Proteggere le soluzioni IoT

Il diagramma seguente mostra una visualizzazione generale dei componenti in una tipica soluzione IoT connessa a edge. Questo articolo è incentrato sulla sicurezza di una soluzione IoT con connessione perimetrale:

In una soluzione IoT connessa a edge è possibile suddividere la sicurezza nelle quattro aree seguenti:

• Sicurezza degli asset: proteggere l'asset IoT mentre viene distribuito in locale.

• Sicurezza delle connessioni: assicurarsi che tutti i dati in transito tra asset, i dispositivi perimetrali e i servizi cloud siano riservati e a prova di manomissione.

• Sicurezza perimetrale: proteggere i dati man mano che si spostano e vengono archiviati nella rete perimetrale.

• Sicurezza del cloud: proteggere i dati man mano che si spostano e vengono archiviati nel cloud.

Microsoft Defender for Cloud e Microsoft Defender per i contenitori

Microsoft Defender for Cloud è una soluzione di sicurezza unificata creata specificamente per identificare i dispositivi IoT e la tecnologia operativa (OT), le vulnerabilità e le minacce. Microsoft Defender per contenitori è una soluzione nativa del cloud che consente di migliorare, monitorare e gestire la sicurezza degli asset in contenitori (cluster Kubernetes, nodi Kubernetes, carichi di lavoro Kubernetes, registri contenitori, immagini dei contenitori e altro ancora) e delle applicazioni in ambienti multicloud e locali.

Sia Defender per IoT che Defender per i contenitori possono monitorare automaticamente alcune delle raccomandazioni incluse in questo articolo. Defender for IoT e Defender for Containers devono essere la prima linea di difesa per proteggere la soluzione connessa all'edge. Per altre informazioni, vedere:

• Microsoft Defender per contenitori - Panoramica
• Microsoft Defender for Cloud per le organizzazioni : panoramica.

Limiti di sicurezza OT, IT e cloud

Operazioni di Azure IoT consente alle organizzazioni di connettere asset OT e origini dati industriali ai servizi di gestione, analisi e automazione basati sul cloud.

La connessione di ambienti OT ai sistemi IT e cloud offre vantaggi operativi significativi, ma cambia anche i limiti di sicurezza tradizionali. I dati, le identità, le operazioni di gestione e i carichi di lavoro possono estendersi in ambienti storicamente gestiti in isolamento.

Quando si progetta una distribuzione Operazioni di Azure IoT, considerare i principi seguenti:

• Applicare la segmentazione di rete tra ambienti OT, IT e connessi al cloud. Per una topologia segmentata Purdue/ISA-95, usare una distribuzione di rete a più livelli per limitare la comunicazione ai livelli adiacenti.
• Usare controlli di accesso con privilegi minimi per utenti, applicazioni e sistemi di gestione e configurare identità dedicate tramite impostazioni sicure e identità gestite.
• Considerare i dati operativi connessi al cloud come informativi, a meno che non siano convalidati dai processi di sicurezza operativi. I dati indirizzati attraverso l'esperienza operativa e i dashboard sono più adatti al monitoraggio.
• Evitare di usare dashboard, analisi o visualizzazioni di monitoraggio cloud come unica autorità per decisioni operative critiche o di emergenza per la sicurezza.
• Seguire gli standard di settore applicabili, i requisiti normativi e i criteri di sicurezza specifici del sito quando si connettono asset OT ai servizi cloud.

L'applicazione di Zero Trust principi di sicurezza consente di proteggere questi limiti: verificare in modo esplicito, usare l'accesso con privilegi minimi e presupporre la violazione. L'utente rimane responsabile della determinazione dei dati operativi e dei percorsi di controllo appropriati per l'integrazione cloud all'interno dell'ambiente.

Sicurezza degli asset

Questa sezione fornisce indicazioni su come proteggere gli asset, ad esempio apparecchiature industriali, sensori e altri dispositivi che fanno parte della soluzione IoT. La sicurezza dell'asset è fondamentale per garantire l'integrità e la riservatezza dei dati generati e trasmessi.

• Usare Azure Key Vault e l'estensione dell'archivio segreti: usare Azure Key Vault per archiviare e gestire le informazioni riservate per gli asset, ad esempio chiavi, password, certificati e segreti. Operazioni di Azure IoT usa Azure Key Vault come soluzione di insieme di credenziali gestito nel cloud e usa l'estensione Secret Store di Azure Key Vault per Kubernetes per sincronizzare i segreti dal cloud e archiviarli all'edge come segreti Kubernetes. Per altre informazioni, vedere Gestire i segreti per la distribuzione Operazioni di Azure IoT.

• Configurare la gestione sicura dei certificati: la gestione dei certificati è fondamentale per garantire la comunicazione sicura tra gli asset e l'ambiente di runtime perimetrale. Operazioni di Azure IoT fornisce strumenti per la gestione dei certificati, tra cui rilascio, rinnovo e revoca dei certificati. Per altre informazioni, vedere Gestire i certificati per la distribuzione Operazioni di Azure IoT.

• Selezionare hardware a prova di manomissione: scegliere hardware asset con meccanismi predefiniti per rilevare manomissioni fisiche, ad esempio l'apertura della copertura del dispositivo o la rimozione di una parte del dispositivo. Questi segnali di manomissione possono far parte del flusso di dati caricato nel cloud e segnalano tali eventi all'operatore.

• Abilitare gli aggiornamenti sicuri per il firmware dell'asset: usare i servizi che abilitano gli aggiornamenti over-the-air per gli asset. Creare asset con percorsi sicuri per gli aggiornamenti e la sicurezza crittografica delle versioni del firmware per proteggere gli asset durante e dopo gli aggiornamenti.

• Distribuire l'hardware dell'asset in modo sicuro: assicurarsi che la distribuzione dell'hardware dell'asset sia il più possibile a prova di manomissione, in particolare in posizioni non sicure, ad esempio spazi pubblici o impostazioni locali non supervisionate. Abilitare solo le funzionalità necessarie per ridurre al minimo il footprint di attacco fisico, ad esempio coprendo in modo sicuro le porte USB, se non sono necessarie.

• Seguire le procedure consigliate per la sicurezza e la distribuzione del produttore del dispositivo: se il produttore del dispositivo fornisce indicazioni sulla sicurezza e sulla distribuzione, seguire le indicazioni generali riportate in questo articolo.

Sicurezza delle connessioni

Questa sezione fornisce indicazioni su come proteggere le connessioni tra gli asset, l'ambiente di runtime perimetrale e i servizi cloud. La sicurezza delle connessioni è fondamentale per garantire l'integrità e la riservatezza dei dati trasmessi.

• Seguire le linee guida per la distribuzione in produzione di Operazioni di Azure IoT per le connessioni: Per le distribuzioni in produzione di Operazioni di Azure IoT, le linee guida per la distribuzione in produzione forniscono una configurazione dettagliata per l'uso di un'autorità emittente CA personalizzata con PKI aziendale, la crittografia del traffico interno del broker MQTT, la gestione automatica dei certificati TLS per BrokerListener e le connessioni sicure ai server OPC UA.

• Usare Transport Layer Security (TLS) per proteggere le connessioni dagli asset: tutte le comunicazioni all'interno di Operazioni di Azure IoT vengono crittografate tramite TLS. Per offrire un'esperienza sicura per impostazione predefinita che riduce al minimo l'esposizione accidentale della soluzione connessa alla rete perimetrale agli utenti malintenzionati, Operazioni di Azure IoT viene distribuita con una CA radice predefinita e un'autorità di certificazione per i certificati server TLS. Per una distribuzione in produzione, usare l'autorità emittente della propria CA e una soluzione PKI aziendale.

• Isolare e segmentare le reti: usare la segmentazione di rete e i firewall per isolare i cluster operazioni IoT e i dispositivi perimetrali da altre risorse di rete. Aggiungere gli endpoint necessari all'elenco elementi consentiti se si usano firewall o proxy aziendali. Per altre informazioni, vedere Linee guida per la distribuzione di produzione - Rete.

Sicurezza perimetrale

Questa sezione fornisce indicazioni su come proteggere l'ambiente di runtime perimetrale, ovvero il software in esecuzione nella piattaforma perimetrale. Questo software elabora i dati degli asset e gestisce la comunicazione tra gli asset e i servizi cloud. La sicurezza dell'ambiente di runtime perimetrale è fondamentale per garantire l'integrità e la riservatezza dei dati elaborati e trasmessi.

• Seguire le linee guida per la distribuzione in produzione di Operazioni di Azure IoT per il runtime perimetrale: per le distribuzioni in produzione di Operazioni di Azure IoT, seguire le linee guida per la distribuzione in produzione, che riguardano la convalida delle immagini firmate da Microsoft, il mantenimento del cluster aggiornato con le patch, il controllo dell'aggiornamento automatico di Arc, l'autenticazione del broker MQTT e l'autorizzazione dei topic con privilegi minimi.

Sicurezza del cloud

Questa sezione fornisce indicazioni su come proteggere i servizi cloud, ovvero i servizi che elaborano e archiviano i dati degli asset. La sicurezza dei servizi cloud è fondamentale per garantire l'integrità e la riservatezza dei dati.

• Seguire Operazioni di Azure IoT linee guida per la distribuzione di produzione per le connessioni cloud: per le distribuzioni di produzione Operazioni di Azure IoT, le linee guida per la distribuzione di produzione riguardano le identità gestite assegnate dall'utente per gli endpoint del flusso di dati e le connessioni cloud e la distribuzione di risorse osservabili prima della distribuzione.

• Assicurare l'accesso sicuro agli asset e agli endpoint degli asset con Azure RBAC: Gli asset e gli endpoint degli asset in Operazioni di Azure IoT hanno rappresentazioni sia nel cluster Kubernetes che nel portale di Azure. Usare Azure RBAC per proteggere l'accesso a queste risorse. Azure RBAC (controllo degli accessi in base al ruolo) è un sistema di autorizzazione che consente di amministrare l'accesso alle risorse di Azure. Usare il controllo degli accessi in base al ruolo (RBAC) di Azure per concedere autorizzazioni a utenti, gruppi e applicazioni in un determinato contesto. Per altre informazioni, vedere Ruoli RBAC personalizzati per le risorse di Operazioni di Azure IoT.

Il diagramma seguente mostra una panoramica generale dei componenti in una tipica soluzione IoT connessa al cloud. Questo articolo è incentrato sulla sicurezza di una soluzione IoT connessa al cloud:

In una soluzione IoT connessa al cloud è possibile suddividere la sicurezza nelle tre aree seguenti:

• Sicurezza dei dispositivi: proteggere il dispositivo IoT mentre viene distribuito in locale.

• Sicurezza delle connessioni: assicurarsi che tuti i dati trasmessi tra il dispositivo IoT e i servizi cloud IoT siano riservati e a prova di manomissione.

• Sicurezza del cloud: proteggere i dati man mano che si spostano e vengono archiviati nel cloud.

Le raccomandazioni contenute in questo articolo consentono di soddisfare gli obblighi di sicurezza descritti nel modello di responsabilità condivisa.

Microsoft Defender for Cloud

Microsoft Defender for Cloud monitora automaticamente alcune raccomandazioni in questo articolo. Microsoft Defender for Cloud analizza periodicamente lo stato di sicurezza delle risorse Azure per identificare potenziali vulnerabilità di sicurezza e quindi offre consigli su come risolverli. Per altre informazioni, vedere:

• Cos'è Microsoft Defender per IoT per le organizzazioni?
• Che è Microsoft Defender for Cloud per i generatori di dispositivi?
• Migliorare la postura di sicurezza con i consigli sulla sicurezza

Sicurezza dei dispositivi

Questa sezione fornisce indicazioni su come proteggere i dispositivi IoT, ovvero i componenti hardware che raccolgono e trasmettono i dati. La sicurezza del dispositivo è fondamentale per garantire l'integrità e la riservatezza dei dati generati e trasmessi.

• Definire l'ambito dell'hardware in base ai requisiti minimi: selezionare l'hardware del dispositivo in modo che includa le funzionalità minime necessarie per il suo funzionamento e nulla di più. Ad esempio, includere ke porte USB solo se sono necessarie per il funzionamento del dispositivo nella soluzione. Funzionalità aggiuntive possono esporre il dispositivo a vettori di attacco indesiderati.

• Selezionare hardware a prova di manomissione: selezionare l'hardware del dispositivo con meccanismi predefiniti per rilevare manomissioni fisiche, ad esempio l'apertura della copertura del dispositivo o la rimozione di una parte del dispositivo. Tali segnali di manomissione possono far parte del flusso di dati caricato nel cloud, che può segnalare tali eventi agli operatori.

• Selezionare hardware sicuro: se possibile, scegliere l'hardware del dispositivo che include funzionalità di sicurezza come archiviazione sicura e crittografata e funzionalità di avvio basate su un modulo della piattaforma attendibile. Queste funzionalità rendono i dispositivi più sicuri e aiutano a proteggere l'intera infrastruttura IoT.

• Abilitare gli aggiornamenti sicuri: usare servizi come Aggiornamento dispositivi per hub IoT per gli aggiornamenti over-the-air per i dispositivi IoT. Creare dispositivi con percorsi sicuri per gli aggiornamenti e la sicurezza crittografica delle versioni del firmware per proteggere i dispositivi durante e dopo gli aggiornamenti.

• Applicare una metodologia di sviluppo software protetta: lo sviluppo di un software protetto richiede una riflessione sulla sicurezza sin dall'inizio del progetto, fino all'implementazione, al test e alla distribuzione. Il Microsoft Security Development Lifecycle offre un approccio dettagliato alla creazione di software sicuro.

• Usare gli SDK dei dispositivi quando possibile: gli SDK per dispositivi implementano varie funzionalità di sicurezza, ad esempio crittografia e l’autenticazione, che consentono di sviluppare applicazioni per dispositivi affidabili e sicure. Per altre informazioni, vedere Azure IoT SDK.

• Scegliere software open source con attenzione: il software open source consente di sviluppare soluzioni in modo rapido. Quando si sceglie un software open source, prendere in considerazione il livello di attività della community per ogni componente open source. Una community attiva garantisce il supporto del software e la possibilità di rilevare e risolvere i problemi. Un progetto software open source non chiaro e inattivo potrebbe non essere supportato e i problemi potrebbero non essere individuati.

• Distribuire l'hardware in modo sicuro: le distribuzioni IoT potrebbero richiedere la distribuzione dell'hardware in posizioni non protette, ad esempio in spazi pubblici o impostazioni locali non supervisionate. In queste situazioni, fare in modo che la distribuzione dell'hardware sia quanto più possibile a prova di manomissione e abilitare solo le funzionalità necessarie per ridurre al minimo la superficie di attacco fisico.

• Archiviare le credenziali nei moduli di protezione hardware: usare moduli di protezione hardware per archiviare in modo sicuro i segreti dei dispositivi, ad esempio chiavi private e certificati, per proteggersi dall'estrazione e dalla manomissione. Per altre informazioni, vedere Autenticazione hub IoT X.509, guida DPS HSM e gestore della sicurezza IoT Edge.

• Ruotare regolarmente le chiavi e i certificati del dispositivo: ruotare regolarmente le credenziali, soprattutto dopo una violazione o una scadenza, per ridurre al minimo il rischio di accesso non autorizzato. Per altre informazioni, vedere Come eseguire il rollback dei certificati in DPS e Gestione certificati X.509 di IoT Central.

• Aggiornamento e patch: mantenere aggiornati tutti i runtime, gli SDK e i componenti del sistema operativo con le patch e gli aggiornamenti di sicurezza più recenti. Per altre informazioni, vedere IoT Edge linee guida per l'aggiornamento.

• Protezione da attività dannose: se il sistema operativo consente, installare le funzionalità antivirus e antimalware più recenti in ogni sistema operativo del dispositivo.

• Controlla frequentemente: controlla l'infrastruttura IoT per individuare i problemi di sicurezza per consentire di rispondere agli eventi imprevisti di sicurezza. La maggior parte dei sistemi operativi fornisce la registrazione degli eventi predefinita. Esaminare i log frequentemente per verificare la presenza di violazioni della sicurezza. Un dispositivo può inviare informazioni di controllo come flusso di dati separato al servizio cloud, in cui è possibile analizzarlo.

• Seguire le procedure consigliate per la sicurezza e la distribuzione del produttore del dispositivo: se il produttore del dispositivo fornisce indicazioni sulla sicurezza e sulla distribuzione, seguire le indicazioni generali riportate in questo articolo.

• Usare un gateway sul campo per fornire servizi di sicurezza per dispositivi legacy o vincolati: i dispositivi legacy e vincolati potrebbero non avere la capacità di crittografare i dati, connettersi a Internet o fornire il controllo avanzato. In questi casi, un gateway sul campo moderno e sicuro può aggregare i dati dai dispositivi legacy e fornire la sicurezza necessaria per connettere questi dispositivi tramite Internet. Un dispositivo IoT Edge può essere usato come gateway e fornisce autenticazione sicura, negoziazione di sessioni crittografate, ricezione di comandi dal cloud e molte altre funzionalità di sicurezza. Azure Sphere può fungere da modulo di sorveglianza per proteggere altri dispositivi, inclusi i sistemi legacy esistenti non progettati per la connettività attendibile.

• Crittografare i dati inattivi: usare la crittografia a livello di sistema operativo, ad esempio BitLocker per Windows, per l'archiviazione su dispositivi e archiviazione perimetrale, per proteggere i dati in caso di perdita o furto dei dispositivi. Per altre informazioni, vedere IoT Edge security.

Sicurezza delle connessioni

Questa sezione fornisce indicazioni su come proteggere le connessioni tra i dispositivi IoT e i servizi cloud. La sicurezza delle connessioni è fondamentale per garantire l'integrità e la riservatezza dei dati trasmessi.

• Usare i certificati X.509 per autenticare i dispositivi in hub IoT o IoT Central: hub IoT e IoT Central supportano certificati X.509 per l'autenticazione del dispositivo. Usare l'autenticazione basata su X.509 negli ambienti di produzione perché offre maggiore sicurezza rispetto alle chiavi simmetriche. Per altre informazioni, vedere Autenticazione di un dispositivo su hub IoT e Concetti di autenticazione dei dispositivi in IoT Central.

• Evitare chiavi simmetriche condivise: se si usano chiavi simmetriche, non condividere chiavi simmetriche tra i dispositivi. Ogni dispositivo necessita di credenziali univoce per evitare una compromissione diffusa in caso di perdita di una chiave. Per altre informazioni, vedere Procedure di sicurezza per i produttori di dispositivi.

• Use Transport Layer Security (TLS) 1.2 per proteggere le connessioni dai dispositivi: hub IoT e IoT Central usano TLS per proteggere le connessioni da dispositivi e servizi IoT. hub IoT supporta TLS 1.0, 1.1 e 1.2. TLS 1.0 e 1.1 sono legacy e devono essere evitati. Per altre informazioni, vedere supporto Transport Layer Security (TLS) in hub IoT e TLS support in hub IoT di Azure Device Provisioning Service (DPS).

• Usare pacchetti di crittografia sicuri e mantenere aggiornati i certificati CA radice: aggiornare regolarmente i pacchetti di crittografia e i certificati radice attendibili per mantenere le connessioni sicure. Per altre informazioni, vedere hub IoT supporto TLS.

• Assicurarsi di avere un modo per aggiornare il certificato radice TLS nei dispositivi: i certificati radice TLS durano molto tempo, ma possono scadere o essere revocati. Se non è possibile aggiornare il certificato nel dispositivo, il dispositivo potrebbe non essere in grado di connettersi a hub IoT, IoT Central o qualsiasi altro servizio cloud in un secondo momento. Per altre informazioni, vedere Come eseguire il rollup dei certificati dei dispositivi X.509.

• È consigliabile usare collegamento privato di Azure: collegamento privato di Azure consente di connettere i dispositivi a un endpoint privato nella rete virtuale, in modo da bloccare l'accesso agli endpoint pubblici del dispositivo dell'hub IoT. Per altre informazioni, vedere Connettività in ingresso a hub IoT tramite collegamento privato di Azure e Sicurezza per IoT Central tramite endpoint privati.

• Limitare l'accesso alla rete: usare il filtro IP per limitare l'accesso a origini e reti attendibili. Per altre informazioni, vedere filtro IP di hub IoT, endpoint privati di IoT Central e filtro IP di DPS.

• Disabilitare l'accesso alla rete pubblica, se non necessario: impedire l'esposizione a Internet pubblico disabilitando gli endpoint pubblici quando è possibile. Per altre informazioni, vedere hub IoT accesso alla rete pubblica e DPS .

• Isolare dispositivi e servizi edge in segmenti di rete sicuri: usare la segmentazione di rete e i firewall per isolare i dispositivi e i servizi IoT Edge da altre risorse di rete. Per ulteriori informazioni, vedere Sicurezza di IoT Edge per Linux su Windows.

Sicurezza del cloud

Questa sezione fornisce indicazioni su come proteggere i servizi cloud, ovvero i servizi che elaborano e archiviano i dati dei dispositivi IoT. La sicurezza dei servizi cloud è fondamentale per garantire l'integrità e la riservatezza dei dati.

• Applicare una metodologia di sviluppo software protetta: lo sviluppo di un software protetto richiede una riflessione sulla sicurezza sin dall'inizio del progetto, fino all'implementazione, al test e alla distribuzione. Il Microsoft Security Development Lifecycle offre un approccio dettagliato alla creazione di software sicuro.

• Scegliere software open source con attenzione: il software open source consente di sviluppare soluzioni in modo rapido. Quando si sceglie il software open source, valutare il livello di attività della community per ogni componente open source. Una community attiva garantisce il supporto del software e la possibilità di rilevare e risolvere i problemi. Un progetto software open source non chiaro e inattivo potrebbe non essere supportato e i problemi potrebbero non essere individuati.

• Eseguire l'integrazione con attenzione: molti dei problemi di sicurezza del software intervengono al confine tra librerie e API. La funzionalità non necessaria per la distribuzione corrente potrebbe essere ancora disponibile tramite un livello API. Per garantire la sicurezza complessiva, controllare tutte le interfacce dei componenti integrati per individuare i difetti di sicurezza.

• Proteggere le credenziali cloud: gli utenti malintenzionati possono usare le credenziali di autenticazione cloud usate per configurare e gestire la distribuzione IoT per ottenere l'accesso e compromettere il sistema IoT. Proteggere le credenziali modificando spesso la password e non usare queste credenziali nei computer condivisi o non gestiti.

• Usare Microsoft Entra ID e Azure RBAC con hub IoT: usare Microsoft Entra ID e Azure RBAC per l'accesso ai servizi e alle API di gestione per abilitare il controllo degli accessi granulare basato sulle identità. Per altre informazioni, vedere hub IoT Entra ID authentication and DPS Entra ID authentication.

• Disabilitare i criteri di accesso condiviso, se non necessario: ridurre la superficie di attacco disabilitando i criteri di accesso condiviso e i token quando non sono necessari. Per altre informazioni, vedere hub IoT criteri di accesso condiviso.

• Definire i controlli di accesso per l'applicazione IoT Central: comprendere e definire il tipo di accesso abilitato per l'applicazione IoT Central. Per altre informazioni, vedere:

  • Gestire utenti e ruoli nell'applicazione IoT Central
  • Gestire le organizzazioni IoT Central
  • Usare i log di controllo per tenere traccia dell'attività nell'applicazione IoT Central
  • Come autenticare e autorizzare le chiamate API REST IoT Central

• Controlli di accesso predefiniti per i servizi back-end: altri servizi di Azure possono usare i dati inseriti dall'hub IoT o dall'applicazione IoT Central dai dispositivi. È possibile instradare i messaggi dai dispositivi ad altri servizi di Azure. Comprendere e configurare le autorizzazioni di accesso appropriate per hub IoT o IoT Central per connettersi a questi servizi. Per altre informazioni, vedere:

  • Leggi i messaggi da dispositivo a cloud dall'endpoint incorporato di hub IoT
  • Usare il routing dei messaggi dell'hub IoT per inviare messaggi da dispositivo a cloud a endpoint diversi
  • Esportare i dati di IoT Central
  • Exportare i dati di IoT Central a una destinazione sicura in un Rete virtuale di Azure

• Concedere solo le autorizzazioni minime necessarie: applicare il principio dei privilegi minimi quando si assegnano ruoli e autorizzazioni a utenti, app e dispositivi. Per altre informazioni, vedere Procedure consigliate per la gestione delle identità.

• Monitora la soluzione IoT dal cloud: monitorare l'integrità complessiva della soluzione IoT usando hub IoT metriche in Monitoraggio di Azure o Monitora integrità delle applicazioni IoT Central.

• Configurare la diagnostica: monitorare le operazioni registrando gli eventi nella soluzione e quindi inviare i log di diagnostica a Monitoraggio di Azure. Per altre informazioni, vedere Monitorare e diagnosticare i problemi dell'hub IoT.