Kursplan

Sesjon 1 & 2: Grunnleggende og avanserte konsepter i IoT-arkitektur fra et sikkerhetsperspektiv

  • En kort historie over utviklingen av IoT-teknologier
  • Datamodeller i IoT-system - definisjon og arkitektur for sensorer, aktuatorer, enheter, gateway, kommunikasjonsprotokoller
  • Tredjeparts-enheter og risikoer forbundet med leverandørers kjeder
  • Teknologiske økosystem - enhetsleverandører, gateway-leverandører, analyseleverandører, plattformleverandører, systemintegratorer - risiko forbundet med alle leverandørene
  • Kanten-drevet fordelt IoT vs skydrevet sentral IoT: Fordeler vs risikovurdering
  • Administrasjonsslag i IoT-system - Flåteadministrering, eiendomsadministrering, onboarding/deboarding av sensorer, Digital Twins. Risiko for autorisasjoner i administrasjonsslager
  • Demo av IoT-administrasjonsystemer: AWS, Microsoft Azure og andre flåteledere
  • Introduksjon til populære IoT-kommunikasjonsprotokoller - Zigbee/NB-IoT/5G/LORA/Witespec - gjennomgang av sårbarheter i kommunikasjonsprotokollslag
  • Forståelse av den totale teknologistekken for IoT med gjennomgang av risikohåndtering

Sesjon 3: En sjekkliste over alle risikoer og sikkerhetsproblemer i IoT

  • Firmware-oppdatering - det bløte mageområdet for IoT
  • Detaillert gjennomgang av sikkerheten i IoT-kommunikasjonsprotokoller: Transportslag (NB-IoT, 4G, 5G, LORA, Zigbee etc.) og applikasjonsslager - MQTT, Web Socket etc.
  • Sårbarhet i API-sluttpunkter - liste over alle mulige API-er i IoT-arkitektur
  • Sårbarhet i gateway-enheter og tjenester
  • Sårbarhet i forbundne sensorer - gateway-kommunikasjon
  • Sårbarhet i gateway-serverkommunikasjon
  • Sårbarhet i skybaserte databasetjenester for IoT
  • Sårbarhet i applikasjonsslager
  • Sårbarhet i gateway-administrasjonstjenester - lokale og skybaserte
  • Risiko ved loggadministrasjon i kanten- og ikke-kantearkitektur

Sesjon 4: OSASP-modell for IoT-sikkerhet, toppten sikkerhetsrisikoer

  • I1 Usikkert webgrensesnitt
  • I2 Utilstrekkelig autentisering/autorisering
  • I3 Usikre nettverkservices
  • I4 Mangel på transportkryptering
  • I5 Personvernforhold
  • I6 Usikkert skygrensesnitt
  • I7 Usikkert mobilgrensesnitt
  • I8 Utilstrekkelig sikkerhetskonfigurering
  • I9 Usikker programvare/firmware
  • I10 Dårlig fysisk sikkerhet

Sesjon 5: Gjennomgang og demo av AWS-IoT- og Azure IoT-sikkerhetsprinsipper

  • Microsoft Trusst Modell - STRIDE

Detaljer om STRIDE-modellen

  • Sikkerhet for enhet, gateway og serverkommunikasjon - asyntetrisk kryptering
  • X.509-sertifisering for offentlig nøkkeldistribusjon
  • SAS-nøkler
  • Risikoer og teknikker ved mass-oppdateringer over OTA
  • API-sikkerhet for applikasjonsporteraler
  • Deaktivering og avkobling av uønskte enheter fra systemet
  • Sårbarhet i AWS/Azure-sikkerhetsprinsipper

Sesjon 6: Gjennomgang av utviklende NIST-standarder/anbefalinger for IoT

Gjennomgang av NISTIR 8228-standarden for IoT-sikkerhet - modell med 30 risikoovervegelser

Tredjeparts-enhetsintegrasjon og identifisering

  • Serviceidentifisering & sporbarhet
  • Hardvareidentifisering & sporbarhet
  • Kommunikasjonssesjonsidentifisering
  • Transaksjonshandling og logging i administrasjon
  • Loggadministrasjon og sporbarhet

Sesjon 7: Sikring av firmware/enheter

Sikring av feilsøkningsmodus i firmware

Fysisk sikkerhet for hardvare

  • Hardvarekryptering - PUF (Fysisk uklonbar funksjon) - sikring av EPROM
  • Offentlige PUF, PPUF
  • Nano PUF
  • Kjente kategorier av malware i firmware (18 familier etter YARA-regel)
  • Studie av noen populære firmware-malware - MIRAI, BrickerBot, GoScanSSH, Hydra etc.

Sesjon 8: Case Studies av IoT-angrep

  • 21. oktober 2016, et stort DDoS-angrep ble utviklet mot Dyn DNS-serverne og la ned mange webservice, inkludert Twitter. Hackerne utnyttet standardpassord og brukernavn for webkameraer og andre IoT-enheter, og installerte Mirai-botnet på kompromitterte IoT-enheter. Dette angrepet vil bli studert i detalj
  • IP-kamere kan utnyttes gjennom buffer overflow-angrep
  • Philips Hue-lysbulber ble hacket gjennom sin ZigBee-lenkeprotokoll
  • SQL-injeksjonsangrep var effektive mot Belkin IoT-enheter
  • Cross-site scripting (XSS)-angrep som utnyttet Belkin WeMo-appen og tilgang til data og ressurser som appen kan tilgang

Sesjon 9: Sikring av fordelt IoT via distribuert ledger - BlockChain og DAG (IOTA) [3 timer]

Distribuert ledger-teknologi - DAG Ledger, Hyper Ledger, BlockChain

PoW, PoS, Tangle - en sammenligning av konsensmetoder

  • Forskellen mellom Blockchain, DAG og Hyperledger - en sammenligning av deres funksjon vs. ytevurdering vs. decentralisering
  • Reeltid- og offline-ytevurdering av ulike DLT-systemer
  • P2P-nettverk, private og offentlige nøkler - grunnleggende konsepter
  • Hvordan ledger-systemet implementeres praktisk - gjennomgang av noen forskningsarkitekturer
  • IOTA og Tangle - DLT for IoT
  • Praktiske anvendelsesEksempler fra smartbyer, smart maskiner, smart biler

Sesjon 10: Best praksisarkitektur for IoT-sikkerhet

  • Sporbarhet og identifisering av alle tjenester i gateways
  • Ikke bruk MAC-adresse - bruk pakkenummer isteden
  • Bruk identifikasjonshierarki for enheter - brønn-ID, enhets-ID og pakkenummer
  • Struktur firmware-oppdatering til perimetre og konformitet med tjenesten-ID
  • PUF for EPROM
  • Sikring av risikoer i IoT-administrasjonspporteraler/applikasjoner ved to lag autentisering
  • Sikring av alle API'er - definere API-testing og API-håndtering
  • Identifisering og integrasjon av samme sikkerhetsprinsipp i logistikk- og leveringskjeder
  • Minimer oppdateringsrisiko for IoT-kommunikasjonsprotokoller

Sesjon 11: Utarbeidelse av IoT-sikkerhetspolicy for organisasjonen din

  • Definer leksikonet for IoT-sikkerhet/spenninger
  • Forslag til beste praksis for autentisering, identifisering og autorisasjon
  • Identifisering og rangering av kritiske ressurser
  • Identifisering av perimetre og isolasjon for applikasjoner
  • Policy for sikring av kritiske ressurser, kritisk informasjon og personvern-data

Krav

  • Grunnleggende kunnskaper i enheter, elektroniske systemer og datasystemer
  • Grunnleggende forståelse av programvare og systemer
  • Grunnleggende kunnskaper i statistikk (Excel-nivå)
  • Forståelse av Telecommunication Verticals

Sammanfattning

  • Et avansert treningeringsprogram som dekker den nåværende staten av kunst i sikkerhet for Internet of Things
  • Dekker alle aspekter av firmware-sikkerhet, middleware og IoT-kommunikasjonsprotokoller
  • Kursene gir et 360 graders øyeblikk på alle typer sikkerhetsinitiativer i IoT-domenen for de som ikke er dypgående kjent med IoT-standarder, utvikling og fremtid
  • Dypere granskning av sårbarheter i firmware, trådløse kommunikasjonsprotokoller, enhet til sky-kommunikasjon.
  • Krysser over flere teknologidomener for å utvikle bevissthet om sikkerhet i IoT-systemer og komponenter
  • Live-demo av noen aspekter ved sikkerheten for gateways, sensorer og IoT-applikasjonsskyer
  • Kursene forklarer også 30 prinsipper for risikoovervegelser i nåværende og foreslåtte NIST-standarder for IoT-sikkerhet
  • OSWAP-modell for IoT-sikkerhet
  • Gir detaljerte retningslinjer for utarbeidelse av IoT-sikkerhetsstandarder for en organisasjon

Målgruppe 

Injenerer/ledere/sikkerhetsexperter som er tildelt å utvikle IoT-prosjekter eller granske/vurdere sikkerhetsrisikoer.

 21 timer

Antall deltakere


Pris per deltaker

Referanser (1)

Kommende kurs

Relaterte kategorier