defender-for-iot

Microsoft Defender for IoT

Defender for IoT 为两类传统终端工具无法覆盖的环境提供无代理网络检测与响应：

• OT / ICS（运营技术、SCADA、PLC、工业网络）。
• 企业 IoT（EIoT）——企业网络上的打印机、摄像头、VoIP 电话、智能楼宇设备，通过 Microsoft Defender for Endpoint 传感器发现并保护，并显示在 Defender XDR 中。

适用场景

用于保护工厂、公用事业、医疗保健或楼宇自动化网络；或者扩展对企业 LAN 上无法运行终端代理的非托管“设备”的可见性。

请勿将此技能用于 IoT Hub / IoT Central 数据平面安全、Azure Sphere 固件设计或工作站/服务器 EDR（defender-for-endpoint）。

OT 与企业 IoT——选择正确的路径

环境	路径	传感器
工厂网络、ICS、SCADA、PLC（Purdue 0–3 级）	Defender for IoT — OT	专用 OT 网络传感器（物理设备或虚拟 VM），连接到 SPAN/TAP
企业 LAN 上的非托管设备（打印机、摄像头、VoIP）	Defender for IoT — EIoT	Windows 终端上现有的 MDE 传感器；无需单独的设备

**经验法则：**如果设备使用 Modbus / DNP3 / S7 / EtherNet/IP，就需要 OT 传感器。 如果是办公 VLAN 上的 IP 摄像头，使用 MDE 提供的 EIoT 就足够了。

方法

OT 环境

1. **先按 Purdue 级别绘制网络图。**识别 0/1 级（控制器、传感器）、2 级（SCADA HMI）和 3 级（运营管理）。传感器监控各级之间以及 2/3 级内部的东西向流量。

2. 选择传感器部署位置。每个 OT 站点部署一个传感器，连接到镜像核心 OT 交换机流量的 SPAN 端口。将多个站点的传感器汇总到云连接模式（新部署首选）或旧版本地管理控制台（用于气隙隔离站点）。

3. 以被动方式部署。OT 传感器完全被动——不会探测或主动扫描。在安全关键环境中，这一点不可妥协。启用任何端口前，务必与工厂运营团队确认。

4. **建立资产清单。**传感器会在 14 天内建立设备、固件版本和协议关系的基线。启用警报前，请与 OT 团队核实基线。

5. **启用警报。**类别包括：恶意软件、网络异常、协议违规和运营事件（例如未经授权的 PLC 编程更改）。根据工厂环境调整规则——许多“异常”其实是正常的维护时段。

6. **将数据流式传输到 Sentinel。**使用 Defender for IoT 数据连接器。构建 OT 专用工作簿和操作手册（例如，对未经授权的 PLC 重新编程自动创建工单）。

7. **漏洞计划。**传感器会识别设备固件，并将其与已知 CVE 匹配。不要通过与 IT 相同的渠道推送补丁——应与 OT 变更时段协调。

企业 IoT 环境

1. **已部署 MDE？**EIoT 是基于 MDE 的许可证开关——在 Defender XDR 设置中启用。在该 LAN 网段内，被已加入 MDE 的终端发现的设备会被识别。
2. 在 security.microsoft.com → Assets → Devices 中查看设备清单，并筛选 Device type = IoT。
3. 按功能分组并添加标记（打印机、摄像头、VoIP、楼宇自动化）。为每个组应用网络访问策略（NAC / NSG / 防火墙）。
4. 漏洞发现和威胁警报会与终端检测结果一同流入 Defender XDR。

防护原则

• OT 传感器必须采用被动模式。 在生产 OT 环境中，切勿启用主动探测——这可能导致 PLC 重置或安全系统触发。
• 进行任何部署变更前，先与 OT 运维团队协调。 更改交换机、VLAN 或 SPAN 配置都需要安排 OT 变更窗口。
• 不要将 OT 警报不加说明地直接发送给 IT SOC。 OT 分析师和 IT 分析师的分诊方式不同。应制定具备 OT 感知能力的操作手册，或将警报路由到 OT SOC。
• EIoT 要发现未受管理的设备，每个网段至少有一个终结点必须部署 MDE。 覆盖缺口就是盲区。
• 不要按照 IT 的节奏向 OT 设备推送修补程序。 OT 变更窗口按季度或年度安排。使用漏洞数据制定计划，而不是自动修复。
• 隔离网络站点无法使用云连接模式。 请使用本地管理控制台；待允许连接后，再规划迁移。
• Defender for IoT ≠ Azure IoT Hub 安全性。 这是不同的产品，范围也不同。

常见反模式

• “主动扫描以加快 PLC 资产盘点”——这在一家真实的炼油厂导致了安全系统触发。OT 环境中始终使用被动模式。
• “通过 WAN 用一个传感器覆盖整个多站点环境”——SPAN 流量不适合通过 WAN 传输。每个站点部署一个传感器。
• “将 OT 警报路由到标准 IT 事件队列”——IT 分析师会将其标记为“预期的旧版协议”并关闭，从而漏掉真正的攻击。
• “因为已有 MDE，所以跳过 EIoT”——发现未受管理的设备才是重点；请启用它。
• “在 IT 月度变更窗口修补 OT 固件”——这会导致生产中断。请与 OT 团队一起规划。
• “使用 Defender for IoT 监控 IoT Hub 设备遥测数据”——产品用错了。

示例提示词

• 为一个拥有 5 个站点的制造业环境规划 Defender for IoT OT 传感器的部署位置（每个站点有 1 个工厂网络）。
• 在拥有 80,000 个终结点的租户中，通过 MDE 启用 EIoT 发现。
• 将 OT 警报流式传输到 Sentinel，并为未经授权的 PLC 编程创建工作簿。
• 为“可疑的 S7 协议活动”警报构建操作手册——由谁分诊、进行哪些更改、何时升级。
• 比较隔离网络公用事业单位使用的云连接传感器与本地管理控制台。
• 按功能标记并分组 EIoT 设备，并应用 NAC 隔离策略。

Microsoft Learn

• 概述：https://learn.microsoft.com/azure/defender-for-iot/
• OT 部署指南：https://learn.microsoft.com/azure/defender-for-iot/organizations/best-practices/plan-prepare-deploy
• OT 传感器架构：https://learn.microsoft.com/azure/defender-for-iot/organizations/architecture
• 云连接与本地部署：https://learn.microsoft.com/azure/defender-for-iot/organizations/architecture-connections
• 企业 IoT：https://learn.microsoft.com/azure/defender-for-iot/
• Sentinel 集成：https://learn.microsoft.com/azure/sentinel/iot-solution
• 警报参考：https://learn.microsoft.com/azure/defender-for-iot/organizations/alert-engine-messages