Как казачета получават сертификат GICSP

Здравейте на всички! На любимия портал имаше много различни статии по сертификация в областта на ИБ, така че не планирам да претендирам за оригиналност и уникалност на съдържанието, но все пак бих искал да споделя опита си от получаването на сертификация GIAC (Global Information Assurance Company) в областта на индустриалната киберсигурност. От времето на появата на толкова страшни думи като Stuxnet, Duqu, Shamoon, Triton, постепенно се разви пазар за услуги от специалисти, които сякаш са ИТ, но също така могат да пренастроят PLC с конфигурации на ladder и при това заводът да не спре.

Така в света се появи понятието IT&OT (Информационни технологии и Операционни технологии).

След това, (разбира се, не може да се допуска работа на неквалифицирани кадри) възникна необходимостта от сертифициране на специалисти в областта, свързана с осигуряването на сигурността на АСУТП, индустриални системи – които, оказа се, са много в нашия живот, от автоматичен клапан за подаване на вода у дома до системи за управление на самолети (нека си припомним прекрасната статия за разследване на проблемите Boeing). И дори, както изненадващо се оказа – сложна медицинска апаратура.

Няколко лични думи за това как стигнах до необходимостта от сертификация (можете да пропуснете): Завършвайки през края на нулевите години в факултета по защита на информацията, с гордо вдигната глава влязох в редиците на КИП-овците, работейки като техник по слаботокови системи за охрана. Някак си ИБ ми казаха на фирмата по това време :) Така започна кариерата ми като АСУ-тпшник с бакалавърска диплома по ИБ. След шест години, достигайки до началник на отдела за SCADA системи, се преместих да работя като консултант за сигурност на индустриални системи за управление в чуждестранна софтуерна и оборудване компания. Тук наистина се появи необходимостта да бъдеш сертифициран ИБ специалист.

GIAC е разработка на SANS организация, която се занимава с провеждане на тренинги и сертификация на специалисти по информационна сигурност. Репутацията на сертификата от GIAC е много висока сред специалистите и поръчителите на пазарите EMEA, САЩ и Азиатско-тихоокеанския регион. При нас, в постсъветското пространство и в страните от ОНД, такъв сертификат могат да изискват само чуждестранни компании, които имат бизнес в нашите страни, международни и консултантски агенции. Лично аз никога не съм се сблъсквал с искане за наличие на подобна сертификация от местни компании. Всички основно питат за CISSP. Това е моето субективно мнение и ако някой сподели своя опит в коментарите – ще бъде интересно да се научи.

В SANS са достатъчно различни направления (на мое мнение, напоследък момчетата твърде много разшириха техния брой), но има и много интересни практични курсове. Особено ми хареса NetWars. Но разказът ще бъде за курса ICS410: ICS/SCADA Security Essentials и сертификата с наименование: Global Industrial Cyber Security Professional (GICSP).

От всички предлагани сертификации по индустриална киберсигурност от SANS, тази е най-универсалната. Тъй като втората е в по-голяма степен свързана с системите Power Grid, на които на Запад се уделя отделно внимание и те са част от обособен клас системи. А третата (в момента на моя път към сертификация) беше свързана с реакция при инциденти.
Курсът не е евтин, но предлага доста обширни знания както по IT, така и по OT. Особено ще бъде полезен за тези, които решават да променят сферата си например от ИТ сигурност в банковия сектор към индустриална киберсигурност. Тъй като вече имах опит в областта на АСУТП, КИП и оперативни технологии, за мен нямаше нещо принципиално ново или жизненоважно в този курс.

Курсът се състои от 50% теория и 50% практика. От практическите дейности най-интересен беше контестът – NetWars. През две дни, след основния курс, всички студенти се разделяха на отбори и изпълняваха задачи, свързани с получаване на права на достъп, извличане на необходима информация, получаване на достъп до мрежата, множество задачи по разбиване на хешове, работа с Wireshark и всякакви различни допълнителни активности.

Курсът съдържа кратко резюме под формата на книги, които след това получавате за постоянно ползване. Между другото, можете да ги вземете и на изпита, тъй като форматът е Open Book, но те не биха били много полезни, тъй като за изпита са отредени 3 часа, 115 въпроса, а езикът на изпита е английски. В течение на всичките 3 часа можете да вземете почивка от 15 минути. Но имайте предвид, че ако вземете почивка от 15 минути и се върнете към тестовете след 5 минути, просто губите останалите десет минути, тъй като не можете да спирате времето в тестовата програма. Може да пропуснете до 15 въпроса, които ще се появят в края.

Лично не препоръчвам да оставяте много въпроси за накрая, защото времето от 3 часа наистина е малко, а когато в края излязат още нерешени въпроси — шансът да не успеете е голям. Аз оставих „за после“ само три въпроса, които наистина ми бяха трудни, тъй като се отнасяха до познанията за стандарта NIST 800.82 и NERC. Психологически такива въпроси „за после“ влияят на нервите в последния момент — когато мозъкът ви е уморен, искате до тоалетна, а таймерът на екрана сякаш се ускорява в геометрична прогресия.

Общо взето, за да преминете теста, трябва да постигнете 71% верни отговори. Преди да вземете изпита, ще имате възможност да се упражнявате на реални тестове – тъй като в цената са включени 2 тренировъчни теста с по 115 въпроса и условия, аналогични на реалния изпит.

Препоръчвам да вземете изпита един месец след завършване на обучението, като прекарате този месец в систематични самостоятелни занимания по въпросите, по които не се чувствате уверени. Ще бъде добре, ако вземете печатните материали, получени на курса, които изглеждат като кратки тези по всяка от темите – и целенасочено търсите информация по темите, съдържащи се в тези книги. Разделете месеца на две части, извършвайки пробни тестове и получавайки представа за това – в кои въпроси сте силни и къде трябва да се подобрите.

Бих искал да подчертая следните основни направления, от които се състои самият изпит (не обучителният курс, тъй като той обхваща много по-широки теми):

1. Физическа безопасност: както и в другите сертификатни изпити, на този въпрос в GICSP се отделя достатъчно внимание. Срещат се въпроси относно видовете физически ключалки на вратите, описват се ситуации с подправяне на електронни пропуски, където трябва да се даде отговор на ясна идентификация на проблема. Попадат се въпроси, свързани с безопасността на технологията (процеса) в зависимост от предметната област – нефтогазови процеси, ядрени станции или електрически мрежи. Например, може да възникне въпрос от вида: Определете какъв тип контрол на физическата безопасност представлява ситуацията, когато идва аларма от сензора за температура на парата на HMI? Или въпрос от вида: Каква ситуация (събитие) ще послужи за причина да се проведе анализ на видеозаписите от камерите за наблюдение на периметралната безопасност на обекта?

   В процентно съотношение бих отбелязал, че броят на въпросите по този раздел на моя изпит и в пробните тестове не надвишаваше 5%.

2. Другата и една от най-масовите категории въпроси са въпросите по АСУТП, PLC, SCADA: тук ще е необходимо да се подходим систематично към изучаването на материали за това как са устроени системите за управление на технологични процеси, започвайки от сензорите и завършвайки със сървърите, където работи приложението. Достатъчно количество въпроси ще се срещнат относно видовете промишлени протоколи за предаване на данни (ModBus, RTU, Profibus, HART и др.). Ще има въпроси за това какво отличава RTU от PLC, как да се защитят данните в PLC от модификация от злонамерен хакер, в кои участъци от паметта PLC съхранява данните, а къде се пази самата логика (програмата написана от програмиста на АСУТП). Например, може да възникне въпрос от този тип: Дайте отговор как може да се открие атака между PLC и HMI, които работят по протокола ModBus?

   Ще се срещнат въпроси относно различията между системите SCADA и DCS. Голямо количество въпроси относно правилата за разделяне на мрежите на АСУТП на ниво L1, L2 от ниво L3 (по-подробно ще опиша в раздела с въпросите за мрежата). Ситуационните въпроси по тази тема също ще са разнообразни – описват ситуации в диспечерската и трябва да се изберат действия, които операторът на процеса или диспечерът трябва да предприеме.

   Общо взето, този раздел е най-специфичният и с тесен профил. Ще изисква от вас добри знания:
   — АСУП, полеви части (сензори, видове свързване на устройства, физически характеристики на сензорите, PLC, RTU);
   — системи за аварийна защита (ESD – система за спешно спиране) на процеси и обекти (между другото, в Хабра има отличен цикъл статии по тази тема от Vladimir_Sklyar)
   — базово разбиране на физическите процеси, които протичат например в нефтената преработка, производството на електрическа енергия, тръбопроводите и т.н.;
   — разбиране на архитектурата на DCS и SCADA системи;
   Бих отбелязал, че въпросите от този тип могат да представляват до 25% от общо 115 въпроса на изпита.

3. Мрежови технологии и мрежова сигурност: Смятам, че броят на въпросите по тази тема е на първо място в изпита. Вероятно ще има всичко – модел на OSI, на какви нива работи всеки протокол, множество въпроси по сегментация на мрежата, ситуационни въпроси по мрежови атаки, примери за логове на свързвания с предложение да се определи типът атака, примери за конфигурации на комутатори с предложение да се определи уязвимата конфигурация, въпроси за уязвимостите на мрежовите протоколи, въпроси относно спецификата на мрежовите свързвания на индустриалните комуникационни протоколи. Особено много се питат за ModBus. Структурата на мрежовите пакети на същия ModBus в зависимост от неговите разновидности и поддържаните версии от устройството. Голямо внимание се отделя на атаките срещу безжични мрежи – ZigBee, Wireless HART, просто въпроси за мрежовата сигурност на цялото семейство 802.1х. Ще има въпроси за правилата за разположение на определени сървъри в мрежата на АСУТП (тук трябва да се прочете стандарт IEC-62443 и да се разберат принципите на еталонните модели на мрежи АСУТП). Ще срещнете въпроси за модела на Purdue.
4. Категория въпроси, които се отнасят изключително до функционалните особености на работа на системите за предаване на електрическа енергия и системите за информационна безопасност за тях. В САЩ, тази категория системи АСУТП се нарича Power Grid и й се отрежда отделна роля. За това дори се издават отделни стандарти (NIST 800.82), които регламентират подхода към създаването на системи за информационна безопасност за този сектор. В нашите страни, в повечето случаи, този сектор се ограничава до системите АСКУЭ (поправете ме, ако някой е срещал по-сериозен подход за контрол на системите за разпределение и доставка на електрическа енергия). Е, на изпита ще срещнете доста специфични въпроси, свързани с Power Grid. В повечето случаи това бяха случайни примери за определени ситуации, възникнали на Power Plant, но също така могат да бъдат и въпроси по устройствата, които се използват именно в Power Grid. Ще има въпроси, свързани с познаването на разделите на NIST за тази категория системи.
5. Въпроси, свързани с познаването на стандартите: NIST 800-82, NERC, IEC62443. Мисля, че тук не е нужно много коментари - необходимо е да се ориентирате в разделите на стандартите, какво за какво отговаря и какви препоръки съдържат. Срещат се конкретни въпроси, например, питащи за периодичността на проверка на функционалността на системата, периодичността на обновяване на процедурата и т.н. В процентно отношение подобни въпроси могат да срещнат до 15% от общия брой въпроси. Но тук каквото е късмета. Например, на два пробни теста ми се срещнаха само няколко подобни въпроса. Но на изпита наистина имаше много.
6. И последната категория въпроси е всякакви видове use-cases и ситуативни въпроси.

Като цяло, самото обучение, с изключение на CTF NetWars, не беше особено информативно за мен по отношение на придобиването на потенциално нови знания. По-скоро бяха придобити по-дълбоки детайли по някои теми, особено в областта на организацията и защитата на радиомрежите, използвани за предаване на технологична информация, както и по-подреден материал относно структурата на чуждестранните стандарти, посветени на тази тема. Затова за инженери и специалисти, които имат достатъчни знания и опит в работата с АСУТП/КИП или Industrial Networks - може да се обмисли икономия на обучението (което е разумно), да се подготвят самостоятелно и веднага да се явят на сертификационния изпит, който между другото струва 700 USD. В случай на провал, ще трябва да заплатите отново. Сертификационните центрове, които ще ви приемат на изпит, са достатъчно, ключовото е да подадете заявка предварително. Всъщност препоръчвам веднага да зададете дата за изпита, тъй като в противен случай ще я отлагате, замествайки подготовката с други житейски и не съвсем важни дела. А като имате конкретна дата за крайния срок, ще бъдете мотивирани сами.

Източник: habr.com