Hallo allemaal! Op onze geliefde portal zijn er veel verschillende artikelen over certificering in het gebied van informatiebeveiliging, dus ik ga niet proberen om originaliteit en uniciteit van de inhoud te claimen, maar ik zou toch graag mijn ervaring willen delen met het verkrijgen van de GIAC (Global Information Assurance Company) certificering op het gebied van industriële cyberbeveiliging. Sinds de komst van zulke angstaanjagende woorden als , , Shamoon, Triton, is er geleidelijk een markt ontstaan voor het aanbieden van diensten van specialisten die zogenaamd IT zijn, maar ook PLC's kunnen herprogrammeren met wijzigingen in de configuratie op ladders zonder dat de fabriek stilvalt.
Zo kwam het begrip IT&OT (Informatie Technologie & Operationele Technologie) ter wereld.
Onmiddellijk daarna kwam, (het is duidelijk dat ongeschoolde krachten niet mogen worden toegelaten tot het werk) de noodzaak om specialisten te certificeren in gebieden die verband houden met de beveiliging van SCADA-systemen, industriële systemen – van automatische waterkleppen in appartementen tot vluchtoverzichtsystemen (laten we een prachtig artikel over de onderzoek naar de problemen ) herinneren. En zelfs, zoals plotseling bleek — complexe medische apparatuur.
Een kleine lyriek over hoe ik de noodzaak om een certificering te behalen, ben tegengekomen (je kunt dit overslaan): Na met succes afgestudeerd te zijn eind jaren 2000 aan de faculteit informatiebeveiliging, stapte ik met opgeheven hoofd de rangen van de KIP'ers binnen, werkend als monteur voor zwakke stroom beveiligingssystemen. Ik werd toen op het bedrijf gezegd dat dit ook informatiebeveiliging was :) Zo begon mijn carrière als SCADA-specialist met een bachelordiploma in informatiebeveiliging. Na zes jaar, en heb ik de functie van hoofd van de SCADA-afdeling bereikt, ben ik als veiligheidsconsultant voor industriële beheersystemen gaan werken bij een buitenlandse software- en apparatuurleverancier. Juist hier ontstond de noodzaak om een gecertificeerde informatiebeveiligingsspecialist te zijn.
is ontwikkeld door organisaties die zich bezighouden met het geven van trainingen en certificering van specialisten op het gebied van informatiebeveiliging. De reputatie van het certificaat van GIAC is zeer hoog onder specialisten en klanten op de markten van EMEA, de VS en de Azië-Pacific. Hier bij ons, in de post-Sovjet ruimte en in de GOS-landen, kan zo'n certificaat alleen door buitenlandse bedrijven worden aangevraagd die zakendoen in onze landen, internationale en adviesbureaus. Persoonlijk heb ik nooit een verzoek gezien om een dergelijke certificering van binnenlandse bedrijven. Iedereen vraagt in wezen om CISSP. Dit is mijn subjectieve mening, en als iemand zijn ervaringen in de comments wil delen, zou het interessant zijn om te horen.
Bij SANS zijn er voldoende verschillende richtingen (naar mijn mening hebben ze de laatste tijd hun aantal wel erg uitgebreid), maar er zijn ook zeer interessante praktische cursussen. Vooral de is de cursus waar het verhaal nu over gaat. en het certificaat met de naam: .
Van alle aangeboden SANS-typen van certificeringen voor Industrial Cyber Security is deze de meest veelzijdige. De tweede richt zich voornamelijk op Power Grid-systemen, die in het westen bijzondere aandacht krijgen en tot een afzonderlijke klasse systemen behoren. En de derde (ten tijde van mijn certificeringstraject) had betrekking op Incident Response.
De cursus is niet goedkoop, maar biedt uitgebreide kennis over zowel IT als OT. Hij zal vooral nuttig zijn voor die vrienden die besluiten hun carrière te veranderen, bijvoorbeeld van IT-beveiliging in de banksector naar Industrial Cyber Security. Aangezien ik al een achtergrond had in de gebieden van SCADA, instrumentatie en operationele technologie, was er voor mij niets wezenlijk nieuws of levensbelangrijks in deze cursus.
De cursus bestaat uit 50% theorie en 50% praktijk. Het meest interessante onderdeel van de praktijk was de contest – NetWars. Gedurende twee dagen, na de hoofdopleiding, werden alle studenten van alle klassen in teams verdeeld en voerden ze taken uit om toegang te verkrijgen, de nodige informatie te extraheren, toegang tot het netwerk te krijgen, een reeks taken met het kraken van hashes te voltooien, met Wireshark te werken en allerlei verschillende extraatjes.
Het cursusmateriaal bestaat uit een samenvatting in de vorm van boeken, die je vervolgens in je eeuwigdurende gebruik ontvangt. Je kunt ze trouwens meenemen naar het examen, aangezien het een Open Book-formaat is, maar ze zullen je daar weinig helpen, aangezien je 3 uur hebt voor 115 vragen, en het examen in het Engels is. Tijdens deze 3 uur kun je een pauze van 15 minuten nemen. Maar houd er rekening mee dat als je een pauze van 15 minuten neemt en na 5 minuten terugkomt naar de toetsen, je gewoon de resterende tien minuten weggeeft, omdat je de tijd in het testprogramma niet meer kunt stoppen. Je kunt tot 15 vragen overslaan, die dan aan het einde verschijnen.
Persoonlijk raad ik niet aan om veel vragen uit te stellen, omdat 3 uur echt weinig tijd is, en als je aan het einde nog onbeantwoorde vragen tegenkomt, is de kans groot dat je het niet redt. Ik liet 'voor later' slechts drie vragen staan die echt moeilijk waren voor mij, omdat ze betrekking hadden op de kennis van de NIST 800.82 en NERC-standaard. Psychologisch gezien is het ondervangen van zulke 'voor later' vragen erg nerveus aan het eind — wanneer je hersenen moe zijn, je naar het toilet wilt, en de timer op het scherm lijkt in geometrische progressie te versnellen.
Over het algemeen moet je minstens 71% van de antwoorden goed hebben om het examen te slagen. Voor het examen heb je de mogelijkheid om te oefenen met echte tests — in de prijs zijn 2 oefentests van 115 vragen inbegrepen, met voorwaarden die vergelijkbaar zijn met het echte examen.
Ik raad aan om het examen een maand na de training af te leggen, waarbij je deze maand besteedt aan systematische zelfstudie over de vragen waar je je onzeker over voelt. Het zou goed zijn als je het gedrukte materiaal dat je tijdens de cursus hebt gekregen, dat eruitziet als kortere samenvattingen van elk onderwerp, meeneemt. Zoek gericht informatie over de onderwerpen in deze boeken. Verdeel de maand in twee delen, voer oefentests uit en krijg een idee van de vragen waarin je sterk bent en waar je nog aan moet werken.
Ik wil de volgende belangrijkste onderdelen benadrukken waaruit het examen zelf bestaat (niet de cursus, omdat deze veel bredere onderwerpen dekt):
- Fysieke beveiliging: zoals bij andere certificeringsexamens, krijgt deze vraag veel aandacht in de GICSP. Er zijn vragen over de verschillende soorten fysieke sloten op deuren, met situaties over vervalsing van elektronische toegangspassen, waarbij een antwoord moet worden gegeven op de eenduidige identificatie van het probleem. Er zijn ook vragen die direct betrekking hebben op de beveiliging van technologie (processen) afhankelijk van het onderwerp – olie- en gasprocessen, kerncentrales of elektriciteitsnetten. Bijvoorbeeld, er kan een vraag zijn als: Bepaal welk type controle van fysieke beveiliging van toepassing is wanneer een alarm van de stoomtemperatuur sensor op HMI binnenkomt? Of een vraag als: Welke situatie (gebeurtenis) zal de reden zijn om videobeelden van beveiligingscamera's van de perimeterbeveiligingssystemen te analyseren?
In procentuele verhouding zou ik opmerken dat het aantal vragen over dit onderwerp in mijn examen en in de oefentests niet meer dan 5% bedroeg.
- Een andere en een van de meest voorkomende categorieën vragen zijn die over DCS, PLC, SCADA: hier is het noodzakelijk om systematisch te leren hoe de systemen voor het beheer van technologische processen zijn opgebouwd, van sensoren tot de servers waarop de applicatiesoftware draait. Er zullen voldoende vragen zijn over de verschillende soorten industriële protocollen voor gegevensoverdracht (ModBus, RTU, Profibus, HART, enz.). Er zullen vragen zijn over wat het verschil is tussen RTU en PLC, hoe gegevens in een PLC te beschermen tegen wijziging door kwaadwillenden, in welke geheugensegmenten de PLC gegevens opslaat, en waar de eigenlijke logica (het programma geschreven door de PLC-programmeur) wordt bewaard. Bijvoorbeeld, er kan een vraag zijn zoals: Hoe kan een aanval tussen PLC en HMI die via het ModBus-protocol werken, worden gedetecteerd?
Er zullen vragen zijn over de verschillen tussen SCADA-systemen en DCS. Een groot aantal vragen over de regels voor netwerksegmentatie van DCS-systemen op niveau L1, L2 van niveau L3 (meer gedetailleerd beschrijf ik dit in het gedeelte met netwerkvragen). Situatieve vragen over dit onderwerp zullen ook zeer divers zijn – ze beschrijven een situatie in de controlekamer en de handelingen die de procesoperator of dispatcher moet uitvoeren.
Over het algemeen is dit gedeelte het meest specifiek en specialistisch. Het vereist goede kennis van jou:
— SCADA-systemen, velddeel (sensoren, typen verbindingsapparaten, fysieke kenmerken van sensoren, PLC, RTU);
— systemen voor noodafschakeling (ESD – emergency shutdown system) van processen en objecten (overigens zijn er op Habr uitstekende artikelen over dit onderwerp geschreven door )
— basisbegrip van de fysieke processen die plaatsvinden, bijvoorbeeld in de olieproductie, energieopwekking, pijpleidingen, enz.;
— begrip van de architectuur van DCS en SCADA-systemen;
Ik zou opmerken dat vragen van dit type tot 25% van de 115 examenvragen kunnen uitmaken. - Netwerktechnologieën en netwerkbeveiliging: Ik denk dat het aantal vragen over dit onderwerp op de eerste plaats staat in het examen. Er zal waarschijnlijk echt alles zijn – OSI-model, op welke lagen een bepaalde protocol werkt, veel vragen over netwerksegmentatie, situationele vragen over netwerkaanvallen, voorbeelden van verbindingslogboeken met de opdracht om het type aanval te identificeren, voorbeelden van switchconfiguraties met de opdracht om een kwetsbare configuratie te identificeren, vragen over kwetsbaarheden van netwerkprotocollen, vragen over de specifics van netwerkverbindingen van industriële communicatienetwerken. Vooral veel vragen over ModBus. De structuur van netwerkpakketten van ModBus, afhankelijk van de soort en ondersteunde versies van het apparaat. Er wordt veel aandacht besteed aan aanvallen op draadloze netwerken – ZigBee, Wireless HART, gewoon vragen over de netwerkbeveiliging van het hele 802.1x-familie. Er zullen vragen zijn over de regels voor het plaatsen van bepaalde servers in het SCADA-netwerk (hier is het nodig om de IEC-62443-norm te lezen en de principes van de referentiemodellen van SCADA-netwerken te begrijpen). Vragen over het Purdue-model zullen ook voorkomen.
- Categorie van vragen die uitsluitend betrekking heeft op de functionele kenmerken van de werking van elektriciteitsoverdrachtssystemen en de desbetreffende informatiebeveiligingssystemen. In de VS wordt deze categorie van SCADA-systemen Power Grid genoemd en krijgt zij een aparte rol toebedeeld. Er worden zelfs specifieke standaarden (NIST 800.82) uitgegeven die richtlijnen geven voor het creëren van informatiebeveiligingssystemen voor deze sector. In onze landen is deze sector grotendeels beperkt tot systemen voor energieverbruiksmonitoring (laat me weten als iemand een serieuzere benadering van de controle op distributie- en leveringssystemen heeft gezien). Tijdens het examen zult u vrij specifieke vragen tegenkomen die betrekking hebben op Power Grid. Dit waren overwegend gebruiksscenario's voor specifieke situaties die zich op een energiecentrale hebben voorgedaan, maar er kunnen ook vragen zijn over apparaten die specifiek binnen de Power Grid worden toegepast. Er zullen vragen zijn die betrekking hebben op de kennis van de secties van NIST voor deze categorie systemen.
- Vragen die verband houden met kennis van de normen: NIST 800-82, NERC, IEC62443. Ik denk dat hier zonder veel toelichting moet worden gericht op de secties van de normen, welke verantwoordelijk zijn voor wat en welke aanbevelingen zij bevatten. Er komen specifieke vragen voor, bijvoorbeeld over de frequentie van functionele controles van het systeem, de frequentie van procedure-updates, enzovoorts. In verhouding kan het percentage van dergelijke vragen oplopen tot 15% van het totale aantal vragen. Maar dat hangt een beetje van je geluk af. Op twee proefexamens kwam ik slechts een paar van dergelijke vragen tegen. Maar op het examen waren er in feite veel.
- De laatste categorie vragen betreft allerlei gebruiksscenario's en situationele vragen.
Over het algemeen was de training, afgezien van de CTF NetWars, voor mij niet bijzonder informatief wat betreft het verwerven van potentieel nieuwe kennis. Eerder werden er diepgaandere details over bepaalde onderwerpen behandeld, vooral op het gebied van de organisatie en beveiliging van radiosnetwerken die worden gebruikt voor de overdracht van technologische informatie, evenals een beter gestructureerd materiaal over buitenlandse normen die aan dit onderwerp zijn gewijd. Daarom kunnen ingenieurs en specialisten met voldoende kennis en ervaring in Industriële Automatisering (IA)/Automatiserings- en Regeltechniek (ART) of Industiële Netwerken overwegen om op de training te besparen (wat zinvol kan zijn), zich zelf voor te bereiden en direct het certificeringsexamen te doen, dat overigens 700 USD kost. In geval van een mislukking moet je nogmaals betalen. Er zijn voldoende certificeringscentra die je toelaten tot het examen, het belangrijkste is om op tijd je aanmelding in te dienen. Ik raad in het algemeen aan om meteen een examendatum vast te stellen, omdat je anders voortdurend deze datum zult uitstellen en het voorbereidingsproces zult vervangen door andere levensbelangrijke en minder belangrijke zaken. Met een specifieke deadline kun je jezelf beter motiveren.
Bron: habr.com
