidamente. Ao escolher software de código aberto, considere o nível de atividade da comunidade para cada componente de código aberto. Uma comunidade ativa garante que o software é suportado e que os problemas são descobertos e resolvidos. Um projeto de software de código aberto obscuro e inativo pode não ser suportado e os problemas provavelmente não são descobertos.

• Integre com cuidado: muitas falhas de segurança de software existem no limite de bibliotecas e APIs. A funcionalidade que pode não ser necessária para a implantação atual ainda pode estar disponível por meio de uma camada de API. Para garantir a segurança geral, certifique-se de verificar todas as interfaces dos componentes que estão sendo integrados quanto a falhas de segurança.

• Proteja as credenciais da nuvem: um invasor pode usar as credenciais de autenticação na nuvem que você usa para configurar e operar sua implantação de IoT para obter acesso e comprometer seu sistema IoT. Proteja as credenciais alterando a senha com frequência e não use essas credenciais em máquinas públicas.

• Definir controles de acesso para seu hub IoT: entenda e defina o tipo de acesso que cada componente em sua solução de Hub IoT precisa com base na funcionalidade necessária. Há duas maneiras de conceder permissões para que as APIs de serviço se conectem ao seu hub IoT: ID do Microsoft Entra ou assinaturas de Acesso Compartilhado. Se possível, use o Microsoft Entra ID em ambientes de produção, pois ele oferece maior segurança.

• Definir controles de acesso para seu aplicativo IoT Central: entenda e defina o tipo de acesso que você habilita para seu aplicativo IoT Central. Para saber mais, veja:

  • Gerir utilizadores e funções na aplicação IoT Central
  • Gerenciar organizações do IoT Central
  • Usar logs de auditoria para rastrear a atividade em seu aplicativo IoT Central
  • Como autenticar e autorizar chamadas à API REST do IoT Central

• Definir controles de acesso para serviços de back-end: outros serviços do Azure podem consumir os dados que seu hub IoT ou aplicativo IoT Central ingere de seus dispositivos. Você pode rotear mensagens de seus dispositivos para outros serviços do Azure. Entenda e configure as permissões de acesso apropriadas para o Hub IoT ou o IoT Central para se conectar a esses serviços. Para saber mais, veja:

  • Ler mensagens do dispositivo para a nuvem a partir do ponto de extremidade integrado do Hub IoT
  • Usar o roteamento de mensagens do Hub IoT para enviar mensagens do dispositivo para a nuvem para diferentes pontos de extremidade
  • Exportar dados do IoT Central
  • Exportar dados do IoT Central para um destino seguro em uma Rede Virtual do Azure

• Monitore sua solução de IoT a partir da nuvem: monitore a integridade geral de sua solução de IoT usando as métricas do Hub IoT no Azure Monitor ou Monitore a integridade do aplicativo IoT Central.

• Configurar diagnósticos: monitore suas operações registrando eventos em sua solução e enviando os logs de diagnóstico para o Azure Monitor. Para saber mais, consulte Monitorar e diagnosticar problemas em seu hub IoT.