Schița de curs

Sesiunea 1 & 2: Concepte de bază și avansate ale arhitecturii IoT din perspectivă de securitate

  • O scurtă istorie a evoluției tehnologiilor IoT
  • Modele de date în sistemul IoT – definiția și arhitectura senzorilor, actuatorilor, dispozitivelor, gateway-urilor, protocoalelor de comunicare
  • Dispozitive terțe și riscuri asociate cu lanțul de aprovizionare al producătorilor
  • Ecosistemul tehnologic – furnizori de dispozitive, gateway-uri, analitica, platforme, integratori de sisteme - riscuri asociate cu toți furnizorii
  • IoT distribuit pe margine vs. IoT centralizat pe cloud: avantaje vs. evaluarea riscurilor
  • Straturi de management în sistemul IoT – gestionarea flotelor, gestionarea activelor, onboardare/deboardare a senzorilor, Digital Twins. Riscul autorizărilor în straturile de management
  • Demonstrație a sistemelor de management IoT – AWS, Microsoft Azure și alte gestionare de flote
  • Introducere la protocoalele de comunicare IoT populare – Zigbee/NB-IoT/5G/LORA/Witespec – revizuire a vulnerabilităților în straturile de protocol de comunicare
  • Înțelegerea întregului stivă tehnologic al IoT cu o revizuire a gestionării riscurilor

Sesiunea 3: O listă de verificare a tuturor riscurilor și problemelor de securitate în IoT

  • Actualizarea firmware-ului – punctul slab al IoT
  • Revizuire detaliată a securității protocoalelor de comunicare IoT – Straturi de transport (NB-IoT, 4G, 5G, LORA, Zigbee etc.) și straturi de aplicație – MQTT, Web Socket etc.
  • Vulnerabilitatea punctelor finale API - listă a tuturor posibilelor API din arhitectura IoT
  • Vulnerabilitatea dispozitivelor și serviciilor gateway
  • Vulnerabilitatea senzorilor conectați - comunicarea cu gateway-uri
  • Vulnerabilitatea comunicării gateway-server
  • Vulnerabilitatea serviciilor de baze de date cloud în IoT
  • Vulnerabilitatea straturilor de aplicație
  • Vulnerabilitatea serviciilor de management gateway – local și bazat pe cloud
  • Riscul gestionării jurnalurilor în arhitectura cu margini și fără margini

Sesiunea 4: Modelul OSASP de securitate IoT, top 10 riscuri de securitate

  • I1 Interfață Web neasigurată
  • I2 Autentificare/Autorizare insuficientă
  • I3 Servicii rețea neasigurate
  • I4 Lipsa criptării la nivel de transport
  • I5 Preocupări legate de confidențialitate
  • I6 Interfață cloud neasigurată
  • I7 Interfață mobilă neasigurată
  • I8 Configurabilitate insuficientă a securității
  • I9 Software/Firmware neasigurat
  • I10 Siguranța fizică slabă

Sesiunea 5: Revizuire și demonstrație a principiilor de securitate AWS-IoT și Azure IoT

  • Modelul de amenințare Microsoft – STRIDE

Detalii ale modelului STRIDE

  • Securitatea comunicării dispozitiv gateway și server – criptare asimetrică
  • Certificat X.509 pentru distribuția cheilor publice
  • Chei SAS
  • Riscurile și tehniciile actualizărilor OTA în masă
  • Securitatea API pentru portalurile de aplicații
  • Dezactivarea și delinkarea dispozitivelor dudulei din sistem
  • Vulnerabilitatea principiilor de securitate AWS/Azure

Sesiunea 6: Revizuire a standardelor/recomandărilor NIST în evoluție pentru IoT

Revizuirea standardului NISTIR 8228 de securitate IoT - model cu 30 de puncte de considerare a riscurilor

Integrarea și identificarea dispozitivelor terțe

  • Identificarea și urmărirea serviciilor
  • Identificarea și urmărirea hardului
  • Identificarea sesiunii de comunicare
  • Identificarea și jurnalizarea tranzacțiilor de management
  • Gestionarea și urmărirea jurnalurilor

Sesiunea 7: Securizarea firmware-ului/dispozitivului

Securizarea modului de debugging în firmware

Siguranța fizică a hardului

  • Criptografia hardului – PUF (Funcție Fizical Inclonabilă) - securizarea EPROM
  • Public PUF, PPUF
  • Nano PUF
  • Clasificarea cunoscută a malwares în firmware (18 familii conform regulii YARA)
  • Studiu al unor malware-uri populare de firmware - MIRAI, BrickerBot, GoScanSSH, Hydra etc.

Sesiunea 8: Studii de caz ale atacurilor IoT

  • Pe data de 21 octombrie 2016, a fost pus în scenă un mare atac DDoS împotriva serverelor DNS Dyn, care a închis multe servicii web, inclusiv Twitter. Hackerii au exploata parolele și numele de utilizator implicite ale camerelor web și alte dispozitive IoT, instalând botnet-ul Mirai pe dispozitive compromise. Acest atac va fi studiat în detaliu.
  • Camerele IP pot fi hackuite prin atacuri de depășire a buffer-ului
  • Bulburile Philips Hue au fost hackuite prin protocollul ZigBee
  • Atacurile cu injecție SQL au fost eficiente împotriva dispozitivelor IoT Belkin
  • Atacurile cross-site scripting (XSS) care au exploata aplicația Belkin WeMo și accesarea datelor și resurselor pe care aceasta le poate accesa

Sesiunea 9: Securizarea IoT distribuit prin ledger distribuit – BlockChain și DAG (IOTA) [3 ore]

Tehnologia ledger distribuit – DAG Ledger, Hyper Ledger, BlockChain

PoW, PoS, Tangle – o comparație a metodelor de consens

  • Diferențe între Blockchain, DAG și Hyperledger – o comparație a modului de funcționare vs performanță vs descentralizare
  • Performanța reală, offline a diferitelor sisteme DLT
  • Rețele P2P, chei private și publice – concepte de bază
  • Cum se implementează sistemul ledger în practică – revizuirea unor arhitecturi de cercetare
  • IOTA și Tangle – DLT pentru IoT
  • Exemple practice de aplicații din orașele inteligente, mașinile inteligente, masinile inteligente

Sesiunea 10: Arhitectura cu practici cele mai bune pentru securitatea IoT

  • Urmarirea și identificarea tuturor serviciilor în gateway-uri
  • Nu folosiți adresa MAC – folosiți ID-ul pachetului
  • Folosiți ierarhia de identificare pentru dispozitive – ID plăcă, ID dispozitiv și ID pachet
  • Structura actualizarea firmware-ului la perimetru și conform ID-ului serviciului
  • PUF pentru EPROM
  • Securizați riscurile portalurilor/aplicațiilor de management IoT prin două straturi de autentificare
  • Securizați toate API-urile – definiți testarea și gestionarea API-urilor
  • Identificați și integrați aceeași principiu de securitate în lanțul logistic de aprovizionare
  • Minimizați vulnerabilitatea actualizărilor protocoalelor de comunicare IoT

Sesiunea 11: Redactarea politicii de securitate IoT pentru organizația dumneavoastră

  • Definiți lexiconul securității IoT / tensiunilor
  • Sugerați cele mai bune practici pentru autentificare, identificare și autorizare
  • Identificați și clasificați activele critice
  • Identificați perimetrele și izolarea pentru aplicații
  • Politică pentru securizarea activelor critice, a informațiilor critice și a datelor private

Cerințe

  • Cunoștințe de bază despre dispozitive, sisteme electronice și sisteme de date
  • Înțelegerea de bază a softului și a sistemelor
  • Cunoștințe de bază în statistica (la nivel Excel)
  • Înțelegerea verticalei de telecomunicații

Rezumat

  • Un program avansat de instruire care acoperă starea actuală a securității Internetului cu lucruri (IoT)
  • Acoperirea tuturor aspectelor de securitate ale firmware-ului, middleware-ului și protocoalelor de comunicare IoT
  • Cursul oferă o vizualizare 360 grade a tuturor inițiativelor de securitate în domeniul IoT pentru cei care nu sunt profund familiarizați cu standardele, evoluția și viitorul IoT
  • Analiză mai profundă a vulnerabilităților de securitate ale firmware-ului, protocoalelor de comunicare wireless, comunicării dispozitiv-nestruagă.
  • Trecerea pe mai multe domenii tehnologice pentru dezvoltarea conștientizării securității în sistemele IoT și componente
  • Demonstrațiile live ale unor aspecte de securitate ale gateway-urilor, senzorilor și aplicațiilor cloud IoT
  • Cursul explică și 30 principalele considerații de risc ale standardelor NIST actuale și propuse pentru securitatea IoT
  • Modelul OSWAP pentru securitatea IoT
  • Oferește ghiduri detaliate pentru redactarea standardelor de securitate IoT într-o organizație

Public țintă 

Ingineri/manageri/experți în securitate care sunt asigurați să dezvolte proiecte IoT sau audite/revizuiește riscurile de securitate.

 21 ore

Numărul de participanți


Prețul pe participant

Mărturii (1)

Cursuri viitoare

Categorii înrudite