План на курса

Сесия 1 & 2: Основни и продължени концепции за архитектурата на IoT от гледна точка на сигурност

  • Кратка история на развитието на технологии за IoT
  • Модели на данни в системите IoT – дефиниция и архитектура на датчици, актьуатори, устройства, врати за достъп и протоколи за комуникация
  • Устройства от трети страни и рисковете свързани с ланците на достава от производители
  • Технологичен екосистем – постачалци на устройства, врати за достъп, анализа, платформи и системи за интеграция – рисковете свързани с всички постачалци
  • Разпределен IoT на края vs централизиран IoT в облака: Преимущества и оценка на рисковете
  • Управлението на системите IoT – управление на флот, активи, свързване/разсвързване на датчици, цифрови двойници. Рисковете в слоята за управление
  • Демонстрация на системи за управление на IoT – AWS, Microsoft Azure и други флот менеджери
  • Въведение в популярни протоколи за комуникация в IoT – Zigbee/NB-IoT/5G/LORA/Witespec – преглед на уязвимостите в слоевете на комуникационните протоколи
  • Разбиране на целия технологичен стек на IoT с обзор на управлението на рисковете

Сесия 3: Чек-лист на всички рискове и сигурносни въпроси в IoT

  • Актуализация на твърдото програмно обезпечаване – уязвимостта на IoT
  • Детайлна преглед на сигурността на протоколите за комуникация в IoT – транспортни слоеве (NB-IoT, 4G, 5G, LORA, Zigbee и др.) и приложни слоеве – MQTT, Web Socket и др.
  • Уязвимост на API краищата – списък с всички възможни API в архитектурата на IoT
  • Уязвимост на устройства и услуги за врати за достъп
  • Уязвимост на свързани датчици – комуникация с вратите за достъп
  • Уязвимост на комуникацията между вратата за достъп и сървера
  • Уязвимост на услуги за облачни бази данни в IoT
  • Уязвимост на приложените слоеве
  • Уязвимост на услугата за управление на вратите за достъп – локална и облачна
  • Риск от управлението на логовете в архитектурата с краен и безкраен устройство

Сесия 4: Модел OSASP за сигурността в IoT, топ 10 рискове

  • I1 Небезопасен уеб интерфейс
  • I2 Недостатъчен аутентикация/ауторизация
  • I3 Небезопасни мрежови услуги
  • I4 Липса на криптиране при преноса
  • I5 Проблеми със поверителността
  • I6 Небезопасен облачен интерфейс
  • I7 Небезопасен мобилен интерфейс
  • I8 Недостатъчна конфигурация на сигурността
  • I9 Небезопасно софтуер/твърдо програмно обезпечаване
  • I10 Слаба физическа сигурност

Сесия 5: Преглед и демонстрация на принципите за сигурност в AWS-IoT и Azure IoT

  • Модел за угрози на Microsoft – STRIDE

Детайли за модела STRIDE

  • Сигурност при комуникацията между устройства, врати за достъп и сървери – асиметрично криптиране
  • Сертификати X.509 за разпространение на публичен ключ
  • SAS Keys
  • Рискове и техники при масовата актуализация OTA
  • Сигурност на API за приложения портали
  • Деактивиране и изваждане от системата на злонамерени устройства
  • Уязвимостите на принципите за сигурност в AWS/Azure

Сесия 6: Преглед на развиващите се стандарти/рекомендации на NIST за IoT

Преглед на стандарт NISTIR 8228 за сигурността в IoT – модел с 30 рискови аспекта

Интеграция и идентифициране на устройства от трети страни

  • Идентификация и проследяване на услуги
  • Идентификация и проследяване на хардуер
  • Идентификация на комуникационни сесии
  • Идентифициране и записване на транзакции за управление
  • Управление на логовете и проследяване

Сесия 7: Осигуряваане на твърдото програмно обезпечаване/устройство

Осигуряване на режима за отстраняване на грешки в твърдото програмно обезпечаване

Физическа сигурност на хардуера

  • Хардуерна крипто – PUF (Физически неуникален функция) – осигуряване на EPROM
  • Публичен PUF, PPUF
  • Нано PUF
  • Забележани класификации на злонамерен софтуер в твърдото програмно обезпечаване (18 семейства според правила YARA)
  • Изучаване на някои популярни видове злонамерен софтуер в твърдото програмно обезпечаване – MIRAI, BrickerBot, GoScanSSH, Hydra и др.

Сесия 8: Кейс стоуди на атаки в IoT

  • 21 октомври 2016 г. – голяма DDoS атака беше разгорена срещу сървърите на Dyn DNS и спря многобройни уеб услуги, включително Twitter. Хакерите използваха стандартни пароли и потребителски имена за webcams и други IoT устройства, като инсталираха ботнет Mirai на компрометираните IoT устройства. Тази атака ще се проучи детайлно.
  • IP камери могат да бъдат хакнати чрез атаки с преизползване на буфер
  • Philips Hue диялбовете бяха хакнати чрез протокола ZigBee
  • Атаки с SQL инјекция бяха ефективни срещу устройства за IoT от Belkin
  • Крос-сайт скриптиращ (XSS) атаки, които използваха приложението на Belkin WeMo и достъпваха данни и ресурси, към които има достъп приложението

Сесия 9: Осигуряване на разпределен IoT с помощта на дистрибуирани реестрове – Блокчейн и DAG (IOTA) [3 часа]

Дистрибуиран реестър – DAG реестър, Hyper Ledger, BlockChain

PoW, PoS, Tangle – сравнение на методите за консенсус

  • Разлики между Blockchain, DAG и Hyperledger – сравнение на работата, производителността и децентрализацията
  • Реално време и офлайн производителност на различните DLT системи
  • P2P мрежа, публичен и приватен ключ – основни концепции
  • Практическо приложение на реестърната система – обзор на някои архитектури от изследвания
  • IOTA и Tangle – DLT за IoT
  • Някои практически примери от умни градове, умни машини, умни коли

Сесия 10: Лучшата практика за архитектура на сигурността в IoT

  • Проследяване и идентифициране на всички услуги в вратите за достъп
  • Никога не използвайте MAC адрес – използвайте вместо това ID на пакет
  • Използване на иерархия за идентификация на устройства – ID на плътка, ID на устройство и ID на пакет
  • Структуриране на актуализацията на твърдото програмно обезпечаване до периметъра и съответствие със службите ID
  • PUF за EPROM
  • Осигуряване на рисковете в порталите/приложенията за управление на IoT с двойно аутентичиране
  • Сигурност на всички API – дефиниция и управление на API
  • Идентификация и интеграция на същите принципи за сигурност в логистическия ланц
  • Минимизиране на уязвимостта при актуализацията на протоколите за комуникация в IoT

Сесия 11: Формулиране на политика за сигурността в IoT за организацията ви

  • Дефиниция на лексикона за сигурността в IoT / напреженията
  • Предложени най-добрите практики за аутентикация, идентификация и ауторизация
  • Идентификация и ранжиране на критични активи
  • Идентифициране на периметри и изолация за приложения
  • Политика за осигуряване на критични активи, информация и поверителни данни

Изисквания

  • Основни познания за устройства, електронни системи и данъчни системи
  • Основно разбиране на софтуер и системи
  • Основно разбиране за статистика (на ниво Excel)
  • Разбиране на телекомуникационни вертикални системи

Резюме

  • Представяне на актуалното състояние на изкуствената сигурност в Интернета на нещата (IoT)
  • Разглеждане на всички аспекти на сигурността на твърдото програмно обезпечаване, посредническите слоеве и протоколи за комуникация в IoT
  • Курсът предоставя 360-градусна гледна точка на всички видове сигурностни инициативи в областта на IoT за тези, които не са дълбоко запознати с стандарти, еволюция и бъдещето на IoT
  • Подробно разглеждане на сигурностните уязвимости в твърдото програмно обезпечаване, протоколи за безжична комуникация и комуникация от устройство до облак
  • Пресичане на различни технологични области за развитие на осведоменост за сигурността в системите IoT и техните компоненти
  • Живо демонстриране на някои аспекти на сигурността на вратите за достъп, датчиците и облака с IoT приложения
  • Курсът разглежда 30 основни рискогенни аспекти на настоящите и предложени стандарти на NIST за сигурността в IoT
  • Модел OWASP за сигурността в IoT
  • Предоставя подробни указания за формулиране на стандарти за сигурността в IoT за организация

Целева аудитория 

Инженери/управители/сигурносни експерти, които са назначени да разработват проекти на IoT или да провеждат аудит/ревизия на сигурносните рискове.

 21 часа

Брой участници


Цена за участник

Отзиви от потребители (1)

Предстоящи Курсове

Свързани Kатегории