Hej alle sammen! På den elskede portal har der været mange forskellige artikler om certificering inden for informationssikkerhed, så jeg vil ikke påstå, at jeg bringer noget originalt eller unikt indhold, men jeg vil alligevel gerne dele min erfaring med at opnå GIAC (Global Information Assurance Company) certificering inden for industriel cybersikkerhed. Siden de frygtelige ord som , , Shamoon, Triton, er markedet for specialister, der ser ud til at være IT-kyndige, men som også kan omprogrammere PLC'er uden at stoppe fabrikken, langsomt begyndt at forme sig.
Så kom begrebet IT&OT (Information Technology & Operation Technology) ind i billedet.
Derefter, som man kunne forvente (det er klart, at uqualificerede personer ikke må få adgang til arbejdet), opstod behovet for at certificere specialister inden for det, der relaterer til sikkerheden af automatiserede styresystemer, industrielle systemer – som der åbenbart er blevet mange af i vores liv, fra automatiske vandventiler i lejligheden til flystyringssystemer (lad os huske den fremragende artikel om efterforskningen af problemerne med ). Og som det pludselig viste sig - også komplekst medicinsk udstyr.
En lille anekdote om, hvordan jeg kom til behovet for at få certificering (kan springes over): Efter en vellykket uddannelse i slutningen af nullerne fra fakultetet for informationsbeskyttelse, trådte jeg stolt ind i rækkerne af KIP-specialister og arbejdede som tekniker inden for lav spænding alarmeringssystemer. Det blev sagt, at det var informationssikkerhed på virksomheden på det tidspunkt :) Sådan begyndte min karriere som specialist i automatiserede styresystemer med en bachelorgrad i informationssikkerhed. Seks år senere, efter at have avanceret til leder af SCADA-afdelingen, forlod jeg for at arbejde som sikkerhedskonsulent for industrielle styringssystemer i et udenlandsk software- og udstyrsvirksomhed. Her opstod behovet for at være en certificeret informationssikkerhedsspecialist.
er udviklet af en organisation, der beskæftiger sig med at afholde træninger og certificering af specialister inden for informationssikkerhed. Omdømmet af GIAC-certifikatet er meget højt blandt specialister og kunder på markederne i EMEA, USA og Asien-Stillehav. Her hos os, i det tidligere sovjetiske område og i CIS-landene, kræver udenlandske virksomheder, der har forretning i vores lande, internationale og konsulentbureauer kun sådan et certifikat. Personligt har jeg aldrig oplevet en anmodning om en sådan certificering fra indenlandske virksomheder. Det er mest CISSP, der efterspørges. Det er min subjektive mening, og hvis nogen vil dele deres erfaringer i kommentarerne, ville det være interessant at vide.
I SANS er der mange forskellige retninger (efter min mening har de i den seneste tid udvidet antallet for meget), men der er også nogle meget interessante praktiske kurser. Jeg var især glad for . Men historien handler om kurset og certificeringen kaldet: .
Af alle de forskellige typer af Industrial Cyber Security-certificeringer, som SANS tilbyder, er denne den mest alsidige. Den anden vedrører i højere grad Power Grid-systemer, som der på vesten er lagt særskilt opmærksomhed på, og de tilhører en særskilt klasse af systemer. Den tredje (på tidspunktet for min certificeringsrejse) vedrørte Incident Response.
Kurset er ikke billigt, men giver en ret omfattende viden om både IT og OT. Det vil især være nyttigt for de kammerater, der har besluttet at skifte deres felt fra IT-sikkerhed i banksektoren til Industrial Cyber Security. Da jeg allerede havde en baggrund inden for automatisering, måleteknik og drifts teknologi, var der ikke noget principielt nyt eller livsnødvendigt for mig i dette kursus.
Kurset består af 50% teori og 50% praksis. Den mest interessante del af praktikken var konkurrencen - NetWars. I løbet af to dage, efter de primære undervisningssessioner, blev alle studerende fra alle klasser inddelt i hold og udførte opgaver for at få adgangsrettigheder, udtrækning af nødvendig information, netadgang, en masse opgaver om hash-udvikling, arbejde med Wireshark og forskellige andre godbidder.
Kursusmaterialet indeholder et sammenkogt resumé i form af bøger, som du derefter får til livslang brug. Forresten kan du også tage dem med til eksamen, da formatet er Open Book, men de vil ikke hjælpe dig meget, da der er 3 timer til eksamen, 115 spørgsmål, og sproget er engelsk. Du kan tage en pause på 15 minutter i løbet af de 3 timer. Men husk, at hvis du tager en pause på 15 minutter og vender tilbage til testen efter 5 minutter, giver du blot de resterende 10 minutter af, da du ikke kan stoppe tiden i testsystemet. Du kan springe op til 15 spørgsmål over, som så vil komme frem til sidst.
Personligt anbefaler jeg ikke at lade mange spørgsmål vente til sidst, fordi tiden på 3 timer virkelig er knap, og når der dukker uafgjorte spørgsmål op til sidst, er der en stor sandsynlighed for, at du ikke når det. Jeg lod kun tre spørgsmål vente, som virkelig var svære for mig, da de vedrørte kendskab til NIST 800.82-standarden og NERC. Psykologisk set påvirker sådanne "ventende" spørgsmål nervesystemet i slutningen — når din hjerne er træt, du har brug for at gå på toilettet, og timeren på skærmen ser ud til at accelerere i geometrisk progression.
Generelt set skal du opnå 71% korrekte svar for at bestå testen. Før du tager eksamen, vil du have mulighed for at træne på rigtige tests – da 2 træningstests med 115 spørgsmål og betingelser svarende til den rigtige eksamen er inkluderet i prisen.
Jeg anbefaler at tage eksamen en måned efter gennemførelsen af træningen, og bruge denne måned på systematisk selvstudium af de emner, hvor du føler dig usikker. Det ville være godt, hvis du tager de trykte materialer, du har fået på kurset, som ligner korte resuméer af hvert emne, og målrettet søger information om de emner, der er nævnt i disse bøger. Del måneden op i to dele, hvor du gennemfører prøvetests og får et indtryk af, hvilke spørgsmål du er stærk i, og hvor du skal forbedre dig.
Jeg vil gerne fremhæve følgende hovedområder, som eksamenen direkte består af (ikke kursusmaterialet, da det dækker langt mere omfattende emner):
- Fysisk sikkerhed: ligesom i andre certificeringseksamener får dette emne tilstrækkelig opmærksomhed i GICSP. Der er spørgsmål om forskellige typer fysiske låse på døre, samt situationer med forfalskning af elektroniske adgangskort, hvor det kræves, at man giver et entydigt svar på problemet. Der optræder spørgsmål, der direkte relaterer sig til sikkerheden ved teknologien (processen) afhængigt af emnet – olie- og gasprocesser, atomkraftværker eller elsystemer. For eksempel kan et spørgsmål være: Bestem hvilken type kontrol af fysisk sikkerhed det er, når der kommer et alarm fra temperatursensoren på HMI? Eller et spørgsmål af typen: Hvilken situation (begivenhed) vil være årsagen til at analysere optagelserne fra overvågningskameraerne i systemet for perimetersikkerhed?
I procentuel forstand vil jeg påpege, at antallet af spørgsmål i dette afsnit på min eksamen og i prøvetests aldrig oversteg 5%.
- En anden og en af de mest udbredte kategorier af spørgsmål er dem, der relaterer sig til DCS, PLC, SCADA: her er det nødvendigt at tilgå studiet af materialer systematisk om, hvordan systemerne til kontrol af teknologiske processer er opbygget, fra sensorer til servere, hvor den egentlige applikationssoftware kører. Der vil være tilstrækkeligt med spørgsmål om forskellige industrielle dataoverførselsprotokoller (ModBus, RTU, Profibus, HART osv.). Der vil være spørgsmål om, hvordan RTU adskiller sig fra PLC, hvordan man beskytter data i PLC mod manipulation fra en ondsindet aktør, hvilke hukommelsesområder PLC gemmer data, og hvor logikken (programmet skrevet af DCS-programmøren) findes. For eksempel kan spørgsmålet være: Giv et svar på, hvordan man kan opdage et angreb mellem PLC og HMI, der arbejder med ModBus-protokollen?
Der vil være spørgsmål om forskellene mellem SCADA- og DCS-systemer. Mange spørgsmål om reglerne for netværksadskillelse i DCS på niveau L1, L2 fra niveau L3 (jeg beskriver det mere detaljeret i afsnittet om netværk). Situationsbestemte spørgsmål om dette emne vil også være meget forskellige – de beskriver en situation i kontrolrummet, og det skal vælges handlinger, som operatøren eller dispatcher skal udføre.
Generelt er denne sektion den mest specifikke og nicheprægede. Den kræver gode kendskaber:
— DCS, den feltdel (sensorer, enhedstyper, fysiske egenskaber ved sensorer, PLC, RTU);
— systemer til nødbeskyttelse (ESD – emergency shutdown system) af processer og objekter (for øvrigt er der et fremragende artikelsyklus om dette emne på Habr fra )
— en grundlæggende forståelse af de fysiske processer, der finder sted i eksempelvis olieforarbejdning, elproduktion, rørledninger osv.;
— forståelse af strukturen i DCS og SCADA systemer;
Jeg vil bemærke, at spørgsmål af denne type kan udgøre op til 25% af alle 115 eksamensspørgsmål. - Netværksteknologier og netværkssikkerhed: Jeg tror, at antallet af spørgsmål om dette emne ligger i top på eksamen. Der vil sandsynligvis være alt – OSI-modellen, hvilke niveauer forskellige protokoller arbejder på, mange spørgsmål om netværkssegmentering, situationelle spørgsmål om netværksangreb, eksempler på forbindelseslogfiler med forslag om at identificere angrebstypen, eksempler på switch-konfigurationer med forslag om at identificere sårbare konfigurationer, spørgsmål om sårbarheder ved netværksprotokoller, spørgsmål om specifikationen af industrielle kommunikationsprotokoller. Der bliver især stillet mange spørgsmål om ModBus. Strukturen for netværkspakkerne af den samme ModBus afhængigt af dens varianter og versioner, der understøttes af enheden. Der vil blive lagt stor vægt på angreb på trådløse netværk – ZigBee, Wireless HART, samt spørgsmål om netværkssikkerhed for hele 802.1x-familien. Der vil være spørgsmål om reglerne for placering af servere i netværket af det automatiserede styresystem (her skal man læse standarden IEC-62443 og forstå principperne for reference-modeller i det automatiserede styresystem). Spørgsmål om Purdue-modellen vil også optræde.
- En kategori af spørgsmål, der udelukkende omhandler de funktionelle egenskaber ved strømoverførsels- og informationssikkerhedssystemer for disse. I USA kaldes denne kategori af ASCUSP-systemer Power Grid, og den tildeles en særskilt rolle. Der udgives endda særlige standarder (NIST 800.82), der regulerer tilgangen til udviklingen af informationssikkerhedssystemer for denne sektor. I vores lande er denne sektor for det meste begrænset til systemer til automatisk kontrol og registrering af elforbrug (ret mig hvis nogen har set en mere seriøs tilgang til kontrol af systemer til distribution og levering af elektricitet). Så i eksamen vil du støde på ret specifikke spørgsmål, der vedrører Power Grid. For det meste var det use-cases for en specifik situation, der opstod på et kraftværk, men der kan også være spørgsmål om de enheder, der anvendes specifikt i Power Grid. Der vil være spørgsmål, der adresserer kendskab til NIST-afsnittene for denne kategori af systemer.
- Spørgsmål vedrørende viden om standarder: NIST 800-82, NERC, IEC62443. Jeg tror, der ikke er så meget at sige her – man skal have styr på afsnittene i standarderne, hvad de hver især dækker, og hvilke anbefalinger de indeholder. Der møder man konkrete spørgsmål, for eksempel om hyppigheden af systemkontrol, hyppigheden af opdatering af procedurer osv. I procentmæssig sammenhæng kan sådanne spørgsmål udgøre op til 15 % af det samlede antal spørgsmål. Men her er det heldet, der spiller ind. For eksempel mødte jeg kun et par sådanne spørgsmål i to prøveprøver. Men til gengæld var der utrolig mange på eksamen.
- Og den sidste kategori spørgsmål er forskellige former for use-cases og situationsbestemte spørgsmål.
Generelt set var selve træningen, bortset fra måske CTF NetWars, ikke særligt informativ for mig, når det kommer til erhvervelse af potentielt ny viden. Det var snarere mere dybdegående detaljer om nogle emner, især inden for organisering og sikring af radioskaber, der anvendes til transmission af teknologisk information, samt et mere struktureret materiale om de udenlandske standarder relateret til dette emne. Derfor kan ingeniører og specialister, der har tilstrækkelig viden og erfaring med ASUTP/KIP eller Industrial Networks, overveje at spare på træningen (hvilket giver mening), forberede sig selv og gå direkte til den certificeringsprøve, som i øvrigt koster 700USD. I tilfælde af fiasko, må man betale endnu engang. Der er rigeligt med certificeringscentre, som vil tage imod dig til prøven, det vigtigste er at indsende ansøgningen i god tid. Generelt anbefaler jeg at sætte en eksamensdato med det samme, for ellers vil du konstant udsætte det og erstatte forberedelsesprocessen med andre livsvigtige og mindre vigtige opgaver. Og med en konkret deadline vil du være selvmotiveret.
Kilde: habr.com
