Cursusaanbod

Sessie 1 & 2: Basis- en geavanceerde concepten van IoT-architectuur vanuit veiligheidsoptiek

  • Een korte geschiedenis van de evolutie van IoT-technologieën
  • Datamodels in het IoT-systeem – definitie en architectuur van sensoren, actuatoren, apparaten, gateway, communicatieprotocollen
  • Derden-apparaten en de risico's die daarbij horen door de leveranciersketen
  • Techno-ecosysteem – apparaatleveranciers, gatewayleveranciers, analytische leveranciers, platformleveranciers, systeemintegrators – risico's die aan alle leveranciers verbonden zijn
  • Edgegedreven gedistribueerde IoT vs. Cloudgedreven centrale IoT: voordelen versus risicobeoordeling
  • Beheerlagen in het IoT-systeem – vlootbeheer, assetbeheer, registratie/afregistratie van sensoren, digitale tweelingen. Autorisatierisico's in de beheerlagen
  • Demonstratie van IoT-beheersystemen AWS, Microsoft Azure en andere vlootmanagers
  • Introductie tot populaire IoT-communicatieprotocollen – Zigbee/NB-IoT/5G/LORA/Witespec – beoordeling van kwetsbaarheden in communicatielagen
  • Inzicht in de volledige technologystack van IoT met een beoordeling van risicomanagement

Sessie 3: Een checklist van alle risico's en veiligheidsproblemen in IoT

  • Firmware-updates – de kwetsbare kant van IoT
  • Uitgebreide beoordeling van veiligheid van IoT-communicatieprotocollen – Transportlagen (NB-IoT, 4G, 5G, LORA, Zigbee etc.) en Toepassingslagen – MQTT, Web Socket etc.
  • Kwetsbaarheden van API-endpoints – lijst van alle mogelijke API's in de IoT-architectuur
  • Kwetsbaarheden van gateway-apparaten en diensten
  • Kwetsbaarheden van verbonden sensoren – gatewaycommunicatie
  • Kwetsbaarheden van gateway-servercommunicatie
  • Kwetsbaarheden van Cloud-databaseservices in IoT
  • Kwetsbaarheden van toepassingslagen
  • Kwetsbaarheden van gatewaybeheerservice – lokaal en Cloud-gebaseerd
  • Risico's van logbeheer in edge-en non-edge-architectuur

Sessie 4: OSASP-model voor IoT-beveiliging, top 10 veiligheidsrisico's

  • I1 Onveilige Webinterface
  • I2 Onvoldoende authenticatie/autorisatie
  • I3 Onveilige netwerkdiensten
  • I4 Ontbrekende transportversleuteling
  • I5 Privacyzorgen
  • I6 Onveilige Cloudinterface
  • I7 Onveilige mobiele interface
  • I8 Onvoldoende beveiligingsconfiguratie
  • I9 Onveilige software/firmware
  • I10 Slechte fysieke beveiliging

Sessie 5: Beoordeling en demo van AWS-IoT- en Azure IoT-beveiligingsprincipes

  • Microsoft Threat Model – STRIDE

Details van het STRIDE-model

  • Beveiliging van apparaat- en gateway-servercommunicatie – asymmetrische versleuteling
  • X.509-certificering voor publieke sleutelverdeling
  • SAS-keys
  • Risico's en technieken bij bulk OTA-updates
  • API-beveiliging voor toepassingsportals
  • Deactivatie en delinking van verdachte apparaten uit het systeem
  • Kwetsbaarheden van AWS/Azure-beveiligingsprincipes

Sessie 6: Beoordeling van evoluerende NIST-standaarden/adviezen voor IoT

Beoordeling van de NISTIR 8228-standaard voor IoT-beveiliging – model met 30 risico-overwegingen

Derden-apparaatintegratie en identificatie

  • Dienstidentificatie & -bijhouden
  • Hardware-identificatie & -bijhouden
  • Communicatiesessie-identificatie
  • Identificatie en logging van beheertransacties
  • Logbeheer en -bijhouden

Sessie 7: Beveiligen van firmware/apparaat

Beveiligen van debugmodus in firmware

Fysieke beveiliging van hardware

  • Hardware-versleuteling – PUF (Physically Unclonable Function) – beveiligen van EPROM
  • Publieke PUF, PPUF
  • Nano-PUF
  • Bekende classificatie van malware in firmware (18 families volgens YARA-regels)
  • Studie naar enkele populaire firmware-malware – MIRAI, BrickerBot, GoScanSSH, Hydra etc.

Sessie 8: Gevalstudies van IoT-aanvallen

  • Op 21 oktober 2016 werd een enorme DDoS-aanval uitgevoerd tegen Dyn DNS-servers, waardoor veel webdiensten, waaronder Twitter, werden afgesloten. Hackers benutten standaardwachtwoorden en gebruikersnamen van webcams en andere IoT-apparaten, en installeerden het Mirai-botnet op gecompromitteerde IoT-apparaten. Deze aanval zal in detail worden bestudeerd.
  • IP-camera's kunnen worden gehackt via buffer overflow-aanvallen
  • Philips Hue-lampen werden gehackt via hun ZigBee-link-protocol
  • SQL-injectieaanvallen waren effectief tegen Belkin IoT-apparaten
  • Cross-site scripting (XSS)-aanvallen die de Belkin WeMo-app uitbuiten en toegang krijgen tot gegevens en resources die de app kan benaderen

Sessie 9: Beveiligen van gedistribueerde IoT via gedistribueerde ledger – BlockChain en DAG (IOTA) [3 uur]

Gedistribueerde ledger-technologie – DAG Ledger, Hyper Ledger, BlockChain

PoW, PoS, Tangle – een vergelijking van consensusmethoden

  • Verschil tussen Blockchain, DAG en Hyperledger – een vergelijking van hun werking vs. prestaties vs. decentralisatie
  • Realtime- en offline-prestaties van verschillende DLT-systemen
  • P2P-netwerk, privésleutels en publieke sleutels – basisbegrippen
  • Hoe ledgersysteem praktisch wordt geïmplementeerd – beoordeling van enkele onderzoeksarchitecturen
  • IOTA en Tangle – DLT voor IoT
  • Enkele praktische toepassingsvoorbeelden uit slimme steden, slimme machines, slimme auto's

Sessie 10: De beste architectuur voor IoT-beveiliging

  • Bijhouden en identificeren van alle diensten in gateways
  • Gebruik nooit MAC-adressen – gebruik pakket-id's in plaats daarvan
  • Gebruik een identificatierichtlijn voor apparaten – bord-ID, apparaat-ID en pakket-ID
  • Structuur de firmware-updates naar het perimeter en in overeenstemming met service-ID's
  • PUF voor EPROM
  • Beveilig risico's van IoT-beheerportals/toepassingen door dubbele authenticatielaag
  • Beveilige alle API's – definieer API-testen en -beheer
  • Identificatie en integratie van dezelfde beveiligingsprincipes in de logistieke leveranciersketen
  • Minimiseer patchkwetsbaarheden van IoT-communicatieprotocollen

Sessie 11: Opstellen van een IoT-beveiligingsbeleid voor uw organisatie

  • Definieer de terminologie van IoT-beveiliging / spanningen
  • Suggesties voor beste praktijken voor authenticatie, identificatie en autorisatie
  • Identificatie en rangschikking van kritieke assets
  • Identificatie van perimeters en isolering voor toepassingen
  • Beleid voor het beveiligen van kritieke assets, informatie en privacygegevens

Vereisten

  • Basis kennis van apparaten, elektronische systemen en datasystemen
  • Basis begrip van software en systemen
  • Basis begrip van statistiek (op Excel-niveau)
  • Begrip van Telecommunicatie Verticals

Samenvatting

  • Een geavanceerd trainingsprogramma dat de huidige stand van de techniek in IoT-beveiliging beslaat
  • Bespreekt alle aspecten van firmware-, middelaars- en IoT-communicatieprotocolbeveiliging
  • Het cursus biedt een 360-graden overzicht van alle veiligheidsmaatregelen in het IoT-domein voor mensen die niet grondig vertrouwd zijn met IoT-standaarden, evolutie en toekomst
  • Dieper onderzoek naar veiligheidskwetsbaarheden in firmware, draadloze communicatieprotocollen, apparaat-naar-cloud-communicatie.
  • Overschakelen tussen meerdere technologie-domeinen om bewustwording te ontwikkelen van veiligheid in IoT-systemen en hun componenten
  • Live demonstratie van sommige veiligheidsaspecten van gateways, sensoren en IoT-toepassingsclouds
  • Het cursus legt ook uit 30 basisrisico-consideraties van huidige en voorgestelde NIST-standaarden voor IoT-beveiliging
  • OSWAP-model voor IoT-beveiliging
  • Biedt gedetailleerde richtlijnen voor het opstellen van IoT-beveiligingsstandaarden voor een organisatie

Doelgroep

Ingenieurs/managers/beveiligingsexperts die zijn aangesteld om IoT-projecten te ontwikkelen of veiligheidsrisico's te controleren/te beoordelen.

 21 Uren

Aantal deelnemers


Prijs Per Deelnemer

Getuigenissen (1)

Voorlopige Aankomende Cursussen

Gerelateerde categorieën