Ciao a tutti! Sul nostro amato portale ci sono state molte articoli sulla certificazione in ambito sicurezza informatica, quindi non pretendo originalità e unicità nei contenuti, ma vorrei comunque condividere la mia esperienza nel conseguire la certificazione GIAC (Global Information Assurance Company) nel campo della cyber sicurezza industriale. Da quando sono emerse parole inquietanti come , , Shamoon, Triton, si è gradualmente sviluppato un mercato per i servizi di specialisti che sembrano IT, ma che possono anche riprogrammare i PLC riscrivendo le configurazioni su ladder, senza fermare la produzione.
Così è entrato in gioco il concetto di IT&OT (Information Technology & Operation Technology).
Subito dopo, (è evidente che non possiamo permettere a personale non qualificato di lavorare) è diventata necessaria la certificazione degli specialisti nel settore della sicurezza dei sistemi di controllo industriale, che si sono rivelati molto presenti nella nostra vita, dai valvole automatiche per l'acqua in casa ai sistemi di gestione degli aerei (ricordiamo il bell'articolo sull'indagine dei problemi ). E, come si è rivelato improvvisamente, di attrezzature mediche complesse.
Una piccola premessa su come sono arrivato alla necessità di ottenere la certificazione (puoi saltare): Dopo aver completato gli studi negli anni zero presso la facoltà di protezione delle informazioni, ho fatto il mio ingresso con orgoglio tra i professionisti della sicurezza, lavorando come tecnico per i sistemi di allerta. Così mi hanno detto nel settore all’epoca :) Così è iniziata la mia carriera di esperto di sistemi di controllo automatico con una laurea in sicurezza delle informazioni. Dopo sei anni, raggiungendo il ruolo di responsabile del reparto SCADA, ho iniziato a lavorare come consulente per la sicurezza dei sistemi di controllo industriali in un'azienda software estera. Ed è proprio qui che è sorta la necessità di essere un professionista certificato in sicurezza delle informazioni.
è un prodotto un'organizzazione che si occupa di formazione e certificazione degli specialisti in sicurezza informatica. La reputazione del certificato GIAC è molto alta tra gli specialisti e i clienti nei mercati EMEA, USA e Asia Pacifico. Nello spazio post-sovietico e nei paesi dell'CEI, tale certificato può essere richiesto solo da aziende straniere con attività nei nostri paesi, agenzie internazionali e di consulenza. Personalmente, non ho mai riscontrato richieste simili da parte di aziende nazionali. La maggior parte richiede CISSP. Questa è la mia opinione soggettiva e sarebbe interessante conoscere le esperienze di altri nei commenti.
In SANS ci sono diverse aree (a mio avviso, di recente hanno ampliato troppo il loro numero), ma ci sono anche corsi pratici molto interessanti. Ho particolarmente apprezzato . Ma parleremo del corso e del certificato denominato: .
Tra tutte le certificazioni SANS nel campo della Cyber Security Industriale, questa è la più versatile. La seconda riguarda maggiormente i sistemi Power Grid, ai quali in Occidente viene data particolare attenzione e che rientrano in una categoria separata di sistemi. La terza (al momento del mio percorso di certificazione) riguardava la risposta agli incidenti.
Il corso non è economico, ma offre conoscenze piuttosto ampie sia in IT che in OT. Sarà particolarmente utile per coloro che hanno deciso di cambiare settore, ad esempio da IT security nel settore bancario a Cyber Security Industriale. Poiché avevo già alle spalle un background in sistemi di controllo industriale, automazione e tecnologia operativa, non ho trovato nulla di fondamentalmente nuovo o vitale in questo corso.
Il corso è composto per il 50% da teoria e per il 50% da pratica. Tra le pratiche, la parte più interessante è stata il contest – NetWars. Per due giorni, dopo il corso principale, tutti gli studenti delle varie classi si sono divisi in squadre e hanno svolto compiti per ottenere diritti di accesso, estrarre informazioni, accedere alla rete, affrontare numerosi compiti relativi a hash cracking, lavorare con Wireshark e varie altre attività.
Il materiale del corso è presentato in forma di libri, che poi ricevi in uso permanente. Tra l'altro, puoi portarli all'esame, dato che il formato è Open Book, ma non ti aiuteranno molto, poiché l'esame dura 3 ore, ci sono 115 domande e la lingua di svolgimento è l'inglese. Durante queste 3 ore, puoi fare una pausa di 15 minuti. Tieni presente che se prendi una pausa di 15 minuti e torni ai test dopo 5, stai semplicemente perdendo gli ultimi dieci minuti, poiché non è possibile fermare il tempo nel programma di test. Puoi saltare fino a 15 domande, che appariranno poi alla fine.
Personalmente, non consiglio di rimandare molte domande, perché 3 ore sono davvero poche, e quando alla fine ti trovi di fronte a delle domande non risolte, c'è una grande possibilità di non farcela. Ho lasciato "per dopo" solo tre domande che erano davvero difficili per me, poiché riguardavano la conoscenza dello standard NIST 800.82 e NERC. Psicologicamente, tali domande "per dopo" colpiscono i nervi alla fine, quando il tuo cervello è stanco, hai bisogno di andare in bagno, e il timer sullo schermo sembra accelerare in progressione geometrica.
In generale, per superare il test è necessario ottenere il 71% di risposte corrette. Prima dell'esame avrete la possibilità di esercitarvi con test reali, poiché il costo include 2 test di allenamento con 115 domande ciascuno, in condizioni simili a quelle dell'esame reale.
Consiglio di sostenere l'esame un mese dopo aver completato il corso, utilizzando questo mese per dedicarsi a studi sistematici sulle domande in cui vi sentite insicuri. Sarebbe utile se prendete i materiali stampati ricevuti durante il corso, che presentano come brevi schemi ogni argomento, e cerchiate miratamente informazioni sui temi trattati in questi libri. Suddividete il mese in due parti, facendo test di prova per avere un'idea generale delle aree in cui siete forti e dove è necessario migliorare.
Vorrei sottolineare i seguenti principali aspetti di cui è composto l'esame stesso (non il corso di formazione, poiché copre argomenti molto più ampi):
- Sicurezza fisica: come in altri esami di certificazione, bisogna prestare particolare attenzione a questo argomento nel GICSP. Si presentano domande sui vari tipi di serrature fisiche alle porte, si descrivono situazioni relative alla falsificazione di badge elettronici, dove è necessario fornire risposte riguardo all'identificazione chiara del problema. Ci sono domande che riguardano direttamente la sicurezza della tecnologia (del processo) a seconda dell'area tematica: processi nel settore del petrolio e del gas, centrali nucleari o reti elettriche. Ad esempio, potrebbe esserci una domanda del tipo: Quale tipo di controllo della sicurezza fisica rappresenta la situazione in cui arriva un allarme dal sensore di temperatura del vapore su HMI? Oppure una domanda del tipo: Quale situazione (evento) giustificherebbe un'analisi delle registrazioni delle telecamere del sistema di sicurezza perimetrale dell'oggetto?
In percentuale, direi che il numero di domande su questo argomento non ha superato il 5% del mio esame e dei test di pratica.
- Un'altra delle categorie di domande più diffuse riguardano i sistemi di automazione industriale come DCS, PLC e SCADA: qui sarà necessario affrontare in modo sistematico lo studio dei materiali su come funzionano i sistemi di controllo dei processi tecnologici, dai sensori fino ai server dove opera il software applicativo. Si presenteranno numerose domande sugli specifici protocolli industriali di trasmissione dei dati (ModBus, RTU, Profibus, HART, ecc.). Saranno sollevate questioni riguardo alle differenze tra RTU e PLC, come proteggere i dati in un PLC da modifiche da parte di un attaccante, in quali aree di memoria il PLC memorizza i dati e dove risiede la logica vera e propria (il programma scritto dall'ingegnere di automazione). Ad esempio, potrebbe esserci una domanda del tipo: fornire una risposta su come rilevare un attacco tra PLC e HMI che comunicano tramite il protocollo ModBus?
Sarà necessario affrontare le differenze tra i sistemi SCADA e DCS. Ci saranno molte domande sui criteri di separazione delle reti di automazione industriale a livello L1, L2 rispetto al livello L3 (descriverò più in dettaglio nella sezione delle domande sulla rete). Le domande situazionali su questo argomento saranno altrettanto varie: descrivono situazioni nella sala di controllo in cui è necessario scegliere le azioni che devono essere eseguite dall'operatore del processo o dal dispatcher.
In generale, questa sezione è la più specifica e di nicchia. Richiederà buone conoscenze:
— di automazione industriale, della parte di campo (sensori, tipi di connessione dei dispositivi, caratteristiche fisiche dei sensori, PLC, RTU);
— dei sistemi di protezione contro le emergenze (ESD – sistema di arresto di emergenza) per processi e impianti (tra l'altro, su Habr ci sono ottimi articoli su questo tema da )
— di una comprensione di base dei processi fisici che si svolgono, ad esempio, nella raffinazione del petrolio, nella produzione di energia elettrica, nei tubi, ecc.;
— della comprensione della struttura delle architetture dei sistemi DCS e SCADA;
Vorrei sottolineare che domande di questo tipo possono rappresentare fino al 25% delle 115 domande dell'esame. - Tecnologie di rete e sicurezza della rete: credo che il numero di domande su questo argomento sarà il più alto nell'esame. Ci sarà probabilmente tutto: il modello OSI, a quali livelli opera un determinato protocollo, molte domande sulla segmentazione della rete, domande situazionali sugli attacchi di rete, esempi di log delle connessioni con la richiesta di identificare il tipo di attacco, esempi di configurazioni di switch con la proposta di identificare una configurazione vulnerabile, domande sulle vulnerabilità dei protocolli di rete, domande sulle specifiche delle connessioni dei protocolli di comunicazione industriale. Si chiedono in particolare molte informazioni su ModBus. La struttura dei pacchetti di rete di ModBus varia a seconda della sua tipologia e delle versioni supportate dai dispositivi. Grande attenzione è rivolta agli attacchi alle reti wireless – ZigBee, Wireless HART, domande generali sulla sicurezza della rete di tutta la famiglia 802.1x. Ci saranno domande sulle regole di posizionamento dei vari server nella rete SCADA (qui è necessario leggere la norma IEC-62443 e comprendere i principi dei modelli di rete SCADA di riferimento). Incontrerai domande sul modello Purdue.
- Categoria di domande che riguarda esclusivamente le funzionalità operative dei sistemi di trasmissione dell'energia elettrica e dei sistemi di sicurezza informatica ad essi collegati. Negli Stati Uniti, questa categoria di sistemi SCADA è nota come Power Grid e ricopre un ruolo specifico. A tal fine, sono stati pubblicati standard specifici (NIST 800.82) che regolano l'approccio alla creazione di sistemi di sicurezza informatica per questo settore. Nei nostri paesi, per lo più, questo settore è limitato ai sistemi di AСKUЭ (correggetemi se qualcuno ha incontrato un approccio più serio nel controllo dei sistemi di distribuzione e consegna dell'energia elettrica). In ogni caso, nell'esame incontrerete domande piuttosto specifiche relative al Power Grid. Perlopiù si trattava di casi d'uso per situazioni specifiche che si sono verificate in una centrale elettrica, ma ci possono essere anche domande sui dispositivi utilizzati proprio nel Power Grid. Ci saranno domande che si riferiscono alla conoscenza delle sezioni NIST per questa categoria di sistemi.
- Domande relative alla conoscenza degli standard: NIST 800-82, NERC, IEC62443. Qui non servono commenti particolari: è necessario orientarsi nelle sezioni degli standard, comprendendo chi è responsabile di cosa e quali raccomandazioni contengono. Ci si possono presentare domande specifiche, ad esempio sulla frequenza dei controlli di funzionalità del sistema, la frequenza di aggiornamento delle procedure, e così via. In termini percentuali, tali domande possono costituire fino al 15% del totale delle domande. Ma dipende dalla sorte. Ad esempio, nei due test di prova che ho fatto, ne sono emerse solo un paio. Tuttavia, nell'esame reale ce n'erano davvero molte.
- Infine, l'ultima categoria di domande riguarda casi d'uso e domande situazionali.
In generale, il corso stesso, a parte forse il CTF NetWars, non è stato molto informativo per me in termini di acquisizione di nuove conoscenze. Piuttosto, ho approfondito alcuni dettagli, specialmente nel campo dell'organizzazione e della sicurezza delle reti radio utilizzate per la trasmissione di informazioni tecnologiche, così come un materiale più ordinato sulla struttura degli standard internazionali relativi a questo tema. Pertanto, per ingegneri e specialisti che hanno conoscenze e esperienza adeguate in sistemi di automazione industriale o Reti Industriali, potrebbe valere la pena considerare di risparmiare sul corso (risparmiare ha senso), prepararsi autonomamente e presentarsi direttamente all'esame di certificazione, che, per inciso, costa 700USD. In caso di insuccesso, dovrete pagare di nuovo. Ci sono numerosi centri di certificazione che vi accetteranno per l'esame, l'importante è presentare la domanda in anticipo. In generale, consiglio di fissare subito una data per l'esame, poiché altrimenti continuerete a rimandarla, sostituendo il processo di preparazione con altre questioni della vita, alcune delle quali sono vitali e altre meno importanti. Avere una data di scadenza specifica vi motiverà di più.
Fonte: habr.com
