Поделиться через

Безопасность в рабочей нагрузке Интернета вещей

  • Статья

Решения Интернета вещей сталкиваются с проблемой защиты разнообразных и разнородных рабочих нагрузок на основе устройств с минимальным прямым взаимодействием или без него. Разработчики устройств Интернета вещей, разработчики приложений Интернета вещей и операторы решений Интернета вещей несут ответственность за безопасность в течение всего жизненного цикла решения Интернета вещей. Важно с самого начала проектировать решение с учетом безопасности. Изучите потенциальные угрозы и добавьте глубинную защиту при проектировании и проектировании решения.

Планирование безопасности начинается с модели угроз. Понимание того, как злоумышленник может скомпрометировать систему, помогает обеспечить соответствующие меры по устранению рисков с самого начала. Моделирование рисков — очень ценное преимущество, если вы используете его на этапе разработки. В рамках упражнения по моделированию угроз можно разделить типичную архитектуру Интернета вещей на несколько компонентов или зон: устройство, шлюз устройств, облачный шлюз и службы. Каждая зона может иметь собственные требования к проверке подлинности, авторизации и данным. Зоны можно использовать для изоляции повреждений и ограничения влияния зон с низким уровнем доверия на зоны с более высоким уровнем доверия. Дополнительные сведения см. в статье Архитектура безопасности Интернета вещей (IoT).

В следующем руководстве по безопасности для рабочих нагрузок Интернета вещей определены ключевые аспекты и приведены рекомендации по проектированию и реализации.

Оценка безопасности в рабочей нагрузке Интернета вещей

Чтобы оценить рабочую нагрузку Интернета вещей с помощью основы безопасности Well-Architected Framework, заполните контрольные вопросы для рабочих нагрузок Интернета вещей в Обзоре Well-Architected Azure. После того как оценка определит ключевые рекомендации по безопасности для решения Интернета вещей, используйте следующее содержимое для реализации рекомендаций.

Принципы проектирования

Пять основных принципов архитектуры лежат в основе методологии проектирования рабочих нагрузок Интернета вещей. Эти принципы служат компасом для последующих проектных решений в ключевых областях проектирования Интернета вещей. Следующие принципы проектирования расширяют принципы качества azure Well-Architected Framework — безопасность.

Принцип проектирования Рекомендации
Строгое удостоверение Используйте надежное удостоверение для проверки подлинности устройств и пользователей. Иметь аппаратный корень доверия для доверенных удостоверений, регистрировать устройства, выдавать возобновляемые учетные данные и использовать многофакторную проверку подлинности (MFA) без пароля. Ознакомьтесь с общими рекомендациями по управлению удостоверениями и доступом в Azure.
Минимальные привилегии Автоматизируйте и используйте управление доступом с минимальными привилегиями , чтобы ограничить влияние скомпрометированных устройств, удостоверений или неутвержденных рабочих нагрузок.
Состояние устройства Оцените работоспособности устройства, чтобы обеспечить доступ к устройствам или пометить устройства для исправления. Проверьте конфигурацию безопасности, оцените уязвимости и небезопасные пароли, отслеживайте угрозы и аномалии и создавайте текущие профили рисков.
Обновление устройства Непрерывные обновления для поддержания работоспособности устройств. Используйте централизованное решение для управления конфигурацией и соответствием требованиям, а также надежный механизм обновления, чтобы обеспечить актуальность и работоспособность устройств.
Мониторинг безопасности системы, планирование реагирования на инциденты Упреждающее отслеживание несанкционированных или скомпрометированных устройств и реагирование на возникающие угрозы.

Модель безопасности "Никому не доверяй"

Несанкционированный доступ к системам Интернета вещей может привести к массовому раскрытию информации, например утечке производственных данных фабрики, или повышению привилегий для управления кибер-физическими системами, например остановке производственной линии фабрики. Модель безопасности "никому не доверяй" помогает ограничить потенциальное влияние несанкционированного доступа пользователей к облачным или локальным службам и данным Интернета вещей.

Вместо того, чтобы предполагать, что все, что находится за корпоративным брандмауэром, является безопасным, никому не доверяй, полностью проверяет подлинность, авторизует и шифрует каждый запрос на доступ перед предоставлением доступа. Защита решений Интернета вещей с нулевым доверием начинается с реализации базовых методов безопасности удостоверений, устройств и доступа, таких как явная проверка пользователей, проверка устройств в сети и использование обнаружения рисков в режиме реального времени для принятия решений о динамическом доступе.

Следующие ресурсы помогут вам реализовать решение Интернета вещей с нулевым доверием:

Шаблоны архитектуры Интернета вещей

Большинство систем Интернета вещей используют либо подключенные продукты, либо шаблон архитектуры подключенных операций. Между этими шаблонами существуют ключевые различия в безопасности. Решения для подключенных операций или операционных технологий (OT) часто имеют локальные устройства, которые отслеживают и контролируют другие физические устройства. Эти устройства OT добавляют проблемы безопасности, такие как незаконное изменение, sniffing пакетов и необходимость в внештатном управлении и обновлениях по беспроводной сети (OTA).

Фабрики и среды OT могут быть легкой мишенью для вредоносных программ и нарушений безопасности, так как оборудование может быть старым, физически уязвимым и изолированным от безопасности на уровне сервера. Для получения комплексной перспективы ознакомьтесь с основными аспектами безопасности Azure Well-Architected Framework.

Уровни архитектуры Интернета вещей

Принципы проектирования безопасности помогают уточнить рекомендации по обеспечению соответствия рабочей нагрузки Интернета вещей требованиям на базовых уровнях архитектуры Интернета вещей.

Все уровни подвержены различным угрозам, которые можно классифицировать по категориям STRIDE: спуфинга, незаконного изменения, отказа, раскрытия информации, отказа в обслуживании и повышения привилегий. При проектировании и создании архитектур Интернета вещей всегда следуйте рекомендациям жизненного цикла разработки безопасности Майкрософт (SDL ).

Схема, на которую показаны уровни и сквозные действия в архитектуре Интернета вещей.

Уровень устройства и шлюза

Этот уровень архитектуры включает непосредственное физическое пространство вокруг устройства и шлюза, которое разрешает физический доступ или одноранговый цифровой доступ. Многие промышленные компании используют модель Пердью , включенную в стандарт ISA 95, чтобы обеспечить защиту ограниченной пропускной способности сети и детерминированное поведение в режиме реального времени. Модель Пердью предоставляет дополнительный уровень методологии глубокой защиты.

Надежное удостоверение устройства

Тесно интегрированные возможности устройств и служб Интернета вещей обеспечивают надежную идентификацию устройств. К этим возможностям относятся следующие:

  • Корень доверия оборудования.
  • Строжная проверка подлинности с помощью сертификатов, MFA или проверки подлинности без пароля.
  • Возобновляемые учетные данные.
  • Реестр устройств Интернета вещей организации.

Корень доверия оборудования имеет следующие атрибуты:

  • Безопасное хранилище учетных данных, которое подтверждает удостоверение в выделенном оборудовании, защищенном от несанкционированного изменения.
  • Неизменяемое удостоверение подключения, привязанное к физическому устройству.
  • Уникальные для каждого устройства возобновляемые операционные учетные данные для обычного доступа к устройству.

Удостоверение подключения представляет собой и неотделимо от физического устройства. Это удостоверение обычно создается и устанавливается во время производства и не может быть изменено в течение жизненного цикла устройства. Учитывая его неизменяемость и время существования, следует использовать удостоверение подключения устройства только для подключения устройства к решению Интернета вещей.

После подключения подготовьте и используйте возобновляемое рабочее удостоверение и учетные данные для проверки подлинности и авторизации в приложении Интернета вещей. Изменение этого удостоверения позволяет управлять доступом и отзывом устройства для операционного доступа. Вы можете применять управляемые политикой шлюзы, например аттестацию целостности и работоспособности устройства, во время продления.

Аппаратный корень доверия также гарантирует, что устройства созданы в соответствии со спецификациями безопасности и соответствуют требуемым режимам соответствия. Защитите цепочку поставок корня доверия оборудования или любых других аппаратных компонентов устройства Интернета вещей, чтобы атаки цепочки поставок не нарушали целостность устройства.

Проверка подлинности без пароля, обычно использующий стандартные сертификаты x509 для подтверждения удостоверения устройства, обеспечивает более высокую защиту, чем секреты, такие как пароли и симметричные маркеры, совместно используемые обеими сторонами. Сертификаты — это надежный, стандартизированный механизм, обеспечивающий возобновляемую проверку подлинности без пароля. Для управления сертификатами:

  • Подготовка операционных сертификатов из доверенной инфраструктуры открытых ключей (PKI).
  • Используйте срок действия продления, соответствующий бизнес-использованию, затратам на управление и затратам.
  • Автоматическое продление, чтобы свести к минимуму возможные нарушения доступа из-за смены вручную.
  • Используйте стандартные современные методы шифрования. Например, продление с помощью запросов на подпись сертификата (CSR) вместо передачи закрытого ключа.
  • Предоставьте доступ к устройствам на основе их рабочего удостоверения.
  • Поддержка отзыва учетных данных, таких как список отзыва сертификатов (CRL) при использовании сертификатов x509, чтобы немедленно удалить доступ к устройству, например в ответ на компрометацию или кражу.

Некоторые устаревшие устройства Интернета вещей или устройства с ограниченными ресурсами не могут использовать надежное удостоверение, проверку подлинности без пароля или возобновляемые учетные данные. Используйте шлюзы Интернета вещей в качестве хранителей для локального взаимодействия с этими менее возможностями устройств, чтобы обеспечить их доступ к службам Интернета вещей с помощью надежных шаблонов идентификации. Этот подход позволяет использовать "никому не доверяй" сегодня, переходя на использование более способных устройств с течением времени.

Виртуальные машины, контейнеры или любая служба, внедряющая клиент Интернета вещей, не могут использовать доверенный аппаратный корень. Используйте доступные возможности с этими компонентами. Виртуальные машины и контейнеры, у которых нет аппаратного корня доверия, могут использовать проверку подлинности без пароля и возобновляемые учетные данные. Решение для глубокой защиты обеспечивает избыточности, где это возможно, и заполняет пробелы, когда это необходимо. Например, можно найти виртуальные машины и контейнеры в области с большей физической безопасностью, такой как центр обработки данных, по сравнению с устройством Интернета вещей в этой области.

Используйте централизованный реестр устройств Интернета вещей в организации для управления жизненным циклом устройств Интернета вещей и аудита доступа к устройствам. Этот подход аналогичен тому, как вы защищаете удостоверения пользователей сотрудников организации для обеспечения безопасности без доверия. Облачный реестр удостоверений может управлять масштабированием, управлением и безопасностью решения Интернета вещей.

Сведения о реестре устройств Интернета вещей вставляет устройства в решение Интернета вещей, проверяя, что удостоверение и учетные данные устройства известны и авторизованы. После подключения устройства реестр устройств содержит основные свойства устройства, включая его операционное удостоверение и возобновляемые учетные данные, используемые для проверки подлинности для повседневного использования.

Данные реестра устройств Интернета вещей можно использовать для:

  • Просмотр инвентаризации устройств Интернета вещей организации, включая работоспособность, исправления и состояние безопасности.
  • Запрашивать и группировать устройства для масштабируемых операций, управления, развертывания рабочей нагрузки и управления доступом.

Используйте сетевые датчики для обнаружения и инвентаризации неуправляемых устройств Интернета вещей, которые не подключаются к службам Интернета вещей Azure, для информирования и мониторинга.

Доступ с минимальными привилегиями

Управление доступом с минимальными привилегиями помогает ограничить влияние удостоверений, прошедших проверку подлинности, которые могут быть скомпрометированы или запущены неутвержденные рабочие нагрузки. Для сценариев Интернета вещей предоставьте оператору, устройству и рабочей нагрузке доступ с помощью:

  • Управление доступом к устройствам и рабочим нагрузкам для доступа только к рабочим нагрузкам с заданной областью на устройстве.
  • JIT-доступ.
  • Механизмы строгой проверки подлинности, такие как MFA и проверка подлинности без пароля.
  • Условный доступ на основе контекста устройства, например IP-адреса или местоположения GPS, конфигурации системы, уникальности, времени суток или шаблонов сетевого трафика. Службы также могут использовать контекст устройства для условного развертывания рабочих нагрузок.

Чтобы реализовать эффективный доступ с минимальными привилегиями, выполните следующие действия.

  • Настройте управление доступом к облачному шлюзу Интернета вещей, чтобы предоставить только соответствующие разрешения доступа для функций, необходимых серверной части.
  • Ограничьте точки доступа устройствами Интернета вещей и облачными приложениями, обеспечивая минимальный доступ к портам.
  • Создание механизмов для предотвращения и обнаружения незаконного изменения физического устройства.
  • Управление доступом пользователей с помощью соответствующей модели управления доступом, например управления доступом на основе ролей или атрибутов.
  • Уровень минимально привилегированного доступа для устройств Интернета вещей с помощью сегментации сети.

Микросемяция сети

Проектирование и конфигурация сети предоставляют возможности для глубокой защиты путем сегментирования устройств Интернета вещей на основе шаблонов трафика и риска. Такая сегментация сводит к минимуму потенциальное влияние скомпрометированных устройств и злоумышленников, которые сворачиваться на более ценные ресурсы. Сегментация сети обычно использует брандмауэры следующего поколения.

Микросемпция сети позволяет изолировать менее способные устройства на сетевом уровне за шлюзом или на дискретном сегменте сети. Используйте сегментацию сети для группирования устройств Интернета вещей и защиту конечных точек, чтобы снизить влияние потенциального компрометации.

Реализуйте целостную стратегию правил брандмауэра, которая позволяет устройствам получать доступ к сети при необходимости и блокирует доступ, если это запрещено. Для обеспечения глубокой защиты зрелые организации могут реализовывать политики микросегации на нескольких уровнях модели Purdue. При необходимости используйте брандмауэры на устройствах, чтобы ограничить сетевой доступ.

Состояние устройства

Согласно принципу "никому не доверяй", работоспособность устройства является ключевым фактором для определения профиля риска устройства, включая уровень доверия. Используйте профиль риска в качестве шлюза доступа, чтобы гарантировать, что только работоспособные устройства могут получать доступ к приложениям и службам Интернета вещей, или для выявления устройств с сомнительной работоспособностью для исправления.

В соответствии с отраслевыми стандартами оценка работоспособности устройства должна включать:

  • Оценка конфигурации безопасности и аттестация того, что устройство настроено безопасно.
  • Оценка уязвимостей для определения того, устарело ли программное обеспечение устройства или есть ли известные уязвимости.
  • Небезопасная оценка учетных данных для проверка учетных данных устройства, например сертификатов и протоколов, таких как TLS 1.2 и более поздних версий.
  • Активные угрозы и оповещения об угрозах.
  • Аномальные оповещения о поведении, такие как сетевой шаблон и отклонение использования.

Критерии "Никому не доверяй" для устройств

Для поддержки "никому не доверяй" устройства Интернета вещей должны:

  • Содержат аппаратный корень доверия для предоставления надежного удостоверения устройства.
  • Используйте возобновляемые учетные данные для регулярной работы и доступа.
  • Принудительное управление доступом с минимальными привилегиями к локальным ресурсам устройств, таким как камеры, хранилище и датчики.
  • Используйте правильные сигналы о работоспособности устройства, чтобы обеспечить принудительное применение условного доступа.
  • Предоставьте агенты обновлений и соответствующие обновления программного обеспечения на время существования устройства, чтобы обеспечить возможность применения обновлений для системы безопасности.
  • Включите возможности управления устройствами, чтобы включить конфигурацию устройств на основе облака и автоматические ответы на вопросы безопасности.
  • Запуск агентов безопасности, которые интегрируются с системами мониторинга безопасности, обнаружения и реагирования.
  • Сведите к минимуму объем физических атак, например, выключив или отключив все функции устройства, которые не требуются, такие как физические порты USB или UART, подключение Wi-Fi или Bluetooth. При необходимости используйте физическое удаление, покрытие или блокировку.
  • Защита данных на устройствах. Если неактивные данные хранятся на устройствах, используйте стандартные алгоритмы шифрования для шифрования данных.

Несколько продуктов и служб Azure поддерживают безопасность устройств Интернета вещей:

  • Модули защиты Azure Sphere подключают критические устаревшие устройства к службам Интернета вещей с возможностями "никому не доверяй", включая надежное удостоверение, сквозное шифрование и регулярные обновления для системы безопасности.

  • Azure IoT Edge предоставляет пограничное подключение среды выполнения к Центр Интернета вещей и другим службам Azure, а также поддерживает сертификаты в качестве надежных удостоверений устройств. IoT Edge поддерживает стандарт PKCS#11 для удостоверений производства устройств и других секретов, хранящихся в доверенном платформенного модуле (TPM) или аппаратном модуле безопасности (HSM).

  • Пакеты SDK для Центр Интернета вещей Azure — это набор клиентских библиотек устройств, руководства для разработчиков, примеры и документация. Пакеты SDK для устройств реализуют различные функции безопасности, такие как шифрование и проверка подлинности, чтобы помочь вам разработать надежное и безопасное приложение для устройств.

  • ОСРВ Azure предоставляет операционную систему в режиме реального времени в виде коллекции библиотек языка C, которые можно развернуть на широком спектре встроенных платформ устройств Интернета вещей.

    ОсРВ Azure включает полный стек TCP/IP с TLS 1.2 и 1.3 и базовые возможности X.509. ОсРВ Azure и пакет SDK Azure IoT Embedded также интегрируются с Центр Интернета вещей Azure, службой подготовки устройств Azure (DPS) и Microsoft Defender. Такие функции, как взаимная проверка подлинности X.509 и поддержка современных комплектов шифров TLS, таких как ECDHE и AES-GCM, охватывают основы безопасного сетевого взаимодействия.

    ОсРВ Azure также поддерживает:

    • Разработка модели "Никому не доверяй" на платформах микроконтроллеров, поддерживающих аппаратные функции безопасности, такие как Arm TrustZone, архитектура защиты памяти и секционирования.
    • Защищенные устройства элементов, такие как STSAFE-A110 из микроэлектроники ST.
    • Отраслевые стандарты, такие как архитектура безопасности платформы Arm (PSA), которая объединяет оборудование и встроенное ПО для предоставления стандартизированного набора функций безопасности, включая безопасную загрузку, шифрование и аттестацию.

  • Программа сертифицированных устройств Azure позволяет партнерам по устройствам легко различать и продвигать устройства. Программа помогает разработчикам решений и клиентам находить устройства Интернета вещей, созданные с функциями, обеспечивающими решение "никому не доверяй".

  • Программа Edge Secured-Core (предварительная версия) проверяет, соответствуют ли устройства требованиям к безопасности для удостоверения устройства, безопасной загрузки, усиления защиты операционной системы, обновлений устройств, защиты данных и раскрытия уязвимостей. Требования к программе Edge Secured-Core рассматриваются с учетом различных отраслевых требований и с точки зрения инженерии безопасности.

    Программа Edge Secured-Core позволяет службам Azure, таким как служба Аттестация Azure, принимать условные решения на основе состояния устройства, что позволяет использовать модель "никому не доверяй". Устройства должны содержать аппаратный корень доверия и обеспечивать безопасную загрузку и защиту встроенного ПО. Эти атрибуты можно измерить службой аттестации и использовать подчиненными службами для условного предоставления доступа к конфиденциальным ресурсам.

Уровень приема и связи

Данные, попадающие в решение Интернета вещей, должны быть защищены с помощью рекомендаций, приведенных в разделе Безопасность Azure Well-Architected Framework. Кроме того, для решений Интернета вещей очень важно обеспечить безопасность и шифрование обмена данными с устройства в облако с использованием новейших стандартов TLS.

Уровень управления устройствами и моделирования

Этот уровень архитектуры включает в себя программные компоненты или модули, работающие в облаке, которые работают с устройствами и шлюзами для сбора и анализа данных, а также для управления ими.

Критерии "Никому не доверяй" для служб Интернета вещей

Используйте службы Интернета вещей, которые предлагают следующие ключевые возможности "никому не доверяй":

  • Полная поддержка контроля доступа пользователей с нулевым доверием, например надежных удостоверений пользователей, MFA и условного доступа пользователей.
  • Интеграция с системами управления доступом пользователей для доступа с минимальными привилегиями и условных элементов управления.
  • Центральный реестр устройств для полной инвентаризации устройств и управления устройствами.
  • Взаимная проверка подлинности, предлагающая возобновляемые учетные данные устройства с надежной проверкой личности.
  • Управление доступом к устройствам с минимальными привилегиями с помощью условного доступа позволяет подключаться только устройствам, удовлетворяющим критериям, например работоспособности или известному расположению.
  • Обновления OTA для обеспечения работоспособности устройств.
  • Мониторинг безопасности как служб Интернета вещей, так и подключенных устройств Интернета вещей.
  • Мониторинг и управление доступом для всех общедоступных конечных точек, а также проверка подлинности и авторизация для всех вызовов этих конечных точек.

Некоторые службы Интернета вещей Azure предоставляют эти возможности с нулевым доверием.

  • Windows для Интернета вещей помогает обеспечить безопасность по всем основным аспектам спектра безопасности Интернета вещей.

    • Шифрование диска BitLocker, безопасная загрузка, управление приложениями Защитник Windows, Защитник Windows Exploit Guard, безопасные приложения универсальная платформа Windows (UWP), единый фильтр записи, безопасный стек обмена данными и управление учетными данными безопасности защищают неактивные данные, во время выполнения кода и в Транзитных.

    • Аттестация работоспособности устройств (DHA) обнаруживает и отслеживает доверенные устройства, что позволяет начать работу с доверенным устройством и поддерживать доверие с течением времени.

    • Центр обновления устройств и Windows Server Update Services применять последние исправления для системы безопасности. Вы можете устранять угрозы для устройств с помощью Центр Интернета вещей Azure функций управления устройствами, Microsoft Intune или сторонних решений по управлению мобильными устройствами, а также Configuration Manager Microsoft System Center.

  • Microsoft Defender для Интернета вещей — это безагентная платформа безопасности сетевого уровня, которая обеспечивает непрерывное обнаружение ресурсов, управление уязвимостями и обнаружение угроз для устройств Интернета вещей и OT. Defender для Интернета вещей постоянно отслеживает сетевой трафик с помощью аналитики поведения с поддержкой Интернета вещей для выявления несанкционированных или скомпрометированных компонентов.

    Defender для Интернета вещей поддерживает собственные встроенные устройства OT и устаревшие системы Windows, которые обычно встречаются в средах OT. Defender для Интернета вещей может выполнять инвентаризацию всех устройств Интернета вещей, оценивать наличие уязвимостей, предоставлять рекомендации по устранению рисков и постоянно отслеживать устройства на предмет аномального или несанкционированного поведения.

  • Microsoft Sentinel — облачная платформа управления информационной безопасностью и событиями безопасности (SIEM) и оркестрации, автоматизации и реагирования (SOAR), тесно интегрированная с Microsoft Defender для Интернета вещей. Microsoft Sentinel предоставляет облачное представление о безопасности на предприятии, собирая данные обо всех пользователях, устройствах, приложениях и инфраструктуре, включая брандмауэры, управление доступом к сети и устройства сетевого коммутатора.

    Microsoft Sentinel может быстро обнаружить аномальное поведение, указывающее на потенциальную компрометацию устройств Интернета вещей или OT. Microsoft Sentinel также поддерживает сторонние решения центра управления безопасностью (SOC), такие как Splunk, IBM QRadar и ServiceNow.

  • Центр Интернета вещей Azure предоставляет операционный реестр для устройств Интернета вещей. Центр Интернета вещей принимает операционные сертификаты устройств, чтобы обеспечить надежную идентификацию, и может отключать устройства централизованно, чтобы предотвратить несанкционированные подключения. Центр Интернета вещей поддерживает подготовку удостоверений модулей, поддерживающих IoT Edge рабочих нагрузок.

    • Центр Интернета вещей Azure служба подготовки устройств (DPS) предоставляет центральный реестр устройств для регистрации устройств организации для подключения в большом масштабе. DPS принимает сертификаты устройств, чтобы включить подключение с надежным удостоверением устройства и возобновляемыми учетными данными, регистрируя устройства в Центр Интернета вещей для их повседневной работы.

    • Обновление устройств Azure (ADU) для Центр Интернета вещей позволяет развертывать обновления OTA для устройств Интернета вещей. ADU предоставляет облачное решение для подключения практически к любому устройству и поддерживает широкий спектр операционных систем Интернета вещей, включая Linux и ОСРВ Azure.

    • Центр Интернета вещей Azure поддержка виртуальных сетей позволяет ограничить подключение к Центр Интернета вещей через виртуальную сеть, которую вы используете. Такая сетевая изоляция предотвращает подключение к общедоступному Интернету и может помочь предотвратить атаки на кражу из конфиденциальных локальных сетей.

Следующие продукты Майкрософт полностью интегрируют оборудование и службы Azure в общих решениях Интернета вещей.

  • Azure Sphere — это полностью управляемое интегрированное аппаратное решение, ОС и облачной платформы, которое помогает устройствам Интернета вещей среднего и низкого энергопотребления достичь семи свойств устройств с высоким уровнем безопасности для реализации модели "Никому не доверяй". Устройства используют явную проверку и реализуют аттестацию и проверку подлинности устройств на основе сертификатов (DAA), которая автоматически продлевает доверие.

    Azure Sphere использует доступ с минимальными привилегиями, где приложениям по умолчанию запрещен доступ ко всем периферийным устройствам и вариантам подключения. Для сетевого подключения разрешенные веб-домены должны быть включены в манифест программного обеспечения, иначе приложение не может подключиться за пределами устройства.

    Azure Sphere построена на основе предполагаемого нарушения безопасности. Глубинная защита — уровни защиты во всей структуре ОС. Безопасный мировой раздел, работающий в Arm TrustZone на устройствах Azure Sphere, помогает сегментировать нарушения ОС из доступа к Pluton или аппаратным ресурсам.

    Azure Sphere может быть модулем защиты для защиты других устройств, включая существующие устаревшие системы, не предназначенные для доверенного подключения. В этом сценарии модуль защиты Azure Sphere развертывается с приложением и интерфейсами с существующими устройствами через Ethernet, последовательный или BLE. Устройства не обязательно имеют прямое подключение к Интернету.

  • Azure Percept — это сквозная платформа ИИ, которая поможет вам за считанные минуты приступить к подтверждению концепции. Azure Percept включает аппаратные ускорители, интегрированные со службами ИИ и Интернета вещей Azure, предварительно созданные модели ИИ и управление решениями.

    Устройства Azure Percept используют аппаратный корень доверия для защиты данных вывода, моделей ИИ и датчиков, чувствительных к конфиденциальности, таких как камеры и микрофоны. Azure Percept обеспечивает проверку подлинности и авторизацию устройств для служб Azure Percept Studio. Дополнительные сведения см. в статье Безопасность Azure Percept.

Уровень DevOps

Корпоративное решение Интернета вещей должно предоставлять операторам стратегию управления системой. Методологии DevOps, которые активно ориентированы на безопасность, включают:

  • Централизованное управление конфигурацией и соответствием требованиям для безопасного применения политик, распространения и обновления сертификатов.
  • Развертываемые обновления для обновления полного набора программного обеспечения на устройствах, встроенном ПО, драйверов, базовых ОС и ведущих приложений, а также рабочих нагрузок, развернутых в облаке.

Дополнительные сведения см. в статье Включение DevSecOps с помощью Azure и GitHub.

Непрерывные обновления

Чтобы управлять доступом к устройствам на основе работоспособности, необходимо заранее поддерживать рабочие устройства в рабочем и работоспособном целевом состоянии. Механизмы обновления должны:

  • Используйте возможности удаленного развертывания.
  • Будьте устойчивыми к изменениям в среде, рабочих условиях и механизме проверки подлинности, таким как изменение сертификата из-за истечения срока действия или отзыва.
  • Поддержка проверки выпуска обновлений.
  • Интеграция с широкопроникающим мониторингом безопасности для включения запланированных обновлений для обеспечения безопасности.

Вы должны иметь возможность откладывать обновления, которые препятствуют непрерывности бизнес-процессов, но в конечном итоге завершать их в течение четко определенного интервала времени после обнаружения уязвимости. Устройства, которые не были обновлены, должны быть помечены как неработоспособные.

Мониторинг безопасности и реагирование на нее

Решение Интернета вещей должно иметь возможность выполнять мониторинг и исправление в большом масштабе для всех подключенных устройств. В качестве стратегии глубокой защиты мониторинг добавляет дополнительный уровень защиты для управляемых устройств с нуля и обеспечивает компенсирующий контроль для устаревших, неуправляемых устройств, которые не поддерживают агенты и не могут быть исправлены или настроены удаленно.

Необходимо выбрать уровни ведения журнала, типы отслеживаемых действий и ответы, необходимые для оповещений. Журналы должны храниться безопасно и не содержать никаких сведений о безопасности.

По данным Агентства кибербезопасности и безопасности инфраструктуры (CISA), программа мониторинга безопасности должна отслеживать и проверять несанкционированные изменения контроллеров, необычное поведение с устройств, а также попытки доступа и авторизации. Мониторинг безопасности должен включать:

  • Создание инвентаризации ресурсов "как есть" и сетевой карты всех устройств Интернета вещей и OT.
  • Определение всех протоколов связи, используемых в сетях Интернета вещей и OT.
  • Каталогизация всех внешних подключений к сетям и из сетей.
  • Выявление уязвимостей на устройствах Интернета вещей и OT и использование подхода на основе рисков для их устранения.
  • Реализация бдительной программы мониторинга с обнаружением аномалий для обнаружения вредоносных кибер-тактик, таких как проживание вне земли в системах Интернета вещей.

Большинство атак Интернета вещей следуют схеме цепочки остановок , когда злоумышленники устанавливают начальную позицию, повышают свои привилегии и перемещаются по сети в боковом режиме. Часто злоумышленники используют привилегированные учетные данные для обхода барьеров, таких как брандмауэры следующего поколения, установленные для обеспечения сегментации сети в подсетях. Для быстрого обнаружения этих многоэтапных атак и реагирования на них требуется единое представление в сетях ИТ, Интернета вещей и OT в сочетании с автоматизацией, машинным обучением и аналитикой угроз.

Сбор сигналов от всей среды, включая всех пользователей, устройств, приложений и инфраструктуры, как локально, так и в нескольких облаках. Анализ сигналов на централизованных платформах SIEM и расширенного обнаружения и реагирования (XDR), где аналитики SOC могут искать и обнаруживать ранее неизвестные угрозы.

Наконец, используйте платформы SOAR, чтобы быстро реагировать на инциденты и устранять атаки, прежде чем они существенно повлияют на вашу организацию. Вы можете определить сборники схем, которые автоматически выполняются при обнаружении определенных инцидентов. Например, можно автоматически блокировать или помещать в карантин скомпрометированные устройства, чтобы они не могли инфицировать другие системы.

Дальнейшие действия

Оптимизация затрат в рабочей нагрузке Интернета вещей