课程大纲

第1&2节:从安全角度介绍物联网架构的基本和高级概念

  • 物联网技术演变的简要历史
  • 物联网系统中的数据模型——传感器、执行器、设备、网关、通信协议的定义和架构
  • 第三方设备及与供应商供应链相关的风险
  • 技术生态系统——设备提供商、网关提供商、分析提供商、平台提供商、系统集成商——所有提供商的相关风险
  • 边缘驱动的分布式物联网与云驱动的集中式物联网:优势与风险评估
  • 物联网系统中的管理层——车队管理、资产管理、传感器的上/下线、数字孪生。管理层中的授权风险
  • 演示物联网管理系统AWS、微软Azure和其他车队管理器
  • 介绍流行的物联网通信协议——Zigbee/NB-IoT/5G/LORA/Witespec——通信协议层的漏洞回顾
  • 理解物联网的整个技术栈并进行风险管理回顾

第3节:物联网中所有风险和安全问题的检查表

  • 固件补丁——物联网的软肋
  • 详细回顾物联网通信协议的安全性——传输层(NB-IoT、4G、5G、LORA、Zigbee等)和应用层——MQTT、Web Socket等
  • API端点的漏洞——物联网架构中所有可能的API列表
  • 网关设备和服务的漏洞
  • 连接传感器的漏洞——网关通信
  • 网关与服务器通信的漏洞
  • 物联网中云数据库服务的漏洞
  • 应用层的漏洞
  • 网关管理服务的漏洞——本地和基于云的
  • 边缘和非边缘架构中的日志管理风险

第4节:OSASP物联网安全模型,十大安全风险

  • I1 不安全的Web界面
  • I2 认证/授权不足
  • I3 不安全的网络服务
  • I4 缺乏传输加密
  • I5 隐私问题
  • I6 不安全的云界面
  • I7 不安全的移动界面
  • I8 安全配置不足
  • I9 不安全的软件/固件
  • I10 物理安全薄弱

第5节:AWS物联网和Azure物联网安全原则的回顾与演示

  • 微软威胁模型——STRIDE

STRIDE模型的详细信息

  • 安全设备与网关和服务器通信——非对称加密
  • 用于公钥分发的X.509证书
  • SAS密钥
  • 批量OTA风险和技术
  • 应用门户的API安全
  • 从系统中停用和断开恶意设备
  • AWS/Azure安全原则的漏洞

第6节:NIST物联网标准的演变与建议回顾

回顾NISTIR 8228物联网安全标准——30点风险考虑模型

第三方设备集成与识别

  • 服务识别与跟踪
  • 硬件识别与跟踪
  • 通信会话识别
  • 管理事务识别与日志记录
  • 日志管理与跟踪

第7节:固件/设备安全

固件中调试模式的安全

硬件的物理安全

  • 硬件加密——PUF(物理不可克隆功能)——保护EPROM
  • 公共PUF,PPUF
  • 纳米PUF
  • 固件中已知的恶意软件分类(根据YARA规则的18个家族)
  • 研究一些流行的固件恶意软件——MIRAI、BrickerBot、GoScanSSH、Hydra等

第8节:物联网攻击案例分析

  • 2016年10月21日,针对Dyn DNS服务器的大规模DDoS攻击导致包括Twitter在内的许多网络服务瘫痪。黑客利用网络摄像头和其他物联网设备的默认用户名和密码,在被入侵的物联网设备上安装了Mirai僵尸网络。将详细研究这次攻击
  • IP摄像头可以通过缓冲区溢出攻击被黑客入侵
  • 飞利浦Hue灯泡通过其ZigBee链路协议被黑客入侵
  • SQL注入攻击对Belkin物联网设备有效
  • 跨站脚本(XSS)攻击利用Belkin WeMo应用程序访问数据及其可访问的资源

第9节:通过分布式账本技术保护分布式物联网——区块链和DAG(IOTA)[3小时]

分布式账本技术——DAG账本、超级账本、区块链

PoW、PoS、Tangle——共识方法的比较

  • 区块链、DAG和超级账本的区别——工作方式、性能与去中心化的比较
  • 不同DLT系统的实时和离线性能
  • P2P网络、公钥和私钥的基本概念
  • 账本系统如何实际实施——回顾一些研究架构
  • IOTA和Tangle DLT在物联网中的应用
  • 来自智慧城市、智能机器、智能汽车的一些实际应用示例

第10节:物联网安全的最佳实践架构

  • 跟踪和识别网关中的所有服务
  • 不要使用MAC地址,改用包ID
  • 为设备使用识别层次结构——板ID、设备ID和包ID
  • 将固件补丁结构化到边界并符合服务ID
  • EPROM的PUF
  • 通过两层认证保护物联网管理门户/应用程序的风险
  • 保护所有API——定义API测试和API管理
  • 在物流供应链中识别并集成相同的安全原则
  • 最小化物联网通信协议的补丁漏洞

第11节:为组织起草物联网安全政策

  • 定义物联网安全/紧张关系的词汇表
  • 建议最佳认证、识别、授权实践
  • 关键资产的识别与排名
  • 边界的识别与应用的隔离
  • 保护关键资产、关键信息和隐私数据的政策

要求

  • 对设备、电子系统和数据系统有基本了解
  • 对软件和系统有基本理解
  • 对统计学有基本了解(Excel水平)
  • 理解通信垂直领域

总结

  • 一个高级培训课程,涵盖物联网当前的最先进安全技术
  • 涵盖固件、中间件和物联网通信协议的所有安全方面
  • 该课程为那些不熟悉物联网标准、发展和未来的人提供了物联网安全领域的全方位视角
  • 深入探讨固件、无线通信协议、设备到云通信中的安全漏洞
  • 跨越多个技术领域,提高对物联网系统及其组件安全性的认识
  • 演示网关、传感器和物联网应用云的部分安全特性
  • 该课程还解释了当前和拟议的NIST物联网安全标准的30个主要风险考虑因素
  • OSWAP物联网安全模型
  • 提供制定组织物联网安全标准的详细指南

目标受众 

工程师/经理/安全专家,负责开发物联网项目或审核/评估安全风险。

 21 小时

客户评论 (1)

即将举行的公开课程

课程分类