Mindenki üdvözletét küldi! A mindenki által szeretett portálon sok különböző cikk jelent meg az információbiztonsági tanúsítással kapcsolatban, ezért nem célom az eredetiség és egyediség melletti érvelés, de mégis szeretném megosztani tapasztalataimat a GIAC (Global Information Assurance Company) tanúsítvány megszerzésével kapcsolatban az ipari kiberbiztonság területén. Az olyan félelmet keltő szavak megjelenése óta, mint , , Shamoon, Triton, fokozatosan kialakult az a piac, ahol olyan szakértők kínálnak szolgáltatásokat, akik látszólag IT-sek, de még programozási logika (PLC) konfigurációt is tudnak módosítani, anélkül, hogy leállítanák a gyárat.
Így került be az IT&OT (Információtechnológia és Működési Technológia) fogalma a köztudatba.
Azonnal szükségessé vált (nyilvánvaló, hogy nem lehet a munkába nem megfelelően képes személyeket bevonni) a szakemberek tanúsítása az automatizált folyamatirányítási rendszerek biztonságának területén, ami hirtelen nagyon elterjedté vált, a lakás vízcsap-vezérlő automatájától kezdve a repülőgépek irányításáig (gondoljunk csak a problémák kivizsgálásáról szóló csodás cikkre ). És még, ahogy váratlanul kiderült — bonyolult orvosi berendezésekkel is.
Egy rövid esettanulmány arról, hogyan jutottam el a tanúsítás megszerzésének szükségességéhez (ezt átugorhatod): Miután az ezredfordulón sikeresen elvégeztem az információvédelmi szakot, büszkén léptem be az automatizálási szakemberek világába, mint alacsony feszültségű biztonsági jelzőrendszerek szerelője. Az információbiztonságot mondták nekem a cégnél abban az időben :) Így kezdődött a karrierem az automatizált folyamatirányítás területén, információbiztonsági alapképzéssel a zsebemben. Hat év múlva, miután elértem a SCADA rendszerek osztályvezetői pozícióját, elmentem egy szoftver- és berendezésgyártó külföldi céghez ipari irányítástechnikai tanácsadónak. Ekkor vált szükségessé a bizonyítvány birtoklása.
a olyan szervezet, amely informatikai biztonsági szakemberek tréningezésével és tanúsításával foglalkozik. A GIAC tanúsítvány hírneve nagyon magas a szakemberek és a megrendelők körében az EMEA, amerikai és ázsiai piacon. Az egykori Szovjetunió területén és a FÁK-országokban ilyen tanúsítványt csak külföldi cégek kérhetnek, amelyek üzletet folytatnak a mi országainkban, valamint nemzetközi és tanácsadó ügynökségek. Én személy szerint sosem találkoztam hazai cégek részéről ilyen jellegű tanúsítvány iránti igénnyel. Mindenki főként a CISSP-t kéri. Ez az én szubjektív véleményem, és ha valaki megosztja tapasztalatait a kommentekben – érdekes lenne tudni.
A SANS-nál elég sok különböző irány van (véleményem szerint az utóbbi időben a fiúk túlzásba vitték a számuk növelését), de nagyon érdekes gyakorlati kurzusok is léteznek. Különösen tetszett . De most a kurzusról és a következő tanúsítványról fogunk beszélni: .
A SANS által kínált ipari kiberbiztonsági tanúsítványok közül ez a leguniverzálisabb. Mivel a második inkább a Power Grid rendszerekre vonatkozik, amelyek nyugaton külön figyelmet kapnak, és egy elkülönített osztályú rendszerként tartják számon. A harmadik pedig (a tanúsítványi folyamatom idején) az eseménykezeléshez kapcsolódott.
A kurzus nem olcsó, de elég széleskörű tudást nyújt IT és OT területen. Különösen hasznos lesz azoknak a kollégáknak, akik a IT biztonsági területét feladják a banki szektor miatt, hogy ipari kiberbiztonságra váltson. Mivel már volt tapasztalatom az automatizálási és irányítási rendszerek, valamint az üzemeltetési technológia területén, így számomra nem volt alapvetően új vagy létfontosságú a kurzuson.
A kurzus 50% elméletből és 50% gyakorlatból áll. A gyakorlat során a legérdekesebb a verseny volt – NetWars. Két napon keresztül, a fő kurzus után, az összes osztály diákjai csapatokra oszlottak és feladatokat hajtottak végre a jogosultságok megszerzésére, szükséges információk kinyerésére, a hálózathoz való hozzáférés elnyerésére, sok feladattal a hash-ek törésére, Wireshark használatára és különféle egyéb érdekességekre.
A kurzus anyaga könyvek formájában összefoglalva található, amelyeket aztán élethosszig bérbe kap. Egyébként ezeket az anyagokat el lehet vinni a vizsgára is, mivel az Open Book formátumot követ, de nem sokat segítenek, mert a vizsgára 3 óra áll rendelkezésre, 115 kérdéssel, a vizsga nyelve angol. A 3 óra alatt 15 perc szünetet lehet tartani. De vegye figyelembe, hogy ha 15 perc szünetet tart, és 5 perc múlva visszatér a tesztekhez, akkor egyszerűen elveszíti a fennmaradó 10 percet, mivel a tesztelési program időt megállítani nem lehet. Legfeljebb 15 kérdést lehet kihagyni, amelyek aztán a végén fognak megjelenni.
Személy szerint nem javaslom, hogy sok kérdést hagyjon a végére, mert a 3 óra valóban kevés idő, és amikor a végén még megoldatlan kérdések ugranak fel, akkor nagyobb a valószínűsége, hogy nem sikerül. Csak három kérdést hagytam "a végére", amelyek valóban nehézek voltak számomra, mert a NIST 800.82 és a NERC szabvány ismereteihez kapcsolódtak. Ezek a "végére hagyott" kérdések pszichológiailag stresszelik az embert a legvégén - amikor az agya már fáradt, wc-re kell mennie, és úgy tűnik, hogy az időzítő a képernyőn gépi növekedéssel gyorsul.
Általánosságban ahhoz, hogy átmenjen a vizsgán, 71% helyes választ kell elérnie. A vizsga előtt lehetősége lesz valódi teszteken gyakorolni - mivel az árban benne van 2 teszt 115 kérdéssel, a valós vizsgával azonos feltételekkel.
Azt javaslom, hogy a vizsgát egy hónappal a tréning után tegyék le, töltve ezt a hónapot a kérdésekkel kapcsolatos önálló gyakorlással - amiben bizonytalannak érzi magát. Jó lenne, ha a kurzuson kapott nyomtatott anyagokat használná, amelyek úgy néznek ki, mint rövid összefoglalók minden témáról - és célzottan keresne információt azokon a témákon, amelyek ezekben a könyvekben szerepelnek. Ossza fel a hónapot két részre, végezzen próbatesteket, és szerezzen egy hozzávetőleges képet arról, hogy mely kérdésekben erős, és hol kell még fejlődnie.
Szeretném kiemelni a következő főbb irányokat, amelyek magát a vizsgát alkotják (nem a képzési kurzust, mivel az jóval szélesebb témákat ölel fel):
- Fizikai biztonság: a többi tanúsító vizsgához hasonlóan, a GICSP-nél is kiemelt figyelmet kap ez a téma. Kérdések találhatók a különféle fizikai zárak típusairól az ajtókon, leírásra kerülnek az elektronikus belépők hamisításával kapcsolatos helyzetek, amelyek során egyértelműen azonosítani kell a problémát. Kérdések merülnek fel a technológiai (folyamat) biztonsággal kapcsolatban is, a szakterülettől függően – olaj- és gázipari folyamatok, atomerőművek vagy elektromos hálózatok. Például lehet olyan kérdés, hogy: Milyen típusú fizikai biztonsági ellenőrzés jellemzi azt a helyzetet, amikor riasztás érkezik a gőz hőmérsékletérzékelőjéről az HMI-re? Vagy egy olyan kérdés, hogy: Milyen helyzet (esemény) indokolja a biztonsági peremrendszeren található kamerák felvételeinek elemzését?
Százalékos arányban azt mondanám, hogy a vizsgámon és a próbateszteken a kérdések száma ebben a részben nem haladta meg az 5%-ot.
- Másik, és az egyik legelterjedtebb kérdéstípus az Iparági Vezérlő Rendszerek (SCADA), PLC: itt rendszeresen érdekelté válik az anyagok tanulmányozása, hogy milyen rendszereket alkalmaznak a technológiai folyamatok irányításában, kezdve az érzékelőktől, egészen a szerverekig, ahol magának az alkalmazásnak a szoftvere fut. Számos kérdés fog érinteni ipari adatkommunikációs protokollok változatait (ModBus, RTU, Profibus, HART stb.). Kérdések lesznek arról, hogy miben különbözik az RTU a PLC-től, hogyan lehet megvédeni az adatokat a PLC-ben a rosszindulatú módosítástól, mely memóriaterületekben tárolja a PLC az adatokat, és hol található maga a logika (az Ügyfélnél írt program). Például lehet egy kérdés: Milyen módon lehet felfedezni egy támadást a PLC és az HMI között, amelyek a ModBus protokollon működnek?
Kérdések merülnek fel a SCADA rendszerek és a DCS közötti különbségekről. Nagy számú kérdés a folyamatvezérlő rendszerek hálózatainak L1, L2 szint szerinti elválasztásának szabályairól, az L3 szinttől (részletesebben a hálózati kérdések szakaszában írom le). Ezen a témán belül a helyzeti kérdések is sokfélék lesznek – leírják a diszpécseriroda helyzetét, és ki kell választani azokat a lépéseket, amelyeket a folyamat operátorának vagy a diszpécsernek végrehajtania kell.
Ez a szakasz a legspecifikusabb és legszűkebb területet képviseli. Jól kell ismernie a dolgokat:
— Iparági automatizálási rendszerek, terepi egységek (érzékelők, az eszközök csatlakoztatásának típusai, az érzékelők fizikai sajátosságai, PLC, RTU);
— A folyamatok és objektumok vészleállító rendszereinek (ESD – emergency shutdown system) ismerete (egyébként a Habr-on remek cikksorozat található erről) )
— Az alapvető fizikai folyamatok megértése, amelyek például a finomítókban, az energia termelésében, a vezetékekben zajlanak stb.;
— A DCS és SCADA rendszerek architektúrájának ismerete;
Megjegyzem, hogy az ilyen típusú kérdések a vizsga összes 115 kérdéséből akár 25%-ot is kitehetnek. - Hálózati technológák és hálózati biztonság: Azt gondolom, hogy a kérdések száma ezen a területen első helyet foglal el a vizsgán. Valószínűleg minden lesz – az OSI modell, hogy az egyes protokollok milyen szinten működnek, számos kérdés a hálózat szegmentálásáról, helyzetfüggő kérdések a hálózati támadásokról, példák a kapcsolatnaplókra, ahol meg kell határozni a támadás típusát, példák a kapcsolók konfigurációira, ahol az ártalmas konfigurációt kell azonosítani, kérdések a hálózati protokollok sebezhetőségeiről, kérdések az ipari kommunikációs protokollok hálózati kapcsolataira vonatkozóan. Különösen sokat kérdeznek a ModBus-ról. A ModBus hálózati csomagok szerkezete a változatai és az eszköz által támogatott verziók függvényében. Nagy figyelmet szentelnek a vezeték nélküli hálózatokra irányuló támadásoknak – ZigBee, Wireless HART, és általános kérdések a 802.1x család minden hálózati biztonságáról. Lesznek kérdések a különböző szerverek elhelyezésének szabályairól az AСУТП hálózaton (itt érdemes elolvasni az IEC-62443 szabványt és megérteni az AСУТП hálózatok referencia modelljeinek alapelveit). Kérdések merülnek fel a Purdue modellről.
- A kérdéseket a villamos energia-átviteli rendszerek és az azokhoz kapcsolódó információbiztonsági rendszerek funkcionális jellemzőire vonatkozóan kell érteni. Az Egyesült Államokban ezt a rendszerkategóriát Supervisory Control and Data Acquisition (SCADA) néven ismerik, amelynek külön szerepet szánnak. Ennek érdekében külön szabványok is készülnek (NIST 800.82), amelyek meghatározzák az információbiztonsági rendszerek kialakításához szükséges megközelítéseket ezen a területen. Hazánkban ez a szektor többnyire a Mért és Szabályozott Energia (AСКУЭ) rendszereivel korlátozódik (javítsanak ki, ha valaki komolyabb ellenőrzési megközelítést ismert ebben a téma körben). Az vizsgán konkrétan a Power Grid-re vonatkozó, viszonylag specifikus kérdésekkel találkozhatnak. Ezek többsége bizonyos helyzetekre vonatkozó use-case-k voltak, amelyek a Power Plant-nél kialakultak, de lehetnek kérdések olyan eszközökről is, amelyeket kifejezetten a Power Grid-ben alkalmaznak. Lesznek kérdések, amelyek a NIST e kategóriában elérhető szakaszainak ismeretére vonatkoznak.
- A kérdések a szabványok ismeretéhez kapcsolódnak: NIST 800-82, NERC, IEC62443. Úgy gondolom, erről nem szükséges különösebb magyarázat – tisztában kell lennie a szabványok szakaszaival, hogy ezek milyen felelősséggel bírnak és milyen ajánlásokat tartalmaznak. Konkrét kérdések is előfordulnak, például a rendszer funkcionális ellenőrzésének időtartamáról, a eljárás frissítésének gyakoriságáról stb. Az ilyen típusú kérdések aránya akár 15%-ot is elérheti a teljes kérdésszámban. De ami a szerencsén múlik. Például két próbateszt során csupán pár ilyen kérdéssel találkoztam. Ellenben a vizsgán nagyon sok ilyen volt.
- A legutolsó kategória a kérdések közül mindenféle use-case-k és helyzetfüggő kérdések.
Összességében a tréning, talán a CTF NetWars kivételével, számomra nem volt túlságosan informatív új ismeretek megszerzésének szempontjából. Inkább bizonyos témák, különösen a rádióhálózatok szervezésével és védelmével kapcsolatosan, mélyebb részletek kerültek megszerzésre, valamint rendszerezettebb anyag a külföldi szabványok szerkezetéről, amelyek e téma köré összpontosítanak. Ezért mérnökök és szakemberek számára, akiknek elegendő tudásuk és tapasztalatuk van az AСУТП/KИП vagy az Ipari Hálózatok terén, érdemes elgondolkodniuk azon, hogy spóroljanak a tréningen (ami valóban megfontolandó), készítsenek fel saját maguk, és azonnal menjenek a tanúsító vizsgára, amelynek ára egyébként 700 USD. Ha megbukik, ismét tudniuk kell majd fizetni. Rengeteg tanúsító központ van, amely hajlandó fogadni a vizsgázókat, a legfontosabb, hogy előre kérvényezzenek. Egyébként én azt javaslom, hogy azonnal állítsanak be egy vizsgai dátumot, mert különben folyamatosan halogatni fogják azt, helyettesítve a felkészülési folyamatot más életbevágó, vagy éppen nem is annyira fontos tevékenységekkel. Konkért határidővel rendelkezve, önmagunk motiválására ösztönözve leszünk.
Forrás: habr.com
