Чтобы обеспечить надлежащий уровень безопасности для инфраструктуры IoT, необходима стратегия всесторонней защиты. В рамках неё обеспечивается защита данных в облаке, защита целостности данных при передаче в Интернет, а также безопасное производство устройств.
В статье приведена классификация специалистов всей цепочки по обеспечению безопасности IoT-инфраструктуры и рекомендации для каждого из них.
Цикл статей «Безопасность в IoT»
1. Azure IoT Suite для тех, кто начинает с нуля.
2. Стратегия всесторонней защиты.
3. Архитектура системы безопасности.
4. Обеспечение безопасности развертывания IoT.
Защита инфраструктуры IoT: Классификация специалистов
К разработке и реализации стратегии всесторонней защиты можно привлекать различных специалистов в сфере производства, разработки и развертывания устройств и инфраструктуры IoT.
Производитель/интегратор оборудования IoT. Как правило, к таким специалистам причисляются производители развертываемого оборудования IoT, интеграторы, выполняющие сборку оборудования различных производителей, или поставщики оборудования для развертывания инфраструктуры IoT, изготовленного сторонними производителями.
Разработчик решения IoT. Разработкой решения IoT, как правило, занимается разработчик решения. Это может быть собственный специалист компании или системный интегратор соответствующей специализации. Разработчик решения IoT может разрабатывать различные компоненты решения с нуля, интегрировать в него стандартные компоненты или компоненты с открытым исходным кодом, а также внедрять предварительно настроенные решения, внося в них лишь незначительные изменения.
Специалист по развертыванию решения IoT. По завершении этапа разработки решения IoT необходимо выполнить его развертывание на месте. Этот процесс подразумевает развертывание оборудования, соединений между устройствами, а также развертывание решений на аппаратных платформах облачной среды.
Оператор решения IoT. После развертывания решение IoT переходит на этап долгосрочной эксплуатации, где осуществляется также мониторинг, обновление и техническое обслуживание решения. Эти задачи могут выполнять собственные специалисты компании, к которым относятся специалисты отдела ИТ, эксплуатации и обслуживания оборудования, а также профильные специалисты, осуществляющие мониторинг поведения инфраструктуры IoT в целом.
Далее мы расскажем про рекомендации для этих специалистов по разработке, развертыванию и эксплуатации защищенной инфраструктуры IoT.
Производитель/интегратор оборудования IoT
Рекомендации для производителей и интеграторов оборудования IoT.
Соответствие оборудования минимальным требованиям. При проектировании оборудования следует учитывать только минимальные требования к компонентам и функциям, которые необходимы для эксплуатации оборудования. Например, USB-порты следует предусмотреть, только если они нужны для эксплуатации оборудования. Такие дополнительные компоненты могут подвергать устройство риску нежелательных атак, которые необходимо предотвратить.
Защита оборудования от незаконного изменения. Встраивание механизмов обнаружения незаконного физического изменения (например, вскрытие корпуса устройства или изъятие части устройства). Сигналы о незаконном изменении можно вместе с потоком данных передавать в облако, они служат оповещением для операторов этих событий.
Построение инфраструктуры с использованием защищенного оборудования. Если цена позволяет, следует предусмотреть функции безопасности (например, защищенное и зашифрованное хранилище или функцию загрузки на базе доверенного платформенного модуля). Все эти функции повышают уровень безопасности устройств и помогают защитить всю инфраструктуру IoT.
Защита во время обновления. На том или ином этапе жизненного цикла устройства приходится обновлять микропрограммное обеспечение. Безопасные способы установки обновлений и функции криптографического подтверждения версий встроенного ПО, предусмотренные еще на этапе сборки устройства, обеспечивают защиту устройства во время обновления и после него.
Разработчик решения IoT
Рекомендации для разработчиков решения IoT.
Применение методик разработки защищенных приложений. Разработка защищенных приложений требует комплексного подхода к обеспечению безопасности на всех этапах — от разработки концепции проекта до финальной стадии реализации, тестирования и развертывания. Выбор платформы, языка и инструментов определяется в соответствии с этой методикой. Microsoft Security Development Lifecycle (SDL) предоставляет пошаговое руководство по созданию защищенного программного обеспечения.
Продуманный подход к выбору ПО с открытым исходным кодом. ПО с открытым исходным кодом дает возможность быстро разрабатывать решения. Выбирая ПО с открытым исходным кодом, рекомендуется учитывать для каждого из оцениваемых программных компонентов уровень активности пользователей в соответствующем сообществе. Если пользователи в сообществе активны, значит, поддержка ПО осуществляется на должном уровне, проблемы оперативно обнаруживаются и устраняются. Низкая активность в сообществе, напротив, может свидетельствовать о том, что ПО не поддерживается, проблемы не выявляются своевременно.
