Temario del curso

Sesión 1 y 2: Conceptos básicos y avanzados de la arquitectura de IoT desde una perspectiva de seguridad

  • Breve historia de la evolución de las tecnologías de IoT.
  • Modelos de datos en el sistema de IoT – definición y arquitectura de sensores, actuadores, dispositivos, pasarelas, protocolos de comunicación.
  • Dispositivos de terceros y riesgos asociados con la cadena de suministro de proveedores.
  • Ecosistema tecnológico – proveedores de dispositivos, pasarelas, analítica, plataformas, integradores de sistemas – riesgos asociados con todos los proveedores.
  • IoT distribuida impulsada por el borde vs. IoT centralizada impulsada por la nube: ventajas frente a evaluación de riesgos.
  • Capas de gestión en el sistema de IoT – gestión de flotas, gestión de activos, incorporación/desincorporación de sensores, gemelos digitales. Riesgos de autorización en las capas de gestión.
  • Demostración de sistemas de gestión de IoT AWS, Microsoft Azure y otros gestores de flotas.
  • Introducción a los protocolos de comunicación populares en IoT – Zigbee/NB-IoT/5G/LORA/Witespec – revisión de vulnerabilidades en capas de protocolos de comunicación.
  • Comprensión de toda la pila tecnológica de IoT con una revisión de la gestión de riesgos.

Sesión 3: Lista de verificación de todos los riesgos y problemas de seguridad en IoT

  • Parcheo del firmware – la parte blanda de IoT.
  • Revisión detallada de la seguridad de los protocolos de comunicación de IoT – capas de transporte (NB-IoT, 4G, 5G, LORA, Zigbee, etc.) y capas de aplicación – MQTT, Web Sockets, etc.
  • Vulnerabilidad de puntos finales de API – lista de todos los posibles APIs en la arquitectura de IoT.
  • Vulnerabilidades de dispositivos y servicios de pasarelas.
  • Vulnerabilidad de sensores conectados – comunicación con la pasarela.
  • Vulnerabilidad de la comunicación entre la pasarela y el servidor.
  • Vulnerabilidad de servicios de bases de datos en la nube en IoT.
  • Vulnerabilidad de capas de aplicación.
  • Vulnerabilidad del servicio de gestión de pasarelas – local y basado en la nube.
  • Riesgos de la gestión de registros en arquitecturas con borde y sin borde.

Sesión 4: Modelo OSASP de seguridad de IoT, Top 10 riesgos de seguridad

  • I1 Interfaz web insegura.
  • I2 Autenticación/autorización insuficiente.
  • I3 Servicios de red inseguros.
  • I4 Falta de cifrado de transporte.
  • I5 Preocupaciones sobre la privacidad.
  • I6 Interfaz en la nube insegura.
  • I7 Interfaz móvil insegura.
  • I8 Configuración de seguridad insuficiente.
  • I9 Software/firmware inseguro.
  • I10 Seguridad física deficiente.

Sesión 5: Revisión y demostración de los principios de seguridad de AWS-IoT y Azure IoT

  • Modelo de amenazas de Microsoft – STRIDE.

Detalles del modelo STRIDE.

  • Seguridad de la comunicación entre dispositivos, pasarelas y servidores – cifrado asimétrico.
  • Certificación X.509 para distribución de claves públicas.
  • Claves SAS.
  • Riesgos y técnicas de actualización masiva OTA.
  • Seguridad de API para portales de aplicaciones.
  • Desactivación y desvinculación de dispositivos malintencionados del sistema.
  • Vulnerabilidad de los principios de seguridad de AWS/Azure.

Sesión 6: Revisión de las normas y recomendaciones en evolución de NIST para IoT

Revisión del estándar NISTIR 8228 para la seguridad de IoT – modelo de consideración de riesgos de 30 puntos.

Integración y identificación de dispositivos de terceros.

  • Identificación y seguimiento de servicios.
  • Identificación y seguimiento de hardware.
  • Identificación de sesiones de comunicación.
  • Identificación y registro de transacciones de gestión.
  • Gestión y seguimiento de registros.

Sesión 7: Seguridad del firmware/dispositivo

Seguridad del modo de depuración en el firmware.

Seguridad física del hardware.

  • Criptografía de hardware – PUF (Función Físicamente No Replicable) – seguridad de EPROM.
  • PUF público, PPUF.
  • Nano PUF.
  • Clasificación conocida de malware en firmware (18 familias según la regla YARA).
  • Estudio de algunos de los malware populares de firmware – MIRAI, BrickerBot, GoScanSSH, Hydra, etc.

Sesión 8: Casos de estudio de ataques a IoT

  • El 21 de octubre de 2016, se desplegó un gran ataque DDoS contra los servidores DNS de Dyn y apagó muchos servicios web, incluido Twitter. Los hackers explotaron contraseñas y nombres de usuario predeterminados de cámaras web y otros dispositivos IoT, e instalaron el botnet Mirai en dispositivos IoT comprometidos. Este ataque se estudiará en detalle.
  • Las cámaras IP pueden ser hackeadas a través de ataques de desbordamiento de búfer.
  • Se hackearon las bombillas Philips Hue a través de su protocolo de enlace ZigBee.
  • Los ataques de inyección SQL fueron efectivos contra dispositivos IoT Belkin.
  • Ataques de scripting entre sitios (XSS) que explotaron la aplicación Belkin WeMo y accedieron a datos y recursos que la aplicación puede acceder.

Sesión 9: Seguridad distribuida de IoT mediante libro contable distribuido – Blockchain y DAG (IOTA) [3 horas]

Tecnología de libro contable distribuido – DAG Ledger, Hyper Ledger, Blockchain.

PoW, PoS, Tangle – una comparación de los métodos de consenso.

  • Diferencia entre Blockchain, DAG y Hyperledger – una comparación de su funcionamiento vs. rendimiento vs. descentralización.
  • Rendimiento en tiempo real y desconectado de los diferentes sistemas DLT.
  • Red P2P, clave pública y privada – conceptos básicos.
  • Cómo se implementa el sistema de libro contable en la práctica – revisión de algunas arquitecturas de investigación.
  • IOTA y Tangle – DLT para IoT.
  • Algunos ejemplos prácticos de aplicaciones en ciudades inteligentes, máquinas inteligentes, coches inteligentes.

Sesión 10: La arquitectura de mejores prácticas para la seguridad de IoT

  • Seguimiento e identificación de todos los servicios en las pasarelas.
  • Nunca usar direcciones MAC – usar ID de paquete en su lugar.
  • Usar jerarquía de identificación para dispositivos – ID de placa, ID de dispositivo y ID de paquete.
  • Estructurar el parcheo del firmware a los perímetros y conforme al ID de servicio.
  • PUF para EPROM.
  • Seguridad de los riesgos de portales/aplicaciones de gestión de IoT mediante dos capas de autenticación.
  • Seguridad de todas las API – definición de pruebas y gestión de API.
  • Identificación e integración del mismo principio de seguridad en la cadena de suministro logística.
  • Minimizar la vulnerabilidad de parcheo de los protocolos de comunicación de IoT.

Sesión 11: Redacción de una política de seguridad de IoT para su organización

  • Definir el léxico de la seguridad de IoT / tensiones.
  • Sugerir las mejores prácticas para autenticación, identificación y autorización.
  • Identificación y clasificación de activos críticos.
  • Identificación de perímetros y aislamiento para aplicaciones.
  • Política para asegurar activos críticos, información crítica y datos de privacidad.

Requerimientos

  • Conocimientos básicos de dispositivos, sistemas electrónicos y sistemas de datos.
  • Comprensión básica de software y sistemas.
  • Conocimientos básicos de Estadísticas (nivel de Excel).
  • Comprensión de los verticales de Telecomunicaciones.

Resumen

  • Un programa avanzado de capacitación que cubre el estado actual del arte en seguridad de Internet de las Cosas.
  • Cubre todos los aspectos de la seguridad del firmware, middleware y protocolos de comunicación de IoT.
  • El curso proporciona una visión de 360 grados de todas las iniciativas de seguridad en el dominio de IoT para aquellos que no están familiarizados con los estándares, la evolución y el futuro de IoT.
  • Análisis profundo de vulnerabilidades de seguridad en firmware, protocolos de comunicación inalámbrica y comunicación dispositivo-nube.
  • Crúcese entre múltiples dominios tecnológicos para desarrollar una conciencia de la seguridad en los sistemas de IoT y sus componentes.
  • Demostración en vivo de algunos aspectos de seguridad de pasarelas, sensores y aplicaciones de nube de IoT.
  • El curso también explica 30 consideraciones principales de riesgo de los estándares actuales y propuestos de NIST para la seguridad de IoT.
  • Modelo OSWAP de seguridad de IoT.
  • Proporciona una guía detallada para redactar estándares de seguridad de IoT para una organización.

Público Objetivo 

Ingenieros/gerentes/expertos en seguridad que están asignados a desarrollar proyectos de IoT o auditar/revisar riesgos de seguridad.

 21 Horas

Número de participantes


Precio por Participante​

Testimonios (1)

Próximos cursos

Categorías Relacionadas