Ciao a tutti! Su un portale molto amato ci sono stati molti articoli sulla certificazione nel campo della sicurezza informatica, quindi non pretendo originalità e unicità nei contenuti, ma mi piacerebbe comunque condividere la mia esperienza nel conseguire la certificazione GIAC (Global Information Assurance Company) nel campo della cybersecurity industriale. Dall'emergere di termini spaventosi come , , Shamoon, Triton, ha cominciato a formarsi un mercato per i servizi di specialisti che sembrano appartenere al settore IT, ma che possono anche riprogrammare i PLC con la modifica della configurazione dei ladder senza fermare la produzione.
Così è giunto nel mondo il concetto di IT&OT (Tecnologia dell'informazione e Tecnologia operativa).
Subito dopo, (è chiaro che non si possono ammettere al lavoro personale non qualificato) è emersa la necessità di certificare specialisti nel settore della sicurezza dei sistemi di controllo industriale, che, sorprendentemente, sono diventati molti nella nostra vita, da una valvola automatica per l'approvvigionamento idrico in casa a un sistema di controllo degli aerei (ricordiamo il bell'articolo sull'indagine dei problemi ). E anche, come è emerso inaspettatamente — di attrezzature mediche complesse.
Una piccola riflessione su come sono giunto alla necessità di ottenere la certificazione (puoi saltare): Dopo aver studiato con successo alla fine degli anni zero presso la facoltà di protezione delle informazioni, sono entrato orgogliosamente tra i tecnici di automazione, lavorando come tecnico per sistemi di allerta antifurto. In quel momento, nel mio lavoro, mi dissero che stavo per entrare nel campo della sicurezza informatica :) Così iniziò la mia carriera come tecnico di automazione con una laurea in sicurezza informatica. Dopo sei anni, raggiungendo la posizione di responsabile del dipartimento dei sistemi SCADA, sono passato a lavorare come consulente per la sicurezza dei sistemi di controllo industriale in una società estera che produce software e attrezzature. Ed è proprio qui che è emersa la necessità di essere un esperto certificato nel campo della sicurezza informatica.
è un progetto di un'organizzazione che si occupa di formazione e certificazione di specialisti in sicurezza informatica. La reputazione del certificato GIAC è molto alta tra gli specialisti e i clienti nei mercati EMEA, US, Asia Pacific. Qui, nello spazio post-sovietico e nei paesi CSI, tale certificazione può essere richiesta solo da aziende estere che operano nei nostri paesi, agenzie internazionali e di consulenza. Personalmente, non ho mai incontrato richieste di questo tipo da aziende locali. In generale, tutti chiedono principalmente CISSP. Questo è il mio parere soggettivo e se qualcuno vuole condividere le proprie esperienze nei commenti, sarebbe interessante sapere.
In SANS ci sono diverse aree (a mio avviso, ultimamente hanno ampliato troppo il loro numero), ma ci sono anche corsi pratici molto interessanti. Ho particolarmente apprezzato . Ma la storia riguarda il corso e il certificato intitolato: .
Tra tutte le certificazioni in Cyber Security Industriale offerte da SANS, questa è la più universale. Poiché la seconda è maggiormente rivolta ai sistemi Power Grid, particolarmente attenzionati in occidente e classificati come un gruppo a sé. La terza (al momento del mio percorso di certificazione) riguardava la risposta agli incidenti.
Il corso non è economico, ma fornisce conoscenze piuttosto ampie sia su IT che OT. Sarà particolarmente utile per coloro che hanno deciso di cambiare il proprio campo, ad esempio, da sicurezza IT nel settore bancario a Cyber Security Industriale. Poiché avevo già un background nel campo dei sistemi di automazione industriale, misurazione e tecnologia operativa, per me non c'era nulla di particolarmente nuovo o cruciale in questo corso.
Il corso consiste nel 50% di teoria e 50% di pratica. Tra la pratica, la cosa più interessante è stata il contest – NetWars. Per due giorni, dopo il corso principale, tutti gli studenti di tutte le classi sono stati suddivisi in gruppi e hanno affrontato compiti volti a ottenere diritti di accesso, estrarre informazioni necessarie, accedere alla rete, una serie di compiti per l'hashing, lavorare con Wireshark e vari altri strumenti.
Il materiale del corso è un riassunto sotto forma di libri, che poi ricevi in uso illimitato. Tra l'altro, puoi portarli all'esame, poiché il formato è Open Book, ma ti aiuteranno poco, dato che l'esame dura 3 ore e ci sono 115 domande, con lingua d'esame – inglese. Durante le 3 ore puoi fare una pausa di 15 minuti. Ma ricorda che se prendi una pausa di 15 minuti e torni ai test dopo 5, stai semplicemente perdendo i restanti dieci minuti, poiché non puoi fermare ulteriormente il tempo nel programma di test. Puoi saltare fino a 15 domande, che poi appariranno alla fine.
Personalmente, non consiglio di rimandare molte domande, perché 3 ore sono davvero poche, e quando alla fine ti ritrovi con domande ancora da risolvere, è molto probabile che non ce la fai. Ho lasciato "per dopo" solo tre domande che erano davvero difficili per me, poiché riguardavano la conoscenza dello standard NIST 800.82 e NERC. Psicologicamente, queste domande "per dopo" pesano sulla mente alla fine — quando il tuo cervello è stanco, vuoi andare in bagno, e il timer sullo schermo sembra accelerare in progressione geometrica.
In generale, per superare l'esame è necessario ottenere il 71% di risposte corrette. Prima di sostenere l'esame, avrai la possibilità di esercitarti con test reali — poiché nel costo sono inclusi 2 test di pratica con 115 domande, e condizioni analoghe a quelle dell'esame reale.
Raccomando di sostenere l'esame un mese dopo aver completato il corso, dedicando questo mese a studi autonomi sistematici sulle domande in cui ti senti insicuro. Sarebbe utile se prendessi i materiali cartacei ricevuti durante il corso, che sembrano riassunti per ogni argomento, e cercassi informazioni specifiche sui temi presenti in questi libri. Suddividi il mese in due parti, completando test di pratica e ottenendo un'idea di quali domande domini e dove è necessario migliorare.
Vorrei evidenziare le seguenti principali aree che compongono l'esame stesso (non il corso di formazione, poiché questo copre temi molto più ampi):
- Sicurezza fisica: come in altri esami di certificazione, questo argomento riceve molta attenzione nel GICSP. Possono apparire domande sui diversi tipi di serrature fisiche sulle porte e vengono descritte situazioni relative alla contraffazione di pass elettronici, dove è necessaria una risposta per identificare chiaramente il problema. Ci sono anche domande specifiche relative alla sicurezza della tecnologia (del processo) in base al settore specifico – processi nell'industria del petrolio e del gas, centrali nucleari o reti elettriche. Ad esempio, potrebbe esserci una domanda del tipo: Quale tipo di controllo di sicurezza fisica rappresenta la situazione in cui arriva un allarme dal sensore di temperatura del vapore su HMI? Oppure: Quale situazione (evento) giustificherebbe l'analisi dei filmati delle telecamere di sorveglianza del sistema di sicurezza perimetrale dell'oggetto?
In termini percentuali, noterei che il numero di domande su questo argomento nel mio esame e nei test di prova non superava il 5%.
- Un'altra delle categorie di domande più comuni riguarda i sistemi di controllo industriale, PLC, SCADA: qui sarà necessario un approccio sistematico allo studio dei materiali su come sono strutturati i sistemi di gestione dei processi tecnologici, partendo dai sensori fino ai server su cui gira il software applicativo. Si incontreranno molte domande sui diversi protocolli industriali di trasmissione dati (ModBus, RTU, Profibus, HART, ecc.). Ci saranno domande su cosa distingue RTU da PLC, come proteggere i dati nel PLC da modifiche da parte di un attaccante, in quali aree di memoria il PLC memorizza i dati e dove è effettivamente presente la logica (il programma scritto dal programmatore di SCADA). Ad esempio, potrebbe esserci una domanda di questo tipo: Rispondere a come è possibile rilevare un attacco tra PLC e HMI che comunicano tramite il protocollo ModBus?
Incontrerai domande sulle differenze tra i sistemi SCADA e DCS. Un gran numero di domande sulle regole di segmentazione delle reti di SCADA a livello L1, L2 rispetto al livello L3 (spiegherò più in dettaglio nella sezione dedicata alle domande sulla rete). Le domande situazionali su questo argomento saranno anche molto varie: descrivono situazioni nel centro di controllo e bisogna scegliere le azioni che devono essere intraprese dall'operatore del processo o dal dispatcher.
In generale, questa sezione è la più specifica e di nicchia. Richiederà buone conoscenze da parte vostra:
— ACS, parte di campo (sensori, tipi di connessione dei dispositivi, caratteristiche fisiche dei sensori, PLC, RTU);
— sistemi di protezione anticollisione (ESD – emergency shutdown system) per processi e oggetti (tra l'altro ci sono ottimi articoli su questo tema su Habr da )
— comprensione di base dei processi fisici che si svolgono ad esempio nella raffinazione del petrolio, nella produzione di energia elettrica, nei tubi, ecc.;
— comprensione della struttura delle architetture DCS e SCADA;
Vorrei sottolineare che domande di questo tipo possono costituire fino al 25% di tutte le 115 domande dell'esame. - Tecnologie di rete e sicurezza di rete: penso che il numero di domande su questo argomento sia al primo posto nell'esame. Ci sarà probabilmente tutto – modello OSI, a quali livelli opera un determinato protocollo, molte domande sulla segmentazione della rete, domande situazionali sugli attacchi di rete, esempi di log di connessione con l'invito a identificare il tipo di attacco, esempi di configurazioni dello switch con l'invito a identificare la configurazione vulnerabile, domande sulle vulnerabilità dei protocolli di rete, domande sulle specificità delle connessioni di rete dei protocolli di comunicazione industriale. Si chiede soprattutto molto su ModBus. La struttura dei pacchetti di rete dello stesso ModBus a seconda della sua varietà e delle versioni supportate dal dispositivo. Grande attenzione è dedicata agli attacchi alle reti wireless – ZigBee, Wireless HART, semplici domande sulla sicurezza di rete su tutto il family 802.1x. Ci saranno domande sulle regole di posizionamento di determinati server nella rete ACS (in questo caso, è necessario leggere il standard IEC-62443 e capire i principi dei modelli di rete di riferimento ACS). Ci saranno domande sul modello Purdue.
- Categoria di domande che riguarda esclusivamente le caratteristiche funzionali delle operazioni dei sistemi di trasmissione dell'energia elettrica e dei sistemi di sicurezza informatica per essi. Negli Stati Uniti, questa categoria di sistemi SCADA è chiamata Power Grid e ha un ruolo specifico. A tal fine, vengono anche emessi standard separati (NIST 800.82) che regolano l'approccio alla creazione di sistemi di sicurezza informatica per questo settore. Nelle nostre regioni, perlopiù, questo settore è limitato ai sistemi di MIS (si prega di correggermi se qualcuno ha visto un approccio più serio al controllo dei sistemi di distribuzione e consegna dell'energia elettrica). Quindi, nell'esame, incontrerete domande piuttosto specifiche relative al Power Grid. La maggior parte di esse consisteva in casi d'uso per determinate situazioni verificatisi negli impianti di energia, ma potrebbero esserci anche domande sui dispositivi utilizzati precisamente nella Power Grid. Ci saranno domande che richiedono la conoscenza delle sezioni NIST per questa categoria di sistemi.
- Domande relative alla conoscenza degli standard: NIST 800-82, NERC, IEC62443. Penso che qui non ci siano particolari commenti – è necessario orientarsi nelle sezioni degli standard, per capire chi è responsabile di cosa e quali raccomandazioni contengono. Ci sono domande specifiche, ad esempio che chiedono la frequenza del controllo della funzionalità del sistema, la frequenza dell'aggiornamento della procedura, ecc. In percentuale, queste domande possono rappresentare fino al 15% del numero totale di domande. Ma dipende dalla fortuna. Ad esempio, in due test di prova ho incontrato solo un paio di domande simili. Ma sul test finale, ce n'erano davvero molte.
- E l'ultima categoria di domande riguarda vari casi d'uso e domande situazionali.
In generale, il corso, ad eccezione forse del CTF NetWars, non è stato molto informativo per quanto riguarda l'acquisizione di potenziali nuove conoscenze. Piuttosto, sono stati acquisiti dettagli più approfonditi su alcuni argomenti, in particolare nel campo dell'organizzazione e della protezione delle reti radio, utilizzate per la trasmissione di informazioni tecnologiche, così come un materiale più ordinato sulla struttura degli standard esteri relativi a questo tema. Pertanto, per ingegneri e specialisti che hanno conoscenze e esperienza sufficienti nel campo delle ASUTP/KIP o delle Reti Industriali – si può considerare di risparmiare sul corso (e risparmiare ha senso), prepararsi autonomamente e andare direttamente a sostenere l'esame di certificazione, che peraltro costa 700 USD. In caso di insuccesso, bisognerà pagare di nuovo. Ci sono molti centri di certificazione che vi accetteranno per l'esame, l'importante è presentare la domanda in anticipo. In generale, consiglio di fissare subito una data per l'esame, altrimenti continuerete a rimandarla, sostituendo il processo di preparazione con altre faccende importanti o meno. E avendo una data di scadenza specifica, sarete self-motivated.
Fonte: habr.com
