Struttura del corso

Sessione 1 & 2: Concetti di base e avanzati dell'architettura IoT dalla prospettiva della sicurezza

  • Breve storia dell'evoluzione delle tecnologie IoT
  • Modelli di dati nei sistemi IoT – definizione e architettura di sensori, attuatori, dispositivi, gateway, protocolli di comunicazione
  • Dispositivi di terze parti e rischi associati alla catena di fornitura dei venditori
  • Ecosistema tecnologico – fornitori di dispositivi, gateway, analitica, piattaforme, integratori di sistemi - rischi associati a tutti i fornitori
  • IoT distribuita edge contro IoT centralizzata cloud: vantaggi vs valutazione dei rischi
  • Strati di gestione nel sistema IoT – gestione flotta, gestione asset, onboarding/deboarding sensori, gemelli digitali. Rischi di autorizzazione nei livelli di gestione
  • Demo dei sistemi di gestione IoT AWS, Microsoft Azure e altri manager di flotte
  • Introduzione ai protocolli di comunicazione IoT più popolari – Zigbee/NB-IoT/5G/LORA/Witespec – revisione delle vulnerabilità nei livelli dei protocolli di comunicazione
  • Comprensione dell'intera stack tecnologica IoT con una revisione della gestione del rischio

Sessione 3: Checklist di tutti i rischi e le questioni di sicurezza nell'IoT

  • Aggiornamento del firmware – il punto debole dell'IoT
  • Revisione dettagliata della sicurezza dei protocolli di comunicazione IoT – livelli di trasporto (NB-IoT, 4G, 5G, LORA, Zigbee ecc.) e livelli applicativi – MQTT, WebSocket ecc.
  • Vulnerabilità degli endpoint API - elenco di tutte le possibili API nell'architettura IoT
  • Vulnerabilità dei dispositivi e servizi gateway
  • Vulnerabilità dei sensori connessi – comunicazione gateway
  • Vulnerabilità della comunicazione gateway-server
  • Vulnerabilità dei servizi di database cloud nell'IoT
  • Vulnerabilità dei livelli applicativi
  • Vulnerabilità del servizio di gestione gateway – locale e basato su cloud
  • Rischi della gestione dei log in architetture edge e non-edge

Sessione 4: Modello OWASP di sicurezza IoT, top 10 rischi di sicurezza

  • I1 Interfaccia web non sicura
  • I2 Autenticazione/autorizzazione insufficiente
  • I3 Servizi di rete non sicuri
  • I4 Mancanza di crittografia del trasporto
  • I5 Preoccupazioni sulla privacy
  • I6 Interfaccia cloud non sicura
  • I7 Interfaccia mobile non sicura
  • I8 Configurabilità della sicurezza insufficiente
  • I9 Software/firmware non sicuro
  • I10 Sicurezza fisica inadeguata

Sessione 5: Revisione e demo dei principi di sicurezza AWS-IoT e Azure IoT

  • Modello delle minacce Microsoft – STRIDE

Dettagli del modello STRIDE

  • Sicurezza della comunicazione dispositivo, gateway e server – crittografia asimmetrica
  • Certificazione X.509 per la distribuzione delle chiavi pubbliche
  • Chiavi SAS
  • Rischi e tecniche di aggiornamento OTA bulk
  • Sicurezza API per i portali applicativi
  • Disattivazione e rimozione dei dispositivi maliziosi dal sistema
  • Vulnerabilità dei principi di sicurezza AWS/Azure

Sessione 6: Revisione delle norme NIST in evoluzione per l'IoT

Revisione della norma NISTIR 8228 per la sicurezza dell'IoT – modello di considerazione del rischio a 30 punti

Integrazione e identificazione dei dispositivi di terze parti

  • Identificazione e tracciamento dei servizi
  • Identificazione e tracciamento hardware
  • Identificazione della sessione di comunicazione
  • Identificazione e registrazione delle transazioni di gestione
  • Gestione e tracciamento dei log

Sessione 7: Sicurezza del firmware/dispositivo

Sicurezza della modalità di debug in un firmware

Sicurezza fisica dell'hardware

  • Crittografia hardware – PUF (Funzione Fisicamente Non Riproducibile) – protezione EPROM
  • PUF pubblico, PPUF
  • Nano PUF
  • Classificazione nota dei malware in firmware (18 famiglie secondo la regola YARA)
  • Studio di alcuni malware popolari nel firmware – MIRAI, BrickerBot, GoScanSSH, Hydra ecc.

Sessione 8: Studi di caso degli attacchi IoT

  • Il 21 ottobre 2016, un grande attacco DDoS è stato lanciato contro i server DNS Dyn, causando il blocco di molti servizi web, inclusi Twitter. I hacker hanno sfruttato le password e gli username predefiniti delle webcam e altri dispositivi IoT, installando il botnet Mirai sui dispositivi compromessi. Questo attacco sarà studiato in dettaglio
  • Le telecamere IP possono essere hackerate tramite attacchi di overflow del buffer
  • Le lampadine Philips Hue sono state hackerate attraverso il protocollo ZigBee
  • Gli attacchi SQL injection sono stati efficaci contro i dispositivi IoT Belkin
  • Attacchi cross-site scripting (XSS) che hanno sfruttato l'app Belkin WeMo per accedere ai dati e alle risorse che l'app può utilizzare

Sessione 9: Sicurezza dell'IoT distribuita tramite ledger distribuito – BlockChain e DAG (IOTA) [3 ore]

Tecnologia ledger distribuito – DAG Ledger, Hyper Ledger, BlockChain

PoW, PoS, Tangle – un confronto dei metodi di consenso

  • Differenze tra Blockchain, DAG e Hyperledger – un confronto sul funzionamento vs performance vs decentralizzazione
  • Prestazioni in tempo reale e offline dei diversi sistemi DLT
  • Rete P2P, chiavi private e pubbliche – concetti di base
  • Come viene implementato il sistema ledger in pratica – revisione di alcune architetture di ricerca
  • IOTA e Tangle – DLT per l'IoT
  • Alcuni esempi pratici da città intelligenti, macchine intelligenti, automobili intelligenti

Sessione 10: L'architettura di migliori pratiche per la sicurezza dell'IoT

  • Identificazione e tracciamento di tutti i servizi nei gateway
  • Non usare l'indirizzo MAC – usare l'ID del pacchetto invece
  • Usare un'identificazione gerarchica per i dispositivi – ID board, ID dispositivo e ID pacchetto
  • Strutturare l'aggiornamento del firmware ai confini e conformandosi all'ID del servizio
  • PUF per EPROM
  • Sicurezza dei rischi dei portali/applicazioni di gestione IoT con due livelli di autenticazione
  • Sicurizzare tutte le API – definire test e gestione delle API
  • Identificazione e integrazione dello stesso principio di sicurezza nella catena logistica di fornitura
  • Minimizzare la vulnerabilità degli aggiornamenti dei protocolli di comunicazione IoT

Sessione 11: Stesura della politica di sicurezza dell'IoT per l'organizzazione

  • Definire il lessico della sicurezza IoT / Tensioni
  • Suggerire le migliori pratiche per autenticazione, identificazione e autorizzazione
  • Identificazione e classificazione degli asset critici
  • Identificazione dei confini e isolamento delle applicazioni
  • Politica per la protezione degli asset critici, informazioni critiche e dati privati

Requisiti

  • Conoscenze di base sui dispositivi, sistemi elettronici e sistemi di dati
  • Comprensione di base dei software e dei sistemi
  • Conoscenza di base di Statistica (livello Excel)
  • Comprensione delle verticali delle telecomunicazioni

Riepilogo

  • Un programma di formazione avanzato che copre lo stato dell'arte della sicurezza nell'IoT
  • Copre tutti gli aspetti della sicurezza del firmware, middleware e protocolli di comunicazione IoT
  • Il corso fornisce una visione 360 gradi di tutte le iniziative di sicurezza nel dominio dell'IoT per coloro che non sono profondamente familiari con gli standard, l'evoluzione e il futuro dell'IoT
  • Indagine approfondita sulle vulnerabilità del firmware, protocolli di comunicazione wireless e comunicazione dispositivo-cloud.
  • Analisi attraverso diversi domini tecnologici per sviluppare consapevolezza della sicurezza nei sistemi IoT e nelle sue componenti
  • Demo live di alcuni aspetti di sicurezza dei gateway, sensori e applicazioni cloud IoT
  • Il corso spiega anche 30 considerazioni a rischio principali delle attuali e proposte norme NIST per la sicurezza dell'IoT
  • Modello OWASP per la sicurezza dell'IoT
  • Fornisce linee guida dettagliate per la stesura di standard di sicurezza IoT per un'organizzazione

Pubblico di Riferimento

Ingegneri/gestori/esperti di sicurezza incaricati di sviluppare progetti IoT o revisionare/esaminare rischi di sicurezza.

 21 Ore

Numero di Partecipanti


Prezzo per Partecipante

Recensioni (1)

Corsi in Arrivo

Categorie relative