Temario del curso
- Modelo de amenazas del BMC
- Superficie de ataque de los BMC de servidores
- Vulnerabilidades comunes en firmware BMC heredado
- Descripción general de la arquitectura de seguridad de OpenBMC
- Requisitos de cumplimiento (NIST, PCI-DSS)
Arranque seguro
- Cadena de arranque verificada por U-Boot
- Firmado de imágenes con RSA y ECDSA
- Jerarquía de claves y revocación
- Fundamentos de medición y atestación
Seguridad en la actualización del firmware
- Flujo de verificación de firma de imágenes
- Protección contra retrocesos y políticas de versión
- Estrategias de actualización con doble banco
- Actualización de código mediante Redfish e IPMI
Gestión de certificados
- Arquitectura del administrador de certificados Phosphor
- Instalación y reemplazo de certificados HTTPS
- Tiendas de confianza de Autoridades de Certificación (CA)
- LDAPS y autenticación con certificados de cliente
Autenticación y autorización
- Gestión local de usuarios y políticas de contraseña
- Integración con LDAP y Active Directory
- Configuración de la pila PAM
- RBAC de Redfish y mapeo de privilegios
Seguridad de red
- Reglas de firewall y nftables
- Configuración de TLS 1.3 en bmcweb
- Hardenización de SSH y autenticación basada en claves
- Segmentación de red para interfaces BMC
Auditoría y respuesta
- Configuración de syslog remoto
- Registro de eventos de seguridad
- Gestión del SEL y la pista de auditoría
- Respuesta a incidentes para BMC comprometidos
Pruebas de seguridad
- Análisis estático con CodeQL y Bandit
- Fuzzing de interfaces D-Bus
- Pruebas de penetración en APIs REST y Redfish
- Seguimiento de CVE y gestión de parches
Requerimientos
- Comprensión de los fundamentos de PKI y TLS
- Conceptos básicos de seguridad de Linux
- Familiaridad con mecanismos de actualización de firmware embebido
Audiencia
- Ingenieros de seguridad
- Desarrolladores de firmware
- Administradores de sistemas que gestionan infraestructura BMC
Reseñas (4)
El formador fue útil.
Attila - Lifial
Curso - Compliance and the Management of Compliance Risk
Traducción Automática
La configuración del informe y las reglas.
Jack - CFNOC- DND
Curso - Micro Focus ArcSight ESM Advanced
Traducción Automática
Entendí el proceso del sistema operativo y cómo enlazar todos los factores, incluyendo la información de la red. Ahora tengo una imagen clara y completa de lo que ocurre en estos computadores y cómo se comunican entre sí. Finalmente, adquirí conocimientos sobre el sistema operativo más importante, que es Linux, y cómo implementar nuestro propio Linux embebido.
Rawda Alnaqbi - beamtrail
Curso - Introduction to Embedded Linux (Hands-on training)
Traducción Automática
Velocidad de respuesta y comunicación
Bader Bin rubayan - Lean Business Services
Curso - ISO/IEC 27001 Lead Implementer
Traducción Automática