План на курса
Сесия 1 & 2: Основни и продължени концепции за архитектурата на IoT от гледна точка на сигурност
- Кратка история на развитието на технологии за IoT
- Модели на данни в системите IoT – дефиниция и архитектура на датчици, актьуатори, устройства, врати за достъп и протоколи за комуникация
- Устройства от трети страни и рисковете свързани с ланците на достава от производители
- Технологичен екосистем – постачалци на устройства, врати за достъп, анализа, платформи и системи за интеграция – рисковете свързани с всички постачалци
- Разпределен IoT на края vs централизиран IoT в облака: Преимущества и оценка на рисковете
- Управлението на системите IoT – управление на флот, активи, свързване/разсвързване на датчици, цифрови двойници. Рисковете в слоята за управление
- Демонстрация на системи за управление на IoT – AWS, Microsoft Azure и други флот менеджери
- Въведение в популярни протоколи за комуникация в IoT – Zigbee/NB-IoT/5G/LORA/Witespec – преглед на уязвимостите в слоевете на комуникационните протоколи
- Разбиране на целия технологичен стек на IoT с обзор на управлението на рисковете
Сесия 3: Чек-лист на всички рискове и сигурносни въпроси в IoT
- Актуализация на твърдото програмно обезпечаване – уязвимостта на IoT
- Детайлна преглед на сигурността на протоколите за комуникация в IoT – транспортни слоеве (NB-IoT, 4G, 5G, LORA, Zigbee и др.) и приложни слоеве – MQTT, Web Socket и др.
- Уязвимост на API краищата – списък с всички възможни API в архитектурата на IoT
- Уязвимост на устройства и услуги за врати за достъп
- Уязвимост на свързани датчици – комуникация с вратите за достъп
- Уязвимост на комуникацията между вратата за достъп и сървера
- Уязвимост на услуги за облачни бази данни в IoT
- Уязвимост на приложените слоеве
- Уязвимост на услугата за управление на вратите за достъп – локална и облачна
- Риск от управлението на логовете в архитектурата с краен и безкраен устройство
Сесия 4: Модел OSASP за сигурността в IoT, топ 10 рискове
- I1 Небезопасен уеб интерфейс
- I2 Недостатъчен аутентикация/ауторизация
- I3 Небезопасни мрежови услуги
- I4 Липса на криптиране при преноса
- I5 Проблеми със поверителността
- I6 Небезопасен облачен интерфейс
- I7 Небезопасен мобилен интерфейс
- I8 Недостатъчна конфигурация на сигурността
- I9 Небезопасно софтуер/твърдо програмно обезпечаване
- I10 Слаба физическа сигурност
Сесия 5: Преглед и демонстрация на принципите за сигурност в AWS-IoT и Azure IoT
- Модел за угрози на Microsoft – STRIDE
Детайли за модела STRIDE
- Сигурност при комуникацията между устройства, врати за достъп и сървери – асиметрично криптиране
- Сертификати X.509 за разпространение на публичен ключ
- SAS Keys
- Рискове и техники при масовата актуализация OTA
- Сигурност на API за приложения портали
- Деактивиране и изваждане от системата на злонамерени устройства
- Уязвимостите на принципите за сигурност в AWS/Azure
Сесия 6: Преглед на развиващите се стандарти/рекомендации на NIST за IoT
Преглед на стандарт NISTIR 8228 за сигурността в IoT – модел с 30 рискови аспекта
Интеграция и идентифициране на устройства от трети страни
- Идентификация и проследяване на услуги
- Идентификация и проследяване на хардуер
- Идентификация на комуникационни сесии
- Идентифициране и записване на транзакции за управление
- Управление на логовете и проследяване
Сесия 7: Осигуряваане на твърдото програмно обезпечаване/устройство
Осигуряване на режима за отстраняване на грешки в твърдото програмно обезпечаване
Физическа сигурност на хардуера
- Хардуерна крипто – PUF (Физически неуникален функция) – осигуряване на EPROM
- Публичен PUF, PPUF
- Нано PUF
- Забележани класификации на злонамерен софтуер в твърдото програмно обезпечаване (18 семейства според правила YARA)
- Изучаване на някои популярни видове злонамерен софтуер в твърдото програмно обезпечаване – MIRAI, BrickerBot, GoScanSSH, Hydra и др.
Сесия 8: Кейс стоуди на атаки в IoT
- 21 октомври 2016 г. – голяма DDoS атака беше разгорена срещу сървърите на Dyn DNS и спря многобройни уеб услуги, включително Twitter. Хакерите използваха стандартни пароли и потребителски имена за webcams и други IoT устройства, като инсталираха ботнет Mirai на компрометираните IoT устройства. Тази атака ще се проучи детайлно.
- IP камери могат да бъдат хакнати чрез атаки с преизползване на буфер
- Philips Hue диялбовете бяха хакнати чрез протокола ZigBee
- Атаки с SQL инјекция бяха ефективни срещу устройства за IoT от Belkin
- Крос-сайт скриптиращ (XSS) атаки, които използваха приложението на Belkin WeMo и достъпваха данни и ресурси, към които има достъп приложението
Сесия 9: Осигуряване на разпределен IoT с помощта на дистрибуирани реестрове – Блокчейн и DAG (IOTA) [3 часа]
Дистрибуиран реестър – DAG реестър, Hyper Ledger, BlockChain
PoW, PoS, Tangle – сравнение на методите за консенсус
- Разлики между Blockchain, DAG и Hyperledger – сравнение на работата, производителността и децентрализацията
- Реално време и офлайн производителност на различните DLT системи
- P2P мрежа, публичен и приватен ключ – основни концепции
- Практическо приложение на реестърната система – обзор на някои архитектури от изследвания
- IOTA и Tangle – DLT за IoT
- Някои практически примери от умни градове, умни машини, умни коли
Сесия 10: Лучшата практика за архитектура на сигурността в IoT
- Проследяване и идентифициране на всички услуги в вратите за достъп
- Никога не използвайте MAC адрес – използвайте вместо това ID на пакет
- Използване на иерархия за идентификация на устройства – ID на плътка, ID на устройство и ID на пакет
- Структуриране на актуализацията на твърдото програмно обезпечаване до периметъра и съответствие със службите ID
- PUF за EPROM
- Осигуряване на рисковете в порталите/приложенията за управление на IoT с двойно аутентичиране
- Сигурност на всички API – дефиниция и управление на API
- Идентификация и интеграция на същите принципи за сигурност в логистическия ланц
- Минимизиране на уязвимостта при актуализацията на протоколите за комуникация в IoT
Сесия 11: Формулиране на политика за сигурността в IoT за организацията ви
- Дефиниция на лексикона за сигурността в IoT / напреженията
- Предложени най-добрите практики за аутентикация, идентификация и ауторизация
- Идентификация и ранжиране на критични активи
- Идентифициране на периметри и изолация за приложения
- Политика за осигуряване на критични активи, информация и поверителни данни
Изисквания
- Основни познания за устройства, електронни системи и данъчни системи
- Основно разбиране на софтуер и системи
- Основно разбиране за статистика (на ниво Excel)
- Разбиране на телекомуникационни вертикални системи
Резюме
- Представяне на актуалното състояние на изкуствената сигурност в Интернета на нещата (IoT)
- Разглеждане на всички аспекти на сигурността на твърдото програмно обезпечаване, посредническите слоеве и протоколи за комуникация в IoT
- Курсът предоставя 360-градусна гледна точка на всички видове сигурностни инициативи в областта на IoT за тези, които не са дълбоко запознати с стандарти, еволюция и бъдещето на IoT
- Подробно разглеждане на сигурностните уязвимости в твърдото програмно обезпечаване, протоколи за безжична комуникация и комуникация от устройство до облак
- Пресичане на различни технологични области за развитие на осведоменост за сигурността в системите IoT и техните компоненти
- Живо демонстриране на някои аспекти на сигурността на вратите за достъп, датчиците и облака с IoT приложения
- Курсът разглежда 30 основни рискогенни аспекти на настоящите и предложени стандарти на NIST за сигурността в IoT
- Модел OWASP за сигурността в IoT
- Предоставя подробни указания за формулиране на стандарти за сигурността в IoT за организация
Целева аудитория
Инженери/управители/сигурносни експерти, които са назначени да разработват проекти на IoT или да провеждат аудит/ревизия на сигурносните рискове.
Отзиви от потребители (1)
Колко приятен беше тренингът. Гъвкавостта и отговорите на моите въпроси.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Курс - IoT Security
Машинен превод