Struttura del corso
Sessione 1 & 2: Concetti di base e avanzati dell'architettura IoT dalla prospettiva della sicurezza
- Breve storia dell'evoluzione delle tecnologie IoT
- Modelli di dati nei sistemi IoT – definizione e architettura di sensori, attuatori, dispositivi, gateway, protocolli di comunicazione
- Dispositivi di terze parti e rischi associati alla catena di fornitura dei venditori
- Ecosistema tecnologico – fornitori di dispositivi, gateway, analitica, piattaforme, integratori di sistemi - rischi associati a tutti i fornitori
- IoT distribuita edge contro IoT centralizzata cloud: vantaggi vs valutazione dei rischi
- Strati di gestione nel sistema IoT – gestione flotta, gestione asset, onboarding/deboarding sensori, gemelli digitali. Rischi di autorizzazione nei livelli di gestione
- Demo dei sistemi di gestione IoT AWS, Microsoft Azure e altri manager di flotte
- Introduzione ai protocolli di comunicazione IoT più popolari – Zigbee/NB-IoT/5G/LORA/Witespec – revisione delle vulnerabilità nei livelli dei protocolli di comunicazione
- Comprensione dell'intera stack tecnologica IoT con una revisione della gestione del rischio
Sessione 3: Checklist di tutti i rischi e le questioni di sicurezza nell'IoT
- Aggiornamento del firmware – il punto debole dell'IoT
- Revisione dettagliata della sicurezza dei protocolli di comunicazione IoT – livelli di trasporto (NB-IoT, 4G, 5G, LORA, Zigbee ecc.) e livelli applicativi – MQTT, WebSocket ecc.
- Vulnerabilità degli endpoint API - elenco di tutte le possibili API nell'architettura IoT
- Vulnerabilità dei dispositivi e servizi gateway
- Vulnerabilità dei sensori connessi – comunicazione gateway
- Vulnerabilità della comunicazione gateway-server
- Vulnerabilità dei servizi di database cloud nell'IoT
- Vulnerabilità dei livelli applicativi
- Vulnerabilità del servizio di gestione gateway – locale e basato su cloud
- Rischi della gestione dei log in architetture edge e non-edge
Sessione 4: Modello OWASP di sicurezza IoT, top 10 rischi di sicurezza
- I1 Interfaccia web non sicura
- I2 Autenticazione/autorizzazione insufficiente
- I3 Servizi di rete non sicuri
- I4 Mancanza di crittografia del trasporto
- I5 Preoccupazioni sulla privacy
- I6 Interfaccia cloud non sicura
- I7 Interfaccia mobile non sicura
- I8 Configurabilità della sicurezza insufficiente
- I9 Software/firmware non sicuro
- I10 Sicurezza fisica inadeguata
Sessione 5: Revisione e demo dei principi di sicurezza AWS-IoT e Azure IoT
- Modello delle minacce Microsoft – STRIDE
Dettagli del modello STRIDE
- Sicurezza della comunicazione dispositivo, gateway e server – crittografia asimmetrica
- Certificazione X.509 per la distribuzione delle chiavi pubbliche
- Chiavi SAS
- Rischi e tecniche di aggiornamento OTA bulk
- Sicurezza API per i portali applicativi
- Disattivazione e rimozione dei dispositivi maliziosi dal sistema
- Vulnerabilità dei principi di sicurezza AWS/Azure
Sessione 6: Revisione delle norme NIST in evoluzione per l'IoT
Revisione della norma NISTIR 8228 per la sicurezza dell'IoT – modello di considerazione del rischio a 30 punti
Integrazione e identificazione dei dispositivi di terze parti
- Identificazione e tracciamento dei servizi
- Identificazione e tracciamento hardware
- Identificazione della sessione di comunicazione
- Identificazione e registrazione delle transazioni di gestione
- Gestione e tracciamento dei log
Sessione 7: Sicurezza del firmware/dispositivo
Sicurezza della modalità di debug in un firmware
Sicurezza fisica dell'hardware
- Crittografia hardware – PUF (Funzione Fisicamente Non Riproducibile) – protezione EPROM
- PUF pubblico, PPUF
- Nano PUF
- Classificazione nota dei malware in firmware (18 famiglie secondo la regola YARA)
- Studio di alcuni malware popolari nel firmware – MIRAI, BrickerBot, GoScanSSH, Hydra ecc.
Sessione 8: Studi di caso degli attacchi IoT
- Il 21 ottobre 2016, un grande attacco DDoS è stato lanciato contro i server DNS Dyn, causando il blocco di molti servizi web, inclusi Twitter. I hacker hanno sfruttato le password e gli username predefiniti delle webcam e altri dispositivi IoT, installando il botnet Mirai sui dispositivi compromessi. Questo attacco sarà studiato in dettaglio
- Le telecamere IP possono essere hackerate tramite attacchi di overflow del buffer
- Le lampadine Philips Hue sono state hackerate attraverso il protocollo ZigBee
- Gli attacchi SQL injection sono stati efficaci contro i dispositivi IoT Belkin
- Attacchi cross-site scripting (XSS) che hanno sfruttato l'app Belkin WeMo per accedere ai dati e alle risorse che l'app può utilizzare
Sessione 9: Sicurezza dell'IoT distribuita tramite ledger distribuito – BlockChain e DAG (IOTA) [3 ore]
Tecnologia ledger distribuito – DAG Ledger, Hyper Ledger, BlockChain
PoW, PoS, Tangle – un confronto dei metodi di consenso
- Differenze tra Blockchain, DAG e Hyperledger – un confronto sul funzionamento vs performance vs decentralizzazione
- Prestazioni in tempo reale e offline dei diversi sistemi DLT
- Rete P2P, chiavi private e pubbliche – concetti di base
- Come viene implementato il sistema ledger in pratica – revisione di alcune architetture di ricerca
- IOTA e Tangle – DLT per l'IoT
- Alcuni esempi pratici da città intelligenti, macchine intelligenti, automobili intelligenti
Sessione 10: L'architettura di migliori pratiche per la sicurezza dell'IoT
- Identificazione e tracciamento di tutti i servizi nei gateway
- Non usare l'indirizzo MAC – usare l'ID del pacchetto invece
- Usare un'identificazione gerarchica per i dispositivi – ID board, ID dispositivo e ID pacchetto
- Strutturare l'aggiornamento del firmware ai confini e conformandosi all'ID del servizio
- PUF per EPROM
- Sicurezza dei rischi dei portali/applicazioni di gestione IoT con due livelli di autenticazione
- Sicurizzare tutte le API – definire test e gestione delle API
- Identificazione e integrazione dello stesso principio di sicurezza nella catena logistica di fornitura
- Minimizzare la vulnerabilità degli aggiornamenti dei protocolli di comunicazione IoT
Sessione 11: Stesura della politica di sicurezza dell'IoT per l'organizzazione
- Definire il lessico della sicurezza IoT / Tensioni
- Suggerire le migliori pratiche per autenticazione, identificazione e autorizzazione
- Identificazione e classificazione degli asset critici
- Identificazione dei confini e isolamento delle applicazioni
- Politica per la protezione degli asset critici, informazioni critiche e dati privati
Requisiti
- Conoscenze di base sui dispositivi, sistemi elettronici e sistemi di dati
- Comprensione di base dei software e dei sistemi
- Conoscenza di base di Statistica (livello Excel)
- Comprensione delle verticali delle telecomunicazioni
Riepilogo
- Un programma di formazione avanzato che copre lo stato dell'arte della sicurezza nell'IoT
- Copre tutti gli aspetti della sicurezza del firmware, middleware e protocolli di comunicazione IoT
- Il corso fornisce una visione 360 gradi di tutte le iniziative di sicurezza nel dominio dell'IoT per coloro che non sono profondamente familiari con gli standard, l'evoluzione e il futuro dell'IoT
- Indagine approfondita sulle vulnerabilità del firmware, protocolli di comunicazione wireless e comunicazione dispositivo-cloud.
- Analisi attraverso diversi domini tecnologici per sviluppare consapevolezza della sicurezza nei sistemi IoT e nelle sue componenti
- Demo live di alcuni aspetti di sicurezza dei gateway, sensori e applicazioni cloud IoT
- Il corso spiega anche 30 considerazioni a rischio principali delle attuali e proposte norme NIST per la sicurezza dell'IoT
- Modello OWASP per la sicurezza dell'IoT
- Fornisce linee guida dettagliate per la stesura di standard di sicurezza IoT per un'organizzazione
Pubblico di Riferimento
Ingegneri/gestori/esperti di sicurezza incaricati di sviluppare progetti IoT o revisionare/esaminare rischi di sicurezza.
Recensioni (1)
Quanto era amichevole l'istruttore. La flessibilità e la risposta alle mie domande.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Corso - IoT Security
Traduzione automatica