Како су козаци добили сертификат ГИЦСП

Здраво свима! Свима омиљени портал је имао много различитих чланака о сертификацији у области информационе безбедности, тако да нећу да тврдим оригиналност и јединственост садржаја, али бих ипак волео да поделим своје искуство добијања ГИАЦ-а (Глобал Информатион Ассуранце Цомпани) сертификација у области индустријске сајбер безбедности. Од појаве тако страшних речи као Стукнет, Дуку, Схамоон, Тритон, почело је да се формира тржиште за пружање услуга специјалиста који изгледају као ИТ, али могу и да преоптерећују ПЛЦ-ове преписивањем конфигурације на мердевине, а да се у исто време постројење не може зауставити.

Тако је на свет дошао концепт ИТ&ОТ (Информатион Тецхнологи & Оператион Тецхнологи).

Одмах затим (јасно је да неквалификованом особљу не треба дозволити да ради) појавила се потреба за сертификацијом специјалиста у области која се односи на обезбеђивање безбедности система управљања процесима и индустријских система - којих, испоставило се, има много њих у нашим животима, од аутоматског вентила за довод воде у стану до управљачког система авиона (запамтите одличан чланак о истраживању проблема боеинг). Па чак и, како се изненада испоставило, сложена медицинска опрема.

Кратак текст о томе како сам дошао до потребе за добијањем сертификата (можете га прескочити): После успешног завршетка студија на Факултету информационе безбедности крајем XNUMX-их, главом сам закорачио у ред инструменталне овце високо, радећи као механичар за сигурносне алармне системе ниске струје. Чини ми се да су ми информациону безбедност тада рекли у предузећу :) Тако је почела моја каријера специјалисте за аутоматизоване системе управљања са дипломом информационе безбедности. Шест година касније, дошавши до чина шефа одељења за СЦАДА системе, отишао сам да радим као консултант за безбедност за индустријске управљачке системе у страној компанији која се бави продајом софтвера и опреме. Овде се појавила потреба да будете сертификовани специјалиста за безбедност информација.

ГИАЦ је развој САНС организација која спроводи обуку и сертификацију стручњака за безбедност информација. Репутација ГИАЦ сертификата је веома висока међу стручњацима и купцима на тржиштима ЕМЕА, САД и Азије и Пацифика. Овде, на постсовјетском простору иу земљама ЗНД, такав сертификат могу да траже само стране компаније које послују у нашим земљама, међународне и консултантске агенције. Лично, никада нисам наишао на захтев за такву сертификацију од домаћих компанија. Сви у основи траже ЦИССП. Ово је моје субјективно мишљење и ако неко подели своје искуство у коментарима, биће занимљиво знати.

У САНС-у има доста различитих области (по мом мишљењу, у последње време су момци превише проширили свој број), али има и веома занимљивих практичних курсева. Посебно ми се допало НетВарс. Али прича ће бити о курсу ИЦС410: ИЦС/СЦАДА Сецурити Ессентиалс и сертификат под називом: Глобални стручњак за индустријску сајбер безбедност (ГИЦСП).

Од свих врста сертификата индустријске сајбер безбедности које нуди САНС, ово је најуниверзалније. Пошто се други више односи на системе електроенергетске мреже, који на Западу добијају посебну пажњу и припадају посебној класи система. И трећи (у време мог пута за сертификацију) се односио на одговор на инциденте.
Курс није јефтин, али пружа прилично опсежно знање о ИТ&ОТ. Посебно ће бити корисно за оне другове који су одлучили да промене своју област, на пример са ИТ безбедности у банкарској индустрији у индустријску сајбер безбедност. Пошто сам већ имао искуство у области система управљања процесима, инструментације и оперативне технологије, није било ничег суштински новог или од виталног значаја за мене на овом курсу.

Курс се састоји од 50% теорије и 50% праксе. Из праксе, најзанимљивије такмичење је било НетВарс. Два дана, након главног тока наставе, сви ученици свих одељења су подељени у тимове и обављали задатке за добијање права приступа, извлачење потребних информација, приступ мрежи, гомила задатака за промоцију хешова, рад са Виресхарком и свакакве разне доброте.

Материјал курса је сажет у облику књига, које затим добијате за своју трајну употребу. Иначе, можете их полагати на испит, пошто је формат Опен Боок, али вам неће много помоћи, пошто испит има 3 сата, 115 питања, а језик предавања је енглески. Током читава 3 сата можете направити паузу од 15 минута. Али имајте на уму да ако направите паузу од 15 минута и вратите се на тестове након 5, једноставно одустајете од преосталих десет минута, јер више нећете моћи да зауставите време у програму тестирања. Можете прескочити до 15 питања, која ће се појавити на самом крају.

Лично, не препоручујем да остављате много питања за касније, јер 3 сата заиста није довољно времена, а када на крају имате питања која још увек нису решена, велика је вероватноћа да нећете моћи да урадите то на време. За касније сам оставио само три питања која су ми била заиста тешка, јер су се односила на познавање НИСТ 800.82 и НЕРЦ стандарда. Психолошки, таква питања „за касније“ погађају ваше живце на самом крају - када вам је мозак уморан, желите да одете у тоалет, тајмер на екрану изгледа експоненцијално убрзава.

Генерално, да бисте положили тест потребно је да постигнете 71% тачних одговора. Пре полагања, имаћете прилику да вежбате на правим тестовима - пошто су у цену укључена 2 вежбе од 115 питања и са условима сличним правом испиту.

Препоручујем полагање испита месец дана након завршене обуке, а овај месец потрошити на систематско самостално учење о оним питањима у којима се осећате несигурно. Било би лепо да узмете штампане материјале добијене током курса, који изгледају као кратки сажетци о свакој теми - и наменски тражите информације о темама садржаним у овим књигама. Поделите месец на два дела, полагати тестове за вежбање и стећи грубу слику о томе у којим сте областима јаки и где треба да се побољшате.

Желео бих да истакнем следеће главне области које чине сам испит (не курс обуке, пошто покрива много обимније теме):

1. Физичка безбедност: Као и други испити за сертификацију, овом питању се посвећује велика пажња у ГИЦСП-у. Постављају се питања о врстама физичких брава на вратима, описане су ситуације са фалсификовањем електронских пропусница, где је потребно дати одговор да бисте недвосмислено идентификовали проблем. Постављају се питања директно везана за безбедност технологије (процеса), у зависности од предметне области – нафтни и гасни процеси, нуклеарне електране или електроенергетске мреже. На пример, може постојати питање као што је: Одредите који тип контроле физичке безбедности је ситуација када аларм долази од сензора температуре паре на ХМИ? Или питање типа: Која ситуација (догађај) ће послужити као разлог за анализу видео снимака са надзорних камера система обезбеђења периметра објекта?

   Процентуално, напоменуо бих да број питања из овог одељка на мом испиту и тестовима у пракси није прелазио 5%.

2. Друга и једна од најраспрострањенијих категорија питања су питања о системима управљања процесима, ПЛЦ-у, СЦАДА-и: овде ће бити потребно систематски приступити проучавању материјала о томе како су структурирани системи управљања процесима, од сензора до сервера на којима је сам апликативни софтвер трчи. Наћи ће се довољан број питања о типовима индустријских протокола за пренос података (МодБус, РТУ, Профибус, ХАРТ итд.). Биће питања о томе како се РТУ разликује од ПЛЦ-а, како заштитити податке у ПЛЦ-у од модификације од стране нападача, у којим меморијским областима ПЛЦ складишти податке и где је смештена сама логика (програм који је написао програмер система за контролу процеса ). На пример, може постојати питање овог типа: Дајте одговор како можете открити напад између ПЛЦ-а и ХМИ-ја који раде користећи МодБус протокол?

   Биће питања о разликама између СЦАДА и ДЦС система. Велики број питања о правилима одвајања мрежа аутоматизоване контроле процеса на нивоу Л1, Л2 од нивоа Л3 (детаљније ћу описати у одељку са питањима о мрежи). Ситуациона питања на ову тему такође ће бити веома разноврсна - описују ситуацију у контролној соби и потребно је да изаберете радње које мора да изврши оператер процеса или диспечер.

   Генерално, овај одељак је најспецифичнији и уског профила. Од вас је потребно добро знање:
   — аутоматизовани систем управљања, теренски део (сензори, врсте прикључака уређаја, физичке карактеристике сензора, ПЛЦ, РТУ);
   — системи за хитно искључивање (ЕСД – систем за хитно искључивање) процеса и објеката (узгред, постоји одлична серија чланака на ову тему на Хабре од Владимир_Склиар)
   — основно разумевање физичких процеса који се дешавају, на пример, у преради нафте, производњи електричне енергије, цевоводима, итд.;
   — разумевање архитектуре ДЦС и СЦАДА система;
   Напомињем да се питања овог типа могу појавити и до 25% током свих 115 питања на испиту.

3. Мрежне технологије и мрежна безбедност: Мислим да је број питања у овој теми на првом месту на испиту. Вероватно ће бити апсолутно свега - ОСИ модел, на којим нивоима функционише овај или онај протокол, многа питања о сегментацији мреже, ситуациона питања о мрежним нападима, примери дневника веза са предлогом за одређивање врсте напада, примери конфигурација прекидача са предлогом за одређивање рањиве конфигурације, питања о рањивости мрежних протокола, питања о специфичностима мрежних веза индустријских комуникационих протокола. Људи посебно питају много о МодБус-у. Структура мрежних пакета истог МодБус-а, у зависности од његовог типа и верзија које уређај подржава. Много пажње се поклања нападима на бежичне мреже – ЗигБее, Вирелесс ХАРТ, и једноставно питањима о мрежној безбедности целе 802.1к породице. Биће питања о правилима постављања одређених сервера у мрежу система управљања процесима (овде треба да прочитате стандард ИЕЦ-62443 и разумете принципе референтних модела мрежа система управљања процесима). Биће питања о моделу Пурдуе.
4. Категорија питања која се односе искључиво на функционалне карактеристике рада система за пренос електричне енергије и система информационе безбедности за њих. У САД се ова категорија аутоматизованих система управљања процесима назива Повер Грид и додељена јој је посебна улога. У ту сврху су чак издати и посебни стандарди (НИСТ 800.82) који регулишу приступ креирању система безбедности информација за овај сектор. Код нас је, углавном, овај сектор ограничен на АСКУЕ системе (исправите ме ако је неко видео озбиљнији приступ праћењу система дистрибуције и испоруке електричне енергије). Дакле, на испиту ћете наћи сасвим конкретна питања везана за Повер Грид. Углавном, то су били случајеви употребе за специфичну ситуацију која се развила у електрани, али могу постојати и анкете о уређајима који се користе посебно у електроенергетској мрежи. Биће питања која се односе на познавање НИСТ одељака за ову категорију система.
5. Питања у вези са познавањем стандарда: НИСТ 800-82, НЕРЦ, ИЕЦ62443. Мислим овде без икаквих посебних коментара - потребно је да се крећете по одељцима стандарда, који је одговоран за шта и које препоруке садржи. Постоје конкретна питања, на пример, питање учесталости провере функционалности система, учесталости ажурирања процедуре итд. У процентима таквих питања може се наићи на до 15% од укупног броја питања. Али зависи. На пример, на два вежбања наишао сам на само неколико сличних питања. Али заиста их је било много на испиту.
6. Па, последња категорија питања су све врсте случајева употребе и ситуационих питања.

Генерално, сама обука, са могућим изузетком ЦТФ НетВарс-а, за мене није била баш информативна у смислу стицања потенцијално нових знања. Уместо тога, добијени су дубљи детаљи о неким темама, посебно у области организације и заштите радио мрежа које се користе за пренос технолошких информација, као и уређенији материјал о структури страних стандарда посвећен овој теми. Стога, за инжењере и специјалисте који имају довољно знања и искуства у раду са системима управљања процесима/инструментационим системима или индустријским мрежама, можете размишљати о уштеди на обуци (а уштеда има смисла), припремите се и идите одмах на полагање сертификационог испита, који , иначе, вреди 700 УСД. У случају неуспеха, мораћете поново да платите. Постоји много сертификационих центара који ће вас прихватити на испит, најважније је да се пријавите унапред. Генерално, препоручујем да термин испита одмах одредите, јер ћете га у супротном стално одлагати, замењујући процес припреме другим виталним и не сасвим важним стварима. А ако имате одређени рок, бићете самомотивисани.

Извор: ввв.хабр.цом