코스 개요

1차, 2차 세션: IoT 아키텍처의 기본 및 고급 보안 개념

  • IoT 기술의 발전사 간략한 소개
  • IoT 시스템의 데이터 모델 - 센서, 액추에이터, 디바이스, 게이트웨이, 통신 프로토콜의 정의 및 아키텍처
  • 서드파티 디바이스와 벤더 공급망 관련 위험
  • 기술 생태계 - 디바이스 제공자, 게이트웨이 제공자, 분석 제공자, 플랫폼 제공자, 시스템 통합자 - 각 제공자와 관련된 위험
  • 엣지 기반 분산 IoT vs 클라우드 기반 중앙 집중식 IoT: 장점과 위험 평가
  • IoT 시스템의 관리 계층 - 플릿 관리, 자산 관리, 센서 등록/해제, 디지털 트윈. 관리 계층의 권한 부여 위험
  • AWS, Microsoft Azure 및 기타 플릿 관리자들의 IoT 관리 시스템 데모
  • 인기 있는 IoT 통신 프로토콜 소개 - Zigbee/NB-IoT/5G/LORA/Witespec - 통신 프로토콜 계층의 취약점 검토
  • 위험 관리에 대한 검토를 포함한 IoT 전체 기술 스택 이해

3차 세션: IoT의 모든 위험 및 보안 이슈 체크리스트

  • 펌웨어 패치 - IoT의 약점
  • IoT 통신 프로토콜 보안 검토 - 운송 계층(NB-IoT, 4G, 5G, LORA, Zigbee 등) 및 응용 계층(MQTT, Web Socket 등)
  • API 엔드포인트의 취약점 - IoT 아키텍처에서 가능한 모든 API 목록
  • 게이트웨이 디바이스 및 서비스의 취약점
  • 연결된 센서 - 게이트웨이 통신의 취약점
  • 게이트웨이-서버 통신의 취약점
  • 클라우드 데이터베이스 서비스의 취약점
  • 응용 계층의 취약점
  • 게이트웨이 관리 서비스(로컬 및 클라우드 기반)의 취약점
  • 엣지 및 비엣지 아키텍처에서 로그 관리 위험

4차 세션: OSASP IoT 보안 모델, 상위 10개 보안 위험

  • I1 불완전한 웹 인터페이스
  • I2 부족한 인증/권한 부여
  • I3 불완전한 네트워크 서비스
  • I4 전송 암호화 부족
  • I5 프라이버시 우려
  • I6 불완전한 클라우드 인터페이스
  • I7 불완전한 모바일 인터페이스
  • I8 보안 구성 부족
  • I9 불완전한 소프트웨어/펌웨어
  • I10 불량한 물리적 보안

5차 세션: AWS-IoT 및 Azure IoT 보안 원칙 검토 및 데모

  • Microsoft Threat Model - STRIDE

STRIDE 모델의 세부사항

  • 디바이스, 게이트웨이 및 서버 통신 보안 - 비대칭 암호화
  • 공개 키 배포를 위한 X.509 인증서
  • SAS 키
  • 대규모 OTA 위험 및 기술
  • 애플리케이션 포털의 API 보안
  • 시스템에서 부정 디바이스 비활성화 및 연결 해제
  • AWS/Azure 보안 원칙의 취약점

6차 세션: 진화하는 NIST 표준/권장 사항 검토

IoT 보안을 위한 NISTIR 8228 표준 검토 - 30개 위험 고려 모델

서드파티 디바이스 통합 및 식별

  • 서비스 식별 및 추적
  • 하드웨어 식별 및 추적
  • 통신 세션 식별
  • 관리 거래 식별 및 로그 기록
  • 로그 관리 및 추적

7차 세션: 펌웨어/디바이스 보안

펌웨어 디버깅 모드 보안

하드웨어 물리적 보안

  • 하드웨어 암호화 - PUF(물리적으로 복제 불가능한 기능) - EPROM 보안
  • 공개 PUF, PPUF
  • 나노 PUF
  • 펌웨어에서 알려진 악성코드 분류(18가족, YARA 규칙에 따라)
  • 인기 있는 펌웨어 악성코드 연구 - MIRAI, BrickerBot, GoScanSSH, Hydra 등

8차 세션: IoT 공격 사례 연구

  • 2016년 10월 21일, Dyn DNS 서버를 대상으로 한 대규모 DDoS 공격이 발생하여 Twitter 등 많은 웹 서비스가 중단되었습니다. 해커들은 웹캠과 다른 IoT 디바이스의 기본 비밀번호와 사용자 이름을 이용하여 Mirai 봇넷을 설치했습니다. 이 공격에 대한 상세한 연구가 진행될 예정입니다.
  • IP 카메라는 버퍼 오버플로우 공격으로 해킹될 수 있습니다.
  • Philips Hue 전구는 ZigBee 링크 프로토콜을 통해 해킹되었습니다.
  • SQL 인젝션 공격은 Belkin IoT 디바이스에 효과적이었습니다.
  • 크로스 사이트 스크립팅(XSS) 공격은 Belkin WeMo 앱을 통해 앱이 접근할 수 있는 데이터와 리소스를 이용했습니다.

9차 세션: 분산형 IoT 보안 - 블록체인 및 DAG(IOTA) [3시간]

분산원장 기술 - DAG 원장, Hyper Ledger, 블록체인

PoW, PoS, Tangle - 합의 방법 비교

  • 블록체인, DAG 및 Hyperledger 간 차이 - 작동 방식, 성능, 분산화 측면에서 비교
  • 다양한 DLT 시스템의 실시간, 오프라인 성능
  • P2P 네트워크, 개인 키 및 공개 키 기본 개념
  • 분산원장 시스템의 실제 구현 방법 - 일부 연구 아키텍처 검토
  • IoT를 위한 IOTA 및 Tangle DLT
  • 스마트시티, 스마트머신, 스마트카 등의 실제 적용 사례

10차 세션: IoT 보안의 최선의 아키텍처

  • 게이트웨이에서 모든 서비스 추적 및 식별
  • MAC 주소 대신 패키지 ID 사용
  • 디바이스의 계층적 식별 - 보드 ID, 디바이스 ID, 패키지 ID
  • 서비스 ID에 맞춰 펌웨어 패치 구조화
  • EPROM을 위한 PUF
  • 두 단계 인증으로 IoT 관리 포털/애플리케이션의 위험 보안
  • 모든 API 보안 - API 테스트 및 API 관리 정의
  • 로지스틱 공급망에서 동일한 보안 원칙 식별 및 통합
  • IoT 통신 프로토콜의 패치 취약성 최소화

11차 세션: 조직을 위한 IoT 보안 정책 초안 작성

  • IoT 보안 용어 및 긴장 관계 정의
  • 인증, 식별, 권한 부여에 대한 최선의 방법 제안
  • 중요한 자산 식별 및 순위 결정
  • 응용 프로그램을 위한 보안 영역 및 격리 식별
  • 중요한 자산, 정보, 개인 데이터 보호를 위한 정책

요건

  • 기본적인 디바이스, 전자 시스템, 데이터 시스템 지식
  • 소프트웨어와 시스템에 대한 기본 이해
  • 통계학(Excel 수준)에 대한 기본 이해
  • 통신 산업 지식

요약

  • IoT 보안의 최신 기술을 다루는 고급 교육 프로그램
  • 펌웨어, 미들웨어, IoT 통신 프로토콜의 모든 측면의 보안을 다룹니다.
  • IoT 표준, 진화 및 미래에 대해 깊이 이해하지 못한 사람들에게 IoT 도메인에서의 다양한 보안 이니셔티브를 360도로 제공합니다.
  • 펌웨어, 무선 통신 프로토콜, 디바이스-클라우드 통신 등의 보안 취약점에 대한 깊은 분석
  • IoT 시스템 및 그 구성 요소의 보안 인식을 위한 다양한 기술 영역을 아우르는 내용
  • 게이트웨이, 센서, IoT 애플리케이션 클라우드 등의 보안 측면에 대한 실시간 데모
  • 현재 및 제안된 NIST 표준의 30개 주요 위험 고려 사항 설명
  • OSWAP IoT 보안 모델
  • 조직을 위한 IoT 보안 표준 초안 작성 가이드라인 제공

대상청중 

IoT 프로젝트 개발 또는 보안 위험 평가를 담당하는 엔지니어/매니저/보안 전문가

 21 시간

참가자 수


참가자당 가격

회원 평가 (1)

예정된 코스

관련 카테고리