Cześć wszystkim! Na naszym ukochanym portalu pojawiło się wiele różnych artykułów na temat certyfikacji w zakresie bezpieczeństwa informacji, dlatego nie zamierzam pretendować do oryginalności czy unikalności treści, ale chciałbym podzielić się swoim doświadczeniem zdobywania certyfikacji GIAC (Global Information Assurance Company) w obszarze przemysłowego bezpieczeństwa cybernetycznego. Od czasów, kiedy pojawiły się takie przerażające słowa jak , , Shamoon, Triton, stopniowo zaczął formować się rynek świadczący usługi specjalistów, którzy wyglądają na IT, ale potrafią również przeprogramować PLC, zmieniając konfigurację na ladders, nie zatrzymując przy tym zakładu.
Tak w świat weszło pojęcie IT&OT (Technologia Informacyjna i Technologia Operacyjna).
Niezwłocznie, (jasne, że nie można dopuszczać do pracy niewykwalifikowanych osób) pojawiła się potrzeba certyfikowania specjalistów w obszarze związanym z zapewnieniem bezpieczeństwa APM i systemów przemysłowych – których, okazuje się, w naszym życiu jest bardzo dużo, od automatycznego zaworu wody w mieszkaniu po systemy zarządzania samolotami (przypomnijmy sobie doskonały artykuł o śledztwie problemów ). A nawet, jak się nagle okazało — zaawansowanego sprzętu medycznego.
Krótka historia o tym, jak doszedłem do potrzeby zdobycia certyfikacji (można pominąć): Po pomyślnym ukończeniu studiów na wydziale ochrony informacji pod koniec lat 2000, z dumnie uniesioną głową przyłączyłem się do grona specjalistów KIP, pracując jako technik w systemach alarmowych niskiego napięcia. Jak wspomniano na firmie, byłem osobą zajmującą się bezpieczeństwem informacji wtedy :) Tak zaczęła się moja kariera jako specjalista APM z dyplomem licencjata w dziedzinie bezpieczeństwa informacji. Po sześciu latach, dochodząc do stanowiska kierownika działu systemów SCADA, przeszedłem do pracy jako konsultant ds. bezpieczeństwa systemów zarządzania przemysłowego w zagranicznej firmie dostarczającej oprogramowanie i sprzęt. Właśnie tutaj pojawiła się potrzeba posiadania certyfikacji jako specjalista ds. bezpieczeństwa informacji.
jest opracowaniem organizacja zajmująca się przeprowadzaniem szkoleń i certyfikacją specjalistów w dziedzinie bezpieczeństwa informacji. Reputacja certyfikatu GIAC jest bardzo wysoka wśród specjalistów i zleceniodawców na rynkach EMEA, USA, Azji i Pacyfiku. U nas, na przestrzeni poradzieckiej i w krajach WNP, taki certyfikat mogą wymagać jedynie zagraniczne firmy działające w naszych krajach, agencje międzynarodowe i konsultingowe. Osobiście nigdy nie spotkałem się z zapytaniem o posiadanie takiej certyfikacji ze strony rodzimych firm. Wszyscy, głównie, pytają o CISSP. To moja subiektywna opinia i jeśli ktoś podzieli się swoim doświadczeniem w komentarzach – chętnie się dowiem.
W SANS jest wystarczająco dużo różnych kierunków (moim zdaniem, w ostatnim czasie zbyt mocno zwiększyli ich liczbę), ale są też bardzo interesujące kursy praktyczne. Szczególnie spodobał mi się . Ale mowa będzie o kursie i certyfikacie o nazwie: .
Spośród wszystkich oferowanych przez SANS rodzajów certyfikacji w zakresie Cyber Security w przemyśle, ten jest najbardziej uniwersalny. Ponieważ drugi dotyczy w większym stopniu systemów Power Grid, którym na Zachodzie poświęca się szczególną uwagę, i są one klasyfikowane jako odrębna klasa systemów. A trzeci (w momencie mojej certyfikacji) dotyczył Incydent Response.
Kurs kosztuje sporo, ale dostarcza dość obszerną wiedzę również z zakresu IT i OT. Szczególnie przydatny będzie dla tych, którzy postanowili zmienić swoją dziedzinę, na przykład z IT security w branży bankowej na Industrial Cyber Security. Ponieważ miałem już doświadczenie w obszarze AСUТП, KIP i Operation Technology, to dla mnie nie było w tym kursie nic zasadniczo nowego ani kluczowego.
Kurs składa się w 50% z teorii i 50% z praktyki. Z praktyki najciekawszym elementem był konkurs – NetWars. Przez dwa dni, po głównym kursie zajęć, wszyscy studenci wszystkich klas dzielili się na zespoły i wykonywali zadania związane z uzyskiwaniem uprawnień dostępu, wydobywaniem potrzebnych informacji, uzyskiwaniem dostępu do sieci, a także wiele zadań związanych z łamaniem hashy, pracą z Wiresharkiem i różnymi innymi bajerami.
Materiał kursu jest podsumowaniem w formie książek, które później otrzymujesz na czas nieokreślony. Jak na marginesie, można je również zabrać na egzamin, ponieważ format jest Open Book, ale niewiele ci pomogą, ponieważ na egzamin przeznaczone są 3 godziny, 115 pytań, a język egzaminu to angielski. W ciągu tych 3 godzin można zrobić przerwę na 15 minut. Pamiętaj jednak, że biorąc przerwę na 15 minut i wracając do testów po 5, po prostu tracisz pozostałe 10 minut, ponieważ nie można zatrzymać czasu w programie testującym. Można pominąć do 15 pytań, które potem pojawią się na końcu.
Osobiście nie polecam zostawiać na później wiele pytań, ponieważ 3 godziny to naprawdę mało czasu, a gdy na końcu pojawiają się nie rozwiązane pytania, istnieje duże ryzyko, że nie zdążysz. Zostawiłem 'na później' tylko trzy pytania, które były dla mnie naprawdę trudne, ponieważ dotyczyły znajomości standardu NIST 800.82 i NERC. Psychologicznie takie 'na później' pytania wpływają na nerwy w samej końcówce — kiedy twój umysł jest zmęczony, chcesz iść do toalety, a timer na ekranie zdaje się przyspieszać w geometrycznej progresji.
Ogólnie rzecz biorąc, aby zdać test, należy zdobyć 71% poprawnych odpowiedzi. Przed przystąpieniem do egzaminu będziesz mieć możliwość ćwiczenia na rzeczywistych testach – ponieważ w cenę wchodzą 2 testy próbne z 115 pytaniami, z warunkami zbliżonymi do rzeczywistego egzaminu.
Rekomenduję przystąpienie do egzaminu miesiąc po zakończeniu szkolenia, spędzając ten miesiąc na systematycznej nauce własnej nad pytaniami, w których czujesz się niepewnie. Byłoby dobrze, gdybyś zabrał materiały drukowane otrzymane na kursie, które wyglądają jak krótkie notatki na każdy temat, i celowo szukał informacji na temat zagadnień zawartych w tych książkach. Podziel miesiąc na dwie części, wykonując próbne testy i uzyskując przybliżony obraz tego, w jakich pytaniach jesteś silny, a gdzie musisz się poprawić.
Chciałbym wyróżnić następujące główne obszary, z których składa się sam egzamin (nie kurs szkoleniowy, ponieważ ten obejmuje znacznie szersze tematy):
- Bezpieczeństwo fizyczne: podobnie jak w innych egzaminach certyfikacyjnych, w GICSP temu zagadnieniu poświęca się dość dużo uwagi. Pojawiają się pytania dotyczące rodzajów zamków mechanicznych na drzwiach, opisujące sytuacje związane z fałszowaniem elektronicznych identyfikatorów, gdzie należy odpowiedzieć jednoznacznie na zidentyfikowany problem. Pojawiają się również pytania bezpośrednio związane z bezpieczeństwem technologii (procesu) w zależności od branży - procesy naftowe i gazowe, elektrownie atomowe czy sieci energetyczne. Na przykład pytanie może brzmieć: Jakim typem kontroli bezpieczeństwa fizycznego jest sytuacja, gdy pojawia się alarm z czujnika temperatury pary na HMI? Lub pytanie: Jaka sytuacja (zdarzenie) będzie przyczyną, aby przeprowadzić analizę nagrań wideo z kamer monitorujących system perymetryczny obiektu?
W procentach zauważyłbym, że liczba pytań w tej sekcji na moim egzaminie i w testach próbnych nie przekraczała 5%.
- Inną i jedną z najliczniejszych kategorii pytań są pytania dotyczące APU, PLC, SCADA: konieczne będzie systematyczne podejście do nauki materiałów dotyczących budowy systemów zarządzania procesami technologicznymi, zaczynając od czujników i kończąc na serwerach, na których działa samo oprogramowanie. Pojawi się wystarczająca liczba pytań dotyczących rodzajów przemysłowych protokołów transmisji danych (ModBus, RTU, Profibus, HART i inne). Będą pytania o tym, czym różni się RTU od PLC, jak zabezpieczyć dane w PLC przed modyfikacją przez osoby trzecie, w jakich obszarach pamięci PLC przechowuje dane, a gdzie przechowywana jest sama logika (program napisany przez programistę APU). Na przykład pytanie może być następujące: Jak można wykryć atak pomiędzy PLC a HMI, które działają na protokole ModBus?
Pojawią się pytania dotyczące różnic między systemami SCADA a DCS. Duża liczba pytań dotyczy zasad podziału sieci APU na poziomie L1, L2 od poziomu L3 (szczegółowo opiszę to w sekcji dotyczącej sieci). Pytania sytuacyjne w tym temacie będą również bardzo różnorodne - opisują sytuację w dyspozytorni i należy wybrać działania, które powinien wykonać operator procesu lub dyspozytor.
Ogólnie rzecz biorąc, ta sekcja jest najbardziej specyficzna i wąsko wyspecjalizowana. Wymaga od Ciebie dobrej wiedzy:
— ASUP, części polowej (czujniki, typy połączeń urządzeń, fizyczne cechy czujników, PLC, RTU);
— systemów przeciwdziałania awariom (ESD – system awaryjnego zatrzymania) procesów i obiektów (nota bene, na Habrze jest świetny cykl artykułów na ten temat od )
— podstawowego zrozumienia procesów fizycznych, które zachodzą na przykład w rafinacji ropy naftowej, wytwarzaniu energii elektrycznej, w rurociągach itd.;
— zrozumienia architektury systemów DCS i SCADA;
Zwróciłbym uwagę, że pytania tego typu mogą stanowić do 25% wszystkich 115 pytań na egzaminie. - Technologie sieciowe i bezpieczeństwo sieci: Myślę, że liczba pytań w tym temacie zajmuje pierwsze miejsce na egzaminie. Prawdopodobnie będzie absolutnie wszystko – model OSI, na jakich poziomach działa dany protokół, wiele pytań dotyczących segmentacji sieci, sytuacyjne pytania dotyczące ataków sieciowych, przykłady logów połączeń z propozycją określenia typu ataku, przykłady konfiguracji przełącznika z propozycją określenia podatnej konfiguracji, pytania dotyczące podatności protokołów sieciowych, pytania dotyczące specyfiki połączeń sieciowych protokołów przemysłowych. Szczególnie dużo pytań dotyczy ModBus. Struktura pakietów sieciowych tego samego ModBus w zależności od jego odmiany i wersji obsługiwanych przez urządzenie. Duża uwaga poświęcona jest atakom na sieci bezprzewodowe – ZigBee, Wireless HART, ogólne pytania dotyczące bezpieczeństwa sieci całej rodziny 802.1x. Będą pytania dotyczące zasad rozmieszczania różnych serwerów w sieci ASUTP (tutaj trzeba przeczytać normę IEC-62443 i zrozumieć zasady wzorcowych modeli sieci ASUTP). Spotkamy pytania dotyczące modelu Purdue.
- Kategoria pytań, która dotyczy wyłącznie funkcjonalnych cech działania systemów przesyłu energii elektrycznej oraz systemów bezpieczeństwa informacyjnego dla nich. W USA, ta kategoria systemów automatyki przemysłowej nazywana jest Power Grid i odgrywa odrębną rolę. Wydawane są nawet osobne standardy (NIST 800.82), które regulują podejście do tworzenia systemów bezpieczeństwa informacyjnego dla tego sektora. W naszych krajach w większości przypadków ten sektor ogranicza się do systemów AСKUЭ (poprawcie mnie, jeśli ktoś spotkał bardziej poważne podejście do kontroli systemów dystrybucji i dostarczania energii elektrycznej). Otóż, na egzaminie napotkacie dość specyficzne pytania związane z Power Grid. W większości były to przypadki użycia w określonej sytuacji, która miała miejsce w elektrowni, ale mogą też pojawić się pytania dotyczące urządzeń, które są stosowane w Power Grid. Pojawią się pytania odnoszące się do znajomości rozdziałów NIST dla tej kategorii systemów.
- Pytania związane z wiedzą na temat standardów: NIST 800-82, NERC, IEC62443. Myślę, że nie trzeba tutaj wiele komentować – trzeba orientować się w rozdziałach standardów, które za co odpowiadają i jakie zawierają zalecenia. Pojawiają się konkretne pytania, na przykład pytające o częstotliwość weryfikacji funkcjonalności systemu, częstotliwość aktualizacji procedur itp. W procentowym rozrachunku takich pytań może być do 15% całkowitej liczby pytań. Ale to jak się trafi. Na dwóch próbnym testach trafiłem na zaledwie kilka takich pytań. Ale za to na egzaminie rzeczywiście było ich sporo.
- Ostatnia kategoria pytań to różnego rodzaju przypadki użycia i pytania sytuacyjne.
Ogólnie rzecz biorąc, sam trening, z wyjątkiem chyba CTF NetWars, nie był dla mnie zbyt informacyjny pod względem zdobywania potencjalnie nowych umiejętności. Raczej zdobyłem głębsze szczegóły na tematy, zwłaszcza w zakresie organizacji i ochrony sieci radiowych stosowanych do przesyłania informacji technologicznych, a także uporządkowany materiał na temat struktury zagranicznych standardów dotyczących tej tematyki. Dlatego dla inżynierów i specjalistów, którzy mają wystarczającą wiedzę i doświadczenie w pracy z AСUTP/KIP lub Industrial Networks – warto pomyśleć o oszczędności na treningu (a oszczędzać ma sens), samodzielnie przygotować się i od razu przystąpić do egzaminu certyfikacyjnego, który nota bene kosztuje 700 USD. W przypadku niepowodzenia, trzeba będzie zapłacić ponownie. Ośrodków certyfikacyjnych, które przyjmą Cię na egzamin, jest wystarczająco dużo, ważne jest, aby wcześniej złożyć wniosek. Ogólnie polecam od razu ustalić datę egzaminu, ponieważ w przeciwnym razie cały czas będziesz ją odkładać, zastępując proces przygotowania innymi życiowymi i mniej istotnymi sprawami. A mając konkretną datę jako ostateczny termin, będziesz zmotywowany do działania.
Źródło: habr.com
