Cursusaanbod
Sessie 1 & 2: Basis- en geavanceerde concepten van IoT-architectuur vanuit veiligheidsoptiek
- Een korte geschiedenis van de evolutie van IoT-technologieën
- Datamodels in het IoT-systeem – definitie en architectuur van sensoren, actuatoren, apparaten, gateway, communicatieprotocollen
- Derden-apparaten en de risico's die daarbij horen door de leveranciersketen
- Techno-ecosysteem – apparaatleveranciers, gatewayleveranciers, analytische leveranciers, platformleveranciers, systeemintegrators – risico's die aan alle leveranciers verbonden zijn
- Edgegedreven gedistribueerde IoT vs. Cloudgedreven centrale IoT: voordelen versus risicobeoordeling
- Beheerlagen in het IoT-systeem – vlootbeheer, assetbeheer, registratie/afregistratie van sensoren, digitale tweelingen. Autorisatierisico's in de beheerlagen
- Demonstratie van IoT-beheersystemen AWS, Microsoft Azure en andere vlootmanagers
- Introductie tot populaire IoT-communicatieprotocollen – Zigbee/NB-IoT/5G/LORA/Witespec – beoordeling van kwetsbaarheden in communicatielagen
- Inzicht in de volledige technologystack van IoT met een beoordeling van risicomanagement
Sessie 3: Een checklist van alle risico's en veiligheidsproblemen in IoT
- Firmware-updates – de kwetsbare kant van IoT
- Uitgebreide beoordeling van veiligheid van IoT-communicatieprotocollen – Transportlagen (NB-IoT, 4G, 5G, LORA, Zigbee etc.) en Toepassingslagen – MQTT, Web Socket etc.
- Kwetsbaarheden van API-endpoints – lijst van alle mogelijke API's in de IoT-architectuur
- Kwetsbaarheden van gateway-apparaten en diensten
- Kwetsbaarheden van verbonden sensoren – gatewaycommunicatie
- Kwetsbaarheden van gateway-servercommunicatie
- Kwetsbaarheden van Cloud-databaseservices in IoT
- Kwetsbaarheden van toepassingslagen
- Kwetsbaarheden van gatewaybeheerservice – lokaal en Cloud-gebaseerd
- Risico's van logbeheer in edge-en non-edge-architectuur
Sessie 4: OSASP-model voor IoT-beveiliging, top 10 veiligheidsrisico's
- I1 Onveilige Webinterface
- I2 Onvoldoende authenticatie/autorisatie
- I3 Onveilige netwerkdiensten
- I4 Ontbrekende transportversleuteling
- I5 Privacyzorgen
- I6 Onveilige Cloudinterface
- I7 Onveilige mobiele interface
- I8 Onvoldoende beveiligingsconfiguratie
- I9 Onveilige software/firmware
- I10 Slechte fysieke beveiliging
Sessie 5: Beoordeling en demo van AWS-IoT- en Azure IoT-beveiligingsprincipes
- Microsoft Threat Model – STRIDE
Details van het STRIDE-model
- Beveiliging van apparaat- en gateway-servercommunicatie – asymmetrische versleuteling
- X.509-certificering voor publieke sleutelverdeling
- SAS-keys
- Risico's en technieken bij bulk OTA-updates
- API-beveiliging voor toepassingsportals
- Deactivatie en delinking van verdachte apparaten uit het systeem
- Kwetsbaarheden van AWS/Azure-beveiligingsprincipes
Sessie 6: Beoordeling van evoluerende NIST-standaarden/adviezen voor IoT
Beoordeling van de NISTIR 8228-standaard voor IoT-beveiliging – model met 30 risico-overwegingen
Derden-apparaatintegratie en identificatie
- Dienstidentificatie & -bijhouden
- Hardware-identificatie & -bijhouden
- Communicatiesessie-identificatie
- Identificatie en logging van beheertransacties
- Logbeheer en -bijhouden
Sessie 7: Beveiligen van firmware/apparaat
Beveiligen van debugmodus in firmware
Fysieke beveiliging van hardware
- Hardware-versleuteling – PUF (Physically Unclonable Function) – beveiligen van EPROM
- Publieke PUF, PPUF
- Nano-PUF
- Bekende classificatie van malware in firmware (18 families volgens YARA-regels)
- Studie naar enkele populaire firmware-malware – MIRAI, BrickerBot, GoScanSSH, Hydra etc.
Sessie 8: Gevalstudies van IoT-aanvallen
- Op 21 oktober 2016 werd een enorme DDoS-aanval uitgevoerd tegen Dyn DNS-servers, waardoor veel webdiensten, waaronder Twitter, werden afgesloten. Hackers benutten standaardwachtwoorden en gebruikersnamen van webcams en andere IoT-apparaten, en installeerden het Mirai-botnet op gecompromitteerde IoT-apparaten. Deze aanval zal in detail worden bestudeerd.
- IP-camera's kunnen worden gehackt via buffer overflow-aanvallen
- Philips Hue-lampen werden gehackt via hun ZigBee-link-protocol
- SQL-injectieaanvallen waren effectief tegen Belkin IoT-apparaten
- Cross-site scripting (XSS)-aanvallen die de Belkin WeMo-app uitbuiten en toegang krijgen tot gegevens en resources die de app kan benaderen
Sessie 9: Beveiligen van gedistribueerde IoT via gedistribueerde ledger – BlockChain en DAG (IOTA) [3 uur]
Gedistribueerde ledger-technologie – DAG Ledger, Hyper Ledger, BlockChain
PoW, PoS, Tangle – een vergelijking van consensusmethoden
- Verschil tussen Blockchain, DAG en Hyperledger – een vergelijking van hun werking vs. prestaties vs. decentralisatie
- Realtime- en offline-prestaties van verschillende DLT-systemen
- P2P-netwerk, privésleutels en publieke sleutels – basisbegrippen
- Hoe ledgersysteem praktisch wordt geïmplementeerd – beoordeling van enkele onderzoeksarchitecturen
- IOTA en Tangle – DLT voor IoT
- Enkele praktische toepassingsvoorbeelden uit slimme steden, slimme machines, slimme auto's
Sessie 10: De beste architectuur voor IoT-beveiliging
- Bijhouden en identificeren van alle diensten in gateways
- Gebruik nooit MAC-adressen – gebruik pakket-id's in plaats daarvan
- Gebruik een identificatierichtlijn voor apparaten – bord-ID, apparaat-ID en pakket-ID
- Structuur de firmware-updates naar het perimeter en in overeenstemming met service-ID's
- PUF voor EPROM
- Beveilig risico's van IoT-beheerportals/toepassingen door dubbele authenticatielaag
- Beveilige alle API's – definieer API-testen en -beheer
- Identificatie en integratie van dezelfde beveiligingsprincipes in de logistieke leveranciersketen
- Minimiseer patchkwetsbaarheden van IoT-communicatieprotocollen
Sessie 11: Opstellen van een IoT-beveiligingsbeleid voor uw organisatie
- Definieer de terminologie van IoT-beveiliging / spanningen
- Suggesties voor beste praktijken voor authenticatie, identificatie en autorisatie
- Identificatie en rangschikking van kritieke assets
- Identificatie van perimeters en isolering voor toepassingen
- Beleid voor het beveiligen van kritieke assets, informatie en privacygegevens
Vereisten
- Basis kennis van apparaten, elektronische systemen en datasystemen
- Basis begrip van software en systemen
- Basis begrip van statistiek (op Excel-niveau)
- Begrip van Telecommunicatie Verticals
Samenvatting
- Een geavanceerd trainingsprogramma dat de huidige stand van de techniek in IoT-beveiliging beslaat
- Bespreekt alle aspecten van firmware-, middelaars- en IoT-communicatieprotocolbeveiliging
- Het cursus biedt een 360-graden overzicht van alle veiligheidsmaatregelen in het IoT-domein voor mensen die niet grondig vertrouwd zijn met IoT-standaarden, evolutie en toekomst
- Dieper onderzoek naar veiligheidskwetsbaarheden in firmware, draadloze communicatieprotocollen, apparaat-naar-cloud-communicatie.
- Overschakelen tussen meerdere technologie-domeinen om bewustwording te ontwikkelen van veiligheid in IoT-systemen en hun componenten
- Live demonstratie van sommige veiligheidsaspecten van gateways, sensoren en IoT-toepassingsclouds
- Het cursus legt ook uit 30 basisrisico-consideraties van huidige en voorgestelde NIST-standaarden voor IoT-beveiliging
- OSWAP-model voor IoT-beveiliging
- Biedt gedetailleerde richtlijnen voor het opstellen van IoT-beveiligingsstandaarden voor een organisatie
Doelgroep
Ingenieurs/managers/beveiligingsexperts die zijn aangesteld om IoT-projecten te ontwikkelen of veiligheidsrisico's te controleren/te beoordelen.
Getuigenissen (1)
Hoe vriendelijk de trainer was. De flexibiliteit en het beantwoorden van mijn vragen.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Cursus - IoT Security
Automatisch vertaald