איך הקוזקים קיבלו את תעודת GICSP

שלום לכולם! בפורטל המועדף על כולם היו מאמרים רבים ושונים בנושא הסמכה בתחום אבטחת המידע, אז אני לא מתכוון לטעון למקוריות וייחודיות של התוכן, אבל בכל זאת הייתי רוצה לשתף בחוויה שלי בהשגת GIAC (חברת אבטחת מידע גלובלית) הסמכה בתחום אבטחת סייבר תעשייתית. מאז הופעתן של מילים נוראיות כמו Stuxnet, דוקו, Shamoon, Triton, החל להיווצר שוק למתן שירותים של מומחים שנראים כ-IT, אך יכולים גם להעמיס על PLCs בשכתוב התצורה בסולמות, ובמקביל לא ניתן לעצור את המפעל.

כך הגיע לעולם המושג IT&OT (Information Technology & Operation Technology).

מיד לאחר מכן (ברור שאסור לאפשר לכוח אדם בלתי מוסמך לעבוד) הגיע הצורך להסמיך מומחים בתחום הקשור להבטחת בטיחותן של מערכות בקרת תהליכים ומערכות תעשייתיות - שמהם, מסתבר, יש הרבה אותם בחיינו, משסתום אספקת מים אוטומטי בדירה ועד מערכת בקרה מטוסים (זכור את המאמר המצוין על חקירת בעיות בואינג). ואפילו, כפי שהתברר לפתע, ציוד רפואי מורכב.

מילת שיר קצרה על איך הגעתי לצורך בקבלת הסמכה (אפשר לדלג עליה): לאחר שסיימתי בהצלחה את לימודיי בפקולטה לאבטחת מידע בסוף שנות ה-XNUMX, נכנסתי עם הראש לשורות כבשת המכשור. חזקה, עובד כמכונאי עבור מערכות אזעקה אבטחה עם זרם נמוך. נראה שאבטחת המידע נאמרה לי במיזם באותה תקופה :) כך התחילה הקריירה שלי כמומחה למערכות בקרה אוטומטיות עם תואר ראשון באבטחת מידע. שש שנים לאחר מכן, לאחר שעליתי לדרגת ראש מחלקת מערכות SCADA, עזבתי לעבוד כיועץ אבטחה למערכות בקרה תעשייתיות בחברה זרה שמעבירה תוכנה וציוד. כאן עלה הצורך להיות מומחה מוסמך לאבטחת מידע.

GIAC הוא התפתחות SANS ארגון המבצע הדרכה והסמכה של מומחי אבטחת מידע. המוניטין של תעודת GIAC גבוה מאוד בקרב מומחים ולקוחות בשווקי EMEA, ארה"ב ואסיה פסיפיק. כאן, במרחב הפוסט-סובייטי ובמדינות חבר העמים, ניתן לבקש תעודה כזו רק על ידי חברות זרות עם עסקים במדינותינו, סוכנויות בינלאומיות וסוכנויות ייעוץ. באופן אישי, מעולם לא נתקלתי בבקשה לאישור כזה מחברות מקומיות. כולם בעצם מבקשים CISSP. זו דעתי הסובייקטיבית ואם מישהו חולק את הניסיון שלו בתגובות, יהיה מעניין לדעת.

יש לא מעט תחומים שונים ב-SANS (לדעתי, לאחרונה החבר'ה הרחיבו את מספרם יותר מדי), אבל יש גם קורסים מעשיים מאוד מעניינים. אהבתי את זה במיוחד NetWars. אבל הסיפור יהיה על הקורס ICS410: ICS/SCADA Security Essentials ותעודה בשם: מקצוען אבטחת סייבר תעשייתי גלובלי (GICSP).

מבין כל סוגי האישורים של אבטחת סייבר תעשייתית המוצעים על ידי SANS, זה הוא האוניברסלי ביותר. מכיוון שהשנייה מתייחסת יותר למערכות Power Grid, אשר במערב זוכות לתשומת לב מיוחדת ושייכות למעמד נפרד של מערכות. והשלישי (בזמן מסלול ההסמכה שלי) קשור לתקרית תגובה.
הקורס אינו זול, אך הוא מספק ידע נרחב למדי ב-IT&OT. זה יהיה שימושי במיוחד עבור אותם חברים שהחליטו לשנות את התחום שלהם, למשל מאבטחת IT בתעשיית הבנקאות לאבטחת סייבר תעשייתית. מכיוון שכבר היה לי רקע בתחום של מערכות בקרת תהליכים, מכשור וטכנולוגיית תפעול, לא היה שום דבר חדש מהותי או חשוב עבורי בקורס הזה.

הקורס מורכב מ-50% תיאוריה ו-50% תרגול. מהתרגול, התחרות המעניינת ביותר הייתה NetWars. במשך יומיים, לאחר הקורס העיקרי של השיעורים, כל תלמידי כל הכיתות חולקו לצוותים וביצעו משימות לקבלת זכויות גישה, חילוץ המידע הדרוש, קבלת גישה לרשת, שלל משימות לקידום חשיש, עבודה עם Wireshark וכל מיני דברים טובים.

חומר הקורס מסוכם בצורת ספרים, אותם אתה מקבל לאחר מכן לשימושך התמידי. אגב, אתה יכול לגשת אליהם לבחינה, היות והפורמט הוא Open Book, אבל הם לא יעזרו לך הרבה, שכן הבחינה כוללת 3 שעות, 115 שאלות, ושפת המסירה היא אנגלית. במהלך כל 3 השעות, אתה יכול לעשות הפסקה של 15 דקות. אבל זכור שבאמצעות הפסקה של 15 דקות וחזרה למבחנים לאחר 5, אתה פשוט מוותר על עשר הדקות הנותרות, שכן לא תוכל לעצור את הזמן בתוכנית הבדיקות יותר. אתה יכול לדלג על עד 15 שאלות, שיופיעו בסוף.

אני אישית לא ממליץ להשאיר הרבה שאלות לאחר מכן, כי 3 שעות זה ממש לא מספיק זמן, וכשבסוף יש לך שאלות שעדיין לא נפתרו, יש סבירות גבוהה שלא תוכל לעשות את זה בזמן. השארתי לאחר מכן רק שלוש שאלות שהיו ממש קשות עבורי, מכיוון שהן קשורות לידע בתקן NIST 800.82 ו-NERC. מבחינה פסיכולוגית, שאלות כאלה "לאחר מכן" פוגעות בעצבים שלך ממש בסוף - כשהמוח שלך עייף, אתה רוצה ללכת לשירותים, נראה שהטיימר על המסך מאיץ באופן אקספוננציאלי.

באופן כללי, כדי לעבור את המבחן צריך לצבור 71% תשובות נכונות. לפני הגשת הבחינה, תהיה לך הזדמנות להתאמן על מבחנים אמיתיים - שכן המחיר כולל 2 מבחני תרגול של 115 שאלות ובתנאים דומים למבחן האמיתי.

אני ממליץ לגשת לבחינה חודש לאחר סיום ההכשרה, להשקיע את החודש בלימוד עצמי שיטתי בנושאים שבהם אתה מרגיש לא בטוח. זה יהיה נחמד אם תיקחו את החומרים המודפסים שהתקבלו במהלך הקורס, שנראים כמו תקצירים קצרים על כל נושא - ותחפשו בכוונה מידע על הנושאים הכלולים בספרים אלו. חלקו את החודש לשני חלקים, גשו למבחני תרגול וקבלו תמונה גסה של התחומים שבהם אתם חזקים ואיפה אתם צריכים להשתפר.

ברצוני להדגיש את התחומים העיקריים הבאים המרכיבים את הבחינה עצמה (לא את קורס ההכשרה, מכיוון שהוא מכסה נושאים הרבה יותר נרחבים):

1. אבטחה פיזית: כמו בחינות הסמכה אחרות, נושא זה זוכה לתשומת לב רבה ב-GICSP. ישנן שאלות לגבי סוגי המנעולים הפיזיים בדלתות, מתוארים מצבים עם זיוף אישורים אלקטרוניים, שבהם אתה צריך לתת תשובה כדי לזהות את הבעיה באופן חד משמעי. ישנן שאלות הקשורות ישירות לבטיחות הטכנולוגיה (תהליך), בהתאם לתחום הנושא - תהליכי נפט וגז, תחנות כוח גרעיניות או רשתות חשמל. לדוגמה, עשויה להיות שאלה כמו: קבע איזה סוג של בקרת אבטחה פיזית הוא המצב כאשר אזעקה מגיעה מחיישן טמפרטורת הקיטור ב-HMI? או שאלה כמו: איזה מצב (אירוע) ישמש סיבה לניתוח הקלטות וידאו ממצלמות מעקב של מערכת האבטחה ההיקפית של המתקן?

   באחוזים, אציין כי מספר השאלות בסעיף זה בבחינה שלי ובמבחנים בפועל לא עלה על 5%.

2. עוד אחת ואחת הקטגוריות הנפוצות ביותר של שאלות הן שאלות על מערכות בקרת תהליכים, PLC, SCADA: כאן יהיה צורך לגשת באופן שיטתי לחקר החומרים כיצד בנויות מערכות בקרת תהליכים, מחיישנים ועד שרתים שבהם תוכנת האפליקציה עצמה פועל. יימצא מספר מספיק של שאלות על סוגי פרוטוקולי העברת נתונים תעשייתיים (ModBus, RTU, Profibus, HART וכו'). יהיו שאלות לגבי הבדל RTU מ-PLC, כיצד להגן על נתונים ב-PLC מפני שינוי על ידי תוקף, באילו אזורי זיכרון ה-PLC מאחסן נתונים, והיכן הלוגיקה עצמה מאוחסנת (תוכנית שנכתבה על ידי מתכנת מערכת בקרת תהליכים ). לדוגמה, עשויה להיות שאלה מסוג זה: תן תשובה כיצד ניתן לזהות התקפה בין PLC ל-HMI הפועלים באמצעות פרוטוקול ModBus?

   יהיו שאלות לגבי ההבדלים בין מערכות SCADA ו-DCS. מספר רב של שאלות על הכללים להפרדת רשתות בקרת תהליכים אוטומטיות ברמת L1, L2 מרמת L3 (אתאר ביתר פירוט בסעיף עם שאלות על הרשת). גם שאלות סיטואציות בנושא זה יהיו מגוונות מאוד - הן מתארות את המצב בחדר הבקרה ועליכם לבחור פעולות שיש לבצע על ידי מפעיל התהליך או השולח.

   באופן כללי, הקטע הזה הוא הפרופיל הספציפי והצר ביותר. דורש ממך ידע טוב:
   - מערכת בקרה אוטומטית, חלק שדה (חיישנים, סוגי חיבורי מכשירים, תכונות פיזיות של חיישנים, PLC, RTU);
   — מערכות כיבוי חירום (ESD – חירום shutdown system) של תהליכים ואובייקטים (אגב, יש סדרת מאמרים מצוינת בנושא זה על Habré מאת ולדימיר_סקליאר)
   - הבנה בסיסית של התהליכים הפיזיקליים המתרחשים, למשל, בזיקוק נפט, ייצור חשמל, צינורות וכו';
   - הבנה של הארכיטקטורה של מערכות DCS ו-SCADA;
   אציין ששאלות מסוג זה יכולות להופיע עד 25% לאורך כל 115 השאלות של הבחינה.

3. טכנולוגיות רשת ואבטחת רשת: אני חושב שמספר השאלות בנושא זה נמצא במקום הראשון בבחינה. כנראה שיהיה הכל - מודל ה-OSI, באילו רמות פועל פרוטוקול זה או אחר, שאלות רבות על פילוח רשת, שאלות מצביות על התקפות רשת, דוגמאות של יומני חיבור עם הצעה לקביעת סוג ההתקפה, דוגמאות לתצורות מתגים עם הצעה לקביעת תצורה פגיעה, שאלות על פגיעויות בפרוטוקולי רשת, שאלות על הספציפיות של חיבורי רשת של פרוטוקולי תקשורת תעשייתיים. אנשים שואלים הרבה במיוחד על ModBus. מבנה מנות הרשת של אותו ModBus, בהתאם לסוגו ולגרסאות הנתמכות על ידי המכשיר. תשומת לב רבה מוקדשת להתקפות על רשתות אלחוטיות - ZigBee, Wireless HART, ופשוט שאלות לגבי אבטחת רשת של כל משפחת ה-802.1x. יהיו שאלות לגבי הכללים להצבת שרתים מסוימים ברשת מערכות בקרת תהליכים (כאן עליך לקרוא את תקן IEC-62443 ולהבין את העקרונות של מודלים ייחוס של רשתות מערכות בקרת תהליכים). יהיו שאלות לגבי דגם Purdue.
4. קטגוריית נושאים המתייחסת אך ורק למאפיינים הפונקציונליים של הפעלת מערכות הולכת חשמל ומערכות אבטחת מידע עבורן. בארה"ב, קטגוריה זו של מערכות בקרת תהליכים אוטומטיות נקראת Power Grid ומוקצה לה תפקיד נפרד. לצורך כך אף מונפקים תקנים נפרדים (NIST 800.82) המסדירים את הגישה ליצירת מערכות אבטחת מידע למגזר זה. במדינות שלנו, לרוב, תחום זה מוגבל למערכות ASKUE (תקנו אותי אם מישהו ראה גישה רצינית יותר לניטור מערכות חלוקת חשמל ואספקת חשמל). לכן, בבחינה תמצאו שאלות די ספציפיות הקשורות ל- Power Grid. לרוב, אלו היו מקרי שימוש למצב ספציפי שהתפתח בתחנת הכוח, אך יתכנו גם סקרים על מכשירים המשמשים ספציפית ברשת החשמל. יהיו שאלות המתייחסות לידע של קטעי NIST עבור קטגוריה זו של מערכות.
5. שאלות הקשורות לידע בתקנים: NIST 800-82, NERC, IEC62443. אני חושב שכאן בלי הערות מיוחדות - צריך לנווט בין סעיפי התקנים, שאחראי על מה ואיזה המלצות הוא מכיל. ישנן שאלות ספציפיות, למשל, שאלת תדירות בדיקת פונקציונליות המערכת, תדירות עדכון הנוהל וכו'. כאחוז משאלות כאלה, ניתן להיתקל עד 15% מסך השאלות. אבל זה תלוי. לדוגמה, בשני מבחני תרגול נתקלתי רק בכמה שאלות דומות. אבל באמת היו הרבה כאלה במהלך הבחינה.
6. ובכן, הקטגוריה האחרונה של שאלות היא כל מיני מקרי שימוש ושאלות מצביות.

באופן כללי, האימון עצמו, למעט אולי CTF NetWars, לא היה מאוד אינפורמטיבי עבורי מבחינת רכישת ידע פוטנציאלי חדש. במקום זאת, נרכשו פרטים עמוקים יותר של כמה נושאים, במיוחד בתחום הארגון וההגנה על רשתות רדיו המשמשות להעברת מידע טכנולוגי, וכן חומר מסודר יותר על מבנה התקנים הזרים המוקדשים לנושא זה. לכן, למהנדסים ומומחים שיש להם מספיק ידע וניסיון בעבודה עם מערכות בקרת תהליכים/מערכות מכשור או רשתות תעשייתיות, תוכלו לחשוב על חיסכון בהכשרה (וגם לחסוך הגיוני), להכין את עצמכם ולגשת ישר לגשת לבחינת ההסמכה, אשר , אגב, שווה 700 דולר. במקרה של כישלון, תצטרך לשלם שוב. יש הרבה מרכזי הסמכה שיקבלו אותך לבחינה, העיקר להגיש בקשה מראש. באופן כללי, אני ממליץ לקבוע מיד את מועד הבחינה, כי אחרת תדחה אותה כל הזמן, תחליף את תהליך ההכנה בעניינים חיוניים ולא לגמרי חשובים. וקיום תאריך יעד ספציפי יגרום לך להיות מוטיבציה עצמית.

מקור: www.habr.com