Olá a todos! No portal que todos adoramos, houve muitos artigos sobre certificações na área de segurança da informação, então não pretendo reivindicar originalidade e singularidade do conteúdo, mas ainda assim gostaria de compartilhar minha experiência ao obter a certificação GIAC (Global Information Assurance Company) em cibersegurança industrial. Desde a aparição de palavras tão assustadoras como , , Shamoon, Triton, gradualmente um mercado de serviços de especialistas começou a se formar, que parecem ser de TI, mas também podem reconfigurar PLCs sem parar a planta.
Assim surgiu o conceito de TI&OT (Tecnologia da Informação e Tecnologia de Operação).
Imediatamente, (claro que não se pode permitir que profissionais não qualificados trabalhem) surgiu a necessidade de certificar especialistas na área relacionada à segurança de sistemas de automação e controle industrial, que, conforme se descobriu, são muitos - desde válvulas automáticas de fornecimento de água em casas até sistemas de controle de aviões (lembrando um excelente artigo sobre a investigação de problemas ). E até, como surgiu de forma inesperada — equipamentos médicos complexos.
Uma breve história de como cheguei à necessidade de obter a certificação (pode ser pulada): Após me formar no final dos anos 2000 na faculdade de proteção da informação, entrei de cabeça no mundo da automação industrial, trabalhando como técnico em sistemas de segurança de baixa tensão. Naquela época, parecia que segurança da informação era para mim na empresa:) Assim começou minha carreira como especialista em automação de processos com diploma de bacharel em segurança da informação. Após seis anos, ao me tornar chefe do departamento de sistemas SCADA, decidi trabalhar como consultor em segurança de sistemas industriais em uma empresa de software e equipamentos estrangeira. Foi aqui que surgiu a necessidade de ser um especialista certificado em segurança da informação.
é uma criação organização que realiza treinamentos e certificação de profissionais em segurança da informação. A reputação do certificado GIAC é muito alta entre especialistas e clientes nos mercados EMEA, EUA e Ásia-Pacífico. Aqui, no espaço pós-soviético e nos países da CEI, esse tipo de certificado só é exigido por empresas estrangeiras que têm negócios em nossos países, agências internacionais e de consultoria. Pessoalmente, nunca me deparei com um pedido de certificados desse tipo de empresas nacionais. A maioria solicita CISSP. Esta é a minha opinião subjetiva, e se alguém compartilhar sua experiência nos comentários, será interessante saber.
Na SANS, existem várias áreas diferentes (na minha opinião, ultimamente eles expandiram demais sua quantidade), mas há também cursos práticos muito interessantes. Especialmente gostei de . Mas a história vai girar em torno do curso e do certificado chamado: .
Dentre todos os tipos de certificações em Cibersegurança Industrial oferecidas pela SANS, esta é a mais universal. A segunda se refere, em maior parte, a sistemas de Power Grid, que recebem atenção especial no ocidente e pertencem a uma classe separada de sistemas. E a terceira (no momento da minha certificação) estava relacionada à Resposta a Incidentes.
O curso não é barato, mas oferece um conhecimento bastante abrangente sobre TI e OT. Será especialmente útil para aqueles que decidiram mudar de área, por exemplo, de segurança em TI na indústria bancária para Cibersegurança Industrial. Como eu já tinha um histórico em sistemas de controle, medição e Tecnologia Operacional, não houve nada fundamental ou vitalmente novo para mim neste curso.
O curso consiste em 50% teoria e 50% prática. Na parte prática, o mais interessante foi o concurso – NetWars. Ao longo de dois dias, após o curso principal, todos os alunos de todas as turmas eram divididos em equipes e realizavam tarefas relacionadas à obtenção de privilégios de acesso, extração de informações necessárias, acesso à rede, uma série de tarefas sobre quebra de hashes, trabalho com Wireshark e várias outras atividades.
O material do curso é um resumo em forma de livros, que você recebe para uso vitalício. Aliás, eles podem ser utilizados no exame, pois o formato é Open Book, mas não ajudarão muito, já que o exame tem duração de 3 horas, 115 perguntas, e é realizado em inglês. Durante essas 3 horas, você pode fazer uma pausa de 15 minutos. Porém, tenha em mente que, se você fizer uma pausa de 15 minutos e retornar aos testes após 5 minutos, você simplesmente estará perdendo os 10 minutos restantes, pois não será possível interromper o tempo no programa de testes. Você pode deixar até 15 perguntas em branco, que aparecerão no final.
Pessoalmente, não recomendo deixar muitas perguntas para depois, pois o tempo de 3 horas é realmente curto. Quando no final surgem perguntas não respondidas, a probabilidade de não conseguir completar é alta. Eu deixei apenas três perguntas para depois, que realmente foram difíceis para mim, pois diziam respeito ao conhecimento do padrão NIST 800.82 e NERC. Psicologicamente, essas perguntas deixadas para depois pesam nos nervos no final — quando seu cérebro está cansado, você quer ir ao banheiro, e o cronômetro na tela parece acelerar em progressão geométrica.
Para passar no exame, é necessário atingir 71% de respostas corretas. Antes de fazer o exame, você terá a oportunidade de praticar com testes reais, já que o custo inclui 2 testes de treinamento com 115 perguntas e condições semelhantes às do exame real.
Recomendo que você faça o exame um mês após o treinamento, dedicando esse mês a estudos sistemáticos sobre as questões nas quais você se sente inseguro. Seria bom se você utilizasse o material impresso que recebeu no curso, que se apresenta como resumos de cada tema, e procurasse informações direcionadas sobre os tópicos contidos nesses livros. Divida o mês em duas partes, realizando testes práticos e obtendo uma ideia geral de em quais questões você é forte e onde precisa melhorar.
Gostaria de destacar os seguintes tópicos principais que compõem o exame em si (não o curso, que abrange temas muito mais amplos):
- Segurança física: assim como em outros exames de certificação, essa questão recebe bastante atenção no GICSP. Há perguntas sobre os tipos de fechaduras físicas em portas, além de descrever situações relacionadas à falsificação de crachás eletrônicos, onde é necessário responder sobre a identificação clara do problema. Encontram-se perguntas diretamente relacionadas à segurança da tecnologia (processo) dependendo da área temática — processos de petróleo e gás, usinas nucleares ou redes elétricas. Por exemplo, pode haver uma pergunta como: Identifique qual tipo de controle de segurança física se aplica à situação em que um alarme é acionado por um sensor de temperatura de vapor no HMI? Ou uma pergunta como: Qual situação (evento) justificaria a análise de gravações de câmeras de vigilância do sistema de segurança perimetral do objeto?
Em termos percentuais, eu destacaria que o número de perguntas nessa seção no meu exame e nos testes práticos não ultrapassou 5%.
- Outra e uma das categorias mais numerosas de perguntas diz respeito ao AСУТП, PLC, SCADA: aqui será necessário abordar de forma sistemática o estudo de materiais sobre como funcionam os sistemas de controle de processos tecnológicos, desde sensores até os servidores onde o próprio software aplicativo opera. Uma quantidade suficiente de perguntas surgirá sobre os tipos de protocolos industriais de transmissão de dados (ModBus, RTU, Profibus, HART, etc.). Haverá perguntas sobre como RTU difere de PLC, como proteger dados em um PLC contra modificações por criminosos, em quais partes da memória o PLC armazena dados e onde está armazenada a lógica propriamente dita (programa escrito pelo programador de AСУТП). Por exemplo, pode haver uma pergunta desse tipo: Como é possível detectar um ataque entre PLC e HMI que operam pelo protocolo ModBus?
Encontrarão perguntas sobre as diferenças entre sistemas SCADA e DCS. Um grande número de perguntas sobre as regras de segmentação de redes de AСУТП nos níveis L1, L2 em relação ao nível L3 (descreverei em mais detalhes na seção sobre redes). As perguntas situacionais sobre este tópico também serão bastante variadas — descrevem uma situação na sala de controle e é necessário escolher as ações que devem ser realizadas pelo operador do processo ou pelo dispatcher.
De um modo geral, esta seção é a mais específica e especializada. Requer de você um bom conhecimento:
— A SUP, a parte de campo (sensores, tipos de conexão de dispositivos, características físicas dos sensores, PLC, RTU);
— sistemas de proteção contra emergências (ESD – sistema de desligamento de emergência) de processos e objetos (a propósito, há um excelente ciclo de artigos sobre esse tema no) )
— compreensão básica dos processos físicos que ocorrem, por exemplo, na refinação de petróleo, geração de eletricidade, tubulações e assim por diante;
— compreensão da arquitetura de sistemas DCS e SCADA;
Eu notaria que questões desse tipo podem representar até 25% de todas as 115 perguntas do exame. - Tecnologias de rede e segurança de rede: Acredito que o número de perguntas sobre esse tópico seja o mais alto no exame. Provavelmente haverá de tudo – modelo OSI, em quais níveis opera cada protocolo, várias perguntas sobre segmentação de rede, questões situacionais sobre ataques de rede, exemplos de logs de conexão com propostas para identificar o tipo de ataque, exemplos de configurações de switches com propostas para identificar configurações vulneráveis, perguntas sobre vulnerabilidades de protocolos de rede, questões específicas sobre conexões de protocolos industriais. Especialmente muitas perguntas são feitas sobre ModBus. A estrutura dos pacotes de rede do ModBus, dependendo de suas variações e versões suportadas pelo dispositivo. Grande atenção é dada a ataques em redes sem fio – ZigBee, Wireless HART, e questões gerais sobre segurança de rede de toda a família 802.1x. Também haverá perguntas sobre as regras de posicionamento de determinados servidores na rede de sistemas de controle e automação (aqui é preciso ler a norma IEC-62443 e entender os princípios dos modelos referência em redes de automação). Questões sobre o modelo Purdue também aparecerão.
- Categoria de perguntas que se refere exclusivamente às características funcionais dos sistemas de transmissão de energia elétrica e dos sistemas de segurança da informação relacionados. Nos EUA, essa categoria de sistemas de controle e automação de processos (ACRAP) é chamada de Power Grid e tem um papel específico. Para isso, são lançados padrões específicos (NIST 800.82) que regulamentam a abordagem para a criação de sistemas de segurança da informação para esse setor. Em nossos países, na maior parte, esse setor se limita a sistemas de gestão de consumo de energia elétrica (se alguém encontrou uma abordagem mais séria para o controle de sistemas de distribuição e entrega de energia elétrica, por favor, me corrija). Portanto, no exame, você encontrará perguntas bastante específicas relacionadas ao Power Grid. Na maioria das vezes, eram casos de uso para uma situação específica que ocorreu em uma usina, mas também podem haver perguntas sobre os dispositivos usados especificamente no Power Grid. Haverá perguntas que abordam o conhecimento das seções do NIST para essa categoria de sistemas.
- Perguntas relacionadas ao conhecimento dos padrões: NIST 800-82, NERC, IEC62443. Acho que aqui sem muitos comentários - é preciso estar familiarizado com as seções dos padrões, o que cada um regula e quais recomendações contêm. Existem perguntas específicas, por exemplo, que perguntam sobre a periodicidade da verificação da funcionalidade do sistema, a periodicidade da atualização das procedimentos, etc. Em termos percentuais, esse tipo de pergunta pode representar até 15% do total de perguntas. Mas isso depende da sorte. Por exemplo, em dois testes de prática, encontrei apenas algumas dessas perguntas. No entanto, no exame, realmente havia muitas delas.
- E a última categoria de perguntas são diversos casos de uso e perguntas situacionais.
De modo geral, o próprio treinamento, exceto talvez o CTF NetWars, não foi muito informativo para mim em termos de aquisição de novos conhecimentos. O que eu adquiri foram detalhes mais profundos sobre alguns tópicos, especialmente na área de organização e proteção de redes sem fio utilizadas para transmissão de informações tecnológicas, além de um material mais estruturado sobre as normas internacionais dedicadas a esse tema. Portanto, para engenheiros e especialistas que já têm conhecimentos e experiência suficientes em AСУТП/KИП ou Redes Industriais, pode ser sensato economizar no treinamento (o que realmente faz sentido), preparar-se por conta própria e ir direto fazer o exame de certificação, que por sinal custa 700USD. Em caso de falha, você terá que pagar novamente. Existem muitos centros de certificação que aceitarão você para o exame, basta fazer a solicitação com antecedência. Eu recomendo que você já defina uma data para o exame, pois do contrário, você estará constantemente adiando, substituindo o processo de preparação por outras tarefas importantes e menos importantes. E ao ter uma data específica como prazo, você se sentirá mais motivado.
Fonte: habr.com
