Schița de curs

Sesiunea 1 & 2: Concepte de bază și avansate ale arhitecturii IoT din perspectiva securității

  • Scurt istoric al evoluției tehnologiilor IoT
  • Modele de date în sistemul IoT – definirea și arhitectura senzorilor, actuatoarelor, dispozitivelor, gateway-urilor, protocoalelor de comunicare
  • Dispozitive terțe și riscurile asociate lanțului de aprovizionare al furnizorilor
  • Ecosistem tehnologic – furnizori de dispozitive, furnizori de gateway-uri, furnizori de analiză, furnizori de platforme, integratori de sisteme – riscuri asociate tuturor furnizorilor
  • IoT distribuit bazat pe edge vs IoT centralizat bazat pe cloud: evaluarea avantajelor vs riscurilor
  • Straturi de management în sistemul IoT – gestionarea flotelor, gestionarea activelor, înregistrarea/dezactivarea senzorilor, Digital Twins. Riscurile autorizărilor în straturile de management
  • Demonstrație a sistemelor de management IoT AWS, Microsoft Azure și alți manageri de flote
  • Introducere în protocoalele populare de comunicare IoT – Zigbee/NB-IoT/5G/LORA/Witespec – revizuirea vulnerabilităților din straturile de protocol de comunicare
  • Înțelegerea întregului stack tehnologic al IoT cu o revizuire a managementului riscurilor

Sesiunea 3: Listă de verificare a tuturor riscurilor și problemelor de securitate în IoT

  • Actualizarea firmware-ului – punctul slab al IoT
  • Revizuire detaliată a securității protocoalelor de comunicare IoT – straturi de transport (NB-IoT, 4G, 5G, LORA, Zigbee etc.) și straturi de aplicație – MQTT, Web Socket etc.
  • Vulnerabilitatea punctelor finale API – lista tuturor API-urilor posibile în arhitectura IoT
  • Vulnerabilitatea dispozitivelor și serviciilor gateway
  • Vulnerabilitatea comunicării senzorilor conectați – gateway
  • Vulnerabilitatea comunicării gateway-server
  • Vulnerabilitatea serviciilor de bază de date cloud în IoT
  • Vulnerabilitatea straturilor de aplicație
  • Vulnerabilitatea serviciilor de management gateway – bazate local și în cloud
  • Riscul gestionării jurnalelor în arhitecturile bazate pe edge și non-edge

Sesiunea 4: Modelul OSASP de securitate IoT, Top 10 riscuri de securitate

  • I1 Interfață web nesigură
  • I2 Autentificare/Autorizare insuficientă
  • I3 Servicii de rețea nesigure
  • I4 Lipsa criptării transportului
  • I5 Preocupări legate de confidențialitate
  • I6 Interfață cloud nesigură
  • I7 Interfață mobilă nesigură
  • I8 Configurabilitate insuficientă a securității
  • I9 Software/Firmware nesigur
  • I10 Securitate fizică slabă

Sesiunea 5: Revizuire și demonstrație a principiilor de securitate AWS-IoT și Azure IoT

  • Modelul de amenințare Microsoft – STRIDE

Detalii despre modelul STRIDE

  • Securizarea comunicării dispozitiv-gateway-server – criptare asimetrică
  • Certificat X.509 pentru distribuția cheilor publice
  • Chei SAS
  • Riscuri și tehnici de actualizare OTA în masă
  • Securizarea API pentru portalurile de aplicații
  • Dezactivarea și delinkarea dispozitivelor rău intenționate din sistem
  • Vulnerabilitatea principiilor de securitate AWS/Azure

Sesiunea 6: Revizuirea standardelor/recomandărilor în evoluție NIST pentru IoT

Revizuirea standardului NISTIR 8228 pentru securitatea IoT – Modelul de 30 de puncte de considerare a riscurilor

Integrarea și identificarea dispozitivelor terțe

  • Identificarea și urmărirea serviciilor
  • Identificarea și urmărirea hardware-ului
  • Identificarea sesiunilor de comunicare
  • Identificarea și înregistrarea tranzacțiilor de management
  • Gestionarea și urmărirea jurnalelor

Sesiunea 7: Securizarea Firmware-ului/Dispozitivelor

Securizarea modului de depanare în Firmware

Securitatea fizică a hardware-ului

  • Criptografia hardware – PUF (Funcție Fizică Neclonabilă) – securizarea EPROM
  • PUF public, PPUF
  • Nano PUF
  • Clasificarea cunoscută a malware-urilor în Firmware (18 familii conform regulii YARA)
  • Studiul unor malware-uri populare din Firmware – MIRAI, BrickerBot, GoScanSSH, Hydra etc.

Sesiunea 8: Studii de caz ale atacurilor IoT

  • Pe 21 octombrie 2016, un masiv atac DDoS a fost lansat împotriva serverelor DNS Dyn, închizând multe servicii web, inclusiv Twitter. Hackerii au exploatat parolele și numele de utilizator implicite ale camerelor web și altor dispozitive IoT, instalând botnet-ul Mirai pe dispozitivele IoT compromise. Acest atac va fi studiat în detaliu
  • Camerele IP pot fi hackuite prin atacuri de tip buffer overflow
  • Becurile Philips Hue au fost hackuite prin protocolul lor ZigBee
  • Atacurile de tip injecție SQL au fost eficiente împotriva dispozitivelor IoT Belkin
  • Atacurile de tip cross-site scripting (XSS) care au exploatat aplicația Belkin WeMo și au accesat date și resurse la care aplicația are acces

Sesiunea 9: Securizarea IoT distribuit prin Ledger Distribuit – BlockChain și DAG (IOTA) [3 ore]

Tehnologia Ledger Distribuit – DAG Ledger, Hyper Ledger, BlockChain

PoW, PoS, Tangle – o comparație a metodelor de consens

  • Diferența dintre Blockchain, DAG și Hyperledger – o comparație a funcționării vs performanței vs descentralizării
  • Performanța în timp real și offline a diferitelor sisteme DLT
  • Rețea P2P, Chei Private și Publice – concepte de bază
  • Cum este implementat practic sistemul de ledger – revizuirea unor arhitecturi de cercetare
  • IOTA și Tangle – DLT pentru IoT
  • Câteva exemple practice de aplicații din orașele inteligente, mașinile inteligente, mașinile inteligente

Sesiunea 10: Arhitectura de best practice pentru securitatea IoT

  • Urmărirea și identificarea tuturor serviciilor din Gateway-uri
  • Nu folosiți adresa MAC – folosiți ID-ul pachetului în schimb
  • Utilizați o ierarhie de identificare pentru dispozitive – ID-ul plăcii, ID-ul dispozitivului și ID-ul pachetului
  • Structurați actualizarea firmware-ului pentru a respecta perimetrul și ID-ul serviciului
  • PUF pentru EPROM
  • Securizați riscurile portalurilor/aplicațiilor de management IoT prin două straturi de autentificare
  • Securizați toate API-urile – Definiți testarea și gestionarea API-urilor
  • Identificarea și integrarea acelorași principii de securitate în lanțul de aprovizionare logistic
  • Minimizarea vulnerabilității patch-urilor din protocoalele de comunicare IoT

Sesiunea 11: Elaborarea politicii de securitate IoT pentru organizația dumneavoastră

  • Definirea lexicului securității IoT/Tensiuni
  • Sugerarea celor mai bune practici pentru autentificare, identificare, autorizare
  • Identificarea și clasificarea activelor critice
  • Identificarea perimetrelor și izolarea pentru aplicații
  • Politici pentru securizarea activelor critice, informațiilor critice și a datelor private

Cerințe

  • Cunoștințe de bază despre dispozitive, sisteme electronice și sisteme de date
  • Înțelegere de bază a software-ului și sistemelor
  • Înțelegere de bază a statisticilor (la nivel de Excel)
  • Înțelegere a verticalelor de telecomunicații

Rezumat

  • Un program de formare avansat care acoperă starea actuală a artei în domeniul securității Internetului Lucrurilor
  • Acoperă toate aspectele securității firmware-ului, middleware-ului și protocoalelor de comunicare IoT
  • Cursul oferă o perspectivă 360 de grade asupra tuturor tipurilor de inițiative de securitate în domeniul IoT pentru cei care nu sunt profund familiarizați cu standardele, evoluția și viitorul IoT
  • Analiză aprofundată a vulnerabilităților de securitate din firmware, protocoale de comunicare wireless, comunicare dispozitiv-cloud
  • Acoperirea mai multor domenii tehnologice pentru a dezvolta conștientizarea securității în sistemele și componentele IoT
  • Demonstrații live ale unor aspecte de securitate ale gateway-urilor, senzorilor și cloud-urilor de aplicații IoT
  • Cursul explică, de asemenea, 30 de considerații de risc ale standardelor actuale și propuse NIST pentru securitatea IoT
  • Modelul OSWAP pentru securitatea IoT
  • Oferă linii directoare detaliate pentru elaborarea standardelor de securitate IoT pentru o organizație

Publicul țintă

Ingineri/manageri/experți în securitate care sunt desemnați să dezvolte proiecte IoT sau să auditeze/revizuiască riscurile de securitate.

 21 Ore

Numărul de participanți


Pret per participant

Mărturii (1)

Cursuri viitoare

Categorii înrudite