Здравейте на всички! В любимия на всички портал имаше много различни статии за сертификация в областта на информационната сигурност, затова не смятам да претендирам за оригиналност и уникалност на съдържанието, но все пак много искам да споделя своя опит в получаването на сертификата GIAC (Global Information Assurance Company) в сферата на индустриалната киберсигурност. От времето на появата на такива страшни думи като , , Shamoon, Triton, постепенно започна да се формира пазарът на услуги от специалисти, които, изглежда, са IT, но също така могат да презаредят PLC с пренаписване на конфигурация на ladders, без да спират производството.
Така в света дойде понятието IT&OT (Информационни технологии и оперативни технологии).
Сразу след това, (разбира се, не може да се допускат неквалифицирани кадри до работа) се появи необходимостта от сертифициране на специалистите в областта на осигуряване на безопасността на АСУТП, индустриалните системи – на които, се оказа, в живота ни има много, от автоматичен клапан за подаване на вода в апартамента до система за управление на самолети (да си спомним чудесната статия за разследването на проблемите ). И дори, както изненадващо се оказа – на сложни медицински уреди.
Няколко думи за моя път до необходимостта от сертификация (може да бъде пропуснато): Успешно завърших в края на нулевете на факултета по защита на информацията и с гордо вдигната глава влязох в редиците на КИП-овците, работейки като техник по нисковолтови системи за охранителна сигнализация. За мен в предприятието по онова време казаха, че съм част от ИБ :) Така започна моята кариера като специалист по АСУТП с диплома бакалавър по ИБ. След шест години, достигайки до ръководител на отдела за SCADA системи, напуснах и започнах работа като консултант по безопасност на индустриални системи в чуждестранна компания-вендор на софтуер и оборудване. Тук именно се появи необходимостта да бъда сертифициран специалист по ИБ.
е разработка на организация, която провежда обучения и сертификация на специалисти по информационна сигурност. Репутацията на сертификата от GIAC е много висока сред специалистите и клиентите на пазарите EMEA, САЩ и Азиатско-тихоокеанския регион. У нас, в постсъветското пространство и в страните от ОНД, такъв сертификат могат да изискат само чуждестранни компании, които имат бизнес в нашите страни, международни и консултантски агенции. Лично аз никога не съм се сблъсквал с поискане на подобна сертификация от местни компании. Всички основно изискват CISSP. Това е моето субективно мнение и ако някой сподели своя опит в коментарите – ще бъде интересно да се чуе.
В SANS има достатъчно различни направления (по мое мнение, в последно време те прекалено много разшириха броя им), но има и много интересни практически курсове. Особено ми хареса . Но разказът ще е за курса и сертификата с името: .
От всички предлагани от SANS сертификации по Индустриална киберсигурност, тази е най-универсална. Тъй като втората е по-скоро свързана с системите на Power Grid, на които в Западните страни се отделя специално внимание и те принадлежат към отделен клас системи. А третата (в момента на моя сертификационен път) се отнасяше до отговор на инциденти.
Курсът не е евтин, но предоставя достатъчно обширни знания и по ИТ и ОТ. Особено ще бъде полезен за колегите, които решават да сменят своята сфера, например от ИТ сигурност в банковата индустрия на Индустриална киберсигурност. Тъй като вече имах опит в областта на АСУТП, КИП и Операционна технология, за мен не беше принципиално ново или жизненоважно в този курс.
Курсът се състои от 50% теория и 50% практика. От практическата част, най-интересното беше състезанието – NetWars. През два дни, след основния курс, всички студенти от различни класове бяха разделени на екипи и изпълняваха задачи по получаване на права за достъп, извличане на необходима информация, получаване на достъп до мрежата, задачи по разкриване на хешове, работа с Wireshark и всякакви различни плюшки.
Курсът включва кратки резюмета под формата на книги, които след това получавате за безсрочно ползване. Между другото, можете да ги вземете на изпита, тъй като форматът е Open Book, но те няма да ви помогнат особено, тъй като изпитът продължава 3 часа, съдържа 115 въпроса, а езикът на изпита е английски. В течение на 3 часа можете да вземете почивка от 15 минути. Но имайте предвид, че ако вземете 15-минутна почивка и се върнете към тестовете след 5 минути, просто ще загубите останалите десет, тъй като повече не можете да спрете времето в тестовата програма. Можете да пропуснете до 15 въпроса, които след това ще се появят в самия край.
Лично не препоръчвам да оставяте много въпроси за по-късно, защото три часа време наистина е малко, а когато в края се появят нерешени въпроси, вероятността да не успеете е голяма. Аз оставих "за по-късно" само три въпроса, които бяха наистина трудни за мен, тъй като се отнасяха за знанията от стандарта NIST 800.82 и NERC. Психологически, подобни въпроси "за по-късно" удрят по нервите в самия край — когато мозъкът ви е уморен, искате в тоалетната, а таймерът на екрана сякаш се увеличава в геометрична прогресия.
В общи линии, за да преминете теста, трябва да получите 71% верни отговори. Преди изпита ще имате възможност да се упражните на реални тестове – тъй като в цената са включени 2 тренировъчни теста с 115 въпроса и условия, подобни на реалния изпит.
Препоръчвам да се явите на изпита един месец след последното обучение, като прекарате този месец в систематични самостоятелни занимания с въпросите, по които се чувствате несигурни. Ще бъде добре, ако вземете печатните материали, получени по курса, които изглеждат като кратки резюмета по всяка от темите, и целенасочено търсите информация по тематиките, съдържащи се в тези книги. Разделете месеца на две части, изпълнявайки пробни тестове и получавайки представа за това – в какви въпроси сте силни и къде трябва да се подобрите.
Бих искал да подчертая следните основни направления, от които се състои самият изпит (не учебният курс, тъй като той обхваща много по-широки теми):
- Физическа безопасност: както и в другите сертификационни изпити, на този въпрос в GICSP се отделя значително внимание. Срещат се въпроси за видовете физически ключалки на врати, описват се ситуации с фалшифициране на електронни пропуски, където трябва да се даде отговор на еднозначна идентификация на проблема. Попадат се въпроси, свързани пряко с безопасността на технологията (процеса) в зависимост от предметната област – нефтогазови процеси, атомни станции или електрически мрежи. Например, може да има въпрос от вида: Определете какъв тип контрол на физическата безопасност представлява ситуация, когато получавате аларма от температурния сензор на HMI? Или въпрос от вида: Каква ситуация (събитие) ще послужи като причина за провеждане на анализ на видеозаписите от камерите за наблюдение на системата за периметрална безопасност на обекта?
В процентно отношение бих отбелязал, че количеството въпроси по тази тема на моя изпит и в пробните тестове не надхвърля 5%.
- Другата и една от най-масовите категории въпроси са по АСУТП, PLC, SCADA: тук е необходимо систематично да подходим към изучаването на материалите относно как са устроени системите за управление на технологичните процеси, започвайки от сензорите и стигайки до сървърите, на които работи самото приложения софтуер. Значително количество въпроси ще се срещне по разновидностите на индустриалните протоколи за предаване на данни (ModBus, RTU, Profibus, HART и др.). Ще има въпроси за това, с какво RTU се различава от PLC, как да защитите данните в PLC от модификация от злонамерен потребител, в кои участъци на паметта PLC съхранява данни и къде се съхранява самата логика (програмата, написана от програмиста на АСУТП). Например, може да има въпрос от такъв тип: Дайте отговор как може да се извърши откритие на атака между PLC и HMI, които работят по протокол ModBus?
Ще се срещнат въпроси за различията между системите SCADA и DCS. Голямо количество въпроси по правилата за разделяне на мрежите АСУТП на ниво L1, L2 от ниво L3 (по-подробно ще опиша в раздела с въпросите по мрежата). Ситуационните въпроси по тази тема ще бъдат също толкова разнородни – описват ситуация в диспечерството и трябва да се изберат действия, които операторът на процеса или диспечерът трябва да извърши.
Общо взето, този раздел е най-специфичният и тясно насочен. Ще изисква от вас добри познания:
— АСУП, полева част (сензори, типове свързване на устройства, физически характеристики на сензорите, PLC, RTU);
— системи за противодействие на аварии (ESD – система за аварийно спиране) на процеси и обекти (между другото, на Хабр има отличен цикъл статии по тази тема от )
— основно разбиране на физическите процеси, които протичат, например, в нефтопреработката, производството на електрическа енергия, тръбопроводите и т.н.;
— разбиране на устройството на архитектурите DCS и SCADA системи;
Бих отбелязал, че въпросите от този тип могат да представляват до 25% от всички 115 въпроса на изпита. - Мрежови технологии и мрежова сигурност: Смятам, че броят на въпросите по тази тема е на първо място в изпита. Вероятно ще има всичко – модел OSI, на кои нива работи всеки протокол, множество въпроси по сегментация на мрежата, ситуации с въпроси за мрежови атаки, примери за логове на връзки с предложение да се определи типът атака, примери за конфигурации на комутатори с предложение да се определят уязвимите конфигурации, въпроси за уязвимостите на мрежовите протоколи, въпроси за спецификата на мрежовите връзки на индустриалните комуникационни протоколи. Особено много питат за ModBus. Структурата на мрежовите пакети на същия ModBus в зависимост от неговия вид и поддържаните версии от устройството. Голямо внимание се обръща на атаките на безжични мрежи – ZigBee, Wireless HART, просто въпроси за мрежовата сигурност на цялото семейство 802.1х. Ще има въпроси за правилата за разполагане на определени сървъри в мрежата на АСУТП (тук е нужно да се прочете стандарт IEC-62443 и да се разберат принципите на еталонните модели на мрежите АСУТП). Ще се срещнат въпроси по модела на Purdue.
- Категория въпроси, която се отнася изключително до функционалните характеристики на системите за пренос на електрическа енергия и информационна сигурност за тях. В САЩ, тази категория системи за управление на производствени технологии (АСУТП) се нарича Power Grid и й е отредена отделна роля. За тази цел дори са издадени отделни стандарти (NIST 800.82), които регулират подхода към създаването на информационни системи за сигурност за този сектор. В нашите страни, в повечето случаи, този сектор е ограничен до системи за автоматизирано събиране и предаване на данни за енергия (АСКУЭ) (поправете ме, ако някой е виждал по-сериозен подход за контрол на системите за разпределение и доставка на електрическа енергия). И така, на изпита ще срещнете доста специфични въпроси, свързани с Power Grid. В повечето случаи ставаше дума за случая на определена ситуация, която се е създала на Power Plant, но може да има и въпроси относно устройствата, които се използват именно в Power Grid. Ще има въпроси, отнасящи се до познанията за разделите на NIST за тази категория системи.
- Въпросите, свързани с познанията за стандартите: NIST 800-82, NERC, IEC62443. Мисля, че тук без особени коментари – трябва да се ориентирате в разделите на стандартите, кой за какво отговаря и какви препоръки съдържа. Срещат се конкретни въпроси, например относно периодичността на проверките на функционалността на системата, периодичността на обновяване на процедурата и т.н. В процентно отношение, такива въпроси могат да се срещнат до 15% от общия брой въпроси. Но как ще ви провърви. Например, на два пробни теста, ми се срещнаха само няколко подобни въпроса. Но наистина, на изпита, те бяха много.
- И последната категория въпроси е свързана с всякакви услуги и ситуационни въпроси.
Като цяло, самото обучение, с изключение на CTF NetWars, не ми се стори много информативно по отношение на придобиването на потенциално нови знания. По-скоро усвоих по-дълбоки детайли относно някои теми, особено в областта на организацията и защитата на радиомрежите, използвани за предаване на технологична информация, а също така и по-подреден материал относно структурата на чуждестранните стандарти, посветени на тази тема. Затова, за инженери и специалисти, които имат достатъчни знания и опит в АСУТП/КИП или Industrial Networks – може да се замислят за спестяване на разходите за обучение (а спестяването има смисъл), за да се подготвят самостоятелно и да отидат направо да полагат сертификационния изпит, който, между другото, струва 700 USD. В случай на неуспех, ще трябва да платите отново. Сертификационните центрове, които ще ви приемат за изпит, са достатъчно, важно е да подадете заявка предварително. Всъщност, препоръчвам веднага да насрочите дата за изпита, защото в противен случай постоянно ще я отлагате, заменяйки процеса на подготовка с други жизненоважни и не съвсем важни неща. А със зададена конкретна дата за крайния срок, ще бъдете мотивирани сами.
Източник: habr.com
