Բարեւ բոլորին! Բոլորի սիրելի պորտալն ուներ բազմաթիվ տարբեր հոդվածներ տեղեկատվական անվտանգության ոլորտում սերտիֆիկացման վերաբերյալ, այնպես որ ես չեմ պատրաստվում պնդել բովանդակության ինքնատիպությունն ու յուրահատկությունը, բայց ես դեռ իսկապես կցանկանայի կիսվել GIAC (Global Information Assurance Company) ձեռքբերման իմ փորձով: սերտիֆիկացում արդյունաբերական կիբերանվտանգության ոլորտում: Քանի որ հայտնվել են այնպիսի սարսափելի բառեր, ինչպիսիք են , , Shamoon, Triton, մասնագետների ծառայությունների մատուցման շուկա, որոնք թվում է, թե ՏՏ են, բայց կարող են նաև ծանրաբեռնել PLC-ները սանդուղքների վրա կոնֆիգուրացիան վերագրելով, և միևնույն ժամանակ գործարանը հնարավոր չէ կանգնեցնել, սկսեց ձևավորվել:
Այսպես աշխարհ եկավ IT&OT (Information Technology & Operation Technology) հայեցակարգը։
Անմիջապես հաջորդիվ (պարզ է, որ չի կարելի թույլ տալ ոչ որակավորված կադրերին աշխատել) անհրաժեշտություն է առաջացել ատեստավորել ոլորտի մասնագետներին՝ կապված գործընթացների կառավարման համակարգերի և արդյունաբերական համակարգերի անվտանգության ապահովման հետ, որոնցից, պարզվում է, կան բազմաթիվ. դրանք մեր կյանքում՝ բնակարանում ջրամատակարարման ավտոմատ փականից մինչև կառավարման համակարգի ինքնաթիռներ (հիշեք հիանալի հոդվածը խնդիրների հետաքննության մասին ) Եվ նույնիսկ, ինչպես հանկարծ պարզվեց, համալիր բժշկական սարքավորումներ։
Կարճ տեքստ այն մասին, թե ինչպես ես հասա վկայական ստանալու անհրաժեշտությանը (կարող եք բաց թողնել այն). XNUMX-ականների վերջին հաջողությամբ ավարտելով իմ ուսումը Տեղեկատվական անվտանգության ֆակուլտետում, ես գլխով մտա գործիքավորող ոչխարների շարքը: բարձր պահեց՝ աշխատելով որպես ցածր հոսանքի անվտանգության ազդանշանային համակարգերի մեխանիկ: Թվում է, թե այդ ժամանակ ձեռնարկությունում ինձ ասացին տեղեկատվական անվտանգության մասին :) Ահա թե ինչպես սկսվեց իմ կարիերան՝ որպես տեղեկատվական անվտանգության բակալավրի կոչումով ավտոմատացված կառավարման համակարգի մասնագետ: Վեց տարի անց, հասնելով SCADA համակարգերի բաժնի ղեկավարի կոչմանը, ես մեկնեցի աշխատելու որպես արդյունաբերական կառավարման համակարգերի անվտանգության խորհրդատու արտասահմանյան ընկերությունում, որը ծրագրային ապահովման և սարքավորումների մատակարար է: Հենց այստեղ էլ առաջացավ տեղեկատվական անվտանգության հավաստագրված մասնագետ լինելու անհրաժեշտությունը։
զարգացում է կազմակերպություն, որն իրականացնում է տեղեկատվական անվտանգության մասնագետների վերապատրաստում և ատեստավորում։ GIAC վկայագրի համբավը շատ բարձր է EMEA, ԱՄՆ և Ասիայի Խաղաղօվկիանոսյան շուկաների մասնագետների և հաճախորդների շրջանում: Այստեղ՝ հետխորհրդային տարածքում և ԱՊՀ երկրներում, նման վկայական կարող են պահանջել միայն մեր երկրներում բիզնես ունեցող օտարերկրյա ընկերությունները, միջազգային և խորհրդատվական գործակալությունները։ Անձամբ ես երբեք չեմ հանդիպել հայրենական ընկերությունների կողմից նման հավաստագրման խնդրանքի: Բոլորը հիմնականում խնդրում են CISSP: Սա իմ սուբյեկտիվ կարծիքն է և եթե որևէ մեկը կիսվի իր փորձով մեկնաբանություններում, հետաքրքիր կլինի իմանալ։
SANS-ում բավականին տարբեր ոլորտներ կան (ըստ իս, վերջերս տղաները չափից դուրս շատ են ընդլայնել իրենց թիվը), բայց կան նաև շատ հետաքրքիր գործնական դասընթացներ։ Ինձ հատկապես դուր եկավ . Բայց պատմությունը կլինի դասընթացի մասին և վկայական, որը կոչվում է. .
SANS-ի կողմից առաջարկվող արդյունաբերական կիբերանվտանգության հավաստագրերի բոլոր տեսակներից սա ամենահամընդհանուրն է: Քանի որ երկրորդն ավելի շատ վերաբերում է Power Grid համակարգերին, որոնք արևմուտքում հատուկ ուշադրության են արժանանում և պատկանում են համակարգերի առանձին դասին: Եվ երրորդը (իմ սերտիֆիկացման ուղու պահին) կապված միջադեպի արձագանքման հետ:
Դասընթացը էժան չէ, բայց այն ապահովում է IT&OT-ի բավականին լայն գիտելիքներ: Դա հատկապես օգտակար կլինի այն ընկերների համար, ովքեր որոշել են փոխել իրենց ոլորտը, օրինակ՝ բանկային ոլորտում ՏՏ անվտանգությունից մինչև Արդյունաբերական կիբերանվտանգություն: Քանի որ ես արդեն ունեի նախապատմություն գործընթացների կառավարման համակարգերի, գործիքավորման և շահագործման տեխնոլոգիաների ոլորտում, այս դասընթացում ինձ համար սկզբունքորեն նոր կամ կենսականորեն կարևոր ոչինչ չկար:
Դասընթացը բաղկացած է 50% տեսությունից և 50% պրակտիկայից: Պրակտիկայից ամենահետաքրքիր մրցույթը NetWars-ն էր: Երկու օրվա ընթացքում, դասերի հիմնական դասընթացից հետո, բոլոր դասարանների բոլոր ուսանողները բաժանվեցին թիմերի և կատարեցին առաջադրանքներ՝ մուտքի իրավունք ստանալու, անհրաժեշտ տեղեկատվությունը քաղելու, ցանց մուտք գործելու, հեշեր խթանելու մի շարք առաջադրանքներ, Wireshark-ի հետ աշխատելու համար: և բոլոր տեսակի տարբեր բարիքներ:
Դասընթացի նյութը ամփոփված է գրքերի տեսքով, որոնք դուք ստանում եք ձեր մշտական օգտագործման համար: Ի դեպ, դրանք կարող եք հանձնել քննության, քանի որ ձևաչափը Open Book է, բայց դրանք ձեզ առանձնապես չեն օգնի, քանի որ քննությունը 3 ժամ է, 115 հարց, իսկ առաքման լեզուն անգլերենն է։ Ամբողջ 3 ժամվա ընթացքում կարելի է 15 րոպե ընդմիջում անել։ Բայց հիշեք, որ 15 րոպե ընդմիջում անելով և 5-ից հետո վերադառնալով թեստերին, դուք պարզապես հրաժարվում եք մնացած տասը րոպեից, քանի որ այլևս չեք կարողանա դադարեցնել ժամանակը թեստավորման ծրագրում: Դուք կարող եք բաց թողնել մինչև 15 հարց, որոնք այնուհետև կհայտնվեն ամենավերջում:
Անձամբ ես խորհուրդ չեմ տալիս շատ հարցեր թողնել ավելի ուշ, քանի որ 3 ժամը իսկապես բավարար ժամանակ չէ, իսկ երբ վերջում դեռ չլուծված հարցեր ունեք, չկարողանալու հավանականությունը մեծ է։ այն ժամանակին: Ես ավելի ուշ թողեցի միայն երեք հարց, որոնք իսկապես դժվար էին ինձ համար, քանի որ դրանք վերաբերում էին NIST 800.82 և NERC ստանդարտի իմացությանը: Հոգեբանորեն նման հարցերը «հետագայում» հարվածում են նյարդերիդ ամենավերջում. երբ ուղեղդ հոգնած է, ուզում ես զուգարան գնալ, էկրանի ժմչփը, կարծես, երկրաչափորեն արագանում է:
Ընդհանուր առմամբ, թեստն անցնելու համար անհրաժեշտ է 71% ճիշտ պատասխաններ հավաքել։ Մինչ քննությունը հանձնելը հնարավորություն կունենաք զբաղվել իրական թեստերով, քանի որ գնի մեջ ներառված են 2 հարցից բաղկացած 115 պրակտիկ թեստ և իրական քննությանը նման պայմաններով:
Ես խորհուրդ եմ տալիս քննություն հանձնել թրեյնինգն ավարտելուց մեկ ամիս հետո՝ այս ամիս ծախսելով համակարգված ինքնուսուցման վրա այն հարցերի շուրջ, որոնցում վստահ չեք: Լավ կլինի, եթե վերցնեք դասընթացի ընթացքում ստացված տպագիր նյութերը, որոնք նման են կարճ ռեֆերատների յուրաքանչյուր թեմայի վերաբերյալ, և նպատակաուղղված փնտրեք տեղեկատվություն այս գրքերում պարունակվող թեմաների վերաբերյալ: Բաժանեք ամիսը երկու մասի՝ անցնելով պրակտիկ թեստեր և մոտավոր պատկերացում կազմելով, թե որ ոլորտներում եք ուժեղ և որտեղ պետք է կատարելագործվեք:
Ես կցանկանայի առանձնացնել հետևյալ հիմնական ոլորտները, որոնք կազմում են հենց քննությունը (ոչ թե վերապատրաստման դասընթացը, քանի որ այն ընդգրկում է շատ ավելի ընդարձակ թեմաներ).
- Ֆիզիկական անվտանգություն. Ինչպես հավաստագրման այլ քննություններ, այս հարցին էլ մեծ ուշադրություն է հատկացվում GICSP-ում: Հարցեր կան դռների վրա ֆիզիկական կողպեքների տեսակների վերաբերյալ, նկարագրված են էլեկտրոնային անցագրերի կեղծման իրավիճակներ, որտեղ պետք է պատասխան տալ՝ խնդիրը միանշանակ բացահայտելու համար: Կան հարցեր, որոնք անմիջականորեն կապված են տեխնոլոգիայի (գործընթացի) անվտանգության հետ՝ կախված առարկայական ոլորտից՝ նավթագազային գործընթացներ, ատոմակայաններ կամ էլեկտրացանցեր: Օրինակ, կարող է լինել նման հարց. Որոշեք, թե ինչպիսի ֆիզիկական անվտանգության վերահսկում է իրավիճակը, երբ ահազանգը գալիս է HMI-ի գոլորշու ջերմաստիճանի սենսորից: Կամ այնպիսի հարց, ինչպիսի՞ն է իրավիճակը (իրադարձությունը) հիմք հանդիսանալու օբյեկտի պարագծային անվտանգության համակարգի տեսախցիկների տեսագրությունները վերլուծելու համար:
Տոկոսային արտահայտությամբ նշեմ, որ իմ քննության և գործնական թեստերում այս բաժնի հարցերի քանակը չի գերազանցել 5%-ը։
- Հարցերի ևս մեկ և ամենատարածված կատեգորիաներից մեկը գործընթացների կառավարման համակարգերի, PLC-ի, SCADA-ի վերաբերյալ հարցերն են. այստեղ անհրաժեշտ կլինի համակարգվածորեն մոտենալ նյութերի ուսումնասիրությանը, թե ինչպես են կառուցված գործընթացների կառավարման համակարգերը՝ սենսորներից մինչև սերվերներ, որտեղ կիրառական ծրագրակազմն ինքնին է: վազում է. Բավական քանակությամբ հարցեր կգտնվեն արդյունաբերական տվյալների փոխանցման արձանագրությունների տեսակների վերաբերյալ (ModBus, RTU, Profibus, HART և այլն): Հարցեր կլինեն այն մասին, թե ինչպես է RTU-ն տարբերվում PLC-ից, ինչպես պաշտպանել PLC-ի տվյալները հարձակվողի կողմից փոփոխություններից, հիշողության որ հատվածներում է PLC-ն պահում տվյալները և որտեղ է պահվում տրամաբանությունը (ծրագիր, որը գրված է գործընթացի կառավարման համակարգի ծրագրավորողի կողմից: ) Օրինակ, կարող է լինել այս տիպի հարց. Պատասխանեք, թե ինչպես կարող եք հայտնաբերել հարձակում PLC-ի և HMI-ի միջև, որոնք գործում են ModBus արձանագրության միջոցով:
Հարցեր կլինեն SCADA-ի և DCS համակարգերի միջև եղած տարբերությունների վերաբերյալ: Մեծ թվով հարցեր L1, L2 մակարդակներում ավտոմատացված գործընթացների կառավարման ցանցերը L3 մակարդակից առանձնացնելու կանոնների վերաբերյալ (ավելի մանրամասն կներկայացնեմ ցանցի հարցերով բաժնում): Այս թեմայի վերաբերյալ իրավիճակային հարցերը նույնպես շատ բազմազան կլինեն. դրանք նկարագրում են իրավիճակը կառավարման սենյակում, և դուք պետք է ընտրեք գործողություններ, որոնք պետք է կատարվեն գործընթացի օպերատորի կամ դիսպետչերի կողմից:
Ընդհանրապես, այս բաժինը ամենակոնկրետն է և նեղ պրոֆիլը: Ձեզանից պահանջվում է լավ գիտելիքներ ունենալ.
— ավտոմատացված կառավարման համակարգ, դաշտային մաս (սենսորներ, սարքի միացման տեսակներ, սենսորների ֆիզիկական առանձնահատկություններ, PLC, RTU);
— գործընթացների և օբյեկտների վթարային անջատման համակարգեր (ESD – վթարային անջատման համակարգ) (ի դեպ, Habré-ում այս թեմայի վերաբերյալ հիանալի հոդվածների շարք կա. )
- հիմնական պատկերացում ֆիզիկական գործընթացների մասին, որոնք տեղի են ունենում, օրինակ, նավթի վերամշակման, էլեկտրաէներգիայի արտադրության, խողովակաշարերի և այլնի մեջ.
— DCS և SCADA համակարգերի ճարտարապետության իմացություն;
Նշեմ, որ այս տեսակի հարցերը կարող են առաջանալ մինչև 25% քննության բոլոր 115 հարցերի ընթացքում: - Ցանցային տեխնոլոգիաներ և ցանցային անվտանգություն. Կարծում եմ, որ այս թեմայի հարցերի քանակն առաջին տեղում է քննության ժամանակ։ Հավանաբար կլինի բացարձակապես ամեն ինչ՝ OSI մոդելը, ինչ մակարդակներում է գործում այս կամ այն արձանագրությունը, շատ հարցեր ցանցի սեգմենտավորման վերաբերյալ, իրավիճակային հարցեր ցանցի հարձակումների վերաբերյալ, կապի մատյանների օրինակներ՝ հարձակման տեսակը որոշելու առաջարկով, անջատիչի կոնֆիգուրացիաների օրինակներ։ Խոցելի կոնֆիգուրացիան որոշելու առաջարկով, ցանցային արձանագրությունների խոցելիության վերաբերյալ հարցեր, արդյունաբերական կապի արձանագրությունների ցանցային կապերի առանձնահատկությունների վերաբերյալ հարցեր: Մարդիկ հատկապես շատ են հարցնում ModBus-ի մասին: Նույն ModBus-ի ցանցային փաթեթների կառուցվածքը՝ կախված դրա տեսակից և սարքի կողմից աջակցվող տարբերակներից: Մեծ ուշադրություն է դարձվում անլար ցանցերի վրա հարձակումներին՝ ZigBee-ին, Wireless HART-ին և պարզապես 802.1x ընտանիքի ցանցային անվտանգության հարցերին: Հարցեր կլինեն գործընթացի կառավարման համակարգի ցանցում որոշակի սերվերներ տեղադրելու կանոնների վերաբերյալ (այստեղ պետք է կարդալ IEC-62443 ստանդարտը և հասկանալ գործընթացների կառավարման համակարգերի ցանցերի տեղեկատու մոդելների սկզբունքները): Հարցեր կլինեն Փրդյուի մոդելի վերաբերյալ:
- Հարցերի կատեգորիա, որը վերաբերում է բացառապես էլեկտրաէներգիայի փոխանցման համակարգերի և դրանց համար տեղեկատվական անվտանգության համակարգերի շահագործման ֆունկցիոնալ առանձնահատկություններին: ԱՄՆ-ում գործընթացների կառավարման ավտոմատացված համակարգերի այս կատեգորիան կոչվում է Power Grid և իրեն վերապահված է առանձին դեր: Այդ նպատակով նույնիսկ թողարկվում են առանձին ստանդարտներ (NIST 800.82), որոնք կարգավորում են այս ոլորտի տեղեկատվական անվտանգության համակարգերի ստեղծման մոտեցումը։ Մեր երկրներում, մեծ մասամբ, այս ոլորտը սահմանափակված է ASKUE համակարգերով (ուղղեք ինձ, եթե որևէ մեկը տեսել է էլեկտրաէներգիայի բաշխման և մատակարարման համակարգերի մոնիտորինգի ավելի լուրջ մոտեցում): Այսպիսով, քննության ընթացքում դուք կգտնեք բավականին կոնկրետ հարցեր՝ կապված Power Grid-ի հետ։ Հիմնականում դրանք օգտագործման դեպքեր էին կոնկրետ իրավիճակի համար, որը ձևավորվել է Էլեկտրակայանում, բայց կարող են լինել նաև հարցումներ սարքերի վերաբերյալ, որոնք հատուկ օգտագործվում են Էլեկտրական ցանցում: Կլինեն հարցեր, որոնք վերաբերում են այս կատեգորիայի համակարգերի NIST բաժինների իմացությանը:
- Ստանդարտների իմացության հետ կապված հարցեր՝ NIST 800-82, NERC, IEC62443: Կարծում եմ, այստեղ առանց որևէ հատուկ մեկնաբանության - դուք պետք է նավարկեք ստանդարտների բաժինները, որոնք պատասխանատու են, թե ինչ և ինչ առաջարկություններ է պարունակում: Կան կոնկրետ հարցեր, օրինակ՝ հարցնել համակարգի ֆունկցիոնալությունը ստուգելու հաճախականությունը, ընթացակարգի թարմացման հաճախականությունը և այլն։ Որպես այդպիսի հարցերի տոկոս՝ կարելի է հանդիպել հարցերի ընդհանուր թվի մինչև 15%-ին։ Բայց դա կախված է: Օրինակ, երկու պրակտիկայի թեստերի ժամանակ ես հանդիպեցի ընդամենը մի քանի նմանատիպ հարցի: Բայց քննության ժամանակ դրանք իսկապես շատ էին։
- Դե, հարցերի վերջին կատեգորիան բոլոր տեսակի օգտագործման դեպքերն ու իրավիճակային հարցերն են:
Ընդհանուր առմամբ, ուսուցումն ինքնին, հնարավոր բացառությամբ CTF NetWars-ի, ինձ համար այնքան էլ տեղեկատվական չէր պոտենցիալ նոր գիտելիքներ ձեռք բերելու առումով: Ավելի շուտ, ձեռք բերվեցին որոշ թեմաների ավելի խորը մանրամասներ, հատկապես տեխնոլոգիական տեղեկատվության փոխանցման համար օգտագործվող ռադիոցանցերի կազմակերպման և պաշտպանության ոլորտում, ինչպես նաև ավելի կազմակերպված նյութ այս թեմային նվիրված օտարերկրյա ստանդարտների կառուցվածքի վերաբերյալ: Հետևաբար, ինժեներների և մասնագետների համար, ովքեր ունեն գործընթացների կառավարման համակարգերի/գործիքավորման համակարգերի կամ արդյունաբերական ցանցերի հետ աշխատելու բավարար գիտելիքներ և փորձ, կարող եք մտածել վերապատրաստման վրա խնայելու մասին (և խնայողությունը իմաստ ունի), պատրաստվել և անմիջապես գնալ սերտիֆիկացման քննությանը, որը Ի դեպ, արժե 700 ԱՄՆ դոլար։ Անհաջողության դեպքում ստիպված կլինեք նորից վճարել։ Կան բազմաթիվ սերտիֆիկացման կենտրոններ, որոնք ձեզ կընդունեն քննության, գլխավորը նախապես դիմելն է։ Ընդհանրապես, խորհուրդ եմ տալիս քննության օրը միանգամից նշել, քանի որ հակառակ դեպքում դուք անընդհատ կհետաձգեք այն՝ փոխարինելով նախապատրաստական գործընթացը այլ կենսական և ոչ բոլորովին կարևոր գործերով։ Իսկ կոնկրետ վերջնաժամկետ ունենալը ձեզ կդարձնի ինքնամոտիվացված:
Source: www.habr.com