Está en la página 1de 8

Packet Tracer: modelado de amenazas para evaluar el riesgo en un

sistema de IoT
Topología
Este es un sistema de IoT doméstico que se ha creado un prototipo en Packet Tracer. Muestra una vista en
corte de una casa con diferentes sensores, actuadores y conexiones que se muestran.

Objetivos
Parte 1: Creación de un diagrama de flujo de datos del sistema IoT doméstico
Parte 2: Creación de una evaluación de riesgos con DREAD
Parte 3: Selección de una respuesta al riesgo para los riesgos calificados
Parte 4: Consideración de estrategias de mitigación de riesgos

 2018 - 2020Cisco y / o sus afiliadas. Todos los derechos reservados. Cisco Public Página 1 de www.netacad.com
Packet Tracer: modelado de amenazas para evaluar el riesgo en un sistema de IoT

Recursos necesarios
 Packet Tracer 7.1 o posterior

Antecedentes / Escenario
En este Packet Tracer, completará su modelo de amenazas del sistema de automatización del hogar IoT con
el que ha trabajado en capítulos anteriores. Ahora que ha trabajado con las tres capas de la superficie de
ataque de IoT, puede crear un diagrama de flujo de datos básico del sistema. Esto le ayudará a comprender
el sistema a nivel funcional y crear límites de confianza que ayudarán a comprender los riesgos de
seguridad. Normalmente, el diagrama de flujo de datos se completará en el Paso 2 del proceso de modelado
de amenazas. Sin embargo, debido a la estructura de este curso, debe hacerlo más tarde, una vez que se
hayan completado todos los inventarios de activos de las tres capas de la superficie de ataque.
Utilizará sus tablas STRIDE de las capas físicas, de comunicación y de aplicación de la superficie de ataque
de IoT y aplicará el modelo DREAD para crear métricas de riesgo para algunas de las amenazas.
Normalmente, un modelo de amenazas incluiría métricas de riesgo para todas las amenazas relevantes que
se han identificado, sin embargo, por cuestiones de tiempo, trabajará solo con algunas de ellas.
Después de crear las métricas de riesgo, decidirá cómo responder a los riesgos utilizando el modelo de
respuesta al riesgo de las cuatro Ts.

Part 1: Creación de un diagrama de flujo de datos del sistema de IoT


doméstico
Ha completado sus inventarios de activos en Packet Tracers anteriores. También ha completado diagramas
de la red física, incluidas las conexiones entre dispositivos y los tipos de protocolos en uso. Ahora necesita
crear un diagrama de flujo de datos de alto nivel. Este proceso está adaptado delArquitectura de seguridad
de Microsoft IoT.
Siga el diagrama de flujo de datos del modelo y proceso proporcionado en el contenido del curso y haga
lo siguiente:
a. Piense en las posibles zonas del sistema. Cree una zona para los sensores y actuadores, el dispositivo
de infraestructura de comunicación y la aplicación en la nube. Piense en los procesos y almacenes de
datos que podrían existir como servicios en la nube. Conecte estas zonas con flechas para indicar el
tipo de comunicación entre ellas.
b. ¿Qué entidades externas acceden al sistema? Agregue las entidades y líneas para conectarlas a las
zonas a las que tienen acceso y al sistema al que acceden. Piense en los tipos de aplicaciones y
protocolos que utiliza cada uno, así como en las funciones descritas en Packet Tracers anteriores.
c. Dibuja límites de confianza. Siga la definición de límites de confianza proporcionada en el curso.

Part 2: Creación de una evaluación de riesgos con DREAD


En los tres Packet Tracers de modelado de amenazas anteriores, creó inventarios de dispositivos e identificó
vulnerabilidades en ellos utilizando el modelo STRIDE. El siguiente paso es utilizar un mecanismo de
puntuación que le permita determinar y priorizar el riesgo. El sistema DREAD le permite hacer esto mediante
la creación de una métrica de riesgo compuesta que consta de puntajes para las cinco categorías de riesgo
DREAD:
 repotencial de daño - ¿Cuál es el grado de impacto en los activos de la organización? (1 = impacto bajo,
3 = impacto alto)
 Reproducibilidad: ¿con qué facilidad pueden reproducir el ataque varios actores de amenazas? (siempre
3 - fácil)
 miExplotación: ¿qué tan fácil es ejecutar el ataque? (1 = difícil, 3 = fácil)

 2018 - 2020Cisco y / o sus afiliadas. Todos los derechos reservados. Cisco Public Página 2 de www.netacad.com
 UNAUsuarios afectados: ¿Quiénes y cuántos usuarios se verán afectados? (1 = pocos, 3 = muchos)
 reiscoverability - ¿Con qué facilidad se puede encontrar la vulnerabilidad? (siempre 3 - fácil)
Para los propósitos de este Packet Tracer, realice las siguientes suposiciones. Primero, debido a que se trata
de un sistema domótico, suponga que todos los miembros de la familia que viven en el hogar se verán
afectados por cualquier exploit. Además, se recomienda que las métricas de reproducibilidad y
descubrimiento siempre se califiquen como altas. Por lo tanto, las métricas de reproducibilidad, usuarios
afectados y descubrimiento ya se han calificado como 3 para todas las vulnerabilidades.
En una evaluación de riesgo real, la métrica A no se supondría que sea 3. Sin embargo, se recomienda que
R y la segunda D siempre se califiquen como 3.
a. Utilice la siguiente tabla para calificar las amenazas descubiertas anteriormente de acuerdo con la
explicación de puntuación que se muestra arriba. Normalmente, se clasificarían todas las amenazas
identificadas relevantes. Sin embargo, para los propósitos de este Packet Tracer, puede elegir
varias
amenazas de cada uno de los tres elementos de la superficie de ataque de IoT que hemos discutido en
este curso.

Superficie de ataque y amenaza r R mi UN r Tota


e A e l
Hacerse pasar por alguien que no es, smarphone

3 3 3 15
3 3
Hacerse pasar por alguien que no es, smarphone

3 1 13
3 3 3
Inyectar con éxito datos falsificados en el sistema
3 1 13
3
3 3
Fingir que realizó una transacción o operacion, MCU
2 2 13
3 3 3
Apagar los dispositivo o dañar dispositivos, MCU
3 3 15
3 3 3
Acceder a privilegios recursos destinados solo a
administradores o superusuarios 3 3 15
3 3 3
Cables fraudulentos, Splitter Coaxial
1 3 13
3 3 3
Extensiones de navegador maliciosas, Tablet o
Smartphone 1 3 13
3 3 3
Actualizaciones falsas, Home gateway
1 1 13
3 3 3
Programas y archivos descargados de Internet son
una fuente de amenaza muy importante 3 2 14
3 3 3
¨Routers¨ con seguridad domotica
1 1 11
3 3 3
b. Ordene los riesgos de la métrica DREAD de mayor a menor y estime la probabilidad de que ocurra
el riesgo. Haga esto copiando los riesgos o marcando la tabla que completó anteriormente. Califique
la probabilidad como 1 para improbable y 3 para muy probable.

Probabili
Superficie de ataque y amenaza Tota da d
l
Hacerse pasar por alguien que no es, smarphone
15 3

Apagar los dispositivo o dañar dispositivos, MCU


15 3

Acceder a privilegios recursos destinados solo a


administradores o superusuarios, Modem 15 3

Programas y archivos descargados de Internet son


una fuente de amenaza muy importante 14 2

Inyectar con éxito datos falsificados en el sistema


13 2

Extensiones de navegador maliciosas, Tablet o


Smartphone 13 3

Routers¨ con seguridad domótica


11 3
Part 3: Selección de una respuesta al riesgo para los riesgos calificados
Consulte los cuatro tratamientos de riesgo en el gráfico siguiente o en la versión PDF de estas instrucciones
de Packet Tracer. De acuerdo con sus calificaciones y probabilidades de riesgo, decida cómo deben
manejarse los riesgos.
Respuesta a
Amena los
za riesgos
Esto se lleva a cabo desde el punto de vista de el Centrado en el
atacante. ataque

Esto se enfoca en clasificar activos y asignar valor Centrado en activos


para ellos.

Estos permiten que los datos del sensor se envíen a IoT gateways
través del Red IP También pueden permitir controlar el
tráfico a los actuadores.

Analiza el sistema de arquitectura para identificar Centrado en la


amenazas a diferentes elementos. defensa

Hackers y predadores Centrado en el


ataque

Estos permiten la supervisión y el control del usuario. Aplicaciones


desde ubicaciones remotas. mobiles

¿Qué otros factores deben tenerse en cuenta al realizar una determinación de respuesta al riesgo además
de la clasificación y probabilidad del riesgo?

Existen algunos riesgos que podríamos considerar como falsificación y manipulación


Part 4: Consideración de estrategias de mitigación de riesgos
Finalmente, cualquier riesgo que se haya identificado con una respuesta de "tratamiento" debe mitigarse.

Respue
sta a los
Amena riesgos Estrategia de mitigación
za
Virus de computadoras Centrado Antivirus
en
defensa

Suplantación de identidad Centrado Asegurar cuentas y contraseñas


en el
ataque

Amenazas de software espía Centrado Antivirus una forma de mitigar


en el
ataque

También podría gustarte