Schița de curs
Sesiunea 1 & 2: Concepte de bază și avansate ale arhitecturii IoT din perspectiva securității
- O scurtă istorie a evoluției tehnologiilor IoT
- Modelele de date în sistemele IoT – definiția și arhitectura senzorilor, actuatoarelor, dispozitivelor, gateway-ului, protocoalelor de comunicare
- Dispozitive terțe și riscurile asociate lanțului de aprovizionare al furnizorilor
- Ecosistemul tehnologic – furnizorii de dispozitive, furnizorii de gateway, furnizorii de analiză, furnizorii de platforme, integratorii de sistem – riscurile asociate tuturor furnizorilor
- IoT distribuit bazat pe margine (edge) vs. IoT centralizat bazat pe cloud: Avantaje vs. evaluarea riscurilor
- Straturile de management în sistemele IoT – Managementul flotei, managementul activelor, Înregistrarea/Îndepărtarea senzorilor, Gemenii digitali. Riscurile autorizațiilor în straturile de management
- Demo ale sistemelor de management IoT AWS, Microsoft Azure și alți manageri de flotă
- Introducere în protocoalele populare de comunicare IoT – Zigbee/NB-IoT/5G/LORA/Witespec – revizuirea vulnerabilităților în straturile de protocol de comunicare
- Înțelegerea întregii stive tehnologice IoT cu o revizuire a managementului riscurilor
Sesiunea 3: O listă de verificare a tuturor riscurilor și problemelor de securitate în IoT
- Patching-ul Firmware-ului – punctul slab al IoT
- Revizuire detaliată a securității protocoalelor de comunicare IoT: straturile de transport (NB-IoT, 4G, 5G, LORA, Zigbee etc.) și straturile de aplicație – MQTT, Web Socket etc.
- Vulnerabilitatea punctelor finale API - lista tuturor API-urilor posibile în arhitectura IoT
- Vulnerabilitatea dispozitivelor Gateway și a serviciilor
- Vulnerabilitatea senzorilor conectați – comunicația Gateway
- Vulnerabilitatea comunicării Gateway/Server
- Vulnerabilitatea serviciilor de baze de date Cloud în IoT
- Vulnerabilitatea straturilor de aplicație
- Vulnerabilitatea serviciilor de management Gateway – Locale și bazate pe Cloud
- Riscul managementului log-urilor în arhitecturile edge și non-edge
Sesiunea 4: Modelul OWASP de securitate IoT, Top 10 riscuri de securitate
- I1 Interfață web nesecurizată
- I2 Autentificare/Autorizare insuficientă
- I3 Servicii de rețea nesecurizate
- I4 Lipsa criptării transportului
- I5 Îngrijorări privind confidențialitatea
- I6 Interfață cloud nesecurizată
- I7 Interfață mobilă nesecurizată
- I8 Configurabilitatea securității insuficientă
- I9 Software/Firmware nesecurizat
- I10 Securitate fizică slabă
Sesiunea 5: Revizuire și demo ale principiilor de securitate AWS-IoT și Azure IoT
- Modelul de amenințare Microsoft – STRIDE
Detalii ale Modelului STRIDE
- Securitatea comunicării dintre dispozitiv, gateway și server – Criptare asimetrică
- Certificarea X.509 pentru distribuția cheilor publice
- Chei SAS
- Riscuri și tehnici de OTA în bloc (Bulk OTA)
- Securitatea API pentru portalurile de aplicații
- Dezactivarea și detașarea dispozitivelor rogue (neautorizate) din sistem
- Vulnerabilitatea principiilor de securitate AWS/Azure
Sesiunea 6: Revizuirea standardelor/recomandărilor NIST în evoluție pentru IoT
Revizuirea standardului NISTIR 8228 pentru securitatea IoT – Modelul de considerare a 30 de puncte de risc
Integrarea și identificarea dispozitivelor terțe
- Identificarea și urmărirea serviciilor
- Identificarea și urmărirea hardware-ului
- Identificarea sesiunilor de comunicare
- Identificarea și logarea tranzacțiilor de management
- Managementul și urmărirea log-urilor
Sesiunea 7: Securizarea Firmware-ului/Dispozitivului
Securizarea modului de depanare (debugging) într-un Firmware
Securitatea fizică a hardware-ului
- Criptografia hardware – PUF (Funcție Imposibil de Clonat Fizic) – securizarea EPROM
- PUF public, PPUF
- Nano PUF
- Clasificarea cunoscută a malware-urilor în Firmware (18 familii conform regulii YARA)
- Studierea unor malware-uri populare pentru Firmware – MIRAI, BrickerBot, GoScanSSH, Hydra etc.
Sesiunea 8: Studii de caz privind atacurile IoT
- În 21 octombrie 2016, un imens atac DDoS a fost lansat împotriva serverelor Dyn DNS, blocând multe servicii web, inclusiv Twitter. Hackerii au exploatat parolele și numele de utilizator implicite ale webcam-urilor și altor dispozitive IoT, instalând botnet-ul Mirai pe dispozitivele IoT compromise. Acest atac va fi studiat în detaliu.
- Camerele IP pot fi hackuite prin atacuri de overflow de buffer
- Becurile Philips Hue au fost hackuite prin protocolul lor de link ZigBee
- Atacurile de injecție SQL au fost eficiente împotriva dispozitivelor IoT Belkin
- Atacurile de scripting intersite (XSS) care au exploatat aplicația Belkin WeMo și au accesat date și resurse la care aplicația poate accesa
Sesiunea 9: Securizarea IoT distribuit prin registrul distribuit – Blockchain și DAG (IOTA) [3 ore]
Tehnologia registrului distribuit – Ledger DAG, Hyper Ledger, Blockchain
PoW, PoS, Tangle – o comparare a metodelor de consens
- Diferențele dintre Blockchain, DAG și Hyperledger – o comparare a funcționării, performanței și descentralizării
- Performanța în timp real și offline a diferitelor sisteme DLT
- Rețeaua P2P, conceptele de bază ale cheii private și publice
- Cum este implementat practic sistemul de registrare – revizuirea unor arhitecturi de cercetare
- IOTA și Tangle – DLT pentru IoT
- Exemple de aplicații practice din orașe inteligente, mașini inteligente, autovehicule inteligente
Sesiunea 10: Cele mai bune practici de arhitectură pentru securitatea IoT
- Urmărirea și identificarea tuturor serviciilor în Gateway-uri
- Nu utilizați niciodată adresele MAC; folosiți ID-ul pachetului în schimb
- Utilizați o ierarhie de identificare pentru dispozitive: ID placa, ID dispozitiv și ID pachet
- Structurați patching-ul Firmware-ului în perimetru și conform cu ID-ul serviciului
- PUF pentru EPROM
- Securizați riscurile portalurilor/aplicațiilor de management IoT prin două straturi de autentificare
- Securizați toate API-urile: definiți testarea și gestionarea API
- Identificarea și integrarea aceluiași principiu de securitate în lanțul logistic de aprovizionare
- Minimizarea vulnerabilităților la patching ale protocoalelor de comunicare IoT
Sesiunea 11: Redactarea politiciei de securitate IoT pentru organizația dumneavoastră
- Definirea lexiconului securității IoT / Tensiunilor
- Sugerarea celor mai bune practici pentru autentificare, identificare, autorizare
- Identificarea și clasificarea Activelor Critice
- Identificarea perimetrelor și izolării pentru aplicație
- Politici pentru securizarea activelor critice, informațiilor critice și datelor de confidențialitate
Cerințe
- Cunoștințe de bază despre dispozitive, sisteme electronice și sisteme de date
- Înțelegerea de bază a software-ului și sistemelor
- Înțelegerea de bază a statisticii (la nivel de Excel)
- Înțelegerea verticalilor telecomunicațiilor
Sumar
- Un program avansat de formare care acoperă stadiul actual al securității Internetului Lucrurilor (IoT)
- Acoperă toate aspectele securității Firmware-ului, Middleware și protocoalelor de comunicare IoT
- Cursul oferă o perspectivă completă (360 de grade) asupra tuturor inițiativelor de securitate din domeniul IoT pentru cei care nu sunt profund familiarizați cu standardele, evoluția și viitorul IoT
- Analiză aprofundată a vulnerabilităților de securitate în Firmware, protocoalele de comunicații wireless și comunicarea dispozitiv-cloud.
- Trecând peste multiple domenii tehnologice pentru a dezvolta conștientizarea securității în sistemele IoT și componentele sale
- Demonstrare live a unor aspecte de securitate ale gateway-urilor, senzorilor și cloud-urilor de aplicații IoT
- Cursul explică, de asemenea, 30 de principii de considerare a riscurilor din standardele NIST actuale și propuse pentru securitatea IoT
- Modelul OSWAP pentru securitatea IoT
- Oferă ghiduri detaliate pentru redactarea standardelor de securitate IoT pentru o organizație
Publicul țintă
Ingineri/manageri/experți în securitate care sunt desemnați să dezvolte proiecte IoT sau să auditeze/revizuiască riscurile de securitate.
Mărturii (1)
Cât de prietenos a fost instrctorul. Flexibilitatea și răspunsurile la întrebările mele.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Curs - IoT Security
Tradus de catre o masina