IoT ソリューションをセキュリティで保護する

IoT ソリューションを使用すると、IoT デバイスと資産を大規模に接続、監視、制御できます。 クラウドに接続されたソリューションでは、デバイスと資産がクラウドに直接接続されます。 エッジに接続されたソリューションでは、デバイスと資産がエッジ ランタイム環境に接続されます。 IoT ソリューションを脅威から保護するには、物理資産とデバイス、エッジ インフラストラクチャ、クラウド サービスをセキュリティで保護する必要があります。 また、エッジでもクラウドでも、IoT ソリューションを流れるデータをセキュリティで保護する必要があります。

この記事では、IoT ソリューションを最適にセキュリティで保護する方法に関するガイダンスを提供します。 各セクションには、追加の詳細とガイダンスを提供するコンテンツへのリンクが含まれています。

次の図は、一般的な エッジ接続 IoT ソリューションのコンポーネントの概要を示しています。 この記事では、エッジに接続された IoT ソリューションのセキュリティについて説明します。

セキュリティを強調する IoT エッジ接続ソリューションアーキテクチャの概要を示す図。

エッジに接続された IoT ソリューションでは、セキュリティを次の 4 つの領域に分割できます。

  • 資産のセキュリティ: オンプレミスにデプロイされている間に IoT 資産をセキュリティで保護します。

  • 接続のセキュリティ: 資産、エッジ、クラウド サービス間で転送中のすべてのデータが機密であり、改ざんを防ぎます。

  • エッジ セキュリティ: データの移動時にデータをセキュリティで保護し、エッジに格納します。

  • クラウド セキュリティ: データの移動時にデータをセキュリティで保護し、クラウドに格納します。

Microsoft Defender for IoT と Microsoft Defender for Containers

Microsoft Defender for IoTは、IoT および運用テクノロジ (OT) デバイス、脆弱性、脅威を特定するために特別に構築された統合セキュリティ ソリューションです。 Microsoft Defender for Containers は、コンテナー化された資産 (Kubernetes クラスター、Kubernetes ノード、Kubernetes ワークロード、コンテナー レジストリ、コンテナー イメージなど) とそのアプリケーションのセキュリティをマルチクラウドおよびオンプレミス環境全体で向上、監視、および維持するのに役立つクラウドネイティブ ソリューションです。

Defender for IoT と Defender for Containers の両方で、この記事に含まれる推奨事項の一部を自動的に監視できます。 Defender for IoT と Defender for Containers は、エッジ接続されたソリューションを保護するための第一の防御線とすべきです。 詳細については、以下をご覧ください。

OT、IT、クラウドのセキュリティ境界

Azure IoT Operationsにより、組織は OT 資産と産業データ ソースをクラウドベースの管理、分析、自動化サービスに接続できます。

OT 環境を IT およびクラウド システムに接続すると、運用上の大きな利点が得られますが、従来のセキュリティ境界も変更されます。 データ、ID、管理操作、ワークロードは、従来は分離して運用された環境にまたがっている可能性があります。

Azure IoT Operations展開を設計するときは、次の原則を考慮してください。

  • OT、IT、クラウドに接続された環境の間でネットワークセグメント化を適用します。 Purdue/ISA-95 セグメント化トポロジの場合は、 レイヤー化されたネットワーク 展開を使用して、隣接するレイヤーへの通信を制限します。
  • ユーザー、アプリケーション、管理システムに対して最小特権アクセス制御を使用し、 セキュリティで保護された設定とマネージド ID を使用して専用 ID を構成します。
  • 運用上の安全プロセスによって検証されない限り、クラウドに接続された運用データを情報として扱います。 操作エクスペリエンスとダッシュボードを介してルーティングされるデータは、監視に最適です。
  • クラウド ダッシュボード、分析、または監視ビューは、安全クリティカルまたは緊急時の運用上の意思決定の唯一の権限として使用しないでください。
  • OT 資産をクラウド サービスに接続する場合は、該当する業界標準、規制要件、およびサイト固有の安全ポリシーに従います。

ゼロ トラストセキュリティ原則を適用すると、これらの境界をセキュリティで保護できます。明示的に検証し、最小特権アクセスを使用し、侵害を想定します。 環境内のクラウド統合に適した運用データと制御パスを決定する責任は引き続きお客様にあります。

資産のセキュリティ

このセクションでは、産業機器、センサー、IoT ソリューションの一部であるその他のデバイスなど、資産をセキュリティで保護する方法について説明します。 資産のセキュリティは、生成および送信するデータの整合性と機密性を確保するために重要です。

  • Azure Key Vaultとシークレット ストア拡張機能を使用する: Azure Key Vaultを使用して、キー、パスワード、証明書、シークレットなどの資産の機密情報を格納および管理します。 Azure IoT Operationsは、クラウドのマネージド コンテナー ソリューションとしてAzure Key Vaultを使用し、Kubernetes 用の Azure Key Vault Secret Store 拡張機能を使用してクラウドからシークレットを同期し、それらを Kubernetes シークレットとしてエッジに格納します。 詳細については、Azure IoT OperationsデプロイのManage シークレットを参照してください。

  • セキュリティで保護された証明書管理を設定する: 資産とエッジ ランタイム環境の間のセキュリティで保護された通信を確保するには、証明書の管理が重要です。 Azure IoT Operationsには、証明書の発行、更新、取り消しなど、証明書を管理するためのツールが用意されています。 詳細については、Azure IoT Operations展開の証明書の管理に関するページを参照してください。

  • 改ざん防止ハードウェアの選択: デバイス カバーの開口部やデバイスの一部の取り外しなど、物理的な改ざんを検出する組み込みのメカニズムを備えた資産ハードウェアを選択します。 これらの改ざんシグナルは、クラウドにアップロードされたデータ ストリームの一部にすることができ、オペレーターはこれらのイベントにアラートを送信します。

  • 資産ファームウェアのセキュリティで保護された更新プログラムを有効にする: 資産のオンエア更新を有効にするサービスを使用します。 更新プログラムのセキュリティで保護されたパスとファームウェア バージョンの暗号化保証を使用して資産を構築し、更新中および更新後に資産をセキュリティで保護します。

  • 資産ハードウェアを安全に展開する: 資産ハードウェアの展開は、特にパブリックスペースや教師なしロケールなどの安全でない場所で、可能な限り改ざんを防止します。 USB ポートを安全にカバーする必要がない場合など、物理的な攻撃フットプリントを最小限に抑えるために必要な機能のみを有効にします。

  • デバイス製造元のセキュリティと展開のベスト プラクティスに従います。デバイスの製造元がセキュリティと展開のガイダンスを提供する場合は、この記事の一般的なガイダンスと共に、そのガイダンスに従ってください。

接続のセキュリティ

このセクションでは、資産、エッジ ランタイム環境、クラウド サービス間の接続をセキュリティで保護する方法について説明します。 接続のセキュリティは、送信されるデータの整合性と機密性を確保するために重要です。

  • 接続については Azure IoT Operations の運用環境デプロイ ガイドラインに従ってください: Azure IoT Operations を運用環境にデプロイする場合、運用環境デプロイ ガイドラインには、エンタープライズ PKI で独自の CA 発行元を使用するための詳細な構成、MQTT ブローカーの内部トラフィックの暗号化、BrokerListener の自動 TLS 証明書管理、および OPC UA サーバーへのセキュアな接続についての詳細な構成が記載されています。

  • トランスポート層セキュリティ (TLS) を使用して資産からの接続をセキュリティで保護する: Azure IoT Operations内のすべての通信は TLS を使用して暗号化されます。 エッジに接続されたソリューションの意図しない攻撃者への露出を最小限に抑える既定のセキュリティで保護されたエクスペリエンスを提供するために、Azure IoT Operationsは TLS サーバー証明書用の既定のルート CA と発行者と共にデプロイされます。 運用環境の展開には、独自の CA 発行者とエンタープライズ PKI ソリューションを使用します。

  • ネットワークの分離とセグメント化: ネットワークのセグメント化とファイアウォールを使用して、IoT Operations クラスターとエッジ デバイスを他のネットワーク リソースから分離します。 エンタープライズ ファイアウォールまたはプロキシを使用している場合は、必要なエンドポイントを許可リストに追加します。 詳細については、「 運用展開のガイドライン - ネットワーク」を参照してください。

エッジ セキュリティ

このセクションでは、エッジ プラットフォームで実行されるソフトウェアであるエッジ ランタイム環境をセキュリティで保護する方法について説明します。 このソフトウェアは、資産データを処理し、資産とクラウド サービス間の通信を管理します。 エッジ ランタイム環境のセキュリティは、処理および送信されるデータの整合性と機密性を確保するために重要です。

クラウド セキュリティ

このセクションでは、資産データを処理して格納するサービスであるクラウド サービスをセキュリティで保護する方法について説明します。 クラウド サービスのセキュリティは、データの整合性と機密性を確保するために不可欠です。

関連コンテンツ

  • Last updated on