Cossacks ले GICSP प्रमाणपत्र कसरी प्राप्त गर्यो

नमस्ते सबै! सबैको मनपर्ने पोर्टलमा सूचना सुरक्षाको क्षेत्रमा प्रमाणीकरणमा धेरै फरक लेखहरू थिए, त्यसैले म सामग्रीको मौलिकता र विशिष्टता दाबी गर्न जाँदैछु, तर म अझै पनि GIAC (ग्लोबल इन्फर्मेशन एस्योरेन्स कम्पनी) प्राप्त गर्ने मेरो अनुभव साझा गर्न चाहन्छु। औद्योगिक साइबर सुरक्षाको क्षेत्रमा प्रमाणीकरण। यस्तो भयानक शब्द को उपस्थिति देखि Stuxnet, डुक्, Shamoon, Triton, आईटी जस्तो देखिने विशेषज्ञहरूको सेवाहरूको प्रावधानको लागि बजार, तर सीढीमा कन्फिगरेसन पुन: लेखेर PLC लाई ओभरलोड गर्न सक्छ, र एकै समयमा बिरुवा रोक्न सकिँदैन, गठन गर्न थाल्यो।

यसरी आईटी एन्ड ओटी (सूचना प्रविधि र अपरेशन टेक्नोलोजी) को अवधारणा संसारमा आयो।

तुरुन्तै अर्को (यो स्पष्ट छ कि अयोग्य कर्मचारीहरूलाई काम गर्न अनुमति दिनु हुँदैन) प्रक्रिया नियन्त्रण प्रणाली र औद्योगिक प्रणालीहरूको सुरक्षा सुनिश्चित गर्न सम्बन्धित क्षेत्रमा विशेषज्ञहरूलाई प्रमाणित गर्न आवश्यक छ - जसमध्ये, यो बाहिर जान्छ, त्यहाँ धेरै छन्। तिनीहरू हाम्रो जीवनमा, अपार्टमेन्टमा स्वचालित पानी आपूर्ति भल्भबाट नियन्त्रण प्रणाली हवाइजहाजसम्म (समस्याहरूको अनुसन्धानको बारेमा उत्कृष्ट लेख सम्झनुहोस्। Boeing)। र पनि, यो अचानक बाहिर भयो, जटिल चिकित्सा उपकरण।

म कसरी प्रमाणीकरण प्राप्त गर्न आवश्यक पर्यो भन्ने बारे एक छोटो गीत (तपाईले यसलाई छोड्न सक्नुहुन्छ): 2000 को अन्त्यमा सूचना सुरक्षा संकायमा सफलतापूर्वक मेरो अध्ययन पूरा गरेपछि, मैले मेरो टाउकोको साथ इन्स्ट्रुमेन्टेशन भेडाको श्रेणीमा प्रवेश गरें। उच्च राखिएको, कम-वर्तमान सुरक्षा अलार्म प्रणालीहरूको लागि मेकानिकको रूपमा काम गर्दै। यस्तो देखिन्छ कि सूचना सुरक्षा मलाई त्यस समयमा उद्यममा भनिएको थियो :) यसरी सूचना सुरक्षामा स्नातक डिग्रीको साथ एक स्वचालित नियन्त्रण प्रणाली विशेषज्ञको रूपमा मेरो क्यारियर सुरु भयो। छ वर्ष पछि, SCADA प्रणाली विभागको प्रमुखको पदमा बढेर, मैले सफ्टवेयर र उपकरणहरू विक्रेता गर्ने विदेशी कम्पनीमा औद्योगिक नियन्त्रण प्रणालीहरूको लागि सुरक्षा सल्लाहकारको रूपमा काम गर्न छोडें। यहाँ एक प्रमाणित सूचना सुरक्षा विशेषज्ञ हुनु आवश्यक छ।

GIAC विकास छ Sans सूचना सुरक्षा विशेषज्ञहरूको प्रशिक्षण र प्रमाणीकरण सञ्चालन गर्ने संस्था। EMEA, US, र एशिया प्यासिफिक बजारहरूमा विशेषज्ञहरू र ग्राहकहरू बीच GIAC प्रमाणपत्रको प्रतिष्ठा धेरै उच्च छ। यहाँ, पोस्ट-सोभियत अन्तरिक्ष र CIS देशहरूमा, यस्तो प्रमाणपत्र हाम्रो देशहरूमा व्यापार, अन्तर्राष्ट्रिय र परामर्श एजेन्सीहरूसँग विदेशी कम्पनीहरूले मात्र अनुरोध गर्न सकिन्छ। व्यक्तिगत रूपमा, मैले घरेलु कम्पनीहरूबाट यस्तो प्रमाणीकरणको लागि अनुरोध कहिल्यै सामना गरेको छैन। सबैजना मूलतः CISSP को लागि सोधिरहेका छन्। यो मेरो व्यक्तिपरक विचार हो र यदि कसैले टिप्पणीहरूमा आफ्नो अनुभव साझा गर्नुभयो भने, यो जान्न रोचक हुनेछ।

SANS मा धेरै फरक क्षेत्रहरू छन् (मेरो विचारमा, भर्खरै केटाहरूले आफ्नो संख्या धेरै विस्तार गरेका छन्), तर त्यहाँ धेरै रोचक व्यावहारिक पाठ्यक्रमहरू पनि छन्। मलाई विशेष मन पर्यो NetWars। तर कथा पाठ्यक्रमको बारेमा हुनेछ ICS410: ICS/SCADA सुरक्षा अनिवार्यहरू र एक प्रमाणपत्र भनिन्छ: ग्लोबल इन्डस्ट्रियल साइबर सेक्युरिटी प्रोफेशनल (GICSP).

SANS द्वारा प्रस्तावित सबै प्रकारका औद्योगिक साइबर सुरक्षा प्रमाणपत्रहरू मध्ये, यो सबैभन्दा विश्वव्यापी हो। दोस्रो पावर ग्रिड प्रणालीहरूसँग बढी सम्बन्धित छ, जसलाई पश्चिममा विशेष ध्यान दिइन्छ र प्रणालीहरूको छुट्टै वर्गसँग सम्बन्धित छ। र तेस्रो (मेरो प्रमाणीकरण मार्गको समयमा) घटना प्रतिक्रियासँग सम्बन्धित।
पाठ्यक्रम सस्तो छैन, तर यसले IT&OT को धेरै व्यापक ज्ञान प्रदान गर्दछ। यो विशेष गरी ती कामरेडहरूका लागि उपयोगी हुनेछ जसले आफ्नो क्षेत्र परिवर्तन गर्ने निर्णय गरेका छन्, उदाहरणका लागि बैंकिङ उद्योगमा आईटी सुरक्षादेखि औद्योगिक साइबर सुरक्षासम्म। प्रक्रिया नियन्त्रण प्रणाली, उपकरण र अपरेशन टेक्नोलोजीको क्षेत्रमा मसँग पहिले नै पृष्ठभूमि भएको हुनाले, यस पाठ्यक्रममा मेरो लागि मौलिक रूपमा नयाँ वा महत्त्वपूर्ण रूपमा केही पनि थिएन।

पाठ्यक्रम 50% सिद्धान्त र 50% अभ्यास समावेश गर्दछ। अभ्यासबाट, सबैभन्दा रोचक प्रतियोगिता नेटवार्स थियो। दुई दिनसम्म, कक्षाको मुख्य पाठ्यक्रम पछि, सबै कक्षाका सबै विद्यार्थीहरूलाई टोलीमा विभाजन गरियो र पहुँच अधिकार प्राप्त गर्न, आवश्यक जानकारी निकाल्ने, नेटवर्कमा पहुँच प्राप्त गर्ने, ह्यासहरू प्रवर्द्धन गर्ने कार्यहरूको गुच्छा, वायरशार्कसँग काम गर्ने कार्यहरू गरियो। र सबै प्रकारका विभिन्न चीजहरू।

पाठ्यक्रम सामग्री पुस्तकहरूको रूपमा संक्षेप गरिएको छ, जुन तपाइँ तपाइँको निरन्तर प्रयोगको लागि प्राप्त गर्नुहुन्छ। वैसे, तपाइँ तिनीहरूलाई परीक्षाको लागि लिन सक्नुहुन्छ, किनकि ढाँचा ओपन बुक हो, तर यसले तपाइँलाई धेरै मद्दत गर्दैन, किनकि परीक्षामा 3 घण्टा, 115 प्रश्नहरू छन्, र डेलिभरीको भाषा अंग्रेजी हो। पूरै 3 घण्टाको अवधिमा, तपाइँ 15 मिनेटको ब्रेक लिन सक्नुहुन्छ। तर ध्यान राख्नुहोस् कि 15 मिनेटको लागि ब्रेक लिएर र 5 पछि परीक्षणमा फर्केर, तपाइँ केवल बाँकी दस मिनेट छोड्दै हुनुहुन्छ, किनकि तपाइँ अब परीक्षण कार्यक्रममा समय रोक्न सक्षम हुनुहुने छैन। तपाईं 15 प्रश्नहरू छोड्न सक्नुहुन्छ, जुन त्यसपछि अन्तमा देखा पर्नेछ।

व्यक्तिगत रूपमा, म पछिको लागि धेरै प्रश्नहरू छोड्न सिफारिस गर्दिन, किनकि 3 घण्टा वास्तवमै पर्याप्त समय छैन, र जब तपाइँसँग प्रश्नहरू छन् जुन अझै समाधान गरिएको छैन, त्यहाँ सक्षम नहुने उच्च सम्भावना छ। यो समयमा। मैले पछि मात्र तीनवटा प्रश्नहरू छोडें जुन मेरो लागि साँच्चै गाह्रो थियो, किनभने तिनीहरू NIST 800.82 र NERC मानकको ज्ञानसँग सम्बन्धित थिए। मनोवैज्ञानिक रूपमा, त्यस्ता प्रश्नहरूले "पछिको लागि" तपाइँको स्नायुलाई अन्तमा हिट गर्दछ - जब तपाइँको दिमाग थकित हुन्छ, तपाइँ शौचालय जान चाहानुहुन्छ, स्क्रिनमा टाइमर तीव्र गतिमा बढेको देखिन्छ।

सामान्यतया, परीक्षा पास गर्न तपाईंले 71% सही उत्तरहरू स्कोर गर्न आवश्यक छ। परीक्षा दिनु अघि, तपाईंसँग वास्तविक परीक्षाहरूमा अभ्यास गर्ने अवसर हुनेछ - किनकि मूल्यमा 2 प्रश्नहरूको 115 अभ्यास परीक्षणहरू र वास्तविक परीक्षा जस्तै सर्तहरू समावेश छन्।

म प्रशिक्षण पूरा गरेको एक महिना पछि परीक्षा दिन सिफारिस गर्दछु, यो महिना व्यवस्थित स्व-अध्ययनमा ती मुद्दाहरूमा खर्च गर्नुहोस् जसमा तपाईं अनिश्चित हुनुहुन्छ। यो राम्रो हुनेछ यदि तपाईंले पाठ्यक्रमको दौरान प्राप्त मुद्रित सामग्रीहरू लिनुभयो, जुन प्रत्येक शीर्षकमा छोटो सारहरू जस्तो देखिन्छ - र उद्देश्यपूर्ण रूपमा यी पुस्तकहरूमा समावेश विषयहरूमा जानकारी खोज्नुहोस्। महिनालाई दुई भागमा विभाजन गर्नुहोस्, अभ्यास परीक्षणहरू लिनुहोस् र तपाईं कुन क्षेत्रहरूमा बलियो हुनुहुन्छ र तपाईंले सुधार गर्न आवश्यक छ भन्ने कुनै नराम्रो तस्वीर प्राप्त गर्नुहोस्।

म निम्न मुख्य क्षेत्रहरू हाइलाइट गर्न चाहन्छु जसले परीक्षा आफैं बनाउँछ (प्रशिक्षण पाठ्यक्रम होइन, किनकि यसले धेरै व्यापक विषयहरू समावेश गर्दछ):

1. भौतिक सुरक्षा: अन्य प्रमाणीकरण परीक्षाहरू जस्तै, यस मुद्दालाई GICSP मा धेरै ध्यान दिइन्छ। त्यहाँ ढोकाहरूमा भौतिक लकहरूको प्रकारहरूको बारेमा प्रश्नहरू छन्, इलेक्ट्रोनिक पासहरूको जालसाजीको साथ परिस्थितिहरू वर्णन गरिएको छ, जहाँ तपाइँले समस्याको स्पष्ट रूपमा पहिचान गर्न जवाफ दिन आवश्यक छ। त्यहाँ प्रविधि (प्रक्रिया) को सुरक्षासँग सम्बन्धित प्रश्नहरू छन्, विषय क्षेत्रको आधारमा - तेल र ग्याँस प्रक्रियाहरू, आणविक ऊर्जा संयन्त्रहरू वा पावर ग्रिडहरू। उदाहरणका लागि, त्यहाँ एउटा प्रश्न हुन सक्छ: HMI मा स्टीम तापक्रम सेन्सरबाट अलार्म आउँदा कस्तो प्रकारको भौतिक सुरक्षा नियन्त्रण स्थिति हो भनेर निर्धारण गर्नुहोस्? वा एउटा प्रश्न जस्तै: कुन अवस्था (घटना) ले सुविधाको परिधि सुरक्षा प्रणालीको निगरानी क्यामेराबाट भिडियो रेकर्डिङहरू विश्लेषण गर्ने कारणको रूपमा काम गर्नेछ?

   प्रतिशतका सर्तहरूमा, म मेरो परीक्षामा र अभ्यास परीक्षणहरूमा यस खण्डमा प्रश्नहरूको संख्या 5% भन्दा बढी थिएन भनेर ध्यान दिनेछु।

2. प्रश्नहरूको अर्को र सबैभन्दा व्यापक वर्गहरू मध्ये एक प्रक्रिया नियन्त्रण प्रणाली, PLC, SCADA मा प्रश्नहरू छन्: यहाँ सेन्सरबाट सर्भरहरू जहाँ अनुप्रयोग सफ्टवेयर आफैंमा कसरी प्रक्रिया नियन्त्रण प्रणालीहरू संरचित हुन्छन् भन्ने बारे सामग्रीहरूको अध्ययनलाई व्यवस्थित रूपमा पहुँच गर्न आवश्यक हुनेछ। दौडन्छ। औद्योगिक डेटा स्थानान्तरण प्रोटोकलहरू (ModBus, RTU, Profibus, HART, आदि) को प्रकारहरूमा पर्याप्त संख्यामा प्रश्नहरू फेला पर्नेछ। त्यहाँ RTU कसरी PLC भन्दा फरक छ, PLC मा डाटालाई आक्रमणकारीद्वारा परिमार्जनबाट कसरी सुरक्षित गर्ने, PLC ले डाटा भण्डारण गर्ने मेमोरी क्षेत्रहरू, र जहाँ तर्क आफैं भण्डारण गरिन्छ (प्रक्रिया नियन्त्रण प्रणाली प्रोग्रामरद्वारा लिखित कार्यक्रम) भन्ने प्रश्नहरू हुनेछन्। )। उदाहरणको लागि, त्यहाँ यस प्रकारको प्रश्न हुन सक्छ: तपाइँ कसरी PLC र HMI बीचको आक्रमण पत्ता लगाउन सक्नुहुन्छ जुन ModBus प्रोटोकल प्रयोग गरेर सञ्चालन गर्न सक्नुहुन्छ?

   SCADA र DCS प्रणालीहरू बीचको भिन्नताहरूको बारेमा प्रश्नहरू हुनेछन्। L1 स्तरबाट L2, L3 स्तरमा स्वचालित प्रक्रिया नियन्त्रण सञ्जालहरू अलग गर्ने नियमहरूमा प्रश्नहरूको ठूलो संख्या (म सञ्जालमा प्रश्नहरूको साथ खण्डमा थप विवरणमा वर्णन गर्नेछु)। यस विषयमा परिस्थितिगत प्रश्नहरू पनि धेरै विविध हुनेछन् - तिनीहरूले नियन्त्रण कोठामा स्थिति वर्णन गर्छन् र तपाईंले प्रक्रिया अपरेटर वा प्रेषक द्वारा प्रदर्शन गर्न आवश्यक कार्यहरू चयन गर्न आवश्यक छ।

   सामान्यतया, यो खण्ड सबैभन्दा विशिष्ट र संकीर्ण-प्रोफाइल हो। तपाईंलाई राम्रो ज्ञान आवश्यक छ:
   - स्वचालित नियन्त्रण प्रणाली, क्षेत्र भाग (सेन्सर, उपकरण जडान को प्रकार, सेन्सर को भौतिक विशेषताहरु, PLC, RTU);
   - आपतकालीन बन्द प्रणाली (ESD - आपतकालीन बन्द प्रणाली) प्रक्रियाहरू र वस्तुहरूको (वैसे, त्यहाँ Habré मा यस विषयमा लेखहरूको उत्कृष्ट श्रृंखला छ। Vladimir_Sklyar)
   - हुने भौतिक प्रक्रियाहरूको आधारभूत बुझाइ, उदाहरणका लागि, तेल प्रशोधन, बिजुली उत्पादन, पाइपलाइनहरू, इत्यादिमा;
   - DCS र SCADA प्रणालीहरूको वास्तुकलाको बुझाइ;
   म नोट गर्छु कि यस प्रकारका प्रश्नहरू परीक्षाका सबै 25 प्रश्नहरूमा 115% सम्म हुन सक्छन्।

3. नेटवर्क टेक्नोलोजी र नेटवर्क सुरक्षा: मलाई लाग्छ कि यस विषयमा प्रश्नहरूको संख्या परीक्षामा पहिलो आउँछ। त्यहाँ सम्भवतः सबै कुरा हुनेछ - OSI मोडेल, कुन स्तरमा यो वा त्यो प्रोटोकल सञ्चालन हुन्छ, नेटवर्क विभाजनमा धेरै प्रश्नहरू, नेटवर्क आक्रमणहरूमा परिस्थितिगत प्रश्नहरू, आक्रमणको प्रकार निर्धारण गर्न प्रस्तावको साथ जडान लगहरूको उदाहरणहरू, स्विच कन्फिगरेसनहरूको उदाहरणहरू। कमजोर कन्फिगरेसन निर्धारण गर्ने प्रस्तावको साथ, कमजोरी नेटवर्क प्रोटोकलहरूमा प्रश्नहरू, औद्योगिक सञ्चार प्रोटोकलहरूको नेटवर्क जडानहरूको विशिष्टताहरूमा प्रश्नहरू। मानिसहरू विशेष गरी ModBus को बारेमा धेरै सोध्छन्। एउटै ModBus को नेटवर्क प्याकेटहरूको संरचना, यसको प्रकार र यन्त्रद्वारा समर्थित संस्करणहरूमा निर्भर गर्दछ। ताररहित सञ्जालहरूमा आक्रमणहरूमा धेरै ध्यान दिइन्छ - ZigBee, Wireless HART, र सम्पूर्ण 802.1x परिवारको नेटवर्क सुरक्षाको बारेमा मात्र प्रश्नहरू। त्यहाँ प्रक्रिया नियन्त्रण प्रणाली नेटवर्कमा निश्चित सर्भरहरू राख्ने नियमहरूको बारेमा प्रश्नहरू हुनेछन् (यहाँ तपाईंले IEC-62443 मानक पढ्न र प्रक्रिया नियन्त्रण प्रणाली नेटवर्कहरूको सन्दर्भ मोडेलहरूको सिद्धान्तहरू बुझ्न आवश्यक छ)। त्यहाँ पर्ड्यू मोडेलको बारेमा प्रश्नहरू हुनेछन्।
4. बिजुली प्रसारण प्रणाली र तिनीहरूको लागि सूचना सुरक्षा प्रणालीहरूको सञ्चालनको कार्यात्मक सुविधाहरूमा विशेष रूपमा सम्बन्धित मुद्दाहरूको वर्ग। संयुक्त राज्य अमेरिकामा, स्वचालित प्रक्रिया नियन्त्रण प्रणालीहरूको यो वर्गलाई पावर ग्रिड भनिन्छ र छुट्टै भूमिका तोकिएको छ। यस उद्देश्यका लागि, यस क्षेत्रको लागि सूचना सुरक्षा प्रणालीहरू सिर्जना गर्ने दृष्टिकोणलाई विनियमित गर्दै (NIST 800.82) अलग-अलग मापदण्डहरू पनि जारी गरिएको छ। हाम्रा देशहरूमा, अधिकांश भागको लागि, यो क्षेत्र ASKUE प्रणालीहरूमा सीमित छ (यदि कसैले बिजुली वितरण र वितरण प्रणालीहरूको अनुगमन गर्न अझ गम्भीर दृष्टिकोण देखेको छ भने मलाई सच्याउनुहोस्)। त्यसोभए, परीक्षामा तपाईले पावर ग्रिडसँग सम्बन्धित धेरै विशिष्ट प्रश्नहरू पाउनुहुनेछ। धेरै जसो, यी पावर प्लान्टमा विकसित भएको विशेष परिस्थितिको लागि प्रयोग-केसहरू थिए, तर त्यहाँ पावर ग्रिडमा विशेष रूपमा प्रयोग गरिएका उपकरणहरूमा सर्वेक्षणहरू पनि हुन सक्छन्। यस श्रेणीको प्रणालीहरूको लागि NIST खण्डहरूको ज्ञानलाई सम्बोधन गर्ने प्रश्नहरू हुनेछन्।
5. मापदण्डको ज्ञानसँग सम्बन्धित प्रश्नहरू: NIST 800-82, NERC, IEC62443। मलाई यहाँ कुनै विशेष टिप्पणीहरू बिना नै लाग्छ - तपाईंले मापदण्डका खण्डहरू नेभिगेट गर्न आवश्यक छ, जुन यसमा के र कुन सिफारिसहरू समावेश छन्। त्यहाँ विशेष प्रश्नहरू छन्, उदाहरणका लागि, प्रणालीको कार्यक्षमता जाँच गर्ने फ्रिक्वेन्सी सोध्दै, प्रक्रिया अपडेट गर्ने आवृत्ति, आदि। त्यस्ता प्रश्नहरूको प्रतिशतको रूपमा, प्रश्नहरूको कुल संख्याको 15% सम्म सामना गर्न सकिन्छ। तर यो निर्भर गर्दछ। उदाहरणका लागि, दुई अभ्यास परीक्षणहरूमा मैले उस्तै दुईवटा मात्र प्रश्नहरू भेट्टाएँ। तर त्यहाँ वास्तवमै परीक्षाको समयमा तिनीहरू धेरै थिए।
6. ठीक छ, प्रश्नहरूको अन्तिम श्रेणी सबै प्रकारका प्रयोग-केसहरू र परिस्थितिजन्य प्रश्नहरू हुन्।

सामान्यतया, CTF NetWars को सम्भावित अपवाद बाहेक, प्रशिक्षण आफैंमा, सम्भावित नयाँ ज्ञान प्राप्त गर्ने सन्दर्भमा मेरो लागि धेरै जानकारीपूर्ण थिएन। बरु, केहि विषयहरूको गहिरो विवरणहरू हासिल गरिएको थियो, विशेष गरी संगठनको क्षेत्रमा र प्राविधिक जानकारी प्रसारण गर्न प्रयोग गरिने रेडियो नेटवर्कहरूको संरक्षण, साथै यस विषयमा समर्पित विदेशी मानकहरूको संरचनामा थप व्यवस्थित सामग्री। तसर्थ, प्रक्रिया नियन्त्रण प्रणाली/उपकरण प्रणाली वा औद्योगिक नेटवर्कहरूसँग काम गर्ने पर्याप्त ज्ञान र अनुभव भएका इन्जिनियरहरू र विशेषज्ञहरूका लागि, तपाईंले प्रशिक्षणमा बचत गर्ने बारे सोच्न सक्नुहुन्छ (र बचत गर्नु अर्थपूर्ण हुन्छ), आफैलाई तयार गर्नुहोस् र सीधै प्रमाणीकरण परीक्षामा जान सक्नुहुन्छ। , वैसे, 700USD को लायक छ। असफल भएको अवस्थामा, तपाईंले फेरि तिर्नुपर्नेछ। त्यहाँ धेरै प्रमाणीकरण केन्द्रहरू छन् जसले तपाईंलाई परीक्षाको लागि स्वीकार गर्नेछ; मुख्य कुरा अग्रिम आवेदन दिनु हो। सामान्यतया, म तुरुन्तै परीक्षा मिति सेट गर्न सिफारिस गर्दछु, किनकि अन्यथा तपाइँ यसलाई निरन्तर ढिलाइ गर्नुहुनेछ, तयारी प्रक्रियालाई अन्य महत्त्वपूर्ण र पूर्ण रूपमा महत्त्वपूर्ण मामिलाहरूसँग प्रतिस्थापन गर्दै। र एक निश्चित समय सीमा मितिले तपाईंलाई आत्म-प्रेरित बनाउँदछ।

स्रोत: www.habr.com