Plan du cours
Session 1 & 2 : Concepts de base et avancés de l'architecture de l'IoT sous l'angle de la sécurité
- Brève histoire de l'évolution des technologies IoT
 - Modèles de données dans le système IoT – définition et architecture des capteurs, actionneurs, appareils, passerelles, protocoles de communication
 - Appareils tiers et risques associés à la chaîne d'approvisionnement des fournisseurs
 - Écosystème technologique – fournisseurs d'appareils, de passerelles, d'analyse, de plateformes, intégrateurs de systèmes - risques associés à tous les fournisseurs
 - IoT distribué au niveau du bord (edge) vs IoT centralisé dans le cloud : avantages et évaluation des risques
 - Couches de gestion dans le système IoT – gestion de flotte, gestion d'actifs, onboarding/déboarding de capteurs, jumeaux numériques. Risques d'autorisations dans les couches de gestion
 - Démonstration des systèmes de gestion IoT AWS, Microsoft Azure et autres gestionnaires de flotte
 - Introduction aux protocoles de communication IoT populaires – Zigbee/NB-IoT/5G/LORA/Witespec – examen des vulnérabilités dans les couches de protocoles de communication
 - Compréhension de la pile technologique complète de l'IoT avec un examen de la gestion des risques
 
Session 3 : Liste de tous les risques et problèmes de sécurité en IoT
- Mise à jour du micrologiciel – le point faible de l'IoT
 - Examen détaillé de la sécurité des protocoles de communication IoT – Couches de transport (NB-IoT, 4G, 5G, LORA, Zigbee etc.) et couches d'application – MQTT, Web Socket etc.
 - Vulnérabilité des points de terminaison API – liste de tous les points de terminaison API possibles dans l'architecture IoT
 - Vulnérabilité des appareils et services de passerelle
 - Vulnérabilité des capteurs connectés – communication avec la passerelle
 - Vulnérabilité de la communication entre la passerelle et le serveur
 - Vulnérabilité des services de base de données cloud en IoT
 - Vulnérabilité des couches d'application
 - Vulnérabilité du service de gestion de la passerelle – local et basé sur le cloud
 - Risques de gestion des journaux dans l'architecture avec et sans bord (edge)
 
Session 4 : Modèle OSASP de sécurité de l'IoT, Top 10 des risques de sécurité
- I1 Interface Web non sécurisée
 - I2 Authentification/Autorisation insuffisante
 - I3 Services réseau non sécurisés
 - I4 Manque de cryptage du transport
 - I5 Préoccupations liées à la vie privée
 - I6 Interface Cloud non sécurisée
 - I7 Interface Mobile non sécurisée
 - I8 Configurabilité de sécurité insuffisante
 - I9 Micrologiciel/Logiciel non sécurisé
 - I10 Sécurité physique médiocre
 
Session 5 : Examen et démonstration des principes de sécurité AWS-IoT et Azure IoT
- Modèle de menace Microsoft – STRIDE
 
Détails du modèle STRIDE
- Sécurité de la communication entre le périphérique, la passerelle et le serveur – cryptage asymétrique
 - Certification X.509 pour la distribution des clés publiques
 - Clés SAS
 - Risques et techniques de mise à jour massive OTA
 - Sécurité API pour les portails d'application
 - Désactivation et déconnexion des appareils malveillants du système
 - Vulnérabilité des principes de sécurité AWS/Azure
 
Session 6 : Examen des normes/recommandations évoluant de NIST pour l'IoT
Examen de la norme NISTIR 8228 pour la sécurité de l'IoT – modèle de considération de risques à 30 points
Intégration et identification d'appareils tiers
- Identification et suivi des services
 - Identification et suivi du matériel
 - Identification de la session de communication
 - Identification et enregistrement des transactions de gestion
 - Gestion des journaux et suivi
 
Session 7 : Sécurisation du micrologiciel/appareil
Sécurisation du mode de débogage dans un micrologiciel
Sécurité physique du matériel
- Cryptographie matérielle – PUF (Fonction physiquement incontournable) - sécurisation de l'EPROM
 - PUF public, PPUF
 - Nano PUF
 - Classification connue des malwares dans le micrologiciel (18 familles selon la règle YARA)
 - Étude de certains malwares populaires du micrologiciel – MIRAI, BrickerBot, GoScanSSH, Hydra etc.
 
Session 8 : Études de cas d'attaques IoT
- Le 21 octobre 2016, une grande attaque DDoS a été déployée contre les serveurs Dyn DNS et a fermé de nombreux services web, y compris Twitter. Les hackers ont exploité des mots de passe et noms d'utilisateur par défaut de caméras et autres appareils IoT, et installé le botnet Mirai sur des appareils IoT compromis. Cette attaque sera étudiée en détail
 - Les caméras IP peuvent être piratées via des attaques de dépassement de tampon
 - Les ampoules Philips Hue ont été piratées via leur protocole ZigBee
 - Des attaques par injection SQL ont été efficaces contre les appareils IoT Belkin
 - Des attaques de script intersite (XSS) qui ont exploité l'application WeMo Belkin et accédé aux données et ressources que l'application peut accéder
 
Session 9 : Sécurisation de l'IoT distribué via les registres distribués – Blockchain et DAG (IOTA) [3 heures]
Technologie des registres distribués – Ledger DAG, Hyper Ledger, Blockchain
PoW, PoS, Tangle – comparaison des méthodes de consensus
- Différences entre Blockchain, DAG et Hyperledger – comparaison de leur fonctionnement vs performance vs décentralisation
 - Performance en temps réel, hors ligne des différents systèmes DLT
 - Réseau P2P, Clés privées et publiques – concepts de base
 - Comment les systèmes de registre sont mis en œuvre pratiquement – revue de certaines architectures de recherche
 - IOTA et Tangle – DLT pour l'IoT
 - Exemples d'applications pratiques dans les villes intelligentes, machines intelligentes, voitures intelligentes
 
Session 10 : Meilleure pratique d'architecture pour la sécurité de l'IoT
- Suivi et identification de tous les services dans les passerelles
 - Ne pas utiliser l'adresse MAC – utilisez plutôt un identifiant de paquet
 - Utilisez une hiérarchie d'identification pour les appareils – ID de carte, ID d'appareil et ID de paquet
 - Structurez la mise à jour du micrologiciel en périphérie et conformez-vous à l'ID de service
 - PUF pour EPROM
 - Sécurisez les risques des portails/applications de gestion IoT par deux couches d'authentification
 - Sécurisez toutes les API – définissez le test et la gestion des API
 - Identification et intégration du même principe de sécurité dans la chaîne logistique d'approvisionnement
 - Minimisez les vulnérabilités de mise à jour des protocoles de communication IoT
 
Session 11 : Rédaction d'une politique de sécurité IoT pour votre organisation
- Définir le lexique de la sécurité de l'IoT / Tensions
 - Suggérer les meilleures pratiques pour l'authentification, l'identification et l'autorisation
 - Identification et classement des actifs critiques
 - Identification des périmètres et de l'isolation pour les applications
 - Politique pour sécuriser les actifs, informations et données privées critiques
 
Pré requis
- Connaissances de base des appareils, systèmes électroniques et systèmes de données
 - Compréhension de base du logiciel et des systèmes
 - Connaissance de base des statistiques (niveau Excel)
 - Compréhension des secteurs de télécommunication
 
Résumé
- Un programme de formation avancée couvrant l'état actuel de la sécurité de l'Internet des Objets
 - Couvre tous les aspects de la sécurité du micrologiciel, du middleware et des protocoles de communication IoT
 - Le cours offre une vue à 360 degrés de toutes les initiatives de sécurité dans le domaine de l'IoT pour ceux qui ne sont pas familiers avec les normes, l'évolution et l'avenir de l'IoT
 - Étude approfondie des vulnérabilités de sécurité du micrologiciel, des protocoles de communication sans fil, de la communication appareil-à-cloud.
 - Couvre plusieurs domaines technologiques pour développer une prise de conscience de la sécurité dans les systèmes IoT et leurs composants
 - Démonstration en direct de certains aspects de la sécurité des passerelles, capteurs et applications cloud IoT
 - Le cours explique également 30 principes de risques considérés dans les normes actuelles et proposées par NIST pour la sécurité de l'IoT
 - Modèle OSWAP pour la sécurité de l'IoT
 - Fournit des lignes directrices détaillées pour rédiger des normes de sécurité IoT pour une organisation
 
Public cible
Ingénieurs/managers/experts en sécurité qui sont chargés de développer des projets IoT ou d'auditer/examiner les risques de sécurité.
Nos clients témoignent (1)
Combien le formateur était sympathique. La flexibilité et la réponse à mes questions.
Saed El-kayed - International Committee of the Red Cross (ICRC)
Formation - IoT Security
Traduction automatique