सूचना सुरक्षा - आपको एक अच्छी सूचना सुरक्षा विशेषज्ञ के रूप में क्या जानने और सक्षम होने की आवश्यकता है?

वास्तव में, साइबर सुरक्षा विशेषज्ञ धन, डेटा और कंपनियों, अपने कर्मचारियों और उपयोगकर्ताओं की प्रतिष्ठा की रक्षा करते हैं। गर्व करने के लिए कुछ है। फिर भी, इंटरनेट स्पेस में हमारी सुरक्षा की रक्षा करने वालों के बारे में इतना कुछ नहीं पता है क्योंकि वे उन डेवलपर्स के बारे में हैं जिनके बारे में वे बात कर रहे हैं और उनके बारे में लिख रहे हैं। किसी ने एक एप्लिकेशन या गेम लिखा है जो निर्माता की लोकप्रियता और पैसा लाया है, किसी और ने एक क्रिप्टोक्यूरेंसी प्लेटफॉर्म विकसित किया है कि क्रिप्टोक्यूरेंसी एक्सचेंजों ने ध्यान आकर्षित किया। "सूचना सुरक्षा" का काम prying आँखों से छिपा हुआ है।

फिर भी, यह प्रोग्रामर के काम से कम महत्वपूर्ण नहीं है, क्योंकि उनके उत्पाद कुछ हद तक लोकप्रिय हो रहे हैं साइबर स्पेस विशेषज्ञों के समन्वित कार्य के कारण। यह लेख इस बारे में बताता है कि पेशा क्या है और जब आप सूचना सुरक्षा के रूप में अपनी यात्रा शुरू करते हैं तो आप क्या कर सकते हैं। GeekBrains फैकल्टी ऑफ इंफ़ॉर्मेशन सिक्योरिटी (IS) के एक लेक्चरर विक्टर चैप्लगिन ने इस कठिन विषय को समझने में मदद की।

---

कौन खुद को सूचना सुरक्षा विशेषज्ञ कह सकता है?

जैसा कि कई अन्य तकनीकी विशिष्टताओं में, सूचना सुरक्षा विशेषज्ञ में - एक जिसके पास एक महत्वपूर्ण तकनीकी पृष्ठभूमि है। ऐसे व्यक्ति को विभिन्न तकनीकों (जो हम नीचे बात करेंगे) के साथ व्यावहारिक कार्य में ठोस अनुभव होना चाहिए, लेकिन सैद्धांतिक प्रशिक्षण भी शीर्ष पर होना चाहिए। प्लस, और यह कुछ ऐसा है जो अधिकांश अन्य विशिष्टताओं में नहीं पाया जाता है - यह अनुपालन में अच्छी तरह से वाकिफ होना चाहिए, अर्थात। सामान्य रूप से सूचना सुरक्षा और सूचना सुरक्षा के क्षेत्र के कानूनी मानदंडों और आवश्यकताओं को जानें।

साइबरसिटी पर एक अच्छा विशेषज्ञ एक अभ्यासी है जो जानता है कि एक हमलावर कितना सोचता है और साइबर क्रिमिनल किन टूल्स का उपयोग कर सकता है। सभी तकनीकों और हमले वाले वैक्टरों में से, लगभग 80% विशेषज्ञों के लिए जाने जाते हैं, जो मौजूदा बचाव का उपयोग करके उनके साथ सफलतापूर्वक व्यवहार करना संभव बनाता है। 20% शून्य-दिन की भेद्यताएं, नए आविष्कृत हैकिंग के तरीके आदि हैं। एक पेशेवर को हमेशा समय पर प्रतिक्रिया करने के लिए अलर्ट पर होना चाहिए।

---

सूचना सुरक्षा में सबसे महत्वपूर्ण विशेषता

कई संभावित उत्तर हैं, क्योंकि विशिष्टताओं को विभिन्न प्रकारों और किस्मों में विभाजित किया जा सकता है। इसके अलावा, कोई लंबे समय तक तर्क दे सकता है कि सूचना सुरक्षा के कौन से क्षेत्र सभी के लिए सबसे महत्वपूर्ण हैं। इसलिए, हम कार्य के तीन महत्वपूर्ण क्षेत्रों का एक व्यक्तिपरक आवंटन करते हैं:

Pentester। हम अनुप्रयोगों की दुनिया में रहते हैं, वे हर जगह हैं - एक स्मार्टफोन, लैपटॉप, अस्पताल और यहां तक ​​कि रेफ्रिजरेटर में भी। दुर्भाग्य से, सभी सॉफ्टवेयर डेवलपर्स के पास सूचना सुरक्षा में कम या ज्यादा उन्नत कौशल नहीं हैं। और यदि ऐसा है, तो बातचीत में भेद्यता उत्पन्न हो सकती है, उदाहरण के लिए, बैकएंड के साथ एप्लिकेशन का फ्रंटेंड। लिखित कोड में त्रुटियां हो सकती हैं। एक विशेषज्ञ जो आपको बता सकता है कि किसी एप्लिकेशन या सेवा को हैकिंग से कैसे बचाया जाए, एक बहुत ही मूल्यवान विशेषज्ञ है।

प्रवेश परीक्षक अनिवार्य रूप से एक सफेद हैकर है। इसका कार्य वेबसाइटों, मोबाइल एप्लिकेशन, सॉफ़्टवेयर प्लेटफ़ॉर्म आदि की सुरक्षा का अध्ययन करना है। हमलावरों के विपरीत, जिन्हें उनकी गतिविधियों के लिए दंडित किया जाता है, पंचों को कमजोरियों का पता लगाने के लिए बोनस मिलता है। पेन्टिस्टर्स के बीच फ्रीलांसर हैं - ये अक्सर बग बाउंटी शिकारी होते हैं, कंपनी द्वारा इसकी सेवा या अनुप्रयोग में कमजोरियों का पता लगाने के लिए दिए जाने वाले पुरस्कार। वैसे, GeekBrains के सूचना सुरक्षा संकाय तैयार करता है, जिसमें पेंटेस्टर्स भी शामिल हैं। हम कुछ छात्रों की सफलताओं के बारे में एक अलग लेख प्रकाशित करने की योजना बना रहे हैं।

सुरक्षित अनुप्रयोग विकास में विशेषज्ञ। ऐसा विशेषज्ञ अब केवल अपने स्वयं के डिजाइन के ऑफ-द-शेल्फ उपकरण या टूल का उपयोग करके संभावित कमजोरियों की तलाश में नहीं है। वह विभिन्न प्रोग्रामिंग भाषाओं में लिखे गए परियोजनाओं के कोड को समझने में सक्षम है, विशिष्ट कोड त्रुटियों की पहचान करता है और डेवलपर्स को उनकी उपस्थिति का संकेत देता है। अपने काम में, विशेषज्ञ विभिन्न उपकरणों का उपयोग करता है, स्थिर और गतिशील कोड विश्लेषण का उपयोग करता है, विभिन्न उपकरणों को जानता है और विकास टीम के लिए एक विशेषज्ञ के रूप में कार्य करने में सक्षम है। वह डेवलपर्स को संभावित रूप से संवेदनशील टुकड़ों को इंगित कर सकता है, जिन्हें फिर से लिखना होगा।

सूचना सुरक्षा विशेषज्ञ। यहां हम उन पेशेवरों के बारे में बात कर रहे हैं जो सूचना सुरक्षा के 2-3 क्षेत्रों के विशेषज्ञ हो सकते हैं और 4-5 संबंधित क्षेत्रों में अच्छी तरह से वाकिफ हैं। ऐसे पेशेवर विशेषज्ञता में गोता लगा सकते हैं और जटिल उच्च-लोड परियोजनाओं के सलाहकार या आर्किटेक्ट के रूप में कार्य कर सकते हैं।

---

अच्छा, अच्छा विशेषज्ञ बनने में कितना समय लगता है?

घटनाओं के विकास के लिए दो विकल्प हैं। यदि, उदाहरण के लिए, एक पत्रकार जिसने पहले यात्रा के बारे में लिखा था, उसे सूचना सुरक्षा मिली, तो उसे जूनियर स्तर तक पहुंचने के लिए लगभग डेढ़ साल का समय चाहिए। यह प्रदान किया जाता है कि यदि आप सप्ताह में 5-7 घंटे संलग्न करते हैं, तो उद्देश्यपूर्ण रूप से कुछ विषयों का अध्ययन करें।

लेकिन अगर, उदाहरण के लिए, एक सिस्टम एडमिनिस्ट्रेटर ने एक इन्फोबेस करने का फैसला किया, तो उसे बहुत कम समय की आवश्यकता होगी। वह पहले से ही जानता है कि वह क्या और कैसे काम करता है, नए ज्ञान और अभ्यास को लागू करने के लिए एक ठोस आधार पर रहता है (इसकी दृढ़ता अनुभव और कार्य के समय पर निर्भर करती है)। उपरोक्त उल्लिखित प्रशिक्षण शर्तों के तहत - सप्ताह में 5-7 घंटे, तकनीकी विशेषज्ञ के पास सूचना सुरक्षा या उससे भी उच्च स्तर तक जूनियर स्तर तक पहुंचने के लिए लगभग छह महीने होंगे।

किसी भी मामले में, अंतर्राष्ट्रीय प्रथाओं का अध्ययन करने की सिफारिश की जाती है, उदाहरण के लिए, आईएसओ / आईईसी 27000 के साथ - अंतर्राष्ट्रीय मानकों की एक श्रृंखला जिसमें अंतर्राष्ट्रीय मानकीकरण संगठन (आईएसओ) और अंतर्राष्ट्रीय इलेक्ट्रोटेक्निकल कमीशन (आईईसी) द्वारा संयुक्त रूप से प्रकाशित सूचना सुरक्षा मानक शामिल हैं। इसके अलावा, सूचना सुरक्षा में सर्वोत्तम अभ्यास विभिन्न संस्थानों के मानकों में पाए जा सकते हैं। तो, गैर-लाभकारी संगठन MITER ATT & CK आपको साइबर अपराधियों के काम करने के तरीकों के बारे में विस्तृत जानकारी प्राप्त करने की अनुमति देता है - उदाहरण के लिए, वे कैसे टोही शुरू करते हैं, फिर सुरक्षा तत्वों में से एक में घुसना, घुसना और सिस्टम में तय हो जाना। MITER ATT और CK फ्रेमवर्क में विस्तार से वर्णन किया गया है कि हमलावर अपने कार्य को कैसे कर सकते हैं, काउंटरमेशर्स का वर्णन कर सकते हैं या हैकिंग होने पर क्षति को कम करने के लिए प्रभावी तरीके बता सकते हैं।

हमेशा की तरह, एक "लेकिन" है। इस घटना में कि प्रशिक्षण औपचारिक रूप से किया जाता है, उदाहरण के लिए, आकलन के लिए, इससे अच्छा कुछ नहीं होगा। और अभ्यास के बिना ज्ञान किसी विशेषज्ञ को नौसिखिया नहीं बना देगा।

बेशक, स्व-अध्ययन के दौरान, छात्र सभी उपकरणों का परीक्षण नहीं कर सकते हैं, लेकिन जिन्हें आगे के काम में टाला नहीं जा सकता, उन्हें महारत हासिल है। जूनियर के लिए यह आधार काफी है।

---

और क्या उपकरण "सुरक्षा" द्वारा उपयोग किए जाते हैं?

यह सब इस बात पर निर्भर करता है कि विशेषज्ञ किस दिशा में और साथ ही अपने काम की जगह पर है - चाहे वह एक व्यावसायिक संगठन हो या राज्य। रूस की बात करें तो, सूचना सुरक्षा विशेषज्ञों को अक्सर एफएसटीईसी एफएसबी द्वारा प्रमाणित उपकरणों के साथ काम करना पड़ता है - केवल इसलिए कि सरकारी संगठनों को केवल प्रमाणित सॉफ्टवेयर और हार्डवेयर का उपयोग करना आवश्यक है। यह घरेलू एंटीवायरस, फायरवॉल, सभी प्रकार के हार्डवेयर हो सकते हैं।

वाणिज्यिक संगठनों के कर्मचारियों के लिए यह आसान है - यहां आप सिस्को, पालो ऑल्टो, अन्य अंतरराष्ट्रीय या घरेलू कंपनियों के उपकरणों के साथ काम कर सकते हैं।

सूचना सुरक्षा के लिए एक नवागंतुक को भुगतान किए गए साधनों पर जाने से पहले खुले स्रोत के उपकरणों के एक स्वतंत्र अध्ययन के साथ शुरू करना चाहिए। सॉफ़्टवेयर उत्पादों की एक विस्तृत श्रृंखला जो दैनिक काम में आवश्यक है, वे कलि लिनक्स, तोता ओएस में हैं। आपको Wireshark, SqlMap, Nmap, John Ripper और कई अन्य चीजों में महारत हासिल करने की आवश्यकता है।



दक्षताओं के लिए, नौसिखिए विशेषज्ञ के लिए सबसे आवश्यक कहा जा सकता है:

• वेब अनुप्रयोगों के ग्राहक पक्ष पर कमजोरियों की खोज, ग्राहक कमजोरियों का संरक्षण, सुरक्षा के तरीके;
• बग बाउंटी की विशेषताओं को समझते हुए, सर्वर-साइड भेद्यताओं के लिए खोज कौशल;
• वायरलेस नेटवर्क, डिवाइस नेटवर्क और उनमें सुरक्षा सुनिश्चित करने के तरीके के हैकिंग कौशल;
• रिवर्स एप्लिकेशन, द्विआधारी कमजोरियों की खोज और शोषण का कौशल। क्रिप्टोग्राफिक प्रोटोकॉल की मूल बातें।

वैसे, "हैबर" पर 2016 में पेंटेस्टर्स के कर्तव्यों और आवश्यकताओं की औसत सूची प्रकाशित की गई थी ।

कर्तव्यों:

• कंपनी के सूचना वातावरण और सॉफ्टवेयर उत्पादों का परीक्षण;
• गलती सहिष्णुता के लिए सूचना प्रणाली का परीक्षण;
• सूचना प्रणालियों का महत्वपूर्ण विश्लेषण;
• OWASP TOP 10 वर्गीकरण के अनुसार वर्तमान खतरों की पहचान, प्रतिपूरक उपायों का विकास;
• पेनेट्रेशन परीक्षण;
• सॉफ्टवेयर स्रोत कोड का सुरक्षा विश्लेषण।

आवश्यकताएँ:

• सिस्टम की कमजोरियों की पहचान करने में अनुभव;
• बर्प सूट, हाइड्रा के साथ अनुभव;
• अनुभव SQLMap, OpenVAS, Metasploit फ्रेमवर्क, Fortify, AppScan;
• अनुभव Acunetix, w3af, X-Spider, Max-Patrol, Nmap;
• वेब अनुप्रयोगों के निर्माण और संचालन के सिद्धांतों का ज्ञान;
• OWASP शीर्ष 10 में सूचीबद्ध वेब अनुप्रयोगों के विशिष्ट खतरों और कमजोरियों का ज्ञान;
• वेब एप्लिकेशन सुरक्षा के मैनुअल और स्वचालित परीक्षण के कौशल;
• प्रवेश परीक्षण का अनुभव
• आईटी और सूचना सुरक्षा प्रणालियों के ऑडिटिंग का अनुभव।

जैसा कि आप देख सकते हैं, सूची काफी व्यापक है, और यह बहुत बड़ा हो सकता है। लेकिन आपको डर नहीं होना चाहिए - एक नियम के रूप में, संभावित नियोक्ता श्रम बाजार की अधिकतम "मात्रा" को कवर करना चाहता है, उसके पास रिक्ति के साथ परिचित होने के चरण में सभी संभावित उम्मीदवारों को "बंद" भेजने का काम नहीं है। आप यह जान सकते हैं कि 3-5 वास्तविक नौकरी के उद्घाटन को पढ़कर नियोक्ता को क्या चाहिए।

यहां कुछ उदाहरण दिए गए हैं - माय सर्कल सेवा पर वास्तविक नौकरियां।

---

सुरक्षा विशेषज्ञ को कितना मिलता है?

वेतन का प्रसार काफी बड़ा है, हमेशा की तरह, यह सब क्षेत्र और विशेषता पर निर्भर करता है। लेकिन एक सूचना सुरक्षा विशेषज्ञ का वेतन अब सभ्य है, और इसका आकार धीरे-धीरे बढ़ रहा है। अधिकांश विकास सूचना सुरक्षा के क्षेत्र में कर्मियों "भूख" के कारण होता है।

विशेषज्ञों के वेतन के स्तर को समझने के लिए, यह मेरा सर्कल वेतन कैलकुलेटर के डेटा के साथ खुद को परिचित करने के लायक है।



जूनियर इंटर्न 35 हजार रूबल की सीमा के लिए आशा कर सकते हैं। 60-70 हजार तक।

मध्य के लिए औसत स्तर 60-70 हजार से 80 हजार रूबल तक है। वैसे, एक पंचर 100 हजार के वेतन पर भरोसा कर सकता है, अगर वास्तविक काम में कम से कम अनुभव और अच्छी तैयारी हो।

आगे "सार्वभौमिक सैनिक" आते हैं जो प्रोग्रामिंग भाषा जानते हैं, स्क्रिप्ट लिख सकते हैं, और संबंधित क्षेत्रों में ज्ञान रख सकते हैं। उनका वेतन 100 हजार से शुरू होता है और 300-500 हजार रूबल तक पहुंच सकता है। लेकिन बाजार पर ऐसे कई ऑफ़र नहीं हैं, साथ ही समान स्तर की मजदूरी प्राप्त करने के लिए, आपको एक बहुत, बहुत अच्छा विशेषज्ञ होने की आवश्यकता है। कई कंपनियां विशेषज्ञता के लिए भुगतान करने को तैयार हैं।

सामान्य तौर पर, मास्को, सेंट पीटर्सबर्ग और नोवोसिबिर्स्क जैसे शहरों में, आप 60-120 हजार रूबल की गिनती कर सकते हैं।

लेख को छोड़कर, यह कहने योग्य है कि सूचना सुरक्षा आईटी बाजार का एक प्राथमिकता क्षेत्र है। स्वचालन उपकरण, कृत्रिम बुद्धि प्रौद्योगिकियों की स्पष्ट प्रगति के बावजूद, एक व्यक्ति अभी भी सूचना सुरक्षा के मामले में सबसे आगे है। हमेशा अच्छे विशेषज्ञों की मांग होती है, और जैसा कि सूचना सुरक्षा क्षेत्र में कर्मचारियों की कमी बढ़ जाती है, प्रस्ताव अधिक से अधिक दिलचस्प हो जाते हैं।