Gracias por enviar su consulta! Uno de los miembros de nuestro equipo se pondrá en contacto con usted en breve.
Gracias por enviar su reserva! Uno de los miembros de nuestro equipo se pondrá en contacto con usted en breve.
Temario del curso
Sesión 1 y 2: Conceptos básicos y avanzados de la arquitectura de IoT desde una perspectiva de seguridad
- Breve historia de la evolución de las tecnologías de IoT.
- Modelos de datos en sistemas de IoT: definición y arquitectura de sensores, actuadores, dispositivos, pasarelas y protocolos de comunicación.
- Dispositivos de terceros y riesgos asociados a la cadena de suministro de proveedores.
- Ecosistema tecnológico: proveedores de dispositivos, pasarelas, analíticas, plataformas e integradores de sistemas; riesgos asociados a todos estos proveedores.
- IoT distribuido impulsado por el borde frente a IoT central impulsado por la nube: ventajas frente a evaluación de riesgos.
- Capas de gestión en sistemas de IoT: gestión de flotas, gestión de activos, incorporación y retiro de sensores, gemelos digitales. Riesgos de autorización en las capas de gestión.
- Demostración de sistemas de gestión de IoT: AWS, Microsoft Azure y otros gestores de flotas.
- Introducción a protocolos de comunicación de IoT populares: Zigbee, NB-IoT, 5G, LoRa, Witespec; revisión de vulnerabilidades en las capas de protocolos de comunicación.
- Comprensión de toda la pila tecnológica de IoT con una revisión de la gestión de riesgos.
Sesión 3: Lista de verificación de todos los riesgos y problemas de seguridad en IoT
- Parcheo del firmware: el talón de Aquiles del IoT.
- Revisión detallada de la seguridad de los protocolos de comunicación de IoT: capas de transporte (NB-IoT, 4G, 5G, LoRa, Zigbee, etc.) y capas de aplicación (MQTT, WebSockets, etc.).
- Vulnerabilidad de los puntos de extremos de API: lista de todas las APIs posibles en la arquitectura de IoT.
- Vulnerabilidad de dispositivos y servicios de pasarela.
- Vulnerabilidad de sensores conectados en la comunicación con la pasarela.
- Vulnerabilidad en la comunicación entre pasarela y servidor.
- Vulnerabilidad de los servicios de bases de datos en la nube dentro de IoT.
- Vulnerabilidad de las capas de aplicación.
- Vulnerabilidad del servicio de gestión de pasarelas (local y basado en la nube).
- Riesgos de la gestión de registros en arquitecturas con y sin borde.
Sesión 4: Modelo OWASP de seguridad en IoT y los 10 principales riesgos de seguridad
- I1: Interfaz web insegura.
- I2: Autenticación o autorización insuficiente.
- I3: Servicios de red inseguros.
- I4: Falta de cifrado de transporte.
- I5: Preocupaciones de privacidad.
- I6: Interfaz en la nube insegura.
- I7: Interfaz móvil insegura.
- I8: Configurabilidad de seguridad insuficiente.
- I9: Software o firmware inseguro.
- I10: Seguridad física deficiente.
Sesión 5: Revisión y demostración de los principios de seguridad de AWS IoT y Azure IoT
- Modelo de amenazas de Microsoft: STRIDE.
Detalles del modelo STRIDE
- Seguridad en la comunicación entre dispositivos, pasarelas y servidores: cifrado asimétrico.
- Certificados X.509 para la distribución de claves públicas.
- Claves SAS.
- Riesgos y técnicas de actualizaciones OTA masivas.
- Seguridad de API para portales de aplicaciones.
- Desactivación y desconexión de dispositivos maliciosos del sistema.
- Vulnerabilidad de los principios de seguridad de AWS y Azure.
Sesión 6: Revisión de las normas y recomendaciones en evolución del NIST para IoT
Revisión de la norma NISTIR 8228 para seguridad en IoT: modelo de 30 puntos de consideración de riesgos.
Integración e identificación de dispositivos de terceros.
- Identificación y rastreo de servicios.
- Identificación y rastreo de hardware.
- Identificación de sesiones de comunicación.
- Identificación y registro de transacciones de gestión.
- Gestión y seguimiento de registros.
Sesión 7: Protección del firmware y de los dispositivos
Protección del modo de depuración en el firmware.
Seguridad física del hardware.
- Criptografía de hardware: PUF (Función Físicamente No Clonable) para proteger la EPROM.
- PUF pública y PPUF.
- Nano PUF.
- Clasificación conocida de malware en firmware (18 familias según la regla YARA).
- Estudio de algunos de los malwares más comunes en firmware: Mirai, BrickerBot, GoScanSSH, Hydra, etc.
Sesión 8: Casos de estudio de ataques a IoT
- El 21 de octubre de 2016, se lanzó un enorme ataque DDoS contra los servidores DNS de Dyn, lo que dejó sin servicio muchos sitios web, incluidos Twitter. Los ciberdelincuentes aprovecharon contraseñas y nombres de usuario predeterminados de cámaras web y otros dispositivos IoT, e instalaron el botnet Mirai en dispositivos IoT comprometidos. Este ataque se analizará en detalle.
- Las cámaras IP pueden ser hackeadas mediante ataques de desbordamiento de búfer.
- Las bombillas Philips Hue fueron hackeadas a través de su protocolo de enlace ZigBee.
- Los ataques de inyección SQL fueron efectivos contra dispositivos IoT de Belkin.
- Ataques de cross-site scripting (XSS) que explotaron la aplicación Belkin WeMo para acceder a datos y recursos a los que la aplicación podía llegar.
Sesión 9: Protección del IoT distribuido mediante libros contables distribuidos: Blockchain y DAG (IOTA) [3 horas]
Tecnología de libros contables distribuidos: DAG Ledger, Hyperledger, Blockchain.
PoW, PoS, Tangle: comparación de los métodos de consenso.
- Diferencias entre Blockchain, DAG y Hyperledger: comparación de su funcionamiento, rendimiento y descentralización.
- Rendimiento en tiempo real y fuera de línea de los diferentes sistemas DLT.
- Redes P2P: conceptos básicos de claves públicas y privadas.
- Implementación práctica de sistemas de libros contables: revisión de algunas arquitecturas de investigación.
- IOTA y Tangle: DLT para IoT.
- Ejemplos de aplicaciones prácticas en ciudades inteligentes, máquinas inteligentes y vehículos inteligentes.
Sesión 10: La arquitectura de mejores prácticas para la seguridad en IoT
- Rastreo e identificación de todos los servicios en las pasarelas.
- Nunca utilizar direcciones MAC; usar IDs de paquete en su lugar.
- Utilizar una jerarquía de identificación para dispositivos: ID de placa, ID de dispositivo e ID de paquete.
- Estructurar el parcheo del firmware según el perímetro y ajustándose al ID de servicio.
- Uso de PUF para EPROM.
- Proteger los riesgos de los portales y aplicaciones de gestión de IoT mediante dos capas de autenticación.
- Proteger todas las APIs: definir pruebas de API y gestión de APIs.
- Identificación e integración del mismo principio de seguridad en la cadena de suministro logística.
- Minimizar las vulnerabilidades de parcheo en los protocolos de comunicación de IoT.
Sesión 11: Redacción de políticas de seguridad en IoT para su organización
- Definir el léxico de la seguridad en IoT y las tensiones asociadas.
- Proponer las mejores prácticas para autenticación, identificación y autorización.
- Identificación y clasificación de activos críticos.
- Identificación de perímetros y aislamiento para aplicaciones.
- Políticas para proteger activos críticos, información sensible y datos de privacidad.
Requerimientos
- Conocimientos básicos sobre dispositivos, sistemas electrónicos y sistemas de datos.
- Comprensión básica de software y sistemas.
- Comprensión básica de estadística (nivel Excel).
- Conocimiento de los sectores de telecomunicaciones.
Resumen
- Un programa de formación avanzado que cubre el estado actual del arte en seguridad del Internet de las Cosas.
- Aborda todos los aspectos de la seguridad del firmware, middleware y protocolos de comunicación de IoT.
- El curso ofrece una visión integral de 360 grados sobre todas las iniciativas de seguridad en el dominio del IoT para aquellos que no están profundamente familiarizados con los estándares, la evolución y el futuro del IoT.
- Análisis profundo de las vulnerabilidades de seguridad en el firmware, los protocolos de comunicación inalámbrica y la comunicación de dispositivo a nube.
- Transversalidad entre múltiples dominios tecnológicos para desarrollar conciencia sobre la seguridad en los sistemas de IoT y sus componentes.
- Demostración en vivo de aspectos de seguridad relacionados con pasarelas, sensores y nubes de aplicaciones de IoT.
- El curso también explica las 30 consideraciones de riesgo fundamentales de los estándares actuales y propuestos del NIST para la seguridad en IoT.
- Modelo OWASP para la seguridad en IoT.
- Proporciona pautas detalladas para redactar estándares de seguridad en IoT para una organización.
Público objetivo
Ingenieros, gerentes y expertos en seguridad encargados de desarrollar proyectos de IoT o de auditar y revisar riesgos de seguridad.
21 Horas
Testimonios (1)
Lo amable que fue el formador. La flexibilidad y la respuesta a mis preguntas.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Curso - IoT Security
Traducción Automática
