Како Козаците го добија сертификатот GICSP

Здраво на сите! Омилениот портал на сите имаше многу различни написи за сертификација во областа на безбедноста на информациите, така што нема да тврдам оригиналност и уникатност на содржината, но сепак навистина би сакал да го споделам моето искуство за добивање на GIAC (Глобална компанија за обезбедување информации) сертификација во областа на индустриската сајбер безбедност. Од појавата на такви страшни зборови како Стакснет, Градоначалникот, Shamoon, Triton, пазар за обезбедување услуги на специјалисти кои се чини дека се ИТ, но исто така можат да ги преоптоварат PLC со препишување на конфигурацијата на скали, а во исто време фабриката не може да се запре, почна да се формира.

Така дојде во светот концептот на IT&OT (Information Technology & Operation Technology).

Веднаш потоа (јасно е дека не треба да се дозволи работа на неквалификуван персонал) се појави потребата да се сертифицираат специјалисти од областа поврзана со обезбедување на безбедноста на системите за контрола на процесот и индустриските системи - од кои, се испоставува, има многу ги во нашите животи, од автоматски вентил за довод на вода во стан до авиони со контролен систем (сетете се на одличната статија за истражување на проблемите Боинг). Па дури и, како што одеднаш се испостави, комплексна медицинска опрема.

Кратка лирика за тоа како дојдов до потребата да добијам сертификат (можете да го прескокнете): Откако успешно ги завршив студиите на Факултетот за информатичка безбедност на крајот на XNUMX-тите, со глава зачекорив во редовите на инструментарската овца се држи високо, работи како механичар за безбедносни алармни системи со ниска струја. Се чини дека безбедноста на информациите ми беше кажано во тоа време во претпријатието :) Вака започна мојата кариера како специјалист за автоматски системи за контрола со диплома за безбедност на информации. Шест години подоцна, откако се искачив на ранг на раководител на одделот за системи на SCADA, заминав да работам како безбедносен консултант за индустриски контролни системи во странска компанија која продава софтвер и опрема. Тука се појави потребата да се биде сертифициран специјалист за информациска безбедност.

GIAC е развој САНЦИ организација која спроведува обука и сертификација на специјалисти за информациска безбедност. Репутацијата на сертификатот GIAC е многу висока меѓу специјалистите и клиентите на пазарите во ЕМЕА, САД и Азија Пацифик. Овде, во постсоветскиот простор и во земјите на ЗНД, таков сертификат можат да бараат само странски компании со бизнис во нашите земји, меѓународни и консултантски агенции. Јас лично никогаш не сум сретнал барање за ваква потврда од домашни компании. Сите во основа бараат CISSP. Ова е мое субјективно мислење и ако некој го сподели своето искуство во коментар, ќе биде интересно да се знае.

Во САНС има доста различни области (според мене, неодамна момците премногу го проширија својот број), но има и многу интересни практични курсеви. Посебно ми се допадна NetWars. Но, приказната ќе биде за курсот ICS410: ICS/SCADA безбедносни основни и сертификат наречен: Професионалец за глобална индустриска сајбер безбедност (GICSP).

Од сите видови сертификати за индустриска сајбер-безбедност што ги нуди SANS, ова е најуниверзално. Бидејќи вториот се однесува повеќе на Power Grid системите, кои на Запад добиваат посебно внимание и припаѓаат на посебна класа на системи. И третиот (во времето на мојата патека за сертификација) поврзана со одговор на инцидентот.
Курсот не е евтин, но обезбедува доста широко познавање на ИТ&ОТ. Тоа ќе биде особено корисно за оние другари кои решиле да го променат своето поле, на пример од ИТ безбедност во банкарската индустрија до Индустриска сајбер безбедност. Бидејќи веќе имав искуство во областа на системите за контрола на процесите, инструментацијата и технологијата за работа, немаше ништо суштински ново или витално важно за мене во овој курс.

Курсот се состои од 50% теорија и 50% пракса. Од пракса, најинтересен натпревар беше NetWars. Два дена, по главниот тек на часовите, сите ученици од сите паралелки беа поделени во тимови и извршуваа задачи за да добијат права за пристап, да ги извлечат потребните информации, да добијат пристап до мрежата, еден куп задачи за промовирање хаши, работа со Wireshark. и секакви различни добрите.

Материјалот на курсот е сумиран во форма на книги, кои потоа ги добивате за ваша вечна употреба. Патем, можеш да ги полагаш, бидејќи форматот е Open Book, но нема да ти помогнат многу, бидејќи испитот има 3 часа, 115 прашања, а јазикот на испитот е англиски. Во текот на сите 3 часа, можете да направите пауза од 15 минути. Но, имајте на ум дека со пауза од 15 минути и враќање на тестовите по 5, едноставно се откажувате од преостанатите десет минути, бидејќи повеќе нема да можете да го запрете времето во програмата за тестирање. Можете да прескокнете до 15 прашања, кои потоа ќе се појават на самиот крај.

Лично, не препорачувам да оставам многу прашања за подоцна, бидејќи 3 часа навистина не се доволно време, а кога на крајот имате прашања кои се уште не се решени, постои голема веројатност да не можете да направите тоа на време. Оставив за подоцна само три прашања кои ми беа навистина тешки, бидејќи се однесуваа на познавање на NIST 800.82 и NERC стандардот. Психолошки, ваквите прашања „за подоцна“ ви ги погодуваат нервите на самиот крај - кога мозокот ви е уморен, сакате да одите во тоалет, тајмерот на екранот се чини дека експоненцијално се забрзува.

Во принцип, за да го положите тестот треба да постигнете 71% точни одговори. Пред да го полагате испитот, ќе имате можност да вежбате на реални тестови - бидејќи во цената се вклучени 2 практични теста од 115 прашања и со услови слични на вистинскиот испит.

Препорачувам да го полагате испитот еден месец по завршувањето на обуката, да го поминете овој месец на систематско самостојно учење за оние прашања во кои се чувствувате несигурни. Би било убаво ако ги земете печатените материјали добиени за време на курсот, кои изгледаат како кратки апстракти за секоја тема - и намерно барате информации за темите содржани во овие книги. Поделете го месецот на два дела, правејќи тестови за вежбање и добијте груба слика за тоа во кои области сте силни и каде треба да се подобрите.

Би сакал да ги истакнам следните главни области кои го сочинуваат самиот испит (не курсот за обука, бидејќи опфаќа многу пообемни теми):

1. Физичка безбедност: Како и другите испити за сертификација, на ова прашање му се посветува големо внимание во GICSP. Има прашања за видовите физички брави на вратите, опишани се ситуации со фалсификување на електронски пропусници, каде што треба да дадете одговор за недвосмислено да го идентификувате проблемот. Има прашања директно поврзани со безбедноста на технологијата (процесот), во зависност од предметната област - процеси на нафта и гас, нуклеарни централи или електрични мрежи. На пример, може да има прашање како: Определете каков тип на физичка безбедносна контрола е ситуацијата кога алармот доаѓа од сензорот за температура на пареата на HMI? Или прашање како: Која ситуација (настан) ќе послужи како причина да се анализираат видео снимките од надзорните камери на периметарскиот безбедносен систем на објектот?

   Процентуално, би забележал дека бројот на прашања од овој дел во мојот испит и во практични тестови не надминува 5%.

2. Друга и една од најраспространетите категории прашања се прашањата за системите за контрола на процеси, PLC, SCADA: тука ќе биде неопходно систематски да се пристапи кон проучувањето на материјалите за тоа како се структурирани системите за контрола на процесот, од сензори до сервери каде што самиот апликативен софтвер трчање. Ќе се најдат доволен број прашања за типовите на индустриски протоколи за пренос на податоци (ModBus, RTU, Profibus, HART итн.). Ќе има прашања за тоа како RTU се разликува од PLC, како да се заштитат податоците во PLC од модификација од страна на напаѓачот, во кои области на меморијата PLC складира податоци и каде е складирана самата логика (програма напишана од програмер на системот за контрола на процесот ). На пример, може да има прашање од овој тип: Дајте одговор на тоа како можете да откриете напад помеѓу PLC и HMI кои работат со помош на протоколот ModBus?

   Ќе има прашања за разликите помеѓу SCADA и DCS системите. Голем број прашања за правилата за одвојување на мрежите за автоматска контрола на процесите на ниво L1, L2 од нивото L3 (ќе опишам подетално во делот со прашања за мрежата). Ситуационите прашања на оваа тема исто така ќе бидат многу разновидни - тие ја опишуваат ситуацијата во контролната соба и треба да изберете дејства што мора да ги изврши операторот на процесот или диспечерот.

   Генерално, овој дел е најконкретен и најтесен профил. Потребно е да имате добро познавање:
   — автоматизиран контролен систем, теренски дел (сензори, типови на приклучоци на уреди, физички карактеристики на сензори, PLC, RTU);
   — системи за итно исклучување (ESD – систем за итно исклучување) на процеси и предмети (патем, има одлична серија на написи на оваа тема на Хабре од Владимир_Скљар)
   — основно разбирање на физичките процеси што се случуваат, на пример, во рафинирање на нафта, производство на електрична енергија, цевководи итн.;
   — разбирање на архитектурата на DCS и SCADA системите;
   Би забележал дека прашањата од овој тип може да се појават до 25% во сите 115 прашања на испитот.

3. Мрежни технологии и мрежна безбедност: Мислам дека бројот на прашања во оваа тема е на прво место на испитот. Веројатно ќе има апсолутно сè - моделот OSI, на кои нивоа работи овој или оној протокол, многу прашања за сегментација на мрежата, ситуациони прашања за мрежните напади, примери на дневници за поврзување со предлог да се одреди типот на нападот, примери на конфигурации на прекинувачи со предлог за одредување на ранлива конфигурација, прашања за ранливости мрежни протоколи, прашања за спецификите на мрежните врски на индустриските комуникациски протоколи. Луѓето особено прашуваат многу за ModBus. Структурата на мрежните пакети на истиот ModBus, во зависност од неговиот тип и верзии поддржани од уредот. Многу внимание се посветува на нападите на безжични мрежи - ZigBee, Wireless HART и едноставно прашања за мрежната безбедност на целото семејство 802.1x. Ќе има прашања за правилата за поставување одредени сервери во мрежата на системот за контрола на процесите (тука треба да го прочитате стандардот IEC-62443 и да ги разберете принципите на референтните модели на мрежите на системи за контрола на процеси). Ќе има прашања за моделот на Пердју.
4. Категорија на прашања што се однесува исклучиво на функционалните карактеристики на работењето на системите за пренос на електрична енергија и системи за безбедност на информации за нив. Во САД, оваа категорија на системи за автоматска контрола на процесите се нарекува Power Grid и ѝ е доделена посебна улога. За таа цел дури се издаваат и посебни стандарди (NIST 800.82) со кои се регулира пристапот кон креирање системи за безбедност на информации за овој сектор. Во нашите земји, во најголем дел, овој сектор е ограничен на системите ASKUE (поправете ме ако некој видел посериозен пристап за следење на системите за дистрибуција и испорака на електрична енергија). Така, на испитот ќе најдете доста конкретни прашања поврзани со Power Grid. Во најголем дел, ова беа случаи на употреба за специфична ситуација што се појави во електраната, но може да има и истражувања за уредите што се користат конкретно во електричната мрежа. Ќе има прашања кои се однесуваат на знаењето на NIST секциите за оваа категорија системи.
5. Прашања поврзани со познавање на стандарди: NIST 800-82, NERC, IEC62443. Мислам дека овде без никакви посебни коментари - треба да се движите низ деловите на стандардите, што е одговорно за тоа што и какви препораки содржи. Има конкретни прашања, на пример, поставување на фреквенцијата на проверка на функционалноста на системот, зачестеноста на ажурирање на постапката итн. Како процент на вакви прашања може да се сретнеме до 15% од вкупниот број прашања. Но, тоа зависи. На пример, на два практични теста наидов на само неколку слични прашања. Но, навистина ги имаше многу за време на испитот.
6. Па, последната категорија прашања се сите видови на употребни случаи и ситуациони прашања.

Генерално, самата обука, со можен исклучок на CTF NetWars, не беше многу информативна за мене во однос на стекнување потенцијално нови знаења. Напротив, беа стекнати подлабоки детали за некои теми, особено во областа на организацијата и заштитата на радио мрежите што се користат за пренос на технолошки информации, како и поорганизиран материјал за структурата на странските стандарди посветен на оваа тема. Затоа, за инженерите и специјалистите кои имаат доволно знаење и искуство со работа со системи за контрола на процеси/системи за инструменти или индустриски мрежи, можете да размислите за заштеда на обуката (и штедењето има смисла), да се подготвите и да одите директно да го полагате испитот за сертификација, кој Патем, вреди 700 УСД. Во случај на неуспех, ќе мора повторно да платите. Има многу центри за сертификација кои ќе ве примат на испит; главната работа е да аплицирате однапред. Во принцип, препорачувам веднаш да го одредите датумот на испитот, бидејќи во спротивно постојано ќе го одложувате, заменувајќи го процесот на подготовка со други витални и не сосема важни работи. И ако имате конкретен рок, ќе бидете самомотивирани.

Извор: www.habr.com