Schița de curs
Sesiunea 1 & 2: Concepte de bază și avansate ale arhitecturii IoT din perspectiva securității
- Scurt istoric al evoluției tehnologiilor IoT
- Modele de date în sistemul IoT – definirea și arhitectura senzorilor, actuatoarelor, dispozitivelor, gateway-urilor, protocoalelor de comunicare
- Dispozitive terțe și riscurile asociate lanțului de aprovizionare al furnizorilor
- Ecosistem tehnologic – furnizori de dispozitive, furnizori de gateway-uri, furnizori de analiză, furnizori de platforme, integratori de sisteme – riscuri asociate tuturor furnizorilor
- IoT distribuit bazat pe edge vs IoT centralizat bazat pe cloud: evaluarea avantajelor vs riscurilor
- Straturi de management în sistemul IoT – gestionarea flotelor, gestionarea activelor, înregistrarea/dezactivarea senzorilor, Digital Twins. Riscurile autorizărilor în straturile de management
- Demonstrație a sistemelor de management IoT AWS, Microsoft Azure și alți manageri de flote
- Introducere în protocoalele populare de comunicare IoT – Zigbee/NB-IoT/5G/LORA/Witespec – revizuirea vulnerabilităților din straturile de protocol de comunicare
- Înțelegerea întregului stack tehnologic al IoT cu o revizuire a managementului riscurilor
Sesiunea 3: Listă de verificare a tuturor riscurilor și problemelor de securitate în IoT
- Actualizarea firmware-ului – punctul slab al IoT
- Revizuire detaliată a securității protocoalelor de comunicare IoT – straturi de transport (NB-IoT, 4G, 5G, LORA, Zigbee etc.) și straturi de aplicație – MQTT, Web Socket etc.
- Vulnerabilitatea punctelor finale API – lista tuturor API-urilor posibile în arhitectura IoT
- Vulnerabilitatea dispozitivelor și serviciilor gateway
- Vulnerabilitatea comunicării senzorilor conectați – gateway
- Vulnerabilitatea comunicării gateway-server
- Vulnerabilitatea serviciilor de bază de date cloud în IoT
- Vulnerabilitatea straturilor de aplicație
- Vulnerabilitatea serviciilor de management gateway – bazate local și în cloud
- Riscul gestionării jurnalelor în arhitecturile bazate pe edge și non-edge
Sesiunea 4: Modelul OSASP de securitate IoT, Top 10 riscuri de securitate
- I1 Interfață web nesigură
- I2 Autentificare/Autorizare insuficientă
- I3 Servicii de rețea nesigure
- I4 Lipsa criptării transportului
- I5 Preocupări legate de confidențialitate
- I6 Interfață cloud nesigură
- I7 Interfață mobilă nesigură
- I8 Configurabilitate insuficientă a securității
- I9 Software/Firmware nesigur
- I10 Securitate fizică slabă
Sesiunea 5: Revizuire și demonstrație a principiilor de securitate AWS-IoT și Azure IoT
- Modelul de amenințare Microsoft – STRIDE
Detalii despre modelul STRIDE
- Securizarea comunicării dispozitiv-gateway-server – criptare asimetrică
- Certificat X.509 pentru distribuția cheilor publice
- Chei SAS
- Riscuri și tehnici de actualizare OTA în masă
- Securizarea API pentru portalurile de aplicații
- Dezactivarea și delinkarea dispozitivelor rău intenționate din sistem
- Vulnerabilitatea principiilor de securitate AWS/Azure
Sesiunea 6: Revizuirea standardelor/recomandărilor în evoluție NIST pentru IoT
Revizuirea standardului NISTIR 8228 pentru securitatea IoT – Modelul de 30 de puncte de considerare a riscurilor
Integrarea și identificarea dispozitivelor terțe
- Identificarea și urmărirea serviciilor
- Identificarea și urmărirea hardware-ului
- Identificarea sesiunilor de comunicare
- Identificarea și înregistrarea tranzacțiilor de management
- Gestionarea și urmărirea jurnalelor
Sesiunea 7: Securizarea Firmware-ului/Dispozitivelor
Securizarea modului de depanare în Firmware
Securitatea fizică a hardware-ului
- Criptografia hardware – PUF (Funcție Fizică Neclonabilă) – securizarea EPROM
- PUF public, PPUF
- Nano PUF
- Clasificarea cunoscută a malware-urilor în Firmware (18 familii conform regulii YARA)
- Studiul unor malware-uri populare din Firmware – MIRAI, BrickerBot, GoScanSSH, Hydra etc.
Sesiunea 8: Studii de caz ale atacurilor IoT
- Pe 21 octombrie 2016, un masiv atac DDoS a fost lansat împotriva serverelor DNS Dyn, închizând multe servicii web, inclusiv Twitter. Hackerii au exploatat parolele și numele de utilizator implicite ale camerelor web și altor dispozitive IoT, instalând botnet-ul Mirai pe dispozitivele IoT compromise. Acest atac va fi studiat în detaliu
- Camerele IP pot fi hackuite prin atacuri de tip buffer overflow
- Becurile Philips Hue au fost hackuite prin protocolul lor ZigBee
- Atacurile de tip injecție SQL au fost eficiente împotriva dispozitivelor IoT Belkin
- Atacurile de tip cross-site scripting (XSS) care au exploatat aplicația Belkin WeMo și au accesat date și resurse la care aplicația are acces
Sesiunea 9: Securizarea IoT distribuit prin Ledger Distribuit – BlockChain și DAG (IOTA) [3 ore]
Tehnologia Ledger Distribuit – DAG Ledger, Hyper Ledger, BlockChain
PoW, PoS, Tangle – o comparație a metodelor de consens
- Diferența dintre Blockchain, DAG și Hyperledger – o comparație a funcționării vs performanței vs descentralizării
- Performanța în timp real și offline a diferitelor sisteme DLT
- Rețea P2P, Chei Private și Publice – concepte de bază
- Cum este implementat practic sistemul de ledger – revizuirea unor arhitecturi de cercetare
- IOTA și Tangle – DLT pentru IoT
- Câteva exemple practice de aplicații din orașele inteligente, mașinile inteligente, mașinile inteligente
Sesiunea 10: Arhitectura de best practice pentru securitatea IoT
- Urmărirea și identificarea tuturor serviciilor din Gateway-uri
- Nu folosiți adresa MAC – folosiți ID-ul pachetului în schimb
- Utilizați o ierarhie de identificare pentru dispozitive – ID-ul plăcii, ID-ul dispozitivului și ID-ul pachetului
- Structurați actualizarea firmware-ului pentru a respecta perimetrul și ID-ul serviciului
- PUF pentru EPROM
- Securizați riscurile portalurilor/aplicațiilor de management IoT prin două straturi de autentificare
- Securizați toate API-urile – Definiți testarea și gestionarea API-urilor
- Identificarea și integrarea acelorași principii de securitate în lanțul de aprovizionare logistic
- Minimizarea vulnerabilității patch-urilor din protocoalele de comunicare IoT
Sesiunea 11: Elaborarea politicii de securitate IoT pentru organizația dumneavoastră
- Definirea lexicului securității IoT/Tensiuni
- Sugerarea celor mai bune practici pentru autentificare, identificare, autorizare
- Identificarea și clasificarea activelor critice
- Identificarea perimetrelor și izolarea pentru aplicații
- Politici pentru securizarea activelor critice, informațiilor critice și a datelor private
Cerințe
- Cunoștințe de bază despre dispozitive, sisteme electronice și sisteme de date
- Înțelegere de bază a software-ului și sistemelor
- Înțelegere de bază a statisticilor (la nivel de Excel)
- Înțelegere a verticalelor de telecomunicații
Rezumat
- Un program de formare avansat care acoperă starea actuală a artei în domeniul securității Internetului Lucrurilor
- Acoperă toate aspectele securității firmware-ului, middleware-ului și protocoalelor de comunicare IoT
- Cursul oferă o perspectivă 360 de grade asupra tuturor tipurilor de inițiative de securitate în domeniul IoT pentru cei care nu sunt profund familiarizați cu standardele, evoluția și viitorul IoT
- Analiză aprofundată a vulnerabilităților de securitate din firmware, protocoale de comunicare wireless, comunicare dispozitiv-cloud
- Acoperirea mai multor domenii tehnologice pentru a dezvolta conștientizarea securității în sistemele și componentele IoT
- Demonstrații live ale unor aspecte de securitate ale gateway-urilor, senzorilor și cloud-urilor de aplicații IoT
- Cursul explică, de asemenea, 30 de considerații de risc ale standardelor actuale și propuse NIST pentru securitatea IoT
- Modelul OSWAP pentru securitatea IoT
- Oferă linii directoare detaliate pentru elaborarea standardelor de securitate IoT pentru o organizație
Publicul țintă
Ingineri/manageri/experți în securitate care sunt desemnați să dezvolte proiecte IoT sau să auditeze/revizuiască riscurile de securitate.
Mărturii (1)
Cât de prietenos a fost instrctorul. Flexibilitatea și răspunsurile la întrebările mele.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Curs - IoT Security
Tradus de catre o masina