Temario del curso
Sesión 1 y 2: Conceptos básicos y avanzados de la arquitectura de IoT desde una perspectiva de seguridad
- Breve historia de la evolución de las tecnologías de IoT.
- Modelos de datos en el sistema de IoT – definición y arquitectura de sensores, actuadores, dispositivos, pasarelas, protocolos de comunicación.
- Dispositivos de terceros y riesgos asociados con la cadena de suministro de proveedores.
- Ecosistema tecnológico – proveedores de dispositivos, pasarelas, analítica, plataformas, integradores de sistemas – riesgos asociados con todos los proveedores.
- IoT distribuida impulsada por el borde vs. IoT centralizada impulsada por la nube: ventajas frente a evaluación de riesgos.
- Capas de gestión en el sistema de IoT – gestión de flotas, gestión de activos, incorporación/desincorporación de sensores, gemelos digitales. Riesgos de autorización en las capas de gestión.
- Demostración de sistemas de gestión de IoT AWS, Microsoft Azure y otros gestores de flotas.
- Introducción a los protocolos de comunicación populares en IoT – Zigbee/NB-IoT/5G/LORA/Witespec – revisión de vulnerabilidades en capas de protocolos de comunicación.
- Comprensión de toda la pila tecnológica de IoT con una revisión de la gestión de riesgos.
Sesión 3: Lista de verificación de todos los riesgos y problemas de seguridad en IoT
- Parcheo del firmware – la parte blanda de IoT.
- Revisión detallada de la seguridad de los protocolos de comunicación de IoT – capas de transporte (NB-IoT, 4G, 5G, LORA, Zigbee, etc.) y capas de aplicación – MQTT, Web Sockets, etc.
- Vulnerabilidad de puntos finales de API – lista de todos los posibles APIs en la arquitectura de IoT.
- Vulnerabilidades de dispositivos y servicios de pasarelas.
- Vulnerabilidad de sensores conectados – comunicación con la pasarela.
- Vulnerabilidad de la comunicación entre la pasarela y el servidor.
- Vulnerabilidad de servicios de bases de datos en la nube en IoT.
- Vulnerabilidad de capas de aplicación.
- Vulnerabilidad del servicio de gestión de pasarelas – local y basado en la nube.
- Riesgos de la gestión de registros en arquitecturas con borde y sin borde.
Sesión 4: Modelo OSASP de seguridad de IoT, Top 10 riesgos de seguridad
- I1 Interfaz web insegura.
- I2 Autenticación/autorización insuficiente.
- I3 Servicios de red inseguros.
- I4 Falta de cifrado de transporte.
- I5 Preocupaciones sobre la privacidad.
- I6 Interfaz en la nube insegura.
- I7 Interfaz móvil insegura.
- I8 Configuración de seguridad insuficiente.
- I9 Software/firmware inseguro.
- I10 Seguridad física deficiente.
Sesión 5: Revisión y demostración de los principios de seguridad de AWS-IoT y Azure IoT
- Modelo de amenazas de Microsoft – STRIDE.
Detalles del modelo STRIDE.
- Seguridad de la comunicación entre dispositivos, pasarelas y servidores – cifrado asimétrico.
- Certificación X.509 para distribución de claves públicas.
- Claves SAS.
- Riesgos y técnicas de actualización masiva OTA.
- Seguridad de API para portales de aplicaciones.
- Desactivación y desvinculación de dispositivos malintencionados del sistema.
- Vulnerabilidad de los principios de seguridad de AWS/Azure.
Sesión 6: Revisión de las normas y recomendaciones en evolución de NIST para IoT
Revisión del estándar NISTIR 8228 para la seguridad de IoT – modelo de consideración de riesgos de 30 puntos.
Integración y identificación de dispositivos de terceros.
- Identificación y seguimiento de servicios.
- Identificación y seguimiento de hardware.
- Identificación de sesiones de comunicación.
- Identificación y registro de transacciones de gestión.
- Gestión y seguimiento de registros.
Sesión 7: Seguridad del firmware/dispositivo
Seguridad del modo de depuración en el firmware.
Seguridad física del hardware.
- Criptografía de hardware – PUF (Función Físicamente No Replicable) – seguridad de EPROM.
- PUF público, PPUF.
- Nano PUF.
- Clasificación conocida de malware en firmware (18 familias según la regla YARA).
- Estudio de algunos de los malware populares de firmware – MIRAI, BrickerBot, GoScanSSH, Hydra, etc.
Sesión 8: Casos de estudio de ataques a IoT
- El 21 de octubre de 2016, se desplegó un gran ataque DDoS contra los servidores DNS de Dyn y apagó muchos servicios web, incluido Twitter. Los hackers explotaron contraseñas y nombres de usuario predeterminados de cámaras web y otros dispositivos IoT, e instalaron el botnet Mirai en dispositivos IoT comprometidos. Este ataque se estudiará en detalle.
- Las cámaras IP pueden ser hackeadas a través de ataques de desbordamiento de búfer.
- Se hackearon las bombillas Philips Hue a través de su protocolo de enlace ZigBee.
- Los ataques de inyección SQL fueron efectivos contra dispositivos IoT Belkin.
- Ataques de scripting entre sitios (XSS) que explotaron la aplicación Belkin WeMo y accedieron a datos y recursos que la aplicación puede acceder.
Sesión 9: Seguridad distribuida de IoT mediante libro contable distribuido – Blockchain y DAG (IOTA) [3 horas]
Tecnología de libro contable distribuido – DAG Ledger, Hyper Ledger, Blockchain.
PoW, PoS, Tangle – una comparación de los métodos de consenso.
- Diferencia entre Blockchain, DAG y Hyperledger – una comparación de su funcionamiento vs. rendimiento vs. descentralización.
- Rendimiento en tiempo real y desconectado de los diferentes sistemas DLT.
- Red P2P, clave pública y privada – conceptos básicos.
- Cómo se implementa el sistema de libro contable en la práctica – revisión de algunas arquitecturas de investigación.
- IOTA y Tangle – DLT para IoT.
- Algunos ejemplos prácticos de aplicaciones en ciudades inteligentes, máquinas inteligentes, coches inteligentes.
Sesión 10: La arquitectura de mejores prácticas para la seguridad de IoT
- Seguimiento e identificación de todos los servicios en las pasarelas.
- Nunca usar direcciones MAC – usar ID de paquete en su lugar.
- Usar jerarquía de identificación para dispositivos – ID de placa, ID de dispositivo y ID de paquete.
- Estructurar el parcheo del firmware a los perímetros y conforme al ID de servicio.
- PUF para EPROM.
- Seguridad de los riesgos de portales/aplicaciones de gestión de IoT mediante dos capas de autenticación.
- Seguridad de todas las API – definición de pruebas y gestión de API.
- Identificación e integración del mismo principio de seguridad en la cadena de suministro logística.
- Minimizar la vulnerabilidad de parcheo de los protocolos de comunicación de IoT.
Sesión 11: Redacción de una política de seguridad de IoT para su organización
- Definir el léxico de la seguridad de IoT / tensiones.
- Sugerir las mejores prácticas para autenticación, identificación y autorización.
- Identificación y clasificación de activos críticos.
- Identificación de perímetros y aislamiento para aplicaciones.
- Política para asegurar activos críticos, información crítica y datos de privacidad.
Requerimientos
- Conocimientos básicos de dispositivos, sistemas electrónicos y sistemas de datos.
- Comprensión básica de software y sistemas.
- Conocimientos básicos de Estadísticas (nivel de Excel).
- Comprensión de los verticales de Telecomunicaciones.
Resumen
- Un programa avanzado de capacitación que cubre el estado actual del arte en seguridad de Internet de las Cosas.
- Cubre todos los aspectos de la seguridad del firmware, middleware y protocolos de comunicación de IoT.
- El curso proporciona una visión de 360 grados de todas las iniciativas de seguridad en el dominio de IoT para aquellos que no están familiarizados con los estándares, la evolución y el futuro de IoT.
- Análisis profundo de vulnerabilidades de seguridad en firmware, protocolos de comunicación inalámbrica y comunicación dispositivo-nube.
- Crúcese entre múltiples dominios tecnológicos para desarrollar una conciencia de la seguridad en los sistemas de IoT y sus componentes.
- Demostración en vivo de algunos aspectos de seguridad de pasarelas, sensores y aplicaciones de nube de IoT.
- El curso también explica 30 consideraciones principales de riesgo de los estándares actuales y propuestos de NIST para la seguridad de IoT.
- Modelo OSWAP de seguridad de IoT.
- Proporciona una guía detallada para redactar estándares de seguridad de IoT para una organización.
Público Objetivo
Ingenieros/gerentes/expertos en seguridad que están asignados a desarrollar proyectos de IoT o auditar/revisar riesgos de seguridad.
Testimonios (1)
Lo amable que fue el formador. La flexibilidad y la respuesta a mis preguntas.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Curso - IoT Security
Traducción Automática