Bienvenida al curso

Bienvenido a OWASP IoT Top 10. En octubre de 2016, la botnet Mirai dejó fuera de línea durante horas a Dyn, un proveedor de DNS, y con él a muchos sitios conocidos que dependían de su servicio. No necesitó ninguna vulnerabilidad sofisticada. Recorría internet probando por Telnet una lista corta de usuarios y contraseñas de fábrica, del estilo admin y admin, y así reunió cientos de miles de cámaras y grabadores de video.

Un caso típico, inventado: la cámara que vigila la caja de una soda en Cartago la instaló el sobrino de la dueña hace cuatro años, con la contraseña de la etiqueta, y comparte el Wi-Fi con la computadora donde se cobra por SINPE. Es una computadora pequeña, sin actualizaciones y con la puerta abierta. Este curso le enseña a encontrarla en su propia red, calificarla y decidir qué hacer con ella.

Qué va a lograr

• Explicar qué es el internet de las cosas, qué es el OWASP IoT Top 10 y por qué un dispositivo es parte de un ecosistema de aparato, app, nube y red.
• Reconocer cada riesgo, de I1 a I10, en ejemplos de código, configuración y casos públicos.
• Hacer el inventario de su red y calificar cada dispositivo según contraseñas, actualizaciones y soporte.
• Contener los equipos que no se pueden corregir separándolos en una red propia y comprobar el aislamiento.
• Observar con Wireshark qué envía un dispositivo propio y si lo cifra.
• Redactar hallazgos claros y un informe de evaluación que alguien pueda ejecutar.

Para quién es y qué necesita

Para quien administra la tecnología de una casa o una pyme, compra equipos conectados o empieza a desarrollar para IoT. Conviene haber hecho Redes para ciberseguridad, porque se habla de direcciones IP, puertos y protocolos. Necesita acceso a la página de administración de su router, una computadora donde pueda instalar Wireshark y Python 3, y algunos dispositivos conectados propios. Si no tiene ninguno, el celular y la televisión cuentan.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Puertas de entrada	Qué es IoT y el Top 10; I1 contraseñas, I2 servicios e I9 configuración por defecto	Inventario de su red desde el router
2. Ecosistema y ciclo de vida	I3 interfaces, I4 actualización segura, I5 componentes y el SBOM con Syft y Grype	Revisar actualizaciones y contraseñas
3. Datos, gestión y hardware	I6 privacidad, I7 transferencia de datos y MQTT, I8 gestión, I10 endurecimiento físico	Segmentar con la red de invitados y analizar tráfico con Wireshark
4. Llevarlo al trabajo	Checklist, herramientas defensivas, ciclo de desarrollo, reporte y conclusión	Informe de evaluación IoT
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Antes del primer laboratorio, consiga la contraseña de administración de su router: suele estar en la etiqueta o la tiene su proveedor de internet. Sin ella no avanza. La tabla de inventario que arma en ese laboratorio crece en los otros cuatro y termina convertida en su informe final, así que hágalos en orden y guárdela.

El de la red de invitados es el que más molesta, porque cada equipo que cambia de red hay que volver a configurarlo desde su app; tenga el celular a mano. Al aprobar la evaluación final con 70 % recibe el certificado y la insignia.

Tiempo estimado

Unas 5 horas. Deje una sesión entera para el laboratorio de Wireshark y otra para el informe.