Kursplan

Session 1 & 2: Grundläggande och avancerade koncept inom IoT-arkitektur ur ett säkerhetsperspektiv

  • En kort historik över utvecklingen av IoT-teknik
  • Datamodeller i  IoT-system – definition och arkitektur av sensorer, aktuatorer, enhet, gateway, kommunikationsprotokoll
  • Enheter från tredje part och risker i samband med leverantörens leveranskedja
  • Tekniskt ekosystem – enhetsleverantörer, gateway-leverantörer, analysleverantörer, plattformsleverantörer, systemintegratör – risk som är förknippad med alla leverantörer
  • Edge-driven distribuerad IoT jämfört med molndriven central IoT: Fördel jämfört med riskbedömning
  • Management lager i IoT-system – Fleet management, asset management, Onboarding/Deboarding av sensorer, Digital Twins. Risk för auktoriseringar i hanteringsskikt
  •  Demo av IoT-hanteringssystem - AWS, Microsoft Azure och andra Fleet managers
  •  Introduktion till populära IoT-kommunikationsprotokoll – Zigbee/NB-IoT/5G/LORA/Witespec – genomgång av sårbarhet i kommunikationsprotokolllager
  • Förstå hela teknikstacken för IoT med en genomgång av Riskhantering

Session 3: En checklista över alla risker och säkerhetsproblem inom IoT

  • Firmware Patching - den mjuka magen av IoT
  • Detaljerad genomgång av säkerheten för IoT-kommunikationsprotokoll - Transportlager ( NB-IoT, 4G, 5G, LORA, Zigbee etc. ) och Application Layers - MQTT, Web Socket etc.
  • Sårbarhet hos API-slutpunkter - lista över alla möjliga API:er i IoT-arkitektur
  • Sårbarhet hos Gate way-enheter och tjänster
  • Sårbarhet hos anslutna sensorer – Gateway-kommunikation
  • Sårbarhet i Gateway-serverkommunikation
  • Sårbarhet hos molntjänster Database i IoT
  • Sårbarhet i applikationslager
  • Sårbarhet i Gateway-hanteringstjänsten – lokalt och molnbaserat
  • Risk för logghantering i edge- och non-edge-arkitektur

Session 4: OSASP-modell för IoT-säkerhet, Topp 10  säkerhetsrisk

  • i1 Osäker webbgränssnitt
  • i2 Otillräcklig autentisering/auktorisering
  • I3 Osäkra nätverkstjänster
  • i4 Brist på transportkryptering
  • I5 Oro för integritet
  • i6 Osäker molngränssnitt
  • i7 Osäkert mobilt gränssnitt
  • i8 Otillräcklig säkerhetskonfigurerbarhet
  • i9 Osäker programvara/firmware
  • i10 Dålig fysisk säkerhet

Session 5: Genomgång och demo av AWS-IoT och Azure IoT-säkerhetsprincipen

  • Microsoft Hotmodell – STEG
Detaljer om STRIDE-modellen
  • Kommunikation mellan säkerhetsenheter och gateways och servrar – Asymmetrisk kryptering
  • X.509-certifiering för distribution av öppen nyckel
  • SAS Nycklar
  • Bulk OTA-risker och tekniker
  • API-säkerhet för programportaler
  • Inaktivering och avkoppling av oseriös enhet från systemet
  • Sårbarhet hos AWS/Azure säkerhetsprinciper

Session 6: Genomgång av utvecklande NIST-standarder/rekommendationer för IoT

Granskning av NISTIR 8228-standarden för IoT-säkerhet -30 punkters riskövervägande Modell
Enhetsintegrering och identifiering från tredje part
  • Identifiering och spårning av tjänster
  • Identifiering och spårning av hårdvara
  • Communication Identifiering av session
  • Management Identifiering och loggning av transaktioner.
  • Logghantering och spårning

Session 7: Säkra firmware/enhet

Säkra felsökningsläge i en fast programvara
Fysisk säkerhet för hårdvara
  • Hårdvarukryptografi – PUF (Physical Unclonable Function) - säkrar EPROM
  • Offentlig PUF, PPUF
  • Nano PUF
  • Känd klassificering av skadlig kod i firmware (18 familjer enligt YARA-regeln)
  • Studie av några av de populära Firmware Malware - MIRAI, BrickerBot, Go ScanSSH, Hydra etc.

Session 8: Fallstudier av IoT-attacker

  • Den 21 oktober 2016 genomfördes en enorm DDoS-attack mot Dyn DNS-servrar och stängde ner många webbtjänster, inklusive Twitter. Hackare utnyttjade standardlösenord och användarnamn för webbkameror och andra IoT-enheter och installerade Mirai-botnätet  på komprometterade IoT-enheter.  Denna attack kommer att studeras i detalj
  • IP-kameror kan hackas genom buffer overflow-attacker
  • Philips Hue-lampor hackades genom dess ZigBee-länkprotokoll
  • SQL Injektionsattacker var effektiva mot Belkins IoT-enheter
  • XSS-attacker (Cross-site scripting) som utnyttjade Belkin WeMo-appen och får tillgång till data och resurser som appen kan komma åt

Session 9: Säkra distribuerad IoT via Distributer Ledger – BlockChain och DAG (IOTA) [3 timmar]

Teknik för distribuerade huvudböcker – DAG Ledger, Hyper Ledger, BlockChain
PoW, PoS, Tangle – en jämförelse av metoderna för konsensus
  • Skillnaden mellan Blockchain, DAG och Hyperledger – en jämförelse av deras arbete vs prestanda vs decentralisering
  • Offlineprestanda i realtid för de olika DLT-systemen
  • P2P-nätverk, privat och offentlig nyckel – grundläggande begrepp
  • Hur reskontrasystemet implementeras praktiskt - genomgång av viss forskningsarkitektur
  • IOTA och Tangle - DLT för IoT
  • Några praktiska tillämpningsexempel från smarta städer, smarta maskiner, smarta bilar

Session 10: Arkitekturen för bästa praxis för IoT-säkerhet

  • Spåra och identifiera alla tjänster i Gateways
  • Använd aldrig MAC-adress – använd paket-id istället
  • Använd identifieringshierarki för enheter – tavla-ID, enhets-ID och paket-ID
  • Strukturera korrigeringen av den fasta programvaran till perimetern och överensstämmer med tjänst-ID:t
  • PUF för EPROM
  • Skydda riskerna med IoT-hanteringsportaler/-program med två lager av autentisering
  • Säkra alla API:er - Definiera API-testning och API-hantering
  • Identifiering och integration av samma säkerhetsprincip i Logistic Supply Chain
  • Minimera korrigeringssårbarheten för IoT-kommunikationsprotokoll

Session 11: Utarbeta en IoT-säkerhetspolicy för din organisation

  • Definiera lexikonet för IoT-säkerhet / Spänningar
  • Föreslå bästa praxis för autentisering, identifiering, auktorisering
  • Identifiering och rangordning av kritiska tillgångar
  • Identifiering av perimetrar och isolering för applicering
  • Policy för skydd av kritiska tillgångar, kritisk information och sekretessdata  

 

Krav

  • Grundläggande kunskapsenheter, elektroniksystem och datasystem
  • Grundläggande förståelse för programvara och system
  • Grundläggande förståelse för Statistics (i Excel nivåer)
  • Förståelse för Telecomkommunikationsvertikaler

Sammanfattning

  • Ett avancerat utbildningsprogram som täcker den senaste säkerheten för Internet of Things
  • Täcker alla aspekter av  säkerhet för Firmware, Middleware och IoT-kommunikationsprotokoll 
  • Kursen ger en 360 graders bild av alla typer av säkerhetsinitiativ inom IoT-domänen för dem som inte är djupt bekanta med IoT-standarder, utveckling och framtid
  • Djupare undersökning av säkerhetssårbarheter i inbyggd programvara, trådlösa kommunikationsprotokoll,  kommunikation från enhet till moln.
  • Skär över flera teknikdomäner för att utveckla medvetenhet om säkerhet i  IoT-system och dess komponenter
  • Live-demo av några av säkerhetsaspekterna av gateways, sensorer och IoT-applikationsmoln
  • Kursen förklarar också 30 principiella risköverväganden för  nuvarande och föreslagna NIST-standarder för IoT-säkerhet
  • OSWAP-modell för IoT-säkerhet
  • Ger detaljerade riktlinjer för att utarbeta IoT-säkerhetsstandarder för en organisation

 

Målgrupp 

Ingenjörer/chefer/säkerhetsexperter som har till uppgift att utveckla IoT-projekt eller granska/granska säkerhetsrisker.

 21 timmar

Antal deltagare


Price per participant

Vittnesmål (1)

Upcoming Courses