Bewährte Methoden für die Sicherheit von IoT-Lösungen

  • Artikel

In dieser Übersicht werden die wichtigsten Konzepte rund um die Optionen zum Verwalten einer Azure IoT-Lösung vorgestellt. Jeder Abschnitt enthält Links zu Inhalten, die weitere Details und Anleitungen enthalten.

Das folgende Diagramm zeigt eine allgemeine Übersicht über die Komponenten in einer typischen IoT-Lösung. Dieser Artikel konzentriert sich auf die Sicherheit einer IoT-Lösung.

Diagramm der übergeordneten IoT-Lösungsarchitektur, das die Sicherheit hervorhebt.

Sie können die Sicherheit in einer IoT-Lösung in die folgenden drei Bereiche unterteilen:

  • Gerätesicherheit: Schützen des IoT-Geräts während seiner Bereitstellung in der Praxis.

  • Verbindungssicherheit: Sicherstellen, dass alle Daten, die zwischen IoT-Gerät und IoT-Hub übertragen werden, vertraulich und fälschungssicher sind.

  • Cloudsicherheit: Schützen Ihrer Daten während der Übertragung und Speicherung in der Cloud.

Durch die Implementierung der Empfehlungen in diesem Artikel können Sie die im Modell für gemeinsame Verantwortungbeschriebenen Sicherheitsverpflichtungen erfüllen.

Microsoft Defender für IoT

Microsoft Defender for IoT kann einige der in diesem Artikel enthaltenen Empfehlungen automatisch überwachen. Microsoft Defender for IoT sollte die erste Verteidigungslinie sein, um Ihre Ressourcen in Azure zu schützen. Microsoft Defender for IoT analysiert regelmäßig den Sicherheitsstatus Ihrer Azure-Ressourcen, um potenzielle Sicherheitsrisiken zu erkennen. Anschließend erhalten Sie Empfehlungen dazu, wie damit umgegangen werden kann. Weitere Informationen finden Sie unter:

Gerätesicherheit

  • Einhalten der Mindestanforderungen für Hardware: Wählen Sie Ihre Gerätehardware so aus, dass sie lediglich die für ihren Betrieb erforderlichen Features enthält. Beziehen Sie beispielsweise nur USB-Anschlüsse ein, wenn sie für den Betrieb des Geräts in Ihrer Lösung erforderlich sind. Zusätzliche Features können das Gerät gegenüber unerwünschten Angriffsvektoren offenlegen.

  • Manipulationssicheres Gestalten von Hardware: Wählen Sie Gerätehardware mit integrierten Mechanismen, um physische Manipulationen zu erkennen, wie etwa das Öffnen der Geräteabdeckung oder das Entfernen eines Teils des Geräts. Diese Manipulationssignale können Teil des in die Cloud hochgeladenen Datenstroms sein, der die Operatoren über solche Ereignisse benachrichtigt.

  • Auswählen sicherer Hardware: Wählen Sie möglichst Gerätehardware, die Sicherheitsfeatures enthält, wie etwa sicheren und verschlüsselten Speicher und eine auf Trusted Platform Module basierende Startfunktion. Diese Features verbessern die Sicherheit der Geräte und tragen zum Schutz der gesamten IoT-Infrastruktur bei.

  • Aktivieren von sicheren Upgrades: Während der Lebensdauer von Geräten sind Firmwareupgrades unvermeidlich. Entwickeln Sie Geräte mit sicheren Pfaden für Upgrades und eine kryptografische Sicherung der Firmwareversionen, um Geräte während und nach Upgrades zu schützen.

  • Befolgen einer sicheren Softwareentwicklungsmethodik: Sichere Software kann nur entwickelt werden, wenn Fragen der Sicherheit von Anfang an und in allen Phasen bedacht werden – zu Beginn des Projekts über die Implementierung und die Tests genauso wie bei der Bereitstellung. Der Microsoft Security Development Lifecycle bietet einen schrittweisen Ansatz für die Entwicklung sicherer Software.

  • Geräte-SDKs verwenden, wenn möglich: Geräte-SDKs implementieren verschiedene Sicherheitsfeatures, wie Verschlüsselung und Authentifizierung, die Ihnen bei der Entwicklung robuster und sicherer Geräteanwendungen helfen. Weitere Informationen finden Sie unter Azure IoT SDKs.

  • Open Source-Software mit Bedacht wählen: Open Source-Software ermöglicht eine schnelle Lösungsentwicklung. Beim Auswählen von Open Source-Software sollten Sie jedoch berücksichtigen, wie aktiv die Community für die jeweilige Open Source-Komponente ist. Eine aktive Community stellt sicher, dass die Software ausreichend unterstützt wird und dass Probleme erkannt und behoben werden. Ein wenig bekanntes Open Source-Softwareprojekt, zu dem es keine aktive Community gibt, wird unter Umständen nicht unterstützt, und Probleme werden wahrscheinlich nicht entdeckt.

  • Hardware sicher bereitstellen: IoT-Bereitstellungen erfordern möglicherweise die Bereitstellung von Hardware an unsicheren Orten, z. B. in öffentlichen Bereichen oder unbeaufsichtigten Gebieten. Stellen Sie in solchen Situationen sicher, dass die Hardwarebereitstellung bestmöglich vor Manipulationen geschützt ist. Wenn die Hardware beispielsweise über USB-Anschlüsse verfügt, müssen diese sicher verdeckt werden.

  • Authentifizierungsschlüssel schützen: Jedes Gerät benötigt während der Bereitstellung Geräte-IDs und die zugehörigen Authentifizierungsschlüssel, die vom Clouddienst generiert werden. Bewahren Sie diese Schlüssel auch nach der Bereitstellung sicher auf. Jeder kompromittierte Schlüssel kann von einem böswilligen Gerät verwendet werden, um sich als ein vorhandenes Gerät auszugeben.

  • Stetige Aktualisierung des Systems: Stellen Sie sicher, dass Gerätebetriebssysteme und alle Gerätetreiber stets auf die neueste Version aktualisiert werden. Sie sollten unbedingt die Betriebssysteme auf dem aktuellen Stand halten, um sie vor böswilligen Angriffen zu schützen.

  • Vor schädlichen Aktivitäten schützen: Wenn es das Betriebssystem zulässt, sollten Sie die neueste Antivirus- und Antischadsoftware auf jedem Gerätebetriebssystem installieren.

  • Häufig überwachen: Die Überwachung der IoT-Infrastruktur auf sicherheitsbezogene Probleme ist entscheidend für die Reaktion auf Sicherheitsvorfälle. Die meisten Betriebssysteme bieten eine integrierte Ereignisprotokollierung, die häufig auf Sicherheitsverletzungen geprüft werden sollte. Ein Gerät kann Überwachungsinformationen als separaten Telemetriedatenstrom an den Clouddienst senden, wo sie analysiert werden.

  • Befolgen bewährter Methoden für die Sicherheit und Bereitstellung des Geräteherstellers: Wenn der Gerätehersteller Tipps zur Sicherheit und Bereitstellung bietet, befolgen Sie diese Tipps zusätzlich zu den allgemeinen Anleitungen in diesem Artikel.

  • Verwenden eines Feldgateways, um Sicherheitsdienste für ältere oder eingeschränkte Geräte bereitzustellen: Veraltete und eingeschränkte Geräte verfügen möglicherweise nicht über die Möglichkeit, Daten zu verschlüsseln, eine Verbindung mit dem Internet herzustellen oder erweiterte Überwachung bereitzustellen. In diesen Fällen können Sie ein modernes und sicheres Bereichsgateway verwenden, um Daten von älteren Geräten zu aggregieren und für die erforderliche Sicherheit zum Anschließen dieser Geräte an das Internet zu sorgen. Mit Bereichsgateways können Sie eine sichere Authentifizierung, die Aushandlung von verschlüsselten Sitzungen sowie den Empfang von Befehlen aus der Cloud ermöglichen. Außerdem bieten diese Gateways noch viele andere Sicherheitsfunktionen.

Verbindungssicherheit

  • Verwenden von X.509-Zertifikaten zum Authentifizieren Ihrer Geräte bei IoT Hub oder IoT Central: IoT Hub und IoT Central unterstützen sowohl die zertifikatbasierte X509-Authentifizierung als auch Sicherheitstoken als Methoden für die Authentifizierung eines Geräts. Verwenden Sie nach Möglichkeit die X509-basierte Authentifizierung in Produktionsumgebungen, da sie eine höhere Sicherheit bietet. Weitere Informationen finden Sie unter Authentifizieren eines Geräts für IoT Hub und Geräteauthentifizierungskonzepte in IoT Central.

  • Verwenden von Transport Layer Security (TLS) 1.2 für sichere Verbindungen von Geräten: IoT Hub und IoT Central verwenden TLS für sichere Verbindungen von IoT-Geräten und -Diensten. Derzeit werden drei Versionen des TLS-Protokolls unterstützt: 1.0, 1.1 und 1.2. TLS 1.0 und 1.1 gelten als Legacy. Weitere Informationen zur Autorisierung und Authentifizierung.

  • Stellen Sie sicher, dass Sie über eine Möglichkeit verfügen, das TLS-Stammzertifikat auf Ihren Geräten zu aktualisieren: TLS-Stammzertifikate sind langlebig, aber sie können dennoch ablaufen oder widerrufen werden. Wenn es keine Möglichkeit gibt, das Zertifikat auf dem Gerät zu aktualisieren, kann das Gerät möglicherweise keine Verbindung mit IoT Hub, IoT Central oder einem anderen Clouddienst zu einem späteren Zeitpunkt herstellen.

  • Nachdenken über die Verwendung von Azure Private Link: Mit Azure Private Link können Sie Ihre Geräte mit einem privaten Endpunkt in Ihrem virtuellen Netzwerk verbinden, sodass Sie den Zugriff auf die öffentlichen Endpunkte Ihres IoT-Hubs blockieren können. Weitere Informationen finden Sie unter Eingehende Konnektivität mit IoT Hub mithilfe von Azure Private Link und Netzwerksicherheit für IoT Central mithilfe privater Endpunkte.

Cloudsicherheit

  • Befolgen einer sicheren Softwareentwicklungsmethodik: Sichere Software kann nur entwickelt werden, wenn Fragen der Sicherheit von Anfang an und in allen Phasen bedacht werden – zu Beginn des Projekts über die Implementierung und die Tests genauso wie bei der Bereitstellung. Der Microsoft Security Development Lifecycle bietet einen schrittweisen Ansatz für die Entwicklung sicherer Software.

  • Open Source-Software mit Bedacht wählen: Open Source-Software ermöglicht eine schnelle Lösungsentwicklung. Beim Auswählen von Open Source-Software sollten Sie jedoch berücksichtigen, wie aktiv die Community für die jeweilige Open Source-Komponente ist. Eine aktive Community stellt sicher, dass die Software ausreichend unterstützt wird und dass Probleme erkannt und behoben werden. Ein wenig bekanntes Open Source-Softwareprojekt, zu dem es keine aktive Community gibt, wird unter Umständen nicht unterstützt, und Probleme werden wahrscheinlich nicht entdeckt.

  • Sorgfältiges Integrieren: Viele Software-Sicherheitsschwachstellen befinden sich an der Grenze zwischen Bibliotheken und APIs. Funktionen, die für die aktuelle Bereitstellung möglicherweise nicht erforderlich sind, sind gegebenenfalls immer noch über eine API-Ebene verfügbar. Um die Gesamtsicherheit zu gewährleisten, sollten Sie alle Schnittstellen der zu integrierenden Komponenten auf Sicherheitslücken überprüfen.

  • Schützen von Cloudanmeldeinformationen: Ein Angreifer kann die Anmeldeinformationen für die Cloudauthentifizierung verwenden, die Sie verwenden, um Ihre IoT-Bereitstellung zu konfigurieren und zu betreiben, um Zugriff auf Ihr IoT-System zu erhalten und zu kompromittieren. Schützen Sie die Anmeldeinformationen, indem Sie das Kennwort häufig ändern und diese Anmeldeinformationen nicht auf öffentlichen Computern verwenden.

  • Definieren von Zugriffssteuerelementen für Ihren IoT Hub: Verstehen und Definieren des Zugriffstyps, den jede Komponente in Ihrer IoT Hub-Lösung basierend auf der erforderlichen Funktionalität benötigt. Es gibt zwei Möglichkeiten, Berechtigungen für die Dienst-APIs zum Herstellen einer Verbindung mit Ihrem IoT-Hub zu erteilen: Microsoft Entra ID oder Shared Access Signatures. Verwenden Sie nach Möglichkeit Microsoft Entra ID in Produktionsumgebungen, da dies eine höhere Sicherheit bietet.

  • Definieren von Zugriffssteuerelementen für Ihre IoT Central-Anwendung: Verstehen und Definieren des Zugriffstyps, den Sie für Ihre IoT Central-Anwendung aktivieren. Weitere Informationen finden Sie unter:

  • Definieren von Zugriffssteuerelementen für Back-End-Dienste: Andere Azure-Dienste können die Daten nutzen, die Ihre IoT Hub- oder IoT Central-Anwendung von Ihren Geräten erfasst. Sie können Nachrichten von Ihren Geräten an andere Azure-Dienste weiterleiten. Verstehen und Konfigurieren geeigneter Zugriffsberechtigungen für IoT Hub oder IoT Central zum Herstellen einer Verbindung mit diesen Diensten. Weitere Informationen finden Sie unter:

  • Überwachen Ihrer IoT-Lösung aus der Cloud: Überwachen des Gesamtzustands Ihrer IoT-Lösung mithilfe der IoT Hub-Metriken in Azure Monitor oder Überwachen der IoT Central-Anwendungsintegrität.

  • Einrichten der Diagnose: Beobachten Sie Ihren Betrieb genau, indem Sie Ereignisse in Ihrer Lösung protokollieren und dann die Diagnoseprotokolle an Azure Monitor senden. Weitere Informationen finden Sie unter Überwachen und Diagnostizieren von Problemen in Ihrem IoT-Hub.

Nächste Schritte

Weitere Informationen zur IoT-Sicherheit finden Sie unter: