Intrati in legatura

Schița de curs

Sesiunea 1 & 2: Concepte de bază și avansate ale arhitecturii IoT din perspectiva securității

  • O scurtă istorie a evoluției tehnologiilor IoT
  • Modelele de date în sistemele IoT – definiția și arhitectura senzorilor, actuatoarelor, dispozitivelor, gateway-ului, protocoalelor de comunicare
  • Dispozitive terțe și riscurile asociate lanțului de aprovizionare al furnizorilor
  • Ecosistemul tehnologic – furnizorii de dispozitive, furnizorii de gateway, furnizorii de analiză, furnizorii de platforme, integratorii de sistem – riscurile asociate tuturor furnizorilor
  • IoT distribuit bazat pe margine (edge) vs. IoT centralizat bazat pe cloud: Avantaje vs. evaluarea riscurilor
  • Straturile de management în sistemele IoT – Managementul flotei, managementul activelor, Înregistrarea/Îndepărtarea senzorilor, Gemenii digitali. Riscurile autorizațiilor în straturile de management
  • Demo ale sistemelor de management IoT AWS, Microsoft Azure și alți manageri de flotă
  • Introducere în protocoalele populare de comunicare IoT – Zigbee/NB-IoT/5G/LORA/Witespec – revizuirea vulnerabilităților în straturile de protocol de comunicare
  • Înțelegerea întregii stive tehnologice IoT cu o revizuire a managementului riscurilor

Sesiunea 3: O listă de verificare a tuturor riscurilor și problemelor de securitate în IoT

  • Patching-ul Firmware-ului – punctul slab al IoT
  • Revizuire detaliată a securității protocoalelor de comunicare IoT: straturile de transport (NB-IoT, 4G, 5G, LORA, Zigbee etc.) și straturile de aplicație – MQTT, Web Socket etc.
  • Vulnerabilitatea punctelor finale API - lista tuturor API-urilor posibile în arhitectura IoT
  • Vulnerabilitatea dispozitivelor Gateway și a serviciilor
  • Vulnerabilitatea senzorilor conectați – comunicația Gateway
  • Vulnerabilitatea comunicării Gateway/Server
  • Vulnerabilitatea serviciilor de baze de date Cloud în IoT
  • Vulnerabilitatea straturilor de aplicație
  • Vulnerabilitatea serviciilor de management Gateway – Locale și bazate pe Cloud
  • Riscul managementului log-urilor în arhitecturile edge și non-edge

Sesiunea 4: Modelul OWASP de securitate IoT, Top 10 riscuri de securitate

  • I1 Interfață web nesecurizată
  • I2 Autentificare/Autorizare insuficientă
  • I3 Servicii de rețea nesecurizate
  • I4 Lipsa criptării transportului
  • I5 Îngrijorări privind confidențialitatea
  • I6 Interfață cloud nesecurizată
  • I7 Interfață mobilă nesecurizată
  • I8 Configurabilitatea securității insuficientă
  • I9 Software/Firmware nesecurizat
  • I10 Securitate fizică slabă

Sesiunea 5: Revizuire și demo ale principiilor de securitate AWS-IoT și Azure IoT

  • Modelul de amenințare Microsoft – STRIDE

Detalii ale Modelului STRIDE

  • Securitatea comunicării dintre dispozitiv, gateway și server – Criptare asimetrică
  • Certificarea X.509 pentru distribuția cheilor publice
  • Chei SAS
  • Riscuri și tehnici de OTA în bloc (Bulk OTA)
  • Securitatea API pentru portalurile de aplicații
  • Dezactivarea și detașarea dispozitivelor rogue (neautorizate) din sistem
  • Vulnerabilitatea principiilor de securitate AWS/Azure

Sesiunea 6: Revizuirea standardelor/recomandărilor NIST în evoluție pentru IoT

Revizuirea standardului NISTIR 8228 pentru securitatea IoT – Modelul de considerare a 30 de puncte de risc

Integrarea și identificarea dispozitivelor terțe

  • Identificarea și urmărirea serviciilor
  • Identificarea și urmărirea hardware-ului
  • Identificarea sesiunilor de comunicare
  • Identificarea și logarea tranzacțiilor de management
  • Managementul și urmărirea log-urilor

Sesiunea 7: Securizarea Firmware-ului/Dispozitivului

Securizarea modului de depanare (debugging) într-un Firmware

Securitatea fizică a hardware-ului

  • Criptografia hardware – PUF (Funcție Imposibil de Clonat Fizic) – securizarea EPROM
  • PUF public, PPUF
  • Nano PUF
  • Clasificarea cunoscută a malware-urilor în Firmware (18 familii conform regulii YARA)
  • Studierea unor malware-uri populare pentru Firmware – MIRAI, BrickerBot, GoScanSSH, Hydra etc.

Sesiunea 8: Studii de caz privind atacurile IoT

  • În 21 octombrie 2016, un imens atac DDoS a fost lansat împotriva serverelor Dyn DNS, blocând multe servicii web, inclusiv Twitter. Hackerii au exploatat parolele și numele de utilizator implicite ale webcam-urilor și altor dispozitive IoT, instalând botnet-ul Mirai pe dispozitivele IoT compromise. Acest atac va fi studiat în detaliu.
  • Camerele IP pot fi hackuite prin atacuri de overflow de buffer
  • Becurile Philips Hue au fost hackuite prin protocolul lor de link ZigBee
  • Atacurile de injecție SQL au fost eficiente împotriva dispozitivelor IoT Belkin
  • Atacurile de scripting intersite (XSS) care au exploatat aplicația Belkin WeMo și au accesat date și resurse la care aplicația poate accesa

Sesiunea 9: Securizarea IoT distribuit prin registrul distribuit – Blockchain și DAG (IOTA) [3 ore]

Tehnologia registrului distribuit – Ledger DAG, Hyper Ledger, Blockchain

PoW, PoS, Tangle – o comparare a metodelor de consens

  • Diferențele dintre Blockchain, DAG și Hyperledger – o comparare a funcționării, performanței și descentralizării
  • Performanța în timp real și offline a diferitelor sisteme DLT
  • Rețeaua P2P, conceptele de bază ale cheii private și publice
  • Cum este implementat practic sistemul de registrare – revizuirea unor arhitecturi de cercetare
  • IOTA și Tangle – DLT pentru IoT
  • Exemple de aplicații practice din orașe inteligente, mașini inteligente, autovehicule inteligente

Sesiunea 10: Cele mai bune practici de arhitectură pentru securitatea IoT

  • Urmărirea și identificarea tuturor serviciilor în Gateway-uri
  • Nu utilizați niciodată adresele MAC; folosiți ID-ul pachetului în schimb
  • Utilizați o ierarhie de identificare pentru dispozitive: ID placa, ID dispozitiv și ID pachet
  • Structurați patching-ul Firmware-ului în perimetru și conform cu ID-ul serviciului
  • PUF pentru EPROM
  • Securizați riscurile portalurilor/aplicațiilor de management IoT prin două straturi de autentificare
  • Securizați toate API-urile: definiți testarea și gestionarea API
  • Identificarea și integrarea aceluiași principiu de securitate în lanțul logistic de aprovizionare
  • Minimizarea vulnerabilităților la patching ale protocoalelor de comunicare IoT

Sesiunea 11: Redactarea politiciei de securitate IoT pentru organizația dumneavoastră

  • Definirea lexiconului securității IoT / Tensiunilor
  • Sugerarea celor mai bune practici pentru autentificare, identificare, autorizare
  • Identificarea și clasificarea Activelor Critice
  • Identificarea perimetrelor și izolării pentru aplicație
  • Politici pentru securizarea activelor critice, informațiilor critice și datelor de confidențialitate

Cerințe

  • Cunoștințe de bază despre dispozitive, sisteme electronice și sisteme de date
  • Înțelegerea de bază a software-ului și sistemelor
  • Înțelegerea de bază a statisticii (la nivel de Excel)
  • Înțelegerea verticalilor telecomunicațiilor

Sumar

  • Un program avansat de formare care acoperă stadiul actual al securității Internetului Lucrurilor (IoT)
  • Acoperă toate aspectele securității Firmware-ului, Middleware și protocoalelor de comunicare IoT
  • Cursul oferă o perspectivă completă (360 de grade) asupra tuturor inițiativelor de securitate din domeniul IoT pentru cei care nu sunt profund familiarizați cu standardele, evoluția și viitorul IoT
  • Analiză aprofundată a vulnerabilităților de securitate în Firmware, protocoalele de comunicații wireless și comunicarea dispozitiv-cloud.
  • Trecând peste multiple domenii tehnologice pentru a dezvolta conștientizarea securității în sistemele IoT și componentele sale
  • Demonstrare live a unor aspecte de securitate ale gateway-urilor, senzorilor și cloud-urilor de aplicații IoT
  • Cursul explică, de asemenea, 30 de principii de considerare a riscurilor din standardele NIST actuale și propuse pentru securitatea IoT
  • Modelul OSWAP pentru securitatea IoT
  • Oferă ghiduri detaliate pentru redactarea standardelor de securitate IoT pentru o organizație

Publicul țintă

Ingineri/manageri/experți în securitate care sunt desemnați să dezvolte proiecte IoT sau să auditeze/revizuiască riscurile de securitate.

 21 Ore

Numărul de participanți


Pret per participant

Mărturii (1)

Cursuri viitoare

Categorii înrudite