Hej alla! PÄ den Àlskade portalen har det funnits mÄnga olika artiklar om certifieringar inom informationssÀkerhet, sÄ jag tÀnker inte ansprÄka pÄ originalitet och unikhet vad gÀller innehÄllet, men jag skulle ÀndÄ gÀrna vilja dela med mig av min erfarenhet av att fÄ GIAC (Global Information Assurance Company) certifiering inom industriell cybersÀkerhet. Sedan tiden dÄ sÄdana skrÀmmande ord som , , Shamoon, Triton kom upp, har en marknad för tjÀnster frÄn specialister som Àr IT-relaterade men ocksÄ kan omprogrammera PLC:er genom att Àndra konfigurationen i laddare, utan att stÀnga ner fabriken, gradvis utvecklats.
SĂ„ kom begreppet IT&OT (Information Technology & Operation Technology) in i bilden.
I takt med detta, (det Àr uppenbart att man inte fÄr tillÄta oerfarna personer att arbeta) kom behovet av att certifiera specialister inom omrÄdet som rör sÀkerheten för SCADA-system och industriella system - som tydligen har blivit mycket vanliga i vÄr vardag, frÄn automatiska vattenventiler i hemmet till flygplansstyrsystem (lÄt oss minnas den utmÀrkta artikeln om utredningen av problemen med ). Och till och med, som det plötsligt visade sig - avancerad medicinsk utrustning.
Lite lyrik om hur jag kom till behovet av att fÄ certifiering (kan hoppas över): Efter att ha avlagt en examen i slutet av 00-talet i informationsskydd gick jag stolt in i raderna av KIP-are, arbetande som tekniker för svagströmsystem i inbrottsskydd. SÄ kallad informationssÀkerhet sa de till mig pÄ företaget vid den tiden :) SÄ började min karriÀr som SCADA-specialist med en kandidatexamen i informationssÀkerhet. Efter sex Är, efter att ha blivit chef för SCADA-system, lÀmnade jag för att arbeta som konsult för sÀkerhet inom industriella styrsystem i ett utlÀndskt mjukvaru- och hÄrdvaruföretag. HÀr blev det just nödvÀndigt att vara certifierad informationssÀkerhetsspecialist.
Àr en produkt av organisationer som sysslar med utbildning och certifiering av specialister inom informationssÀkerhet. Certifikatets rykte frÄn GIAC Àr mycket högt bland specialister och kunder pÄ marknaderna EMEA, USA, Asien och StillahavsomrÄdet. HÀr hos oss, i det forna sovjetunionens omrÄde och i CSI-lÀnderna, kan ett sÄdant certifikat endast krÀvas av utlÀndska företag som har verksamhet i vÄra lÀnder, internationella och konsultbyrÄer. Jag har personligen aldrig stött pÄ en begÀran om en sÄdan certifiering frÄn inhemska företag. De flesta efterfrÄgar i huvudsak CISSP. Detta Àr min subjektiva Äsikt och om nÄgon vill dela med sig av sin erfarenhet i kommentarerna - skulle det vara intressant att veta.
PÄ SANS finns det tillrÀckligt med olika inriktningar (enligt min Äsikt har de pÄ sistone utökat antalet för mycket), men det finns ocksÄ mycket intressanta praktiska kurser. Jag gillade sÀrskilt . Men berÀttelsen handlar om kursen och certifikatet som heter: .
Av alla SANS-industriservicetyper för cybersÀkerhet Àr detta den mest mÄngsidiga. Eftersom den andra mer handlar om Power Grid-system, som pÄ vÀstliga sidan fÄr sÀrskild uppmÀrksamhet och faller under en separat klass av system. Och den tredje (vid tidpunkten för min certifieringsvÀg) handlade om Incident Response.
Kursen kostar inte lite, men ger tillrÀckligt omfattande kunskaper bÄde inom IT och OT. Den skulle sÀrskilt vara anvÀndbar för de kamrater som har beslutat att byta sitt omrÄde, till exempel frÄn IT-sÀkerhet i banksektorn till industriell cybersÀkerhet. Eftersom jag redan hade en bakgrund inom ACS, KIP och Operation Technology, fanns det inget principiellt nytt eller livsviktigt för mig i den hÀr kursen.
Kursen bestĂ„r av 50% teori och 50% praktik. FrĂ„n praktiken var den mest intressanta delen tĂ€vlingen â NetWars. Under tvĂ„ dagar, efter de huvudsakliga lektionerna, delades alla studenter i alla klasser upp i lag och utförde uppgifter för att fĂ„ Ă„tkomst, extrahera nödvĂ€ndig information, fĂ„ Ă„tkomst till nĂ€tverket, en massa uppgifter för att knĂ€cka hash-koder, arbete med Wireshark och olika andra intressanta moment.
Kursmaterialet innehÄller en sammanfattning i form av böcker, som ni sedan fÄr i ert livslÄnga bruk. Dessa kan ocksÄ tas med till provet, eftersom det Àr Open Book-format, men de kommer inte att hjÀlpa er mycket eftersom provet har 3 timmar, 115 frÄgor och utförs pÄ engelska. Under dessa 3 timmar fÄr ni ta en paus pÄ 15 minuter. Men tÀnk pÄ att om ni tar en paus pÄ 15 minuter och ÄtervÀnder till testerna efter 5 minuter, ger ni egentligen bort de ÄterstÄende tio minuterna, eftersom ni inte kan stoppa tiden i testprogrammet. Ni kan hoppa över upp till 15 frÄgor, som sedan kommer att visas i slutet.
Personligen rekommenderar jag inte att lĂ€mna mĂ„nga frĂ„gor till senare, eftersom 3 timmar verkligen Ă€r lite tid, och nĂ€r ni i slutet stĂ„r med olösta frĂ„gor ökar risken att ni inte hinner klart. Jag lĂ€mnade bara tre frĂ„gor till senare, som var riktigt svĂ„ra för mig eftersom de rörde standarden NIST 800.82 och NERC. Psykologiskt pĂ„verkar sĂ„dana frĂ„gor «till senare» nerverna i slutet â nĂ€r hjĂ€rnan Ă€r trött, ni vill gĂ„ pĂ„ toaletten, och timern pĂ„ skĂ€rmen verkar ticka snabbare Ă€n geometrisk progression.
För att klara testet behöver ni uppnĂ„ 71 % korrekta svar. Innan ni gör provet kommer ni att ha möjlighet att öva pĂ„ riktiga tester â eftersom kostnaden inkluderar 2 övningstest med 115 frĂ„gor och med villkor som liknar det verkliga provet.
Jag rekommenderar att ni avlĂ€gger provet en mĂ„nad efter att ni genomgĂ„tt trĂ€ningen, och spenderar den mĂ„naden pĂ„ systematiska sjĂ€lvstudier av de frĂ„gor dĂ€r ni kĂ€nner er osĂ€kra. Det skulle vara bra om ni tar de tryckta material ni fĂ„tt under kursen, vilka ser ut som korta sammanfattningar av varje Ă€mne â och mĂ„lmedvetet söker information om Ă€mnena som finns i dessa böcker. Dela upp mĂ„naden i tvĂ„ delar, genom att utföra övningstester och fĂ„ en uppfattning om vilka frĂ„gor ni Ă€r starka i, och var ni behöver förbĂ€ttra er.
Jag vill framhÀva följande huvudÀmnesomrÄden, som provet bestÄr av (inte utbildningskursen, eftersom den tÀcker mycket mer omfattande Àmnen):
- Fysisk sĂ€kerhet: precis som i andra certifieringsprov fĂ„r denna frĂ„ga i GICSP mycket uppmĂ€rksamhet. FrĂ„gor om olika typer av fysiska lĂ„s pĂ„ dörrar förekommer, liksom situationer med förfalskade elektroniska ID-kort, dĂ€r man mĂ„ste ge svar pĂ„ entydig identifiering av problemet. Det finns frĂ„gor som direkt rör sĂ€kerheten i teknologin (processen) beroende pĂ„ Ă€mnesomrĂ„det â olja och gas, kĂ€rnkraftverk eller elkraftsystem. Till exempel kan det komma en frĂ„ga som: Vilken typ av fysisk sĂ€kerhetskontroll utgörs av situationen nĂ€r ett larm frĂ„n temperatursensorn kommer in pĂ„ HMI? Eller en frĂ„ga som: Vilken situation (hĂ€ndelse) skulle leda till att man genomför en analys av videoinspelningarna frĂ„n övervakningskamerorna i det perimeter-sĂ€kerhetssystemet?
I procentuell andel skulle jag sÀga att antalet frÄgor kring detta avsnitt pÄ mitt prov och i provtesterna inte översteg 5%.
- En annan av de mest omfattande kategorierna av frÄgor handlar om DCS, PLC, SCADA: hÀr Àr det nödvÀndigt att systematiskt gÄ tillvÀga i studierna av material om hur system för styrning av teknologiska processer fungerar, frÄn sensorer till servrar dÀr den applicerade programvaran körs. Ett betydande antal frÄgor kommer att handla om varianter av industriella datakommunikationsprotokoll (ModBus, RTU, Profibus, HART m.fl.). Det kommer att finnas frÄgor om vad som skiljer RTU frÄn PLC, hur man skyddar data i PLC frÄn modifiering av en angripare, i vilka minnessegment PLC lagrar data och var sjÀlva logiken (programmet skrivet av en DCS-programmerare) lagras. Till exempel kan det komma en frÄga av detta slag: Ge svar pÄ hur man kan upptÀcka en attack mellan PLC och HMI som arbetar enligt ModBus-protokollet?
FrĂ„gor om skillnaderna mellan SCADA och DCS kommer att förekomma. Ett stort antal frĂ„gor kommer att handla om regler för nĂ€tverksdelning i DCS pĂ„ nivĂ„ L1 och L2 frĂ„n nivĂ„ L3 (jag kommer att beskriva detta mer i detalj i avsnittet om nĂ€tverksfrĂ„gor). Situationsbaserade frĂ„gor inom detta Ă€mne kommer ocksĂ„ att vara mycket varierade â de beskriver en situation i kontrollrummet och man mĂ„ste vĂ€lja de Ă„tgĂ€rder som ska utföras av processoperatören eller kontrollant.
Generellt sett Àr detta avsnitt det mest specifika och snÀva. Det kommer att krÀva goda kunskaper frÄn dig:
â APSU, fĂ€ltavsnittet (sensorer, typer av enhetskopplingar, sensorers fysiska egenskaper, PLC, RTU);
â system för nödstopp (ESD â emergency shutdown system) av processer och objekt (faktiskt finns det en utmĂ€rkt serie artiklar om detta Ă€mne pĂ„ )
â grundlĂ€ggande förstĂ„else för de fysiska processer som förekommer, till exempel inom olje- och gasraffinering, elproduktion, rörledningar etc.;
â förstĂ„else för konstruktionen av DCS- och SCADA-system;
Jag skulle pĂ„peka att sĂ„dana frĂ„gor kan utgöra upp till 25% av de 115 frĂ„gorna pĂ„ provet. - NĂ€tverksteknologier och nĂ€tverkssĂ€kerhet: Jag tror att antalet frĂ„gor inom detta Ă€mne Ă€r det största i provet. Det kommer förmodligen att finnas allt â OSI-modellen, pĂ„ vilka nivĂ„er olika protokoll fungerar, mĂ„nga frĂ„gor om nĂ€tverkssegmentering, situationsfrĂ„gor om nĂ€tverksattacker, exempel pĂ„ loggar av anslutningar med förslag att identifiera typen av attack, exempel pĂ„ switchkonfigurationer med förslag att identifiera en sĂ„rbar konfiguration, frĂ„gor om sĂ„rbarheter i nĂ€tverksprotokoll, frĂ„gor om specifika nĂ€tverkskopplingar av industriella kommunikationsprotokoll. Det frĂ„gas sĂ€rskilt mycket om ModBus. Strukturen för nĂ€tverkspaket av samma ModBus beroende pĂ„ dess sort och versionerna som stöds av enheten. Mycket fokus lĂ€ggs pĂ„ attacker mot trĂ„dlösa nĂ€tverk â ZigBee, Wireless HART, samt frĂ„gor om nĂ€tverkssĂ€kerhet inom hela familjen 802.1x. Det kommer att finnas frĂ„gor om regler för placering av olika servrar i nĂ€tverket för automatiserade styrsystem (hĂ€r behöver man lĂ€sa standarden IEC-62443 och förstĂ„ principerna för referensmodeller för automatiserade styrsystem). Det kommer att dyka upp frĂ„gor om Purdue-modellen.
- Kategori av frÄgor som uteslutande rör de funktionella egenskaperna hos kraftöverföringssystem och informationssÀkerhetssystem för dessa. I USA kallas denna kategori av SCADA-system för Power Grid och har en sÀrskild roll. För detta slÀpps till och med sÀrskilda standarder (NIST 800.82) som reglerar tillvÀgagÄngssÀttet för att skapa informationssÀkerhetssystem för denna sektor. I vÄra lÀnder begrÀnsas denna sektor oftast till mÀt- och kontrollsystem (korrigera mig om nÄgon har stött pÄ en mer seriös metod för kontroll av eldistribution och leveranssystem). I examen kommer du att stöta pÄ ganska specifika frÄgor som rör Power Grid. I de flesta fall handlade det om anvÀndningsfall för en specifik situation som uppstod pÄ en kraftverk, men det kan ocksÄ stÀllas frÄgor om enheter som anvÀnds just i Power Grid. FrÄgor kommer att rikta sig mot kunskap om NIST-sektionerna för denna kategori av system.
- FrÄgor som rör kunskap om standarder: NIST 800-82, NERC, IEC62443. Jag tror att det hÀr behöver inga sÀrskilda förklaringar - man mÄste orientera sig i standardernas avsnitt, vad varje avsnitt ansvarar för och vilka rekommendationer de innehÄller. Det dyker upp specifika frÄgor, till exempel om frekvensen av systemfunktionalitetskontroll, frekvensen för proceduruppdateringar osv. Procentuellt kan sÄdana frÄgor utgöra upp till 15% av det totala antalet frÄgor. Men hÀr Àr det beroende av tur. PÄ tvÄ övningstester stötte jag pÄ bara ett par sÄdana frÄgor. Men pÄ examen fanns det faktiskt mÄnga av dem.
- Den sista kategorin av frÄgor handlar om olika typer av anvÀndningsfall och situationsfrÄgor.
Ăverlag var sjĂ€lva trĂ€ningen, med undantag för CTF NetWars, inte sĂ€rskilt informativ för mig nĂ€r det gĂ€ller att fĂ„ potentiellt ny kunskap. IstĂ€llet fick jag en djupare förstĂ„else för vissa Ă€mnen, sĂ€rskilt inom organiseringen och skyddet av radiosystem som anvĂ€nds för att överföra teknisk information, samt ett mer strukturerat material om internationella standarder relaterade till detta Ă€mne. DĂ€rför, för ingenjörer och specialister som har tillrĂ€ckliga kunskaper och erfarenheter inom automatisering och styrsystem/Process Control eller industriella nĂ€tverk â kan det vara vĂ€rt att övervĂ€ga att spara pengar pĂ„ trĂ€ningen (vilket kan vara klokt), förbereda sig sjĂ€lva och gĂ„ direkt till certifieringstestet, som för övrigt kostar 700 USD. Vid ett misslyckande mĂ„ste du betala igen. Det finns gott om certifieringscenter som accepterar dig för provet, det viktigaste Ă€r att ansöka i förvĂ€g. Jag rekommenderar faktiskt att du direkt sĂ€tter ett datum för provet, eftersom om du inte gör det kommer du stĂ€ndigt att skjuta upp det, och ersĂ€tta förberedelseprocessen med andra livsviktiga och mindre viktiga saker. Med ett konkret deadline-datum kommer du att vara sjĂ€lvmotiverad.
KĂ€lla: habr.com
