Schița de curs
Sesiunea 1 & 2: Concepte de bază și avansate ale arhitecturii IoT din perspectivă de securitate
- O scurtă istorie a evoluției tehnologiilor IoT
- Modele de date în sistemul IoT – definiția și arhitectura senzorilor, actuatorilor, dispozitivelor, gateway-urilor, protocoalelor de comunicare
- Dispozitive terțe și riscuri asociate cu lanțul de aprovizionare al producătorilor
- Ecosistemul tehnologic – furnizori de dispozitive, gateway-uri, analitica, platforme, integratori de sisteme - riscuri asociate cu toți furnizorii
- IoT distribuit pe margine vs. IoT centralizat pe cloud: avantaje vs. evaluarea riscurilor
- Straturi de management în sistemul IoT – gestionarea flotelor, gestionarea activelor, onboardare/deboardare a senzorilor, Digital Twins. Riscul autorizărilor în straturile de management
- Demonstrație a sistemelor de management IoT – AWS, Microsoft Azure și alte gestionare de flote
- Introducere la protocoalele de comunicare IoT populare – Zigbee/NB-IoT/5G/LORA/Witespec – revizuire a vulnerabilităților în straturile de protocol de comunicare
- Înțelegerea întregului stivă tehnologic al IoT cu o revizuire a gestionării riscurilor
Sesiunea 3: O listă de verificare a tuturor riscurilor și problemelor de securitate în IoT
- Actualizarea firmware-ului – punctul slab al IoT
- Revizuire detaliată a securității protocoalelor de comunicare IoT – Straturi de transport (NB-IoT, 4G, 5G, LORA, Zigbee etc.) și straturi de aplicație – MQTT, Web Socket etc.
- Vulnerabilitatea punctelor finale API - listă a tuturor posibilelor API din arhitectura IoT
- Vulnerabilitatea dispozitivelor și serviciilor gateway
- Vulnerabilitatea senzorilor conectați - comunicarea cu gateway-uri
- Vulnerabilitatea comunicării gateway-server
- Vulnerabilitatea serviciilor de baze de date cloud în IoT
- Vulnerabilitatea straturilor de aplicație
- Vulnerabilitatea serviciilor de management gateway – local și bazat pe cloud
- Riscul gestionării jurnalurilor în arhitectura cu margini și fără margini
Sesiunea 4: Modelul OSASP de securitate IoT, top 10 riscuri de securitate
- I1 Interfață Web neasigurată
- I2 Autentificare/Autorizare insuficientă
- I3 Servicii rețea neasigurate
- I4 Lipsa criptării la nivel de transport
- I5 Preocupări legate de confidențialitate
- I6 Interfață cloud neasigurată
- I7 Interfață mobilă neasigurată
- I8 Configurabilitate insuficientă a securității
- I9 Software/Firmware neasigurat
- I10 Siguranța fizică slabă
Sesiunea 5: Revizuire și demonstrație a principiilor de securitate AWS-IoT și Azure IoT
- Modelul de amenințare Microsoft – STRIDE
Detalii ale modelului STRIDE
- Securitatea comunicării dispozitiv gateway și server – criptare asimetrică
- Certificat X.509 pentru distribuția cheilor publice
- Chei SAS
- Riscurile și tehniciile actualizărilor OTA în masă
- Securitatea API pentru portalurile de aplicații
- Dezactivarea și delinkarea dispozitivelor dudulei din sistem
- Vulnerabilitatea principiilor de securitate AWS/Azure
Sesiunea 6: Revizuire a standardelor/recomandărilor NIST în evoluție pentru IoT
Revizuirea standardului NISTIR 8228 de securitate IoT - model cu 30 de puncte de considerare a riscurilor
Integrarea și identificarea dispozitivelor terțe
- Identificarea și urmărirea serviciilor
- Identificarea și urmărirea hardului
- Identificarea sesiunii de comunicare
- Identificarea și jurnalizarea tranzacțiilor de management
- Gestionarea și urmărirea jurnalurilor
Sesiunea 7: Securizarea firmware-ului/dispozitivului
Securizarea modului de debugging în firmware
Siguranța fizică a hardului
- Criptografia hardului – PUF (Funcție Fizical Inclonabilă) - securizarea EPROM
- Public PUF, PPUF
- Nano PUF
- Clasificarea cunoscută a malwares în firmware (18 familii conform regulii YARA)
- Studiu al unor malware-uri populare de firmware - MIRAI, BrickerBot, GoScanSSH, Hydra etc.
Sesiunea 8: Studii de caz ale atacurilor IoT
- Pe data de 21 octombrie 2016, a fost pus în scenă un mare atac DDoS împotriva serverelor DNS Dyn, care a închis multe servicii web, inclusiv Twitter. Hackerii au exploata parolele și numele de utilizator implicite ale camerelor web și alte dispozitive IoT, instalând botnet-ul Mirai pe dispozitive compromise. Acest atac va fi studiat în detaliu.
- Camerele IP pot fi hackuite prin atacuri de depășire a buffer-ului
- Bulburile Philips Hue au fost hackuite prin protocollul ZigBee
- Atacurile cu injecție SQL au fost eficiente împotriva dispozitivelor IoT Belkin
- Atacurile cross-site scripting (XSS) care au exploata aplicația Belkin WeMo și accesarea datelor și resurselor pe care aceasta le poate accesa
Sesiunea 9: Securizarea IoT distribuit prin ledger distribuit – BlockChain și DAG (IOTA) [3 ore]
Tehnologia ledger distribuit – DAG Ledger, Hyper Ledger, BlockChain
PoW, PoS, Tangle – o comparație a metodelor de consens
- Diferențe între Blockchain, DAG și Hyperledger – o comparație a modului de funcționare vs performanță vs descentralizare
- Performanța reală, offline a diferitelor sisteme DLT
- Rețele P2P, chei private și publice – concepte de bază
- Cum se implementează sistemul ledger în practică – revizuirea unor arhitecturi de cercetare
- IOTA și Tangle – DLT pentru IoT
- Exemple practice de aplicații din orașele inteligente, mașinile inteligente, masinile inteligente
Sesiunea 10: Arhitectura cu practici cele mai bune pentru securitatea IoT
- Urmarirea și identificarea tuturor serviciilor în gateway-uri
- Nu folosiți adresa MAC – folosiți ID-ul pachetului
- Folosiți ierarhia de identificare pentru dispozitive – ID plăcă, ID dispozitiv și ID pachet
- Structura actualizarea firmware-ului la perimetru și conform ID-ului serviciului
- PUF pentru EPROM
- Securizați riscurile portalurilor/aplicațiilor de management IoT prin două straturi de autentificare
- Securizați toate API-urile – definiți testarea și gestionarea API-urilor
- Identificați și integrați aceeași principiu de securitate în lanțul logistic de aprovizionare
- Minimizați vulnerabilitatea actualizărilor protocoalelor de comunicare IoT
Sesiunea 11: Redactarea politicii de securitate IoT pentru organizația dumneavoastră
- Definiți lexiconul securității IoT / tensiunilor
- Sugerați cele mai bune practici pentru autentificare, identificare și autorizare
- Identificați și clasificați activele critice
- Identificați perimetrele și izolarea pentru aplicații
- Politică pentru securizarea activelor critice, a informațiilor critice și a datelor private
Cerințe
- Cunoștințe de bază despre dispozitive, sisteme electronice și sisteme de date
- Înțelegerea de bază a softului și a sistemelor
- Cunoștințe de bază în statistica (la nivel Excel)
- Înțelegerea verticalei de telecomunicații
Rezumat
- Un program avansat de instruire care acoperă starea actuală a securității Internetului cu lucruri (IoT)
- Acoperirea tuturor aspectelor de securitate ale firmware-ului, middleware-ului și protocoalelor de comunicare IoT
- Cursul oferă o vizualizare 360 grade a tuturor inițiativelor de securitate în domeniul IoT pentru cei care nu sunt profund familiarizați cu standardele, evoluția și viitorul IoT
- Analiză mai profundă a vulnerabilităților de securitate ale firmware-ului, protocoalelor de comunicare wireless, comunicării dispozitiv-nestruagă.
- Trecerea pe mai multe domenii tehnologice pentru dezvoltarea conștientizării securității în sistemele IoT și componente
- Demonstrațiile live ale unor aspecte de securitate ale gateway-urilor, senzorilor și aplicațiilor cloud IoT
- Cursul explică și 30 principalele considerații de risc ale standardelor NIST actuale și propuse pentru securitatea IoT
- Modelul OSWAP pentru securitatea IoT
- Oferește ghiduri detaliate pentru redactarea standardelor de securitate IoT într-o organizație
Public țintă
Ingineri/manageri/experți în securitate care sunt asigurați să dezvolte proiecte IoT sau audite/revizuiește riscurile de securitate.
Mărturii (1)
Cât de prietenos a fost instrctorul. Flexibilitatea și răspunsurile la întrebările mele.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Curs - IoT Security
Tradus de catre o masina