Tere kõigile! Kõikjal armastatud portaali peal on ilmunud palju erinevaid artikleid infoturbe sertifitseerimise kohta, mistõttu ei püüa ma väita, et minu sisu on originaalne ja kordumatu, kuid soovin siiski jagada oma kogemust GIAC (Global Information Assurance Company) sertifikaadi saamisel tööstuslike küberküberturbe alal. Sellest ajast, kui ilmusid sellised kõhedad sõnad nagu , , Shamoon, Triton, on tasapisi hakanud arenema turg spetsialistide teenuste pakkumiseks, kes näiliselt tegelevad IT-ga, kuid oskavad ka PLC-sid ümber laadida, kirjutades konfiguratsioone ladderitel, samas tehast kinni panemata.
Nii jõudis maailma mõiste IT&OT (Tehnoloogia ja Operation Technology).
Sellele järgnes kohe vajadus sertifitseerida spetsialiste valdkonnas, mis puudutab ASUTP ja tööstussüsteemide turvalisuse tagamist - milliseid, nagu selgus, on meie elus saanud väga palju alates automaatsetest veepumpadest korteris kuni lennukite juhtimisse süsteemideni (mäletame suurepärast artiklit probleemide uurimise kohta ). Ja isegi, nagu üllatavalt selgus — keeruliste meditsiiniseadmete puhul.
Veidi luulet, kuidas jõudsin sertifikaadi saamise vajaduseni (seda võib vahele jätta): Lõpetanud 2000. aastate alguses teabe kaitse erialal, samas tõstetud peaga astusin KPI-de ridadesse, töötades nõrkevoolusignalisatsiooni süsteemide monteerijana. Justkui öeldi mulle, et see on infoturve:) Nii algas minu karjäär ASUTP spetsialistina bakalaureusekraadi omandamisega infoturbe alal. Kuue aasta pärast, jõudnud SCADA süsteemide osakonna juhiks, läksin tööle konsultandina tööstuslike juhtimissüsteemide turvavaldkonda välismaisesse tarkvara ja seadmete müügifirma. Just siin tekkis vajadus olla sertifitseeritud infoturbe spetsialist.
on SANS-i arendus organisatsioon, mis tegeleb koolituste läbiviimise ja infotehnoloogia spetsialistide sertifitseerimisega. GIAC sertifikaadi maine on spetsialistide ja klientide seas EMEA, Ameerika Ühendriikide ja Aasia Vaikse ookeani turgudel väga kõrge. Meil, endises Nõukogude Liidus ja SRÜ riikides, võib sellist sertifikaati nõuda ainult välisettevõtted, kellel on äri meie riikides, rahvusvahelised ja konsultatsioonifirmad. Isiklikult ei ole ma kunagi kodumaiste ettevõtete poolt sarnase sertifitseerimise nõudmisega kokku puutunud. Kõik küsivad peamiselt CISSP-i. See on minu subjektiivne arvamus, ja kui keegi jagab oma kogemusi kommentaarides, siis oleks huvitav teada.
SANS-is on piisavalt erinevaid suundi (minu arvates on nad viimasel ajal nende arvu liiga palju laiendanud), kuid seal on ka mõned väga huvitavad praktilised kursused. Eriti meeldis . Kuid jutt käib kursusest ja sertifikaadist, mille nimi on: .
Kõigi SANS-i pakutavate tööstusliku küberturbe sertifikaatide seas on see kõige universaalsem. Kuna teine on rohkem suunatud Power Grid süsteemidele, millele läänes pööratakse erilist tähelepanu ja need kuuluvad eraldi süsteemide klassi. Kolmas (minu sertifitseerimise teekonna ajal) oli seotud juhtumi lahendamisega.
Kursuse hind on kõrge, kuid see annab piisavalt laia teadmistepagasi IT ja OT alal. Eriti on see kasulik neile, kes otsustavad muuta oma tegevusvaldkonda näiteks IT turvalisusest pangandusse tööstuslikku küberturbet. Kuna mul oli juba taust APLC, KIPS ja Operation Technology alal, ei olnud mul selle kursuse osas midagi põhimõtteliselt uut ega eluliselt vajalikku.
Kursus koosneb 50% teooriast ja 50% praktikast. Praktikast oli kõige huvitavam võistlus – NetWars. Kahe päeva jooksul, pärast peamist koolitusprogramm, jagunesid kõik tudengid kõikidest klassidest meeskondadesse ja täitsid ülesandeid õiguste saamiseks, vajaliku teabe hankimiseks, võrgule pääsemiseks, mitmete ülesannete lahendamisega, hashide purustamise, Wiresharkiga töötamise ja igasuguste erinevate toimetustega.
Kursi materjal sisaldab raamatute lühikokkuvõtteid, mille te saate igaveseks kasutamiseks. Üldiselt saab neid kasutada ka eksamil, kuna tegemist on avatud raamatu formaat, kuid need ei aita teid seal palju, kuna eksamile on eraldatud 3 tundi, 115 küsimust ja eksami keeleks on inglise keel. Kõikide kolme tunni jooksul on võimalik võtta 15-minutiline paus. Kuid pidage meeles, et kui võtate 15-minutilise pausi ja naasete testide juurde 5 minuti pärast, loovutate lihtsalt ülejäänud kümme minutit, kuna programmis testimise ajal ei saa aega peatada. Võite jätta vahele kuni 15 küsimust, mis ilmuvad seejärel lõpuks.
Isiklikult ei soovitaks ma jätta palju küsimusi hilisemaks, kuna 3 tundi on tõeliselt vähe aega ja kui lõpuks ilmuvad lahendamata küsimused, on tõenäosus, et ei jõua eksami ajaga, väga suur. Jätsin "hilisemaks" vaid kolm küsimust, mis olid minu jaoks tõeliselt keerulised, kuna need puudutasid NIST 800.82 ja NERC standardit. Psühholoogiliselt mõjutavad sellised "hiljem" jäävad küsimused viimasel hetkel närve, kui teie aju on väsinud, soovite minna tualetti ja ekraanil olev ajakell tundub kiirenevat geomeetrilise progressiooniga.
Üldiselt on eksami sooritamiseks vajalik saavutada 71% õigeid vastuseid. Enne eksami sooritamist on teil võimalus harjutada reaalses testis, kuna hind sisaldab 2 harjutustesti, milles on 115 küsimust ja tingimused, mis on sarnased tegeliku eksamiga.
Soovitan eksami sooritada kuu aega pärast koolituse läbimist, kasutades selle kuu jooksul omaette õppimiseks aega neis küsimustes, milles te tunnete ebamugavust. Oleks hea, kui võtate kursusel saadud trükitud materjalid, mis näevad välja nagu lühitooted iga teema kohta, ja otsite sihipäraselt teavet nende raamatute teemade kohta. Jagage kuu kaheks osaks, tehes proovikatsed ja saades ligikaudse ülevaate sellest, millistes küsimustes olete tugev, ja kus tuleb end parandada.
Tahan välja tuua järgmised põhisuunad, millest eksam otseselt koosneb (mitte õpikursus, kuna see katab palju laiemat teemat):
- Füüsiline turvalisus: nagu muudes sertifitseerimiskatsetes, pööratakse ka GICSPis sellele küsimusele piisavalt tähelepanu. Esitatakse küsimusi erinevate füüsiliste lukustuste kohta uste puhul, kirjeldatakse olukordi elektrooniliste pääsmeid valeandmete korral, kus tuleb anda vastus probleemi selgele tuvastamisele. Kohtab küsimusi, mis on otseselt seotud tehnoloogia (protsessi) turvalisusega sõltuvalt valdkonnast – nafta ja gaasi protsessid, tuumaelektrijaamad või elektrivõrgud. Näiteks võib küsimus olla järgmine: Määrake, millise füüsilise turvakontrolli tüübiga on tegemist, kui saadetakse alarm temperatuurianduri signaalilt HMI-le? Või küsimus: Milline olukord (sündmus) toob kaasa vajaduse analüüsida vaatetorne süsteemi perimeetri turvalisuse jaoks?
Protsentuaalselt märkiksin, et selle jao küsimuste arv minu eksamil ja proovikatsetes ei ületanud 5%.
- Teise ja ühe kõige levinuma küsimuste kategooria hulka kuuluvad küsimused ATS-süsteemide (АСУТП), PLC ja SCADA kohta: siin tuleb süsteemselt läheneda tehnoloogia protsesside juhtimise süsteemide materjalide uurimisele, alates anduritest kuni serveriteni, kus töötavad rakendustarkvarad. Piisavalt palju küsimusi on erinevate tööstuslike andmeedastusprotokollide (ModBus, RTU, Profibus, HART jne) kohta. Esitatakse küsimusi selle kohta, millega RTU erineb PLC-st, kuidas kaitsta andmeid PLC-s kuritegeliku muudatuse eest, millistes mälupiirkondades PLC andmeid hoiab ja kus hoitakse otse programmiloogikat (programmi, mille on kirjutanud ATS programmija). Näiteks võib küsimus olla selline: Andke vastus, kuidas saab tuvastada rünnakut PLC ja HMI vahel, mis töötavad ModBus protokolli alusel?
Kohtuvad küsimused SCADA ja DCS süsteemide erinevuste kohta. Suur hulk küsimusi ATS-süsteemide (АСУТП) võrgu jagamise reeglite kohta, tasanditel L1, L2 võrreldes tasemega L3 (kirjeldan täpsemalt jaos, kus käsitlen võrku). Situatsioonilised küsimused selle teema kohta on samuti väga erinevad – kirjeldavad olukorda dispetšeri ruumis ja tuleb valida tegevused, mida protsessi operaator või dispetšer peaks täitma.
Üldiselt on see jagu kõige spetsiifilisem ja kitsas valdkond. See nõuab teilt head teadmisi:
— APU (automaatika ja juhtimise süsteem), välisosad (andurid, seadmete ühendamise tüübid, andurite füüsilised omadused, PLC, RTU);
— hädaseiskumise süsteemi (ESD – emergency shutdown system) protsesside ja objektide kaitsesüsteemid (muuseas, Habril on sellel teemal suurepärane artiklisari) )
— põhiteadlikkus füüsilistest protsessidest, mis toimuvad näiteks nafta töötlemisel, elektritootmisel, torustikes jne;
— DCS ja SCADA süsteemide arhitektuuride mõistmine;
Tooksin välja, et selliseid küsimusi võib eksami kõikide 115 küsimuse jooksul kohtuda kuni 25%. - Võrgutehnoloogiad ja võrgu turvalisus: Arvan, et selle teema küsimuste arv on eksamil esikohal. Tõenäoliselt tuleb kõike – OSI mudel, millistel tasanditel töötab üks või teine protokoll, palju küsimusi võrgu segmentimise kohta, olukordlikud küsimused võrgu rünnakute kohta, näited ühenduse logidest, kus tuleb määrata rünnaku tüüp, näited lülitite konfigureerimisest, kus tuleb tuvastada haavatav konfiguratsioon, küsimused võrgu protokollide haavatavuste kohta, küsimused tööstuslike sideprotokollide spetsiifika kohta. Eriti palju küsitakse ModBusi kohta. ModBusi võrgupakettide struktuur, sõltuvalt selle sorti ja seadme versioonidest. Suurt tähelepanu pööratakse rünnakutele traadita võrkudele – ZigBee, Wireless HART, küsimused võrgu turvalisuse kohta kogu 802.1x perekonna kohta. Tulevad küsimused teatud serverite paigutamise reeglite kohta APU võrgus (siin on vaja lugeda standardit IEC-62443 ja mõista APU võrkude mallitöö põhimõtteid). Kohtab küsimusi Purdue mudelist.
- Küsimuste kategooria, mis puudutab ainult energiaülekandesüsteemide ja nende infotehnoloogia süsteemide funktsionaalseid omadusi. Ameerikas nimetatakse seda süsteemide kategooriat ACUTP-ks Power Grid ja sellele määratakse eraldi roll. Selleks on isegi välja töötatud eraldi standardid (NIST 800.82), mis reguleerivad infotehnoloogiliste süsteemide loomise lähenemist selle sektori jaoks. Meie riikides piirab enamikul juhtudel see sektor AСKUЭ süsteemidega (palun parandage mind, kui keegi on näinud tõsisemaid lähenemisi elektrienergia jaotamise ja tarnimise kontrollimisel). Eksamil kohtate piisavalt spetsiifilisi küsimusi, mis on seotud Power Grid’iga. Enamasti olid need kasutusjuhtumid teatud olukordade kohta, mis tekkisid Power Plant’is, kuid võivad olla ka küsimused seadmete kohta, mida kasutatakse just Power Grid'is. KÜsimused puudutavad NIST-i jaotiste tundmist selle süsteemide kategooria jaoks.
- Küsimused, mis on seotud standardite tundmisega: NIST 800-82, NERC, IEC62443. Arvan, et siin pole erilisi kommentaare – tuleb orienteeruda standardite jaotistes, mis vastutab mille eest ja millised soovitused seal on. Kohtab konkreetseid küsimusi, näiteks küsides süsteemi funktsionaalsuse kontrollimise sagedust, protseduuri uuendamise sagedust jne. Protsentuaalselt võib selliseid küsimusi olla kuni 15% kogu küsimuste arvust. Kui palju neid on, sõltub vedamisest. Näiteks kahes proovikatses kohtasin vaid paar sellist küsimust. Kuid eksamil oli neid tõesti palju.
- Viimane küsimuste kategooria on igasugused kasutusjuhtumid ja situatsioonilised küsimused.
Kokkuvõttes oli koolitus, arvestades CTF NetWars'i, minu jaoks teadmiste omandamise seisukohalt mitte kuigi informatiivne. Saadi pigem sügavamad detailid teatud teemadest, eriti raadiosüsteemide korraldamise ja kaitsmise valdkonnas, mis on vajalikud tehnilise teabe edastamiseks, samuti paremini struktureeritud materjal välismaistele standarditele, mis on pühendatud sellele teemale. Seetõttu võiksid insenerid ja spetsialistid, kellel on piisavad teadmised ja kogemused ASUTP/KIP või tööstusvõrkude alal, mõelda, et säästa koolituskuludelt (säästmine on mõistlik), valmistuda ise ning minna kohe sertifitseerimise eksamile, mis maksab muide 700 USD. Ebaõnnestumise korral tuleb maksma veelkord. Sertifitseerimiskeskuseid, mis võtavad teid eksamile, on piisavalt, oluline on eelnevalt taotlus esitada. Soovitan koheselt seada eksami kuupäeva, sest vastasel juhul lükkate selle pidevalt edasi, asendades ettevalmistamise protsessi teiste eluliselt tähtsate ja vähem tähtsate asjadega. Olles konkreetsed tähtaeg, olete ise motiveeritud.
Allikas: habr.com
