Ahojte všetci! Na obľúbenom portáli bolo množstvo rôznych článkov o certifikáciách v oblasti informačnej bezpečnosti, preto sa nesnažím o originalitu a jedinečnosť obsahu, ale aj tak by som sa chcel podeliť o svoje skúsenosti s získaním certifikácie GIAC (Global Information Assurance Company) v oblasti priemyselnej kybernetickej bezpečnosti. Od čias, keď sa objavili také desivé slová ako , , Shamoon, Triton, postupne sa začal formovať trh poskytovania služieb odborníkov, ktorí sa zdajú byť IT, ale okrem toho môžu aj preprogramovať PLC s prepísaním konfigurácie na ladders a pritom nenechať továreň zastaviť.
Tak do sveta prišlo poňatie IT&OT (Informačné technológie & prevádzkové technológie).
Následne hneď (samozrejme, nie je možné zdôveriť prácu nekvalifikovaným pracovníkom) prišla potreba certifikovať odborníkov v oblasti, ktorá sa týka zabezpečenia bezpečnosti AСÚТП, priemyselných systémov – ktorých sa, ako sa ukazuje, v našom živote stalo veľmi veľa, od automatického ventilu na prívod vody v byte po systém riadenia lietadiel (nezabudnime na skvelý článok o vyšetrovaní problémov ). A dokonca, ako sa zistilo - aj složitého medicínskeho vybavenia.
Malá lyrika o tom, ako som sa dostal k potrebe získať certifikáciu (môžete preskočiť): Po úspešnom štúdiu na konci nultých rokov na fakulte ochrany informácií som s hrdou hlavou vkročil do radov odborníkov na KIP, pracujúc ako technik slaboprúdových zabezpečovacích systémov. Na podnikovej strane mi v tom čase povedali, že sa zaoberám informačnou bezpečnosťou :) Tak sa začala moja kariéra AСУ-TP technika s bakalárskym diplomom v oblasti informačnej bezpečnosti. O šesť rokov, keď som sa dostal na pozíciu vedúceho oddelenia SCADA systémov, som odišiel pracovať ako bezpečnostný konzultant pre priemyselné riadiace systémy do zahraničnej softvérovej a hardvérovej spoločnosti. Tu sa presne objavila potreba byť certifikovaným odborníkom na informačnú bezpečnosť.
je vývoj organizácie, ktorá sa zaoberá organizovaním školení a certifikáciou odborníkov v oblasti informačnej bezpečnosti. Reputácia certifikátu od GIAC je veľmi vysoká medzi odborníkmi a objednávateľmi na trhoch EMEA, US, Ázia-Pacifik. U nás, na postsovietskom priestore a v krajinách SNŠ, taký certifikát môžu požadovať len zahraničné spoločnosti, ktoré majú biznis v našich krajinách, medzinárodné a konzultačné agentúry. Osobne som sa nikdy nestretol so žiadosťou o existenciu takejto certifikácie od domácich spoločností. Všetci väčšinou žiadajú CISSP. Toto je môj subjektívny názor a ak sa niekto podelí o svoju skúsenosť v komentároch, bude zaujímavé vedieť.
Na SANS je dostatok rôznych smerov (podľa môjho názoru, v poslednej dobe sa chalani príliš rozšírili ich množstvo), ale sú aj veľmi zaujímavé praktické kurzy. Osobitne sa mi páčil . Ale rozprávať budem o kurze a certifikáte s názvom: .
Z všetkých ponúkaných SANS druhov certifikácií v oblasti Industrial Cyber Security je tento najuniverzálnejší. Pretože druhý sa viac týka systémov Power Grid, ktorým sa na západe venuje osobitná pozornosť a predstavujú uzavretú triedu systémov. Tretí (v čase mojej certifikácie) sa týkal Incident Response.
Kurz nie je lacný, ale poskytuje dostatočne rozsiahle znalosti aj v oblasti IT a OT. Obzvlášť bude užitočný tým kamarátom, ktorí sa rozhodli zmeniť svoju sféru napríklad z IT security v bankovom odvetví na Industrial Cyber Security. Keďže som už mal pozadie v oblasti AСУТП, KИП a Operation Technology, pre mňa v tomto kurze nebolo nič zásadne nového alebo životne dôležitého.
Kurz pozostáva z 50% teórie a 50% praxe. Z praxe bol najzaujímavejší súťažný zraz – NetWars. Počas dvoch dní, po hlavnom kurze, sa všetci študenti všetkých tried rozdelili na tím a plnili úlohy na získanie prístupových práv, vyťahovanie potrebných informácií, získavanie prístupu k sieti, množstvo úloh na rozlúštenie hashov, práca s Wiresharkom a rôzne iné vychytávky.
Materiál kurzu je stručne zhrnutý vo forme kníh, ktoré potom dostávate do svojho bezčasového užívania. Mimochodom, môžete si ich vziať so sebou na skúšku, pretože formát je Open Book, ale nemajú vám tam veľmi pomôcť, pretože na skúšku máte 3 hodiny, 115 otázok a jazyk skúšky je angličtina. Počas všetkých 3 hodín môžete mať prestávku na 15 minút. Ale majte na pamäti, že ak si vezmete prestávku na 15 minút a vrátite sa k testom za 5 minút, jednoducho strácate zostávajúcich 10 minút, pretože čas v testovacom programe už nebudete môcť zastaviť. Môžete preskočiť až 15 otázok, ktoré sa potom objavia na konci.
Osobne neodporúčam odkladať veľa otázok na neskôr, pretože času v 3 hodinách je naozaj málo, a keď sa na konci objavia ešte nevyriešené otázky, je tu veľká pravdepodobnosť, že nestihnete. Ja som si „na neskôr“ nechal len tri otázky, ktoré boli pre mňa naozaj ťažké, pretože sa týkali znalosti štandardu NIST 800.82 a NERC. Psychologicky sú takéto otázky „na neskôr“ veľmi stresujúce na konci — keď je váš mozog unavený, chcete na záchod a časomer na obrazovke akoby sa zrýchľoval geometricky.
Celkovo, aby ste prešli testovaním, musíte získať 71% správnych odpovedí. Pred vykonaním skúšky budete mať možnosť cvičiť na skutočných testoch, pretože v cene sú zahrnuté 2 trénerské testy po 115 otázkach s podmienkami, ktoré sa podobajú na skutočnú skúšku.
Odporúčam skladať skúšku mesiac po absolvovaní školenia, stráviť tento mesiac systematickým samostatným štúdiom otázok, v ktorých sa necítite iste. Bude dobré, ak si vezmete tlačené materiály z kurzu, ktoré vyzerajú ako stručné teze k jednotlivým témam, a budete cielene hľadať informácie o témach, ktoré sú obsiahnuté v týchto knihách. Rozdeľte mesiac na dve časti, vykonávajte skúšobné testy a získavajte približný prehľad o tom, v ktorých otázkach ste silní a kde sa potrebujete zlepšiť.
Rád by som vyzdvihol nasledujúce hlavné témy, z ktorých sa skládajú samotné skúšky (nie učebný kurz, pretože pokrýva oveľa širšie témy):
- Fyzická bezpečnosť: podobne ako v iných certifikačných skúškach, aj tejto téme je v GICSP venovaná značná pozornosť. Objavujú sa otázky týkajúce sa rôznych typov fyzických zámkov na dverách, opisujú sa situácie s falšovaním elektronických preukazov, kde je potrebné poskytnúť odpoveď na jednoznačnú identifikáciu problému. Objavujú sa otázky priamo súvisiace s bezpečnosťou technológie (procesu) v závislosti od predmetnej oblasti – procesy v ropných a plynových odvetviach, atómové elektrárne alebo elektrické siete. Napríklad môže byť otázka tohto typu: Určte, aký typ kontroly fyzickej bezpečnosti predstavuje situácia, keď príde alarm zo senzora teploty pary na HMI? Alebo otázka typu: Aká situácia (udalosť) spôsobí potrebu analyzovať videozáznamy z kamier sledovania systému perimetrálnej bezpečnosti objektu?
V percentuálnom pomere by som poznamenal, že počet otázok z tejto oblasti na mojej skúške a v skúšobných testoch nepresiahol 5%.
- Ďalšia a jedna z najmasovejších kategórií otázok sú otázky týkajúce sa APUTP, PLC, SCADA: bude potrebné systematicky pristúpiť k štúdiu materiálov o tom, ako sú usporiadané systémy riadenia technologických procesov od senzorov až po servery, kde beží samotný aplikačný softvér. Výrazné množstvo otázok sa týka rôznych druhov priemyselných protokolov prenosu dát (ModBus, RTU, Profibus, HART a iné). Budú otázky o tom, čím sa RTU líši od PLC, ako chrániť údaje v PLC pred zmenami neautorizovaným používateľom, v ktorých oblastiach pamäte PLC sa uchovávajú údaje, a kde je uložená samotná logika (program napísaný programátorom APU). Napríklad môže byť otázka tohto typu: Dajte odpoveď, ako možno odhaliť útok medzi PLC a HMI, ktoré pracujú na protokole ModBus?
Objavia sa otázky týkajúce sa rozdielov medzi systémami SCADA a DCS. Veľké množstvo otázok sa týka pravidiel rozdeľovania sietí APUTP na úrovni L1, L2 od úrovne L3 (podrobnejšie opíšem v sekcii otázok o sieti). Situatívne otázky na túto tému budú tiež rôznorodé – opisujú situáciu v dispečerskej miestnosti a je potrebné si vybrať kroky, ktoré by mal vykonať operátor procesu alebo dispečer.
Všeobecne táto sekcia je najšpecifickejšia a úzko zameraná. Vyžaduje si od vás dobré znalosti:
— AСУП, terénne časti (snímače, typy pripojenia zariadení, fyzické vlastnosti snímačov, PLC, RTU);
— systémy proti havarijnej ochrany (ESD – systém núdzového zastavenia) procesov a objektov (mimochodom, na Habre je skvelý cyklus článkov na túto tému od )
— základného porozumenia fyzikálnych procesov, ktoré prebiehajú napríklad v rafinériách, pri výrobe elektrickej energie, v potrubiach atď.;
— porozumenie architektúram DCS a SCADA systémov;
Rád by som zdôraznil, že otázok tohto typu sa môže vyskytnúť až 25 % počas všetkých 115 otázok skúšky. - Sieťové technológie a sieťová bezpečnosť: Myslím, že počet otázok v tejto téme je na prvom mieste v skúške. Určite tam bude všetko – OSI model, na akých úrovniach funguje ten alebo onen protokol, množstvo otázok o segmentácii siete, situatívne otázky o sieťových útokoch, príklady pripojovacích logfile s návrhom určiť typ útoku, príklady konfigurácií switche s návrhom určovať zraniteľnú konfiguráciu, otázky o zraniteľnostiach sieťových protokolov, otázky o špecifikách sieťových pripojení priemyselných komunikačných protokolov. Obzvlášť sa veľa pýtajú na ModBus. Štruktúra sieťových paketov toho istého ModBus v závislosti od jeho varianty a podporovaných verzií zariadenia. Veľká pozornosť sa venuje útokom na bezdrôtové siete – ZigBee, Wireless HART, jednoducho otázky o sieťovej bezpečnosti celej rodiny 802.1x. Budú otázky o pravidlách umiestnenia určitých serverov v sieti АСУТП (tu je potrebné prečítať štandard IEC-62443 a pochopiť princípy referenčných modelov sietí АСУТП). Stretnete otázky podľa Purdue modelu.
- Kategória otázok, ktorá súvisí výlučne s funkčnými vlastnosťami systémov prenosu elektrickej energie a informačnej bezpečnosti pre ne. V USA sa táto kategória systémov ASUTP nazýva Power Grid a má osobitnú úlohu. Na tento účel sa dokonca vydávajú samostatné normy (NIST 800.82), ktoré upravujú prístup k vytváraniu systémov informačnej bezpečnosti pre tento sektor. V našich krajinách je väčšinou tento sektor obmedzený na systémy ASKUE (opraviť ma, ak niekto narazil na vážnejší prístup k kontrolám systémov distribúcie a dodávky elektrickej energie). Takže na skúške stretnete celkom špecifické otázky týkajúce sa Power Grid. Väčšinou ide o praktické prípady pre konkrétnu situáciu, ktorá nastala na Power Plant, ale môžu sa vyskytnúť aj otázky o zariadeniach, ktoré sa používajú práve v Power Grid. Budú otázky zamerané na znalosť sekcií NIST pre túto kategóriu systémov.
- Otázky týkajúce sa znalostí noriem: NIST 800-82, NERC, IEC62443. Myslím, že tu bez osobitných komentárov – je potrebné sa orientovať v sekciách noriem, ktorá za čo zodpovedá a aké odporúčania obsahuje. Objavujú sa konkrétne otázky, napríklad pýtajúce sa na frekvenciu kontroly funkčnosti systému, frekvenciu aktualizácie procedúry a pod. V percentuálnom pomere sa takých otázok môže vyskytnúť až 15 % z celkového počtu otázok. Ale tu záleží na šťastí. Napríklad na dvoch skúšobných testoch som sa stretol iba s pár takýmito otázkami. Ale na samotnej skúške ich bolo naozaj veľa.
- A posledná kategória otázok sú rôzne praktické prípady a situatívne otázky.
Celkovo, samotný tréning, okrem možno CTF NetWars, pre mňa nebol veľmi informatívny z hľadiska získania nových poznatkov. Skôr som nadobudol hlbšie detaily niektorých tém, najmä v oblasti organizácie a ochrany rádiových sietí používaných na prenos technologických informácií, ako aj usporiadanejší materiál o štruktúre zahraničných noriem venovaných tejto téme. Preto pre inžinierov a odborníkov, ktorí majú dostatočné vedomosti a skúsenosti s AСУТП/KИП alebo priemyselnými sieťami – je možné zvážiť, či ušetriť na tréningu (čo má zmysel), samostatne sa pripraviť a ihneď absolvovať certifikačnú skúšku, ktorá mimochodom stojí 700 USD. V prípade zlyhania sa bude musieť zaplatiť znovu. Certifikačných centier, ktoré vás prijmú na skúšku, je dosť, najdôležitejšie je vopred podať prihlášku. Vo všeobecnosti odporúčam ihneď stanoviť dátum skúšky, pretože inak budete neustále odkladať, pričom proces prípravy nahradíte inými životne dôležitými a nie celkom dôležitými záležitosťami. A s konkrétnym dátumom termínu budete mať vnútornú motiváciu.
Zdroj: habr.com
