Cossacks ला GICSP प्रमाणपत्र कसे मिळाले

सर्वांना नमस्कार! प्रत्येकाच्या आवडत्या पोर्टलवर माहिती सुरक्षिततेच्या क्षेत्रातील प्रमाणीकरणावर बरेच भिन्न लेख होते, म्हणून मी सामग्रीच्या मौलिकता आणि विशिष्टतेचा दावा करणार नाही, परंतु तरीही मला GIAC (ग्लोबल इन्फॉर्मेशन अॅश्युरन्स कंपनी) मिळवण्याचा माझा अनुभव सांगायला आवडेल. औद्योगिक सायबरसुरक्षा क्षेत्रातील प्रमाणपत्र. म्हणून अशा भयानक शब्द देखावा पासून स्टक्सनेट, दुकू, शॅमून, ट्रायटन, आयटी वाटत असलेल्या तज्ञांच्या सेवांच्या तरतुदीसाठी बाजार, परंतु शिडीवर कॉन्फिगरेशन पुन्हा लिहून पीएलसी ओव्हरलोड करू शकतात आणि त्याच वेळी वनस्पती थांबवता येत नाही, तयार होऊ लागली.

अशा प्रकारे IT&OT (Information Technology & Operation Technology) ही संकल्पना जगात आली.

त्यानंतर लगेचच (हे स्पष्ट आहे की अपात्र कर्मचार्‍यांना काम करण्याची परवानगी दिली जाऊ नये) प्रक्रिया नियंत्रण प्रणाली आणि औद्योगिक प्रणालींच्या सुरक्षिततेची खात्री करण्यासाठी संबंधित क्षेत्रातील तज्ञांना प्रमाणित करण्याची आवश्यकता आली - त्यापैकी बरेच काही आहेत. ते आमच्या जीवनात, अपार्टमेंटमधील स्वयंचलित पाणी पुरवठा वाल्वपासून ते नियंत्रण प्रणाली विमानापर्यंत (समस्या तपासण्याबद्दलचा उत्कृष्ट लेख लक्षात ठेवा बोईंग). आणि अगदी, जसे ते अचानक बाहेर पडले, जटिल वैद्यकीय उपकरणे.

मला प्रमाणपत्र मिळवण्याची गरज कशी आली याबद्दल एक लहान गीत (तुम्ही ते वगळू शकता): XNUMX च्या अखेरीस माहिती सुरक्षा विद्याशाखेत यशस्वीरित्या माझा अभ्यास पूर्ण केल्यावर, मी माझ्या डोक्याने इन्स्ट्रुमेंटेशन मेंढीच्या श्रेणीत प्रवेश केला. कमी-वर्तमान सुरक्षा अलार्म सिस्टमसाठी मेकॅनिक म्हणून काम करत, उच्च धरले. माहिती सुरक्षा मला त्या वेळी एंटरप्राइझमध्ये सांगण्यात आली होती असे दिसते :) माहिती सुरक्षेत बॅचलर पदवी असलेले स्वयंचलित नियंत्रण प्रणाली विशेषज्ञ म्हणून माझ्या करिअरची सुरुवात अशा प्रकारे झाली. सहा वर्षांनंतर, SCADA सिस्टीम विभागाच्या प्रमुख पदापर्यंत पोहोचल्यानंतर, मी सॉफ्टवेअर आणि उपकरणे विकणाऱ्या परदेशी कंपनीमध्ये औद्योगिक नियंत्रण प्रणालीसाठी सुरक्षा सल्लागार म्हणून काम करणे सोडले. येथेच प्रमाणित माहिती सुरक्षा तज्ञ असण्याची गरज निर्माण झाली.

GIAC विकास आहे सं माहिती सुरक्षा तज्ञांचे प्रशिक्षण आणि प्रमाणन आयोजित करणारी संस्था. EMEA, US आणि एशिया पॅसिफिक मार्केटमधील विशेषज्ञ आणि ग्राहकांमध्ये GIAC प्रमाणपत्राची प्रतिष्ठा खूप जास्त आहे. येथे, सोव्हिएत नंतरच्या जागेत आणि सीआयएस देशांमध्ये, अशा प्रमाणपत्राची विनंती केवळ आमच्या देशांमधील व्यवसाय असलेल्या परदेशी कंपन्यांद्वारे केली जाऊ शकते, आंतरराष्ट्रीय आणि सल्लागार संस्था. वैयक्तिकरित्या, मला देशांतर्गत कंपन्यांकडून अशा प्रमाणपत्रासाठी विनंती कधीच आली नाही. प्रत्येकजण मुळात CISSP साठी विचारत आहे. हे माझे व्यक्तिनिष्ठ मत आहे आणि जर कोणी त्यांचे अनुभव टिप्पण्यांमध्ये सामायिक केले तर ते जाणून घेणे मनोरंजक असेल.

SANS मध्ये बरीच भिन्न क्षेत्रे आहेत (माझ्या मते, अलीकडे मुलांनी त्यांची संख्या खूप वाढविली आहे), परंतु तेथे खूप मनोरंजक व्यावहारिक अभ्यासक्रम देखील आहेत. मला ते विशेषतः आवडले नेटवॉर्स. पण कथा अभ्यासक्रमाची असेल ICS410: ICS/SCADA सुरक्षा आवश्यक आणि प्रमाणपत्र म्हणतात: ग्लोबल इंडस्ट्रियल सायबर सिक्युरिटी प्रोफेशनल (GICSP).

SANS द्वारे ऑफर केलेल्या सर्व प्रकारच्या औद्योगिक सायबर सुरक्षा प्रमाणपत्रांपैकी हे सर्वात सार्वत्रिक आहे. दुसरा पॉवर ग्रिड सिस्टमशी अधिक संबंधित असल्याने, ज्यांना पश्चिमेकडे विशेष लक्ष दिले जाते आणि वेगळ्या वर्गाच्या सिस्टमशी संबंधित आहे. आणि तिसरा (माझ्या प्रमाणन मार्गाच्या वेळी) घटना प्रतिसादाशी संबंधित.
हा कोर्स स्वस्त नाही, परंतु तो IT&OT चे विस्तृत ज्ञान प्रदान करतो. ज्यांनी त्यांचे क्षेत्र बदलण्याचा निर्णय घेतला आहे त्यांच्यासाठी हे विशेषतः उपयुक्त ठरेल, उदाहरणार्थ बँकिंग उद्योगातील आयटी सुरक्षेपासून ते औद्योगिक सायबर सुरक्षेपर्यंत. माझ्याकडे प्रक्रिया नियंत्रण प्रणाली, उपकरणे आणि ऑपरेशन तंत्रज्ञानाच्या क्षेत्रात आधीपासूनच पार्श्वभूमी असल्याने, या कोर्समध्ये माझ्यासाठी मूलभूतपणे नवीन किंवा महत्त्वपूर्ण असे काहीही नव्हते.

कोर्समध्ये 50% सिद्धांत आणि 50% सराव असतो. सरावातून, सर्वात मनोरंजक स्पर्धा नेटवॉर्स होती. दोन दिवस, वर्गांच्या मुख्य अभ्यासक्रमानंतर, सर्व वर्गातील सर्व विद्यार्थ्यांना संघांमध्ये विभागले गेले आणि प्रवेश अधिकार प्राप्त करणे, आवश्यक माहिती काढणे, नेटवर्कमध्ये प्रवेश मिळवणे, हॅशला प्रोत्साहन देण्यासाठी अनेक कार्ये, वायरशार्कसह कार्य करणे अशी कार्ये केली. आणि सर्व प्रकारच्या विविध वस्तू.

अभ्यासक्रम साहित्याचा सारांश पुस्तकांच्या स्वरूपात दिला जातो, जो तुम्हाला तुमच्या शाश्वत वापरासाठी प्राप्त होतो. तसे, तुम्ही त्यांना परीक्षेसाठी घेऊ शकता, कारण हे स्वरूप ओपन बुक आहे, परंतु ते तुम्हाला जास्त मदत करणार नाहीत, कारण परीक्षेत 3 तास, 115 प्रश्न आहेत आणि वितरणाची भाषा इंग्रजी आहे. संपूर्ण 3 तासांमध्ये, तुम्ही 15 मिनिटांचा ब्रेक घेऊ शकता. परंतु लक्षात ठेवा की 15 मिनिटांचा ब्रेक घेऊन आणि 5 नंतर चाचण्यांवर परत आल्याने, तुम्ही फक्त उर्वरित दहा मिनिटे सोडून देत आहात, कारण तुम्ही यापुढे चाचणी कार्यक्रमात वेळ थांबवू शकणार नाही. तुम्ही 15 प्रश्न वगळू शकता, जे नंतर अगदी शेवटी दिसतील.

व्यक्तिशः, मी नंतरसाठी बरेच प्रश्न सोडण्याची शिफारस करत नाही, कारण 3 तास खरोखरच पुरेसा वेळ नसतो आणि जेव्हा तुमच्याकडे असे प्रश्न असतील जे अद्याप सोडवले गेले नाहीत, तेव्हा ते करू न शकण्याची उच्च शक्यता असते. ते वेळेत. मी नंतर फक्त तीन प्रश्न सोडले जे माझ्यासाठी खरोखर कठीण होते, कारण ते NIST 800.82 आणि NERC मानकांच्या ज्ञानाशी संबंधित होते. मानसशास्त्रीयदृष्ट्या, "नंतरसाठी" असे प्रश्न तुमच्या मज्जातंतूंना अगदी शेवटी मारतात - जेव्हा तुमचा मेंदू थकलेला असतो, तुम्हाला टॉयलेटमध्ये जायचे असते, तेव्हा स्क्रीनवरील टाइमर वेगाने वाढतो.

सर्वसाधारणपणे, चाचणी उत्तीर्ण होण्यासाठी तुम्हाला 71% अचूक उत्तरे मिळणे आवश्यक आहे. परीक्षा देण्यापूर्वी, तुम्हाला वास्तविक चाचण्यांवर सराव करण्याची संधी मिळेल - कारण किंमतीमध्ये 2 प्रश्नांच्या 115 सराव चाचण्या आणि वास्तविक परीक्षेसारख्या अटींचा समावेश आहे.

मी शिफारस करतो की प्रशिक्षण पूर्ण केल्यानंतर एका महिन्यात परीक्षा द्या, ज्या मुद्द्यांवर तुम्हाला अनिश्चित वाटत असेल त्या मुद्द्यांवर हा महिना पद्धतशीर स्व-अभ्यासासाठी खर्च करा. तुम्ही अभ्यासक्रमादरम्यान मिळालेले मुद्रित साहित्य घेतले, जे प्रत्येक विषयावरील लहान गोषवारासारखे दिसले - आणि या पुस्तकांमध्ये असलेल्या विषयांची माहिती जाणूनबुजून शोधली तर छान होईल. महिन्याचे दोन भाग करा, सराव चाचण्या घ्या आणि तुम्ही कोणत्या क्षेत्रात मजबूत आहात आणि तुम्हाला कुठे सुधारणे आवश्यक आहे याचे उग्र चित्र मिळवा.

मी खालील मुख्य क्षेत्रे हायलाइट करू इच्छितो जे परीक्षा स्वतः बनवतात (प्रशिक्षण अभ्यासक्रम नाही, कारण त्यात बरेच विस्तृत विषय समाविष्ट आहेत):

1. भौतिक सुरक्षा: इतर प्रमाणन परीक्षांप्रमाणे, GICSP मध्ये या मुद्द्यावर खूप लक्ष दिले जाते. दारांवरील भौतिक कुलूपांच्या प्रकारांबद्दल प्रश्न आहेत, इलेक्ट्रॉनिक पासच्या खोट्या परिस्थितीचे वर्णन केले आहे, जिथे आपल्याला समस्या स्पष्टपणे ओळखण्यासाठी उत्तर देणे आवश्यक आहे. तेल आणि वायू प्रक्रिया, अणुऊर्जा प्रकल्प किंवा पॉवर ग्रिड - विषय क्षेत्रावर अवलंबून तंत्रज्ञान (प्रक्रिया) च्या सुरक्षिततेशी थेट संबंधित प्रश्न आहेत. उदाहरणार्थ, असा प्रश्न असू शकतो: एचएमआयवरील स्टीम तापमान सेन्सरमधून अलार्म येतो तेव्हा परिस्थिती कोणत्या प्रकारचे भौतिक सुरक्षा नियंत्रण असते हे ठरवा? किंवा असा प्रश्न: सुविधेच्या परिमिती सुरक्षा प्रणालीच्या पाळत ठेवणाऱ्या कॅमेऱ्यांमधून व्हिडिओ रेकॉर्डिंगचे विश्लेषण करण्यासाठी कोणती परिस्थिती (इव्हेंट) कारणीभूत ठरेल?

   टक्केवारीच्या दृष्टीने, मी लक्षात घेईन की माझ्या परीक्षेत आणि सराव चाचण्यांमध्ये या विभागावरील प्रश्नांची संख्या ५% पेक्षा जास्त नव्हती.

2. प्रश्नांची आणखी एक आणि सर्वात व्यापक श्रेणी म्हणजे प्रक्रिया नियंत्रण प्रणाली, पीएलसी, एससीएडीए वरील प्रश्न: येथे सेन्सरपासून सर्व्हरपर्यंत प्रक्रिया नियंत्रण प्रणाली कशा तयार केल्या जातात यावरील सामग्रीच्या अभ्यासाकडे पद्धतशीरपणे संपर्क साधणे आवश्यक आहे जिथे अनुप्रयोग सॉफ्टवेअर स्वतःच धावा औद्योगिक डेटा ट्रान्सफर प्रोटोकॉलच्या प्रकारांवर (ModBus, RTU, Profibus, HART, इ.) पुरेसे प्रश्न आढळतील. RTU PLC पेक्षा वेगळे कसे आहे, PLC मधील डेटाचे आक्रमणकर्त्याद्वारे बदल करण्यापासून कसे संरक्षण करावे, PLC कोणत्या मेमरी भागात डेटा संग्रहित करते आणि तर्कशास्त्र स्वतः कुठे संग्रहित केले जाते (प्रोसेस कंट्रोल सिस्टम प्रोग्रामरने लिहिलेला प्रोग्राम) असे प्रश्न असतील. ). उदाहरणार्थ, या प्रकारचा प्रश्न असू शकतो: ModBus प्रोटोकॉल वापरून ऑपरेट करणार्‍या PLC आणि HMI मधील हल्ला कसा शोधता येईल याचे उत्तर द्या?

   SCADA आणि DCS प्रणालींमधील फरकांबद्दल प्रश्न असतील. L1 स्तरावरून L2, L3 स्तरावर स्वयंचलित प्रक्रिया नियंत्रण नेटवर्क वेगळे करण्याच्या नियमांवर मोठ्या संख्येने प्रश्न (मी नेटवर्कवरील प्रश्नांसह विभागात अधिक तपशीलवार वर्णन करेन). या विषयावरील परिस्थितीविषयक प्रश्न देखील खूप वैविध्यपूर्ण असतील - ते नियंत्रण कक्षातील परिस्थितीचे वर्णन करतात आणि आपल्याला प्रक्रिया ऑपरेटर किंवा डिस्पॅचरने केलेल्या क्रियांची निवड करणे आवश्यक आहे.

   सर्वसाधारणपणे, हा विभाग सर्वात विशिष्ट आणि अरुंद-प्रोफाइल आहे. तुम्हाला चांगले ज्ञान असणे आवश्यक आहे:
   - स्वयंचलित नियंत्रण प्रणाली, फील्ड भाग (सेन्सर, डिव्हाइस कनेक्शनचे प्रकार, सेन्सर्सची भौतिक वैशिष्ट्ये, पीएलसी, आरटीयू);
   — प्रक्रिया आणि वस्तूंची आपत्कालीन शटडाउन प्रणाली (ESD – आणीबाणी शटडाउन प्रणाली) (तसे, या विषयावरील लेखांची एक उत्कृष्ट मालिका Habré वरील आहे. व्लादिमीर_स्क्लियर)
   - घडणाऱ्या भौतिक प्रक्रियेची मूलभूत माहिती, उदाहरणार्थ, तेल शुद्धीकरण, वीज निर्मिती, पाइपलाइन इ.;
   — DCS आणि SCADA सिस्टीमच्या आर्किटेक्चरची समज;
   मी लक्षात घेतो की या प्रकारचे प्रश्न परीक्षेच्या सर्व 25 प्रश्नांमध्ये 115% पर्यंत येऊ शकतात.

3. नेटवर्क तंत्रज्ञान आणि नेटवर्क सुरक्षा: मला वाटते की या विषयातील प्रश्नांची संख्या परीक्षेत प्रथम येते. कदाचित सर्व काही असेल - OSI मॉडेल, हा किंवा तो प्रोटोकॉल कोणत्या स्तरावर चालतो, नेटवर्क विभाजनावरील अनेक प्रश्न, नेटवर्क हल्ल्यांवरील परिस्थितीजन्य प्रश्न, हल्ल्याचा प्रकार निश्चित करण्याच्या प्रस्तावासह कनेक्शन लॉगची उदाहरणे, स्विच कॉन्फिगरेशनची उदाहरणे असुरक्षित कॉन्फिगरेशन निर्धारित करण्याच्या प्रस्तावासह, असुरक्षा नेटवर्क प्रोटोकॉलवरील प्रश्न, औद्योगिक संप्रेषण प्रोटोकॉलच्या नेटवर्क कनेक्शनच्या वैशिष्ट्यांवरील प्रश्न. लोक विशेषतः ModBus बद्दल बरेच काही विचारतात. समान ModBus च्या नेटवर्क पॅकेटची रचना, त्याच्या प्रकारावर आणि डिव्हाइसद्वारे समर्थित आवृत्त्यांवर अवलंबून. वायरलेस नेटवर्क्सवरील हल्ल्यांकडे जास्त लक्ष दिले जाते - ZigBee, Wireless HART, आणि संपूर्ण 802.1x कुटुंबाच्या नेटवर्क सुरक्षिततेबद्दलचे प्रश्न. प्रक्रिया नियंत्रण प्रणाली नेटवर्कमध्ये विशिष्ट सर्व्हर ठेवण्याच्या नियमांबद्दल प्रश्न असतील (येथे आपल्याला IEC-62443 मानक वाचण्याची आणि प्रक्रिया नियंत्रण प्रणाली नेटवर्कच्या संदर्भ मॉडेलची तत्त्वे समजून घेणे आवश्यक आहे). पर्ड्यू मॉडेलबद्दल प्रश्न असतील.
4. समस्यांची एक श्रेणी जी केवळ त्यांच्यासाठी वीज प्रेषण प्रणाली आणि माहिती सुरक्षा प्रणालीच्या कार्यात्मक वैशिष्ट्यांशी संबंधित आहे. यूएसए मध्ये, स्वयंचलित प्रक्रिया नियंत्रण प्रणालीच्या या श्रेणीला पॉवर ग्रिड म्हणतात आणि एक वेगळी भूमिका नियुक्त केली जाते. या उद्देशासाठी, या क्षेत्रासाठी माहिती सुरक्षा प्रणाली तयार करण्याच्या दृष्टिकोनाचे नियमन करणारी स्वतंत्र मानके (NIST 800.82) जारी केली जातात. आपल्या देशांत, बहुतेक भागांसाठी, हे क्षेत्र ASKUE प्रणालींपुरते मर्यादित आहे (विज वितरण आणि वितरण प्रणालींचे निरीक्षण करण्यासाठी कोणी अधिक गंभीर दृष्टीकोन पाहिला असेल तर मला दुरुस्त करा). तर, परीक्षेत तुम्हाला पॉवर ग्रिडशी संबंधित विशिष्ट प्रश्न सापडतील. बर्‍याच भागांमध्ये, पॉवर प्लांटमध्ये विकसित झालेल्या विशिष्ट परिस्थितीसाठी ही वापराची प्रकरणे होती, परंतु पॉवर ग्रिडमध्ये विशेषतः वापरल्या जाणार्‍या उपकरणांवर सर्वेक्षण देखील केले जाऊ शकते. या श्रेणीतील प्रणालींसाठी NIST विभागांचे ज्ञान संबोधित करणारे प्रश्न असतील.
5. मानकांच्या ज्ञानाशी संबंधित प्रश्न: NIST 800-82, NERC, IEC62443. मी येथे कोणत्याही विशेष टिप्पण्यांशिवाय विचार करतो - आपल्याला मानकांच्या विभागांमध्ये नेव्हिगेट करणे आवश्यक आहे, जे त्यात काय आणि कोणत्या शिफारसी आहेत यासाठी जबाबदार आहे. विशिष्ट प्रश्न आहेत, उदाहरणार्थ, सिस्टमची कार्यक्षमता तपासण्याची वारंवारता विचारणे, प्रक्रिया अद्यतनित करण्याची वारंवारता इ. अशा प्रश्नांची टक्केवारी म्हणून, एकूण प्रश्नांच्या 15% पर्यंत प्रश्न येऊ शकतात. पण ते अवलंबून आहे. उदाहरणार्थ, दोन सराव चाचण्यांमध्ये मला फक्त दोन समान प्रश्न आले. पण खरोखरच परीक्षेच्या वेळी ते बरेच होते.
6. बरं, प्रश्नांची शेवटची श्रेणी म्हणजे सर्व प्रकारच्या वापर-प्रकरणे आणि परिस्थितीजन्य प्रश्न.

सर्वसाधारणपणे, CTF NetWars च्या संभाव्य अपवादासह, प्रशिक्षण स्वतःच, संभाव्य नवीन ज्ञान प्राप्त करण्याच्या दृष्टीने माझ्यासाठी फार माहितीपूर्ण नव्हते. त्याऐवजी, काही विषयांचे सखोल तपशील, विशेषत: संस्थेच्या क्षेत्रात आणि तांत्रिक माहिती प्रसारित करण्यासाठी वापरल्या जाणार्‍या रेडिओ नेटवर्कचे संरक्षण, तसेच या विषयाला समर्पित परदेशी मानकांच्या संरचनेवर अधिक संघटित सामग्री प्राप्त केली गेली. म्हणून, प्रक्रिया नियंत्रण प्रणाली/इंस्ट्रुमेंटेशन सिस्टम किंवा इंडस्ट्रियल नेटवर्क्ससह काम करण्याचे पुरेसे ज्ञान आणि अनुभव असलेल्या अभियंते आणि तज्ञांसाठी, तुम्ही प्रशिक्षणावर बचत करण्याचा विचार करू शकता (आणि बचत करणे अर्थपूर्ण आहे), स्वत: ला तयार करा आणि थेट प्रमाणपत्र परीक्षा देण्यासाठी जाऊ शकता. , तसे, 700USD किमतीचे आहे. अयशस्वी झाल्यास, तुम्हाला पुन्हा पैसे द्यावे लागतील. भरपूर प्रमाणन केंद्रे आहेत जी तुम्हाला परीक्षेसाठी स्वीकारतील; मुख्य म्हणजे आगाऊ अर्ज करणे. सर्वसाधारणपणे, मी ताबडतोब परीक्षेची तारीख सेट करण्याची शिफारस करतो, कारण अन्यथा तुम्ही तयारी प्रक्रियेला इतर महत्त्वाच्या आणि पूर्णपणे महत्त्वाच्या नसलेल्या गोष्टींसह बदलून सतत विलंब कराल. आणि विशिष्ट मुदतीची तारीख तुम्हाला स्वयं-प्रेरित करेल.

स्त्रोत: www.habr.com