Cossacks को GICSP प्रमाणपत्र कैसे प्राप्त हुआ

नमस्ते! हर किसी के पसंदीदा पोर्टल में सूचना सुरक्षा के क्षेत्र में प्रमाणन पर कई अलग-अलग लेख थे, इसलिए मैं सामग्री की मौलिकता और विशिष्टता का दावा नहीं करने जा रहा हूं, लेकिन मैं अभी भी जीआईएसी (ग्लोबल इंफॉर्मेशन एश्योरेंस कंपनी) प्राप्त करने के अपने अनुभव को साझा करना चाहूंगा। औद्योगिक साइबर सुरक्षा के क्षेत्र में प्रमाणन। जैसे भयानक शब्दों के प्रकट होने के बाद से Stuxnet, महापौर, शमून, ट्राइटन, विशेषज्ञों की सेवाओं के प्रावधान के लिए एक बाजार जो आईटी प्रतीत होता है, लेकिन सीढ़ी पर कॉन्फ़िगरेशन को फिर से लिखने के साथ पीएलसी को अधिभारित भी कर सकता है, और साथ ही संयंत्र को रोका नहीं जा सकता है, बनना शुरू हो गया है।

इस तरह IT&OT (सूचना प्रौद्योगिकी और संचालन प्रौद्योगिकी) की अवधारणा दुनिया में आई।

इसके तुरंत बाद (यह स्पष्ट है कि अयोग्य कर्मियों को काम करने की अनुमति नहीं दी जानी चाहिए) प्रक्रिया नियंत्रण प्रणालियों और औद्योगिक प्रणालियों की सुरक्षा सुनिश्चित करने से संबंधित क्षेत्र में विशेषज्ञों को प्रमाणित करने की आवश्यकता आई - जिनमें से, यह पता चला है, बहुत सारे हैं वे हमारे जीवन में हैं, एक अपार्टमेंट में एक स्वचालित जल आपूर्ति वाल्व से लेकर एक नियंत्रण प्रणाली हवाई जहाज तक (समस्याओं की जांच के बारे में उत्कृष्ट लेख याद रखें) बोइंग). और यहां तक ​​कि, जैसा कि यह अचानक पता चला, जटिल चिकित्सा उपकरण भी।

इस बारे में एक संक्षिप्त गीत कि मुझे प्रमाणन प्राप्त करने की आवश्यकता कैसे पड़ी (आप इसे छोड़ सकते हैं): 2000 के दशक के अंत में सूचना सुरक्षा संकाय में अपनी पढ़ाई सफलतापूर्वक पूरी करने के बाद, मैंने अपने सिर के साथ उपकरण भेड़ की श्रेणी में कदम रखा कम-वर्तमान सुरक्षा अलार्म सिस्टम के लिए मैकेनिक के रूप में काम करते हुए, उच्च पद पर आसीन हुए। ऐसा लगता है जैसे उस समय उद्यम में मुझे सूचना सुरक्षा के बारे में बताया गया था :) इस तरह सूचना सुरक्षा में स्नातक की डिग्री के साथ एक स्वचालित नियंत्रण प्रणाली विशेषज्ञ के रूप में मेरा करियर शुरू हुआ। छह साल बाद, एससीएडीए सिस्टम विभाग के प्रमुख के पद तक पहुंचने के बाद, मैंने सॉफ्टवेयर और उपकरण बेचने वाली एक विदेशी कंपनी में औद्योगिक नियंत्रण प्रणालियों के लिए सुरक्षा सलाहकार के रूप में काम करना छोड़ दिया। यहीं पर प्रमाणित सूचना सुरक्षा विशेषज्ञ होने की आवश्यकता उत्पन्न हुई।

जीआईएसी एक विकास है बिना एक संगठन जो सूचना सुरक्षा विशेषज्ञों का प्रशिक्षण और प्रमाणन आयोजित करता है। ईएमईए, यूएस और एशिया प्रशांत बाजारों में विशेषज्ञों और ग्राहकों के बीच जीआईएसी प्रमाणपत्र की प्रतिष्ठा बहुत अधिक है। यहां, सोवियत-बाद के अंतरिक्ष में और सीआईएस देशों में, इस तरह के प्रमाणपत्र का अनुरोध केवल हमारे देशों में व्यापार करने वाली विदेशी कंपनियों, अंतरराष्ट्रीय और परामर्श एजेंसियों द्वारा किया जा सकता है। व्यक्तिगत रूप से, मुझे कभी भी घरेलू कंपनियों से इस तरह के प्रमाणीकरण के लिए अनुरोध का सामना नहीं करना पड़ा। हर कोई मूलतः सीआईएसएसपी मांग रहा है। यह मेरी व्यक्तिपरक राय है और यदि कोई टिप्पणी में अपना अनुभव साझा करता है, तो यह जानना दिलचस्प होगा।

SANS में काफी अलग-अलग क्षेत्र हैं (मेरी राय में, हाल ही में लोगों ने अपनी संख्या बहुत अधिक बढ़ा दी है), लेकिन बहुत दिलचस्प व्यावहारिक पाठ्यक्रम भी हैं। मुझे यह विशेष रूप से पसंद आया नेटवार्स. लेकिन कहानी पाठ्यक्रम के बारे में होगी ICS410: ICS/SCADA सुरक्षा अनिवार्यताएँ और एक प्रमाणपत्र कहा जाता है: वैश्विक औद्योगिक साइबर सुरक्षा पेशेवर (जीआईसीएसपी).

SANS द्वारा प्रस्तावित सभी प्रकार के औद्योगिक साइबर सुरक्षा प्रमाणपत्रों में से, यह सबसे सार्वभौमिक है। चूंकि दूसरा पावर ग्रिड सिस्टम से अधिक संबंधित है, जिस पर पश्चिम में विशेष ध्यान दिया जाता है और सिस्टम के एक अलग वर्ग से संबंधित है। और तीसरा (मेरे प्रमाणन पथ के समय) घटना प्रतिक्रिया से संबंधित।
यह कोर्स सस्ता नहीं है, लेकिन यह IT&OT का काफी व्यापक ज्ञान प्रदान करता है। यह उन साथियों के लिए विशेष रूप से उपयोगी होगा जिन्होंने अपना क्षेत्र बदलने का फैसला किया है, उदाहरण के लिए बैंकिंग उद्योग में आईटी सुरक्षा से लेकर औद्योगिक साइबर सुरक्षा तक। चूंकि मेरे पास पहले से ही प्रोसेस कंट्रोल सिस्टम, इंस्ट्रूमेंटेशन और ऑपरेशन टेक्नोलॉजी के क्षेत्र में पृष्ठभूमि थी, इसलिए इस पाठ्यक्रम में मेरे लिए मौलिक रूप से कुछ भी नया या महत्वपूर्ण नहीं था।

पाठ्यक्रम में 50% सिद्धांत और 50% अभ्यास शामिल है। अभ्यास से, सबसे दिलचस्प प्रतियोगिता नेटवार्स थी। दो दिनों के लिए, कक्षाओं के मुख्य पाठ्यक्रम के बाद, सभी कक्षाओं के सभी छात्रों को टीमों में विभाजित किया गया और एक्सेस अधिकार प्राप्त करने, आवश्यक जानकारी निकालने, नेटवर्क तक पहुंच प्राप्त करने, हैश को बढ़ावा देने के लिए कार्यों का एक समूह, वायरशार्क के साथ काम करने के लिए कार्य किए गए। और सभी प्रकार की विभिन्न अच्छाइयाँ।

पाठ्यक्रम सामग्री को पुस्तकों के रूप में संक्षेपित किया गया है, जिसे आप अपने सतत उपयोग के लिए प्राप्त कर सकते हैं। वैसे, आप उन्हें परीक्षा के लिए ले जा सकते हैं, क्योंकि प्रारूप ओपन बुक है, लेकिन वे आपकी बहुत मदद नहीं करेंगे, क्योंकि परीक्षा में 3 घंटे, 115 प्रश्न हैं और डिलीवरी की भाषा अंग्रेजी है। पूरे 3 घंटों के दौरान आप 15 मिनट का ब्रेक ले सकते हैं। लेकिन ध्यान रखें कि 15 मिनट का ब्रेक लेकर और 5 के बाद परीक्षण पर लौटकर, आप बस शेष दस मिनट छोड़ रहे हैं, क्योंकि अब आप परीक्षण कार्यक्रम में समय नहीं रोक पाएंगे। आप 15 प्रश्नों तक को छोड़ सकते हैं, जो बाद में सबसे अंत में दिखाई देंगे।

व्यक्तिगत रूप से, मैं बहुत सारे प्रश्नों को बाद के लिए छोड़ने की अनुशंसा नहीं करता, क्योंकि 3 घंटे वास्तव में पर्याप्त समय नहीं है, और जब अंत में आपके पास ऐसे प्रश्न हों जिन्हें अभी तक हल नहीं किया गया है, तो इस बात की बहुत अधिक संभावना है कि आप हल नहीं कर पाएंगे। यह समय में. मैंने बाद के लिए केवल तीन प्रश्न छोड़े जो मेरे लिए वास्तव में कठिन थे, क्योंकि वे एनआईएसटी 800.82 और एनईआरसी मानक के ज्ञान से संबंधित थे। मनोवैज्ञानिक रूप से, ऐसे प्रश्न "बाद के लिए" आपकी नसों पर सबसे अंत में प्रहार करते हैं - जब आपका मस्तिष्क थक जाता है, आप शौचालय जाना चाहते हैं, तो स्क्रीन पर टाइमर तेजी से तेज होने लगता है।

सामान्य तौर पर, परीक्षा उत्तीर्ण करने के लिए आपको 71% सही उत्तर प्राप्त करने होंगे। परीक्षा देने से पहले, आपको वास्तविक परीक्षणों पर अभ्यास करने का अवसर मिलेगा - क्योंकि कीमत में 2 प्रश्नों के 115 अभ्यास परीक्षण शामिल हैं और वास्तविक परीक्षा के समान शर्तों के साथ।

मैं प्रशिक्षण पूरा करने के एक महीने बाद परीक्षा देने की सलाह देता हूं, इस महीने को उन मुद्दों पर व्यवस्थित स्व-अध्ययन पर खर्च करें जिनमें आप अनिश्चित महसूस करते हैं। यह अच्छा होगा यदि आप पाठ्यक्रम के दौरान प्राप्त मुद्रित सामग्री लें, जो प्रत्येक विषय पर संक्षिप्त सार की तरह दिखती है - और इन पुस्तकों में निहित विषयों पर जानबूझकर जानकारी खोजें। महीने को दो भागों में बाँटें, अभ्यास परीक्षण लें और एक मोटा चित्र प्राप्त करें कि आप किन क्षेत्रों में मजबूत हैं और आपको कहाँ सुधार करने की आवश्यकता है।

मैं निम्नलिखित मुख्य क्षेत्रों पर प्रकाश डालना चाहूंगा जो स्वयं परीक्षा बनाते हैं (प्रशिक्षण पाठ्यक्रम नहीं, क्योंकि इसमें बहुत अधिक व्यापक विषय शामिल हैं):

1. शारीरिक सुरक्षा: अन्य प्रमाणन परीक्षाओं की तरह, जीआईसीएसपी में भी इस मुद्दे पर बहुत ध्यान दिया जाता है। इसमें दरवाजों पर भौतिक ताले के प्रकार के बारे में प्रश्न हैं, इलेक्ट्रॉनिक पास की जालसाजी की स्थितियों का वर्णन किया गया है, जहां आपको समस्या की स्पष्ट रूप से पहचान करने के लिए उत्तर देने की आवश्यकता है। विषय क्षेत्र के आधार पर सीधे प्रौद्योगिकी (प्रक्रिया) की सुरक्षा से संबंधित प्रश्न हैं - तेल और गैस प्रक्रियाएं, परमाणु ऊर्जा संयंत्र या पावर ग्रिड। उदाहरण के लिए, ऐसा प्रश्न हो सकता है: निर्धारित करें कि एचएमआई पर भाप तापमान सेंसर से अलार्म आने पर स्थिति किस प्रकार का भौतिक सुरक्षा नियंत्रण है? या एक प्रश्न जैसे: कौन सी स्थिति (घटना) सुविधा की परिधि सुरक्षा प्रणाली के निगरानी कैमरों से वीडियो रिकॉर्डिंग का विश्लेषण करने के लिए एक कारण के रूप में काम करेगी?

   प्रतिशत के संदर्भ में, मैं ध्यान दूंगा कि मेरी परीक्षा और अभ्यास परीक्षणों में इस खंड पर प्रश्नों की संख्या 5% से अधिक नहीं थी।

2. प्रश्नों की एक और सबसे व्यापक श्रेणी प्रक्रिया नियंत्रण प्रणाली, पीएलसी, एससीएडीए पर प्रश्न हैं: यहां सेंसर से सर्वर तक जहां एप्लिकेशन सॉफ़्टवेयर स्वयं प्रक्रिया नियंत्रण प्रणाली कैसे संरचित होती है, इस पर सामग्रियों के अध्ययन को व्यवस्थित रूप से करना आवश्यक होगा। रन। औद्योगिक डेटा ट्रांसफर प्रोटोकॉल (मोडबस, आरटीयू, प्रोफिबस, हार्ट, आदि) के प्रकारों पर पर्याप्त संख्या में प्रश्न मिलेंगे। इस बारे में प्रश्न होंगे कि आरटीयू पीएलसी से कैसे भिन्न है, पीएलसी में डेटा को हमलावर द्वारा संशोधन से कैसे बचाया जाए, पीएलसी किस मेमोरी क्षेत्र में डेटा संग्रहीत करता है, और जहां तर्क स्वयं संग्रहीत होता है (एक प्रक्रिया नियंत्रण प्रणाली प्रोग्रामर द्वारा लिखा गया प्रोग्राम) ). उदाहरण के लिए, इस प्रकार का एक प्रश्न हो सकता है: उत्तर दें कि आप मॉडबस प्रोटोकॉल का उपयोग करके संचालित होने वाले पीएलसी और एचएमआई के बीच हमले का पता कैसे लगा सकते हैं?

   SCADA और DCS सिस्टम के बीच अंतर के बारे में प्रश्न होंगे। एल1, एल2 स्तर पर स्वचालित प्रक्रिया नियंत्रण नेटवर्क को एल3 स्तर से अलग करने के नियमों पर बड़ी संख्या में प्रश्न (मैं नेटवर्क पर प्रश्नों वाले अनुभाग में अधिक विस्तार से वर्णन करूंगा)। इस विषय पर परिस्थितिजन्य प्रश्न भी बहुत विविध होंगे - वे नियंत्रण कक्ष में स्थिति का वर्णन करते हैं और आपको उन कार्यों का चयन करने की आवश्यकता होती है जिन्हें प्रक्रिया ऑपरेटर या डिस्पैचर द्वारा किया जाना चाहिए।

   सामान्य तौर पर, यह अनुभाग सबसे विशिष्ट और संकीर्ण-प्रोफ़ाइल है। आपके पास अच्छा ज्ञान होना आवश्यक है:
   - स्वचालित नियंत्रण प्रणाली, फ़ील्ड भाग (सेंसर, डिवाइस कनेक्शन के प्रकार, सेंसर की भौतिक विशेषताएं, पीएलसी, आरटीयू);
   - प्रक्रियाओं और वस्तुओं की आपातकालीन शटडाउन प्रणाली (ईएसडी - आपातकालीन शटडाउन प्रणाली) (वैसे, हैबे पर इस विषय पर लेखों की एक उत्कृष्ट श्रृंखला है) व्लादिमीर_स्क्लायर)
   - होने वाली भौतिक प्रक्रियाओं की बुनियादी समझ, उदाहरण के लिए, तेल शोधन, बिजली उत्पादन, पाइपलाइन आदि में;
   - डीसीएस और एससीएडीए सिस्टम की वास्तुकला की समझ;
   मैं ध्यान दूंगा कि इस प्रकार के प्रश्न परीक्षा के सभी 25 प्रश्नों में 115% तक हो सकते हैं।

3. नेटवर्क प्रौद्योगिकियाँ और नेटवर्क सुरक्षा: मुझे लगता है कि इस विषय में प्रश्नों की संख्या परीक्षा में सबसे पहले आती है। संभवतः बिल्कुल सब कुछ होगा - ओएसआई मॉडल, यह या वह प्रोटोकॉल किस स्तर पर संचालित होता है, नेटवर्क विभाजन पर कई प्रश्न, नेटवर्क हमलों पर स्थितिजन्य प्रश्न, हमले के प्रकार को निर्धारित करने के प्रस्ताव के साथ कनेक्शन लॉग के उदाहरण, स्विच कॉन्फ़िगरेशन के उदाहरण एक कमजोर कॉन्फ़िगरेशन निर्धारित करने के प्रस्ताव के साथ, नेटवर्क प्रोटोकॉल की कमजोरियों पर प्रश्न, औद्योगिक संचार प्रोटोकॉल के नेटवर्क कनेक्शन की विशिष्टताओं पर प्रश्न। लोग खासतौर पर ModBus के बारे में बहुत कुछ पूछते हैं। समान मॉडबस के नेटवर्क पैकेट की संरचना, उसके प्रकार और डिवाइस द्वारा समर्थित संस्करणों पर निर्भर करती है। वायरलेस नेटवर्क पर हमलों पर अधिक ध्यान दिया जाता है - ज़िगबी, वायरलेस एचएआरटी, और पूरे 802.1x परिवार की नेटवर्क सुरक्षा के बारे में प्रश्न। प्रक्रिया नियंत्रण प्रणाली नेटवर्क में कुछ सर्वर रखने के नियमों के बारे में प्रश्न होंगे (यहां आपको IEC-62443 मानक को पढ़ने और प्रक्रिया नियंत्रण प्रणाली नेटवर्क के संदर्भ मॉडल के सिद्धांतों को समझने की आवश्यकता है)। पर्ड्यू मॉडल के बारे में प्रश्न होंगे।
4. मुद्दों की एक श्रेणी जो विशेष रूप से बिजली पारेषण प्रणालियों और उनके लिए सूचना सुरक्षा प्रणालियों के संचालन की कार्यात्मक विशेषताओं से संबंधित है। संयुक्त राज्य अमेरिका में, स्वचालित प्रक्रिया नियंत्रण प्रणालियों की इस श्रेणी को पावर ग्रिड कहा जाता है और इसे एक अलग भूमिका सौंपी जाती है। इस प्रयोजन के लिए, इस क्षेत्र के लिए सूचना सुरक्षा प्रणाली बनाने के दृष्टिकोण को विनियमित करने के लिए अलग मानक भी जारी किए गए हैं (एनआईएसटी 800.82)। हमारे देशों में, अधिकांश भाग के लिए, यह क्षेत्र ASKUE सिस्टम तक ही सीमित है (अगर किसी ने बिजली वितरण और वितरण प्रणालियों की निगरानी के लिए अधिक गंभीर दृष्टिकोण देखा है तो मुझे बताएं)। तो, परीक्षा में आपको पावर ग्रिड से संबंधित काफी विशिष्ट प्रश्न मिलेंगे। अधिकांश भाग के लिए, ये एक विशिष्ट स्थिति के लिए उपयोग के मामले थे जो पावर प्लांट में विकसित हुए थे, लेकिन उन उपकरणों पर भी सर्वेक्षण हो सकते हैं जो विशेष रूप से पावर ग्रिड में उपयोग किए जाते हैं। इस श्रेणी की प्रणालियों के लिए एनआईएसटी अनुभागों के ज्ञान से संबंधित प्रश्न होंगे।
5. मानकों के ज्ञान से संबंधित प्रश्न: एनआईएसटी 800-82, एनईआरसी, आईईसी62443। मुझे लगता है कि यहां बिना किसी विशेष टिप्पणी के - आपको मानकों के अनुभागों में नेविगेट करने की आवश्यकता है, जो इसके लिए जिम्मेदार है और इसमें कौन सी सिफारिशें शामिल हैं। विशिष्ट प्रश्न हैं, उदाहरण के लिए, सिस्टम की कार्यक्षमता की जांच करने की आवृत्ति, प्रक्रिया को अद्यतन करने की आवृत्ति आदि पूछना। ऐसे प्रश्नों के प्रतिशत के रूप में, कुल प्रश्नों की संख्या का 15% तक का सामना करना पड़ सकता है। लेकिन यह निर्भर करता है. उदाहरण के लिए, दो अभ्यास परीक्षणों में मुझे केवल कुछ समान प्रश्न मिले। लेकिन परीक्षा के दौरान वास्तव में उनमें से बहुत सारे थे।
6. खैर, प्रश्नों की अंतिम श्रेणी सभी प्रकार के उपयोग-मामलों और स्थितिजन्य प्रश्नों की है।

सामान्य तौर पर, सीटीएफ नेटवार्स के संभावित अपवाद के साथ, प्रशिक्षण स्वयं संभावित नए ज्ञान प्राप्त करने के मामले में मेरे लिए बहुत जानकारीपूर्ण नहीं था। बल्कि, कुछ विषयों का गहन विवरण प्राप्त किया गया, विशेष रूप से तकनीकी जानकारी प्रसारित करने के लिए उपयोग किए जाने वाले रेडियो नेटवर्क के संगठन और संरक्षण के क्षेत्र में, साथ ही इस विषय के लिए समर्पित विदेशी मानकों की संरचना पर अधिक संगठित सामग्री भी प्राप्त की गई। इसलिए, उन इंजीनियरों और विशेषज्ञों के लिए जिनके पास प्रक्रिया नियंत्रण प्रणाली/इंस्ट्रूमेंटेशन सिस्टम या औद्योगिक नेटवर्क के साथ काम करने का पर्याप्त ज्ञान और अनुभव है, आप प्रशिक्षण पर बचत करने के बारे में सोच सकते हैं (और बचत करना समझ में आता है), खुद को तैयार करें और सीधे प्रमाणन परीक्षा देने के लिए जाएं, जो वैसे, इसकी कीमत 700USD है। असफल होने की स्थिति में आपको दोबारा भुगतान करना होगा. बहुत सारे प्रमाणन केंद्र हैं जो आपको परीक्षा के लिए स्वीकार करेंगे; मुख्य बात यह है कि पहले से आवेदन करना है। सामान्य तौर पर, मैं परीक्षा की तारीख तुरंत निर्धारित करने की सलाह देता हूं, क्योंकि अन्यथा आप इसमें लगातार देरी करेंगे, तैयारी प्रक्रिया को अन्य महत्वपूर्ण और पूरी तरह से महत्वपूर्ण मामलों से नहीं बदल देंगे। और एक विशिष्ट समय सीमा होने से आप आत्म-प्रेरित हो जायेंगे।

स्रोत: www.habr.com