Hallo zusammen! Auf dem von allen geliebten Portal gab es viele verschiedene Artikel zur Zertifizierung im Bereich der Informationssicherheit, daher habe ich nicht vor, Originalität und Einzigartigkeit des Inhalts zu beanspruchen, möchte jedoch trotzdem meine Erfahrung bei der Erlangung der GIAC (Global Information Assurance Company) Zertifizierung im Bereich industrielle Cybersicherheit teilen. Seit dem Aufkommen solcher angsteinflößenden Wörter wie , , Shamoon, Triton, entwickelte sich allmählich der Markt für Dienstleistungen von Spezialisten, die irgendwie IT sind, aber auch PLCs mit dem Umschreiben von Konfigurationen auf sogenannten Ladder-Logiken neu starten können, ohne dabei die Fabrik zu stoppen.
So kam das Konzept IT&OT (Informationstechnologie & Betriebstechnologie) in die Welt.
Infolgedessen, (es ist klar, dass unqualifizierte Mitarbeiter nicht zur Arbeit zugelassen werden dürfen) entstand die Notwendigkeit, Spezialisten im Bereich der Sicherheit von Automatisierungssystemen zu zertifizieren, die in unserem Leben mittlerweile sehr zahlreich geworden sind, von automatischen Wasserzulaufventilen in Wohnungen bis hin zu Flugsteuerungssystemen (erinnern wir uns an den großartigen Artikel zur Untersuchung der Probleme von ). Und sogar, wie sich überraschend herausstellte — bei komplexen medizinischen Geräten.
Eine kleine Anmerkung, wie ich zur Notwendigkeit kam, eine Zertifizierung zu erlangen (kann übersprungen werden): Nach meinem erfolgreichen Studium Ende der 2000er Jahre an der Fakultät für Informationsschutz, trat ich mit erhobenem Haupt in die Reihen der KIP-Spezialisten ein und arbeitete als Monteur für schwache Sicherheitssysteme. Im Werk wurde mir damals gesagt, dass ich im Bereich der IT-Sicherheit arbeite :) So begann meine Karriere als Automatisierungsspezialist mit einem Bachelorabschluss in IT-Sicherheit. Nach sechs Jahren, in denen ich zum Leiter der SCADA-Abteilung aufstieg, wechselte ich als Sicherheitsberater für industrielle Steuerungssysteme zu einem ausländischen Software- und Hardwareanbieter. Hier entstand dann die Notwendigkeit, als zertifizierter IT-Sicherheitsspezialist zu arbeiten.
ist eine Entwicklung von eine Organisation, die Schulungen zu Informationssicherheit durchführt und Fachleute zertifiziert. Die Reputation des GIAC-Zertifikats ist unter Fachleuten und Auftraggebern auf den Märkten EMEA, USA, Asien-Pazifik sehr hoch. Bei uns im post-sowjetischen Raum und in den GUS-Ländern wird ein solches Zertifikat nur von ausländischen Unternehmen verlangt, die Geschäfte in unseren Ländern machen, sowie von internationalen und Beratungsagenturen. Persönlich habe ich niemals eine Anfrage nach einer solchen Zertifizierung von inländischen Unternehmen erhalten. Die meisten fragen hauptsächlich nach CISSP. Das ist meine subjektive Meinung und es wäre interessant zu erfahren, wenn jemand seine Erfahrungen in den Kommentaren teilt.
Bei SANS gibt es eine Vielzahl an Richtungen (meiner Meinung nach haben die Jungs in letzter Zeit ihre Anzahl zu sehr erweitert), aber es gibt auch sehr interessante praktische Kurse. Besonders gefallen hat mir . Aber die Erzählung wird über den Kurs und das Zertifikat mit dem Namen: .
Unter all den angebotenen SANS-Zertifizierungen im Bereich der industriellen Cybersicherheit ist diese die vielseitigste. Die zweite bezieht sich mehr auf die Systeme der Energieversorgung, die im Westen besondere Aufmerksamkeit erhalten und eine eigene Klasse von Systemen darstellen. Die dritte (zum Zeitpunkt meiner Zertifizierung) bezog sich auf Incident Response.
Der Kurs ist nicht billig, bietet jedoch umfassendes Wissen über IT und OT. Er wird besonders nützlich sein für diejenigen, die ihr Tätigkeitsfeld beispielsweise von IT-Sicherheit im Bankensektor auf industrielle Cybersicherheit ändern möchten. Da ich bereits einen Hintergrund in der Automatisierungs- und Steuerungstechnik, der Mess- und Regeltechnik sowie der Betriebstechnologie hatte, gab es für mich in diesem Kurs nichts grundlegend Neues oder Lebenswichtiges.
Der Kurs besteht zu 50 % aus Theorie und zu 50 % aus Praxis. Der spannendste Teil der Praxis war der Wettbewerb – NetWars. Über einen Zeitraum von zwei Tagen, nach dem Hauptkurs, wurden alle Studenten aller Klassen in Teams aufgeteilt und mussten Aufgaben zur Erlangung von Zugriffsrechten, zum Abrufen benötigter Informationen, zum Zugang zum Netzwerk, zahlreiche Aufgaben zur Hashknacker-Arbeit, zum Umgang mit Wireshark und viele andere verschiedene Herausforderungen lösen.
Das Kursmaterial enthält eine kurze Zusammenfassung in Form von Büchern, die Sie dann in Ihrem unbefristeten Besitz erhalten. Übrigens dürfen Sie diese auch zur Prüfung mitnehmen, da es sich um ein Open-Book-Format handelt, doch sie werden Ihnen dort kaum helfen, da für die Prüfung 3 Stunden, 115 Fragen und die Prüfasprache Englisch vorgesehen sind. Innerhalb der 3 Stunden können Sie eine Pause von 15 Minuten einlegen. Beachten Sie jedoch, dass Sie, wenn Sie eine 15-minütige Pause machen und nach 5 Minuten zu den Tests zurückkehren, einfach die verbleibenden zehn Minuten aufgeben, da die Zeit im Testprogramm nicht mehr angehalten werden kann. Sie können bis zu 15 Fragen auslassen, die am Ende wieder auftauchen werden.
Persönlich empfehle ich, nicht viele Fragen auf später zu verschieben, denn die Zeit von 3 Stunden ist wirklich wenig, und wenn am Ende noch ungelöste Fragen auftauchen, besteht eine große Wahrscheinlichkeit, dass man es nicht schafft. Ich habe nur drei Fragen „auf später“ verschoben, die mir wirklich schwerfielen, da sie sich auf das Wissen über den NIST 800.82-Standard und NERC bezogen. Psychologisch gesehen geht es mit solchen „späteren“ Fragen am Ende ans Nervenkostüm — wenn Ihr Gehirn müde ist, Sie auf die Toilette müssen und der Timer auf dem Bildschirm scheinbar geometrisch beschleunigt.
Um die Prüfung insgesamt zu bestehen, müssen Sie 71% der Fragen richtig beantworten. Vor der Prüfung haben Sie die Möglichkeit, an echten Tests zu üben, da im Preis zwei Übungstests mit 115 Fragen enthalten sind, die Bedingungen ähneln der tatsächlichen Prüfung.
Ich empfehle, die Prüfung einen Monat nach dem Training abzulegen und diesen Monat für systematisches Selbststudium der Themen zu nutzen, bei denen Sie sich unsicher fühlen. Es wäre gut, wenn Sie die im Kurs erhaltenen gedruckten Materialien, die wie kurze Thesen zu jedem Thema aussehen, mitnehmen und gezielt Informationen zu den Themen suchen, die in diesen Büchern enthalten sind. Teilen Sie den Monat in zwei Teile auf, indem Sie Testprüfungen durchführen und einen ungefähren Überblick darüber erhalten, in welchen Fragen Sie stark sind und wo Sie sich verbessern müssen.
Ich möchte die folgenden Hauptbereiche hervorheben, aus denen sich die Prüfung selbst zusammensetzt (nicht der Kurs, da dieser wesentlich umfassendere Themen abdeckt):
- Physische Sicherheit: Wie in anderen Zertifizierungsprüfungen wird diesem Thema in der GICSP viel Aufmerksamkeit geschenkt. Es gibt Fragen zu verschiedenen Arten von physischen Schlössern an Türen und Situationen, in denen elektronische Ausweise gefälscht werden, bei denen eine eindeutige Problemerkennung erforderlich ist. Fragen zur Sicherheit der Technologie (Prozesse) hängen von der Fachrichtung ab – nicht-fossile Prozesse, Kernkraftwerke oder Stromnetze. Zum Beispiel könnte eine Frage lauten: Bestimmen Sie, welcher Typ von physischer Sicherheitseinrichtung gegeben ist, wenn ein Alarm von einem Dampftemperatursensor an die HMI gesendet wird? Oder eine Frage von dem Typ: Welche Situation (Ereignis) würde einen Grund darstellen, um die Videoaufzeichnungen von Überwachungskameras im Bereich der äußeren Sicherheit des Objekts zu analysieren?
Im prozentualen Verhältnis würde ich sagen, dass die Anzahl der Fragen zu diesem Abschnitt in meiner Prüfung und in den Probetests 5 % nicht überschritt.
- Eine andere und eine der häufigsten Kategorien von Fragen sind die zu SCADA, PLC, und AСУТП: Hier wird es notwendig sein, systematisch die Materialien zu studieren, die beschreiben, wie die Systeme zur Steuerung technologischer Prozesse aufgebaut sind, angefangen bei Sensoren bis hin zu Servern, auf denen die Anwendungssoftware läuft. Es werden genügend Fragen zu unterschiedlichen industriellen Datenübertragungsprotokollen (ModBus, RTU, Profibus, HART usw.) auftauchen. Es wird Fragen geben, die zu den Unterschieden zwischen RTU und PLC stellen, wie man Daten in PLC vor Modifikation durch einen Angreifer schützt, in welchen Speicherbereichen PLC Daten speichert und wo die Logik (das vom SCADA-Programmierer geschriebene Programm) gespeichert ist. Zum Beispiel könnte eine Frage lauten: Wie kann man eine Angriffserkennung zwischen PLC und HMI, die über das ModBus-Protokoll kommunizieren, durchführen?
Es werden Fragen zu den Unterschieden zwischen SCADA- und DCS-Systemen auftauchen. Eine große Anzahl von Fragen zu den Regeln zur Netzsegmentierung von AСУТП auf den Ebenen L1 und L2 im Gegensatz zur Ebene L3 (ich werde dies im Abschnitt zu Fragen über Netzwerke genauer beschreiben). Situative Fragen zu diesem Thema werden ebenfalls sehr unterschiedlich sein – sie beschreiben eine Situation im Kontrollraum, in der die notwendigen Maßnahmen ausgewählt werden müssen, die vom Prozessoperator oder Dispatcher durchgeführt werden sollen.
Dieser Abschnitt ist insgesamt der spezifischste und spezialisierteste. Er erfordert von Ihnen gute Kenntnisse:
— der ASUP, der Feldgeräte (Sensoren, Anschlussarten, physische Eigenschaften der Sensoren, PLC, RTU);
— der Systeme zur Notabschaltung (ESD – emergency shutdown system) von Prozessen und Objekten (übrigens gibt es auf Habr eine ausgezeichnete Artikelreihe zu diesem Thema von )
— einem grundlegenden Verständnis der physikalischen Prozesse, die beispielsweise in der Raffinerie, der Stromerzeugung, in Pipelines usw. ablaufen;
— dem Verständnis der Architektur von DCS- und SCADA-Systemen;
Ich möchte betonen, dass solche Fragen bis zu 25% der insgesamt 115 Prüfungsfragen ausmachen können. - Netzwerktechnologien und Netzwerksicherheit: Ich denke, dass die Anzahl der Fragen zu diesem Thema an erster Stelle in der Prüfung steht. Es wird wahrscheinlich alles sein – OSI-Modell, auf welchen Ebenen verschiedene Protokolle arbeiten, viele Fragen zur Netzsegmentierung, situative Fragen zu Netzwerkangriffen, Beispiele für Protokolle mit dem Angebot, den Angriffstyp zu bestimmen, Beispiele für Switch-Konfigurationen mit dem Angebot, die verwundbare Konfiguration zu identifizieren, Fragen zu Schwachstellen von Netzwerkprotokollen, Fragen zu den spezifischen Merkmalen von industriellen Kommunikationsprotokollen. Besonders häufig wird nach ModBus gefragt. Die Struktur der Netzwerkpakete von ModBus, je nach Variante und unterstützten Gerätetypen. Ein großes Augenmerk wird auf Angriffe auf Drahtlosnetzwerke gelegt – ZigBee, Wireless HART, einfach Fragen zur Netzwerksicherheit der gesamten Familie 802.1x. Es wird Fragen zu den Platzierungsregeln bestimmter Server im ASUTP-Netz geben (hier ist es notwendig, den Standard IEC-62443 zu lesen und die Prinzipien der Referenzmodelle für ASUTP-Netzwerke zu verstehen). Fragen zur Purdue-Modell werden ebenfalls auftauchen.
- Eine Kategorie von Fragen, die ausschließlich die funktionalen Merkmale von Stromübertragungssystemen und deren Informationssicherheitssystemen betrifft. In den USA wird diese Kategorie von SCADA-Systemen als Power Grid bezeichnet und hat eine besondere Rolle. Dafür gibt es sogar spezielle Standards (NIST 800.82), die den Ansatz zur Erstellung von Informationssicherheitssystemen für diesen Sektor regeln. In unseren Ländern beschränkt sich dieser Sektor größtenteils auf die Systeme der automatisierten Verbrauchsdatenerfassung (bitte korrigiert mich, wenn jemand einen ernsthafteren Ansatz zur Kontrolle von Verteilungssystemen und der Lieferung von Elektrizität gesehen hat). In der Prüfung werden Sie auf spezifische Fragen stoßen, die sich auf das Power Grid beziehen. In der Regel handelt es sich dabei um Anwendungsfälle für bestimmte Situationen in Kraftwerken, aber es können auch Fragen zu Geräten auftauchen, die speziell im Power Grid eingesetzt werden. Es wird Fragen zu den Kenntnissen der NIST-Abschnitte für diese Kategorie von Systemen geben.
- Fragen, die sich auf das Wissen über die Standards beziehen: NIST 800-82, NERC, IEC62443. Ich denke, hier sind keine besonderen Kommentare nötig – man muss sich in den Abschnitten der Standards orientieren, wer für was verantwortlich ist und welche Empfehlungen sie enthalten. Es gibt konkrete Fragen, die beispielsweise nach der Häufigkeit der Überprüfung der Funktionsfähigkeit des Systems, der Häufigkeit der Aktualisierung von Verfahren usw. fragen. Im prozentualen Verhältnis können solche Fragen bis zu 15 % der gesamten Fragen ausmachen. Aber das hängt vom Glück ab. Bei zwei Probeprüfungen hatte ich nur zwei solche Fragen. Aber auf der Prüfung gab es tatsächlich viele davon.
- Die letzte Kategorie von Fragen sind verschiedene Anwendungsfälle und situative Fragen.
Insgesamt war das Training, abgesehen wahrscheinlich von CTF NetWars, für mich nicht sehr informativ bezüglich des Erwerbs potenziell neuen Wissens. Vielmehr wurden tiefere Details zu bestimmten Themen, insbesondere im Bereich der Organisation und des Schutzes von Funknetzwerken, die für die Übertragung technischer Informationen verwendet werden, sowie strukturiertere Materialien zu den ausländischen Standards, die sich mit diesem Thema befassen, vermittelt. Daher sollten Ingenieure und Fachleute, die über ausreichende Kenntnisse und Erfahrungen im Umgang mit AСУТП/KИП oder Industrial Networks verfügen, in Erwägung ziehen, auf das Training zu verzichten (was sinnvoll sein könnte), sich selbst vorzubereiten und gleich zur Zertifizierungsprüfung zu gehen, die übrigens 700 USD kostet. Im Falle eines Misserfolgs muss man noch einmal bezahlen. Es gibt genügend Zertifizierungszentren, die euch zur Prüfung zulassen, wichtig ist, sich rechtzeitig anzumelden. Generell empfehle ich, sofort ein Prüfungsdatum festzulegen, da ihr sonst ständig zögerlich sein werdet, indem ihr den Vorbereitungsprozess mit anderen wichtigen und weniger wichtigen Angelegenheiten ersetzt. Mit einem konkreten Deadline-Datum seid ihr selbstmotiviert.
Quelle: habr.com
