Ahoj všichni! Na oblíbeném portálu bylo mnoho různých článků o certifikacích v oblasti kybernetické bezpečnosti, a tak se nechci ucházet o originalitu a jedinečnost obsahu, ale přesto bych se rád podělil o svou zkušenost s získáním certifikace GIAC (Global Information Assurance Company) v oblasti průmyslové kybernetické bezpečnosti. Od doby, kdy se objevily takové děsivé termíny jako , , Shamoon, Triton, postupně vznikal trh poskytování služeb specialistů, kteří jsou částečně IT, ale také dokážou restartovat PLC s přepisováním konfigurace na schématech a přitom zastavit továrnu.
Tak tedy přišlo na svět pojmenování IT&OT (Informační technologie & Provozní technologie).
Už to hned vedlo, (je jasné, že není možné povolovat práci nekvalifikovaným pracovníkům) k potřebě certifikovat specialisty v oblasti, která se týká zabezpečení řídících systémů, průmyslových systémů – kterých se evidentně v našem životě stalo velmi mnoho, od automatického ventilu na přívod vody v domácnosti až po systémy řízení letadel (vzpomínáme na skvělý článek o vyšetřování problémů ). A dokonce, jak se neočekávaně ukázalo – i složitých lékařských přístrojů.
Krátká úvaha, jak jsem se dostal k potřebě získat certifikaci (můžete přeskočit): Po úspěšném absolvování na konci nultých let na fakultě ochrany informací jsem s hrdě vztyčenou hlavou vkročil do řad pracovníků KIP, pracující jako technik bezpečnostních systémů. Na podniku mi bylo řečeno, že to je kybernetická bezpečnost :) Tak začala má kariéra v oboru řídících systémů s diplomem bakaláře v oboru kybernetické bezpečnosti. Po šesti letech, když jsem se stal vedoucím oddělení systémů SCADA, jsem odešel pracovat jako konzultant pro bezpečnost průmyslových řídicích systémů do zahraniční společnosti specializující se na software a zařízení. A právě zde se objevila potřeba být certifikovaným specialistou na kybernetickou bezpečnost.
je vývoj organizace, která se zabývá pořádáním školení a certifikací specialistů v oblasti informační bezpečnosti. Reputace certifikátu od GIAC je mezi specialisty a objednavateli na trzích EMEA, USA a Asie Pacifiku velmi vysoká. U nás, na post-sovětském prostoru a v zemích SNS, takový certifikát mohou vyžadovat pouze zahraniční společnosti, které mají podnikání v našich zemích, mezinárodní a konzultační agentury. Osobně jsem se nikdy nesetkal se žádostí o takovou certifikaci od domácích společností. Všichni většinou žádají CISSP. To je můj subjektivní názor, a pokud se někdo podělí o své zkušenosti v komentářích – rád se dozvím.
V SANS je dost různých směrů (podle mého názoru, v poslední době kluci příliš rozšířili jejich množství), ale jsou zde i velmi zajímavé praktické kurzy. Zvlášť se mi líbil . Ale příběh půjde o kurzu a certifikátu s názvem: .
Z všech nabízených certifikací SANS v oblasti průmyslové kybernetické bezpečnosti je tato nejuniverzálnější. Protože druhá se vztahuje více k systémům Power Grid, kterým se na západě věnuje zvláštní pozornost a patří do samostatné třídy systémů. A třetí (v době mé certifikace) se vztahovala na Incident Response.
Kurz nestojí málo, ale poskytuje dost rozsáhlé znalosti o IT&OT. Zvlášť bude užitečný těm kamarádům, kteří se rozhodli změnit svou oblast, například z IT bezpečnosti v bankovním sektoru na průmyslovou kybernetickou bezpečnost. Protože už jsem měl background v oblasti AСУТП, KИP a Operational Technology, pro mě nebylo v tomto kurzu nic zásadně nového nebo životně důležitého.
Kurz se skládá z 50 % teorie a 50 % praxe. Z praktické části byl nejzajímavější contest – NetWars. Po dobu dvou dnů, po hlavním kurzu, byli všichni studenti ze všech tříd rozděleni do týmů a plnili úkoly na získání přístupových práv, vytažení potřebných informací, získání přístupu do sítě, množství úkolů spojených s prolomením hashů, práce s Wiresharkem a různé další záležitosti.
Materiál kurzu má stručný přehled ve formě knih, které pak získáte do trvalého užívání. Mimochodem, tyto knihy si můžete vzít s sebou na zkoušku, protože formát je Open Book, ale moc vám tam nepomohou, protože na zkoušku máte 3 hodiny, 115 otázek a jazyk zkoušky je angličtina. Během všech 3 hodin si můžete vzít pauzu na 15 minut. Ale pamatujte, že pokud si uděláte pauzu na 15 minut a vrátíte se k testům za 5 minut, vlastně ztrácíte zbylých 10 minut, protože víc času v programu testování zastavit nelze. Můžete vynechat až 15 otázek, které se pak objeví na konci.
Osobně nedoporučuji nechat až na později mnoho otázek, protože čas ve 3 hodinách je opravdu málo a když na konci vyvstane ještě nevyřešené otázky, je velká pravděpodobnost, že to nestihnete. Já jsem si „na později“ nechal jen tři otázky, které byly pro mě opravdu těžké, protože se týkaly znalosti standardu NIST 800.82 a NERC. Psychologicky takové otázky „na později“ působí nervově na konci — když je váš mozek unavený, chcete na toaletu a časomíra na obrazovce jakoby zrychluje geometrickou řadou.
Obecně platí, že k úspěšnému složení testu musíte získat 71 % správných odpovědí. Před konáním zkoušky budete mít možnost trénovat na reálných testech – protože v ceně jsou zahrnuty 2 tréninkové testy se 115 otázkami a podmínkami, které jsou podobné skutečné zkoušce.
Doporučuji udělat zkoušku měsíc po absolvování školení, přičemž tento měsíc věnujte systematickému samostudiu otázek, ve kterých se cítíte nejistě. Bylo by skvělé, kdybyste si vzali tištěné materiály z kurzu, které vypadají jako stručné poznámky k jednotlivým tématům – a cíleně hledali informace k tématům, které se v těchto knihách nacházejí. Rozdělte si měsíc na dvě části, přičemž provedete zkušební testy a získáte přehled o tom, v jakých otázkách jste silní a kde je třeba se zlepšit.
Chtěl bych vyzdvihnout následující hlavní oblasti, z nichž se skládá samotná zkouška (ne výukový kurz, protože ten pokrývá mnohem širší témata):
- Fyzická bezpečnost: stejně jako u jiných certifikačních zkoušek, i této problematice je v GICSP věnována značná pozornost. Objevují se otázky týkající se různých druhů fyzických zámků na dveřích, popisují se situace s paděláním elektronických průkazů, kde je potřeba poskytnout odpověď k jednoznačné identifikaci problému. Lze nalézt otázky přímo související s bezpečností technologie (procesu) v závislosti na předmětu – procesy v oblasti ropy a plynu, jaderné elektrárny nebo elektrické sítě. Například se může objevit otázka: Jaký typ fyzické bezpečnostní kontroly představuje situace, kdy alarm přichází ze senzoru teploty páry na HMI? Nebo otázka: Jaká situace (událost) by vedla k provedení analýzy videozáznamů z kamer monitorovacího systému perimetrické bezpečnosti objektu?
V procentuálním vyjádření bych uvedl, že počet otázek týkajících se této oblasti na mém zkoušce a v přípravných testech nepřesáhl 5%.
- Další a jednou z nejmasovějších kategorií otázek jsou otázky týkající se AIS, PLC, SCADA: zde bude nutné systematicky přistoupit k studiu materiálů o tom, jak fungují řídicí systémy technologických procesů, počínaje senzory a konče servery, kde běží samotný aplikační software. Odpovídající množství otázek se bude vztahovat na různé typy průmyslových komunikačních protokolů (ModBus, RTU, Profibus, HART apod.). Budou otázky o tom, čím se RTU liší od PLC, jak chránit data v PLC před modifikací útočníkem, v jakých oblastech paměti PLC se ukládají data a kde se nachází samotná logika (program napsaný programátorem AIS). Například může být otázka tohoto typu: Jakým způsobem lze detekovat útok mezi PLC a HMI, které pracují podle protokolu ModBus?
Objeví se otázky o rozdílech mezi systémy SCADA a DCS. Velké množství otázek o pravidlech segmentace sítí AIS na úrovni L1, L2 od úrovně L3 (podrobněji popíšu v sekci s otázkami o síti). Situativní otázky v této oblasti budou také velmi různorodé – popisují situaci v dispečerském centru a je třeba vybrat akce, které by měly být provedeny operátorem procesu nebo dispečerem.
Tato sekce je obecně nejvíce specifická a úzkoprofilová. Bude vyžadovat dobré znalosti:
— řízení automatizace a řízení procesů, terénní část (senzory, typy připojení zařízení, fyzické vlastnosti senzorů, PLC, RTU);
— systémy protipožární ochrany (ESD – emergency shutdown system) procesů a objektů (mimochodem, na Habr je skvělá série článků na toto téma od )
— základní porozumění fyzikálním procesům, které probíhají například v rafinaci ropy, výrobě elektrické energie, potrubích atd.;
— porozumění architekturám DCS a SCADA systémů;
Rád bych zdůraznil, že otázky tohoto typu se mohou objevit až u 25 % ze všech 115 otázek zkoušky. - Síťové technologie a síťová bezpečnost: Myslím, že množství otázek na toto téma bude na prvním místě v zkoušce. Očekávejte téměř cokoliv – model OSI, na jakých úrovních funguje určitý protokol, spoustu otázek ohledně segmentace sítě, situativní otázky o síťových útocích, příklady logů připojení s návrhem určit typ útoku, příklady konfigurací switchů s návrhem určit zranitelnou konfiguraci, otázky ohledně zranitelností síťových protokolů, otázky týkající se specifik sítí průmyslových komunikačních protokolů. Zvláštní pozornost věnují ModBus. Struktura síťových paketů téhož ModBus v závislosti na jeho variantě a podporovaných verzích zařízení. Velká pozornost je věnována útokům na bezdrátové sítě – ZigBee, Wireless HART, otázky ohledně síťové bezpečnosti celé rodiny 802.1x. Budou otázky ohledně pravidel umístění různých serverů v síti řízení podnikových procesů (zde je potřeba přečíst normu IEC-62443 a pochopit principy etalonových modelů sítí řízení podnikových procesů). Setkáte se s otázkami podle Poudurovy modelu.
- Kategorie otázek, které se týkají výlučně funkčních rysů provozu systémů přenosu elektrické energie a systémů informační bezpečnosti pro ně. V USA se tato kategorie systémů řízení technologických procesů nazývá Power Grid a má samostatnou roli. Pro tento účel jsou dokonce vydávány zvláštní standardy (NIST 800.82), které regulují přístup k vytváření systémů informační bezpečnosti pro tento sektor. V našich zemích je tento sektor většinou omezen na systémy AСKUE (opravte mě, pokud někdo narazil na vážnější přístup k monitorování systémů distribuce a dodávky elektrické energie). Na zkoušce se setkáte s dost specifickými otázkami týkajícími se Power Grid. Většinou to byly use-cases pro určitou situaci, která se odehrávala na elektrárně, ale mohou být také otázky týkající se zařízení, které se používají právě v Power Grid. Budou otázky zaměřené na znalost sekcí NIST pro tuto kategorii systémů.
- Otázky týkající se znalosti standardů: NIST 800-82, NERC, IEC62443. Myslím, že zde bez zvláštních komentářů – je třeba se orientovat v sekcích standardů, kdo za co odpovídá a jaká doporučení obsahují. Objevují se konkrétní otázky, například o frekvenci kontroly funkčnosti systému, frekvenci aktualizace procedur atd. V procentuálním vyjádření může být takových otázek až 15% z celkového počtu otázek. Ale jak to vyjde. Například v dvou zkušebních testech jsem narazil jen na pár takových otázek. Ale na zkoušce jich bylo opravdu hodně.
- A poslední kategorií otázek jsou různé use-cases a situativní otázky.
Celkově, samotný trénink, kromě pravděpodobně CTF NetWars, pro mě nebyl příliš informativní z hlediska získání potenciálně nových znalostí. Spíše byly získány hlubší detaily některých témat, zejména v oblasti organizace a ochrany radiových sítí, které se používají pro přenos technologických informací, a také lépe uspořádaný materiál o struktuře zahraničních standardů věnovaných této problematice. Proto pro inženýry a specialisty, kteří mají dostatečné znalosti a zkušenosti s AСУТП/KИП nebo průmyslovými sítěmi, se vyplatí zvážit možnost ušetřit na tréninku (a to má smysl), připravit se sami a rovnou jít skládat certifikační zkoušku, která mimochodem stojí 700 USD. V případě neúspěchu bude třeba zaplatit znovu. Certifikačních center, která vás přijmou na zkoušku, je dostatek, hlavně je potřeba včas podat přihlášku. Obecně doporučuji hned stanovit datum zkoušky, protože jinak ji budete neustále odkládat a nahrazovat proces přípravy jinými životně a méně důležitými záležitostmi. A s konkrétním datem jako termínem budete mít osobní motivaci.
Zdroj: habr.com
