Temario del curso

Sesión 1 y 2: Conceptos básicos y avanzados de la arquitectura de IoT desde una perspectiva de seguridad

  • Breve historia de la evolución de las tecnologías de IoT
  • Modelos de datos en sistemas de IoT - definición y arquitectura de sensores, actuadores, dispositivos, pasarelas, protocolos de comunicación
  • Dispositivos de terceros y riesgos asociados con la cadena de suministro de proveedores
  • Ecosistema tecnológico - proveedores de dispositivos, proveedores de pasarelas, proveedores de análisis, proveedores de plataformas, integradores de sistemas - riesgos asociados con todos los proveedores
  • IoT distribuido basado en el borde vs IoT centralizado basado en la nube: ventajas vs evaluación de riesgos
  • Capas de gestión en sistemas de IoT - gestión de flotas, gestión de activos, incorporación/desincorporación de sensores, gemelos digitales. Riesgos de autorizaciones en capas de gestión
  • Demostración de sistemas de gestión de IoT AWS, Microsoft Azure y otros gestores de flotas
  • Introducción a protocolos de comunicación populares de IoT - Zigbee/NB-IoT/5G/LORA/WiSpec - revisión de vulnerabilidades en capas de protocolos de comunicación
  • Comprensión de toda la pila tecnológica de IoT con una revisión de gestión de riesgos

Sesión 3: Lista de verificación de todos los riesgos y problemas de seguridad en IoT

  • Parcheo de firmware, la zona más vulnerable de IoT
  • Revisión detallada de la seguridad de protocolos de comunicación de IoT - capas de transporte (NB-IoT, 4G, 5G, LORA, Zigbee, etc.) y capas de aplicación - MQTT, Web Socket, etc.
  • Vulnerabilidad de puntos finales de API - lista de todos los posibles API en la arquitectura de IoT
  • Vulnerabilidad de dispositivos y servicios de pasarelas
  • Vulnerabilidad de sensores conectados - comunicación con la pasarela
  • Vulnerabilidad de comunicación de pasarela-servidor
  • Vulnerabilidad de servicios de bases de datos en la nube en IoT
  • Vulnerabilidad de capas de aplicación
  • Vulnerabilidad del servicio de gestión de pasarelas - local y basado en la nube
  • Riesgo de gestión de registros en arquitectura con borde y sin borde

Sesión 4: Modelo OSWAP de seguridad de IoT, principales 10 riesgos de seguridad

  • I1 Interfaz web insegura
  • I2 Autenticación/autorización insuficiente
  • I3 Servicios de red inseguros
  • I4 Falta de cifrado en el transporte
  • I5 Preocupaciones sobre la privacidad
  • I6 Interfaz de nube insegura
  • I7 Interfaz móvil insegura
  • I8 Configuración de seguridad insuficiente
  • I9 Software/firmware inseguro
  • I10 Seguridad física deficiente

Sesión 5: Revisión y demostración de principios de seguridad AWS-IoT y Azure IoT

  • Modelo de amenazas de Microsoft - STRIDE

Detalles del modelo STRIDE

  • Seguridad de la comunicación entre dispositivos, pasarelas y servidores - cifrado asimétrico
  • Certificación X.509 para distribución de claves públicas
  • Claves SAS
  • Riesgos y técnicas de OTA en masa
  • Seguridad de API para portales de aplicaciones
  • Deshabilitación y desvinculación de dispositivos no autorizados del sistema
  • Vulnerabilidades de principios de seguridad de AWS/Azure

Sesión 6: Revisión de estándares/recomendaciones en evolución de NIST para IoT

Revisión del estándar NISTIR 8228 para la seguridad de IoT - Modelo de consideración de riesgo de 30 puntos

Integración y identificación de dispositivos de terceros

  • Identificación y seguimiento de servicios
  • Identificación y seguimiento de hardware
  • Identificación de sesiones de comunicación
  • Identificación y registro de transacciones de gestión
  • Gestión y seguimiento de registros

Sesión 7: Seguridad del firmware/dispositivo

Seguridad del modo de depuración en un firmware

Seguridad física del hardware

  • Cifrado de hardware - PUF (Función Físicamente Inclonable) - seguridad de EPROM
  • PUF público, PPUF
  • PUF nano
  • Clasificación conocida de malware en firmware (18 familias según la regla YARA)
  • Estudio de algunos malwares populares de firmware - MIRAI, BrickerBot, GoScanSSH, Hydra, etc.

Sesión 8: Casos de estudio de ataques a IoT

  • 21 de octubre de 2016, se desplegó un gran ataque DDoS contra los servidores Dyn DNS y cerró muchos servicios web, incluyendo Twitter. Los hackers aprovecharon las contraseñas y nombres de usuario predeterminados de cámaras web y otros dispositivos IoT, e instalaron el botnet Mirai en dispositivos IoT comprometidos. Este ataque será estudiado en detalle
  • Las cámaras IP pueden ser hackeadas a través de ataques de desbordamiento de búfer
  • Los focos Philips Hue fueron hackeados a través de su protocolo ZigBee
  • Los ataques de inyección SQL fueron efectivos contra dispositivos IoT Belkin
  • Ataques de scripting entre sitios (XSS) que explotaron la aplicación Belkin WeMo y accedieron a datos y recursos que la aplicación puede acceder

Sesión 9: Seguridad de IoT distribuido mediante ledger distribuido - Blockchain y DAG (IOTA) [3 horas]

Tecnología de ledger distribuido - Ledger DAG, Hyper Ledger, Blockchain

PoW, PoS, Tangle - comparación de los métodos de consenso

  • Diferencia entre Blockchain, DAG y Hyperledger - comparación de su funcionamiento vs rendimiento vs descentralización
  • Rendimiento en tiempo real y offline de diferentes sistemas DLT
  • Red P2P, claves privadas y públicas - conceptos básicos
  • Cómo se implementa el sistema de ledger en la práctica - revisión de algunas arquitecturas de investigación
  • IOTA y Tangle - DLT para IoT
  • Ejemplos prácticos de aplicaciones desde ciudades inteligentes, máquinas inteligentes, coches inteligentes

Sesión 10: Arquitectura de mejores prácticas para la seguridad de IoT

  • Rastreo e identificación de todos los servicios en pasarelas
  • Nunca use direcciones MAC - use id de paquete en su lugar
  • Use una jerarquía de identificación para dispositivos - ID de placa, ID de dispositivo y ID de paquete
  • Estructura el parcheo del firmware al perímetro y con forme al ID de servicio
  • PUF para EPROM
  • Seguridad de los riesgos de portales/aplicaciones de gestión de IoT mediante dos capas de autenticación
  • Seguridad de todas las API - defina pruebas y gestión de API
  • Identificación e integración del mismo principio de seguridad en la cadena logística de suministro
  • Minimice la vulnerabilidad de parcheo de protocolos de comunicación de IoT

Sesión 11: Redacción de política de seguridad de IoT para su organización

  • Defina el léxico de seguridad de IoT / tensiones
  • Sugiera las mejores prácticas para autenticación, identificación y autorización
  • Identificación y clasificación de activos críticos
  • Identificación de perímetros y aislamiento para aplicaciones
  • Política para asegurar activos críticos, información crítica y datos de privacidad

Requerimientos

  • Conocimientos básicos de dispositivos, sistemas electrónicos y de datos
  • Comprensión básica de software y sistemas
  • Comprensión básica de Estadísticas (a nivel de Excel)
  • Conocimiento de los sectores de Telecomunicaciones

Resumen

  • Un programa avanzado de formación que abarca el estado del arte actual en la seguridad de Internet de las Cosas
  • Cubre todos los aspectos de la seguridad del firmware, middleware y protocolos de comunicación de IoT
  • El curso proporciona una visión de 360 grados de todas las iniciativas de seguridad en el dominio de IoT para aquellos que no están profundamente familiarizados con los estándares, evolución y futuro de IoT
  • Investigación más profunda sobre vulnerabilidades de seguridad en firmware, protocolos de comunicación inalámbrica, comunicación dispositivo a la nube.
  • Cruzar varios dominios tecnológicos para desarrollar una conciencia de la seguridad en sistemas y componentes de IoT
  • Demostración en vivo de algunos aspectos de seguridad de las pasarelas, sensores y aplicaciones de nube de IoT
  • El curso también explica 30 consideraciones de riesgo principales de los estándares actuales y propuestos de NIST para la seguridad de IoT
  • Modelo OSWAP de seguridad de IoT
  • Proporciona una guía detallada para redactar estándares de seguridad de IoT para una organización

Audiencia Objetivo

Ingenieros/gerentes/expertos en seguridad que están asignados a desarrollar proyectos de IoT o auditar/revisar riesgos de seguridad.

 21 Horas

Número de participantes


Precio por Participante​

Testimonios (1)

Próximos cursos

Categorías Relacionadas