कैसे Cossacks GICSP प्रमाणपत्र प्राप्त किया

सभी को नमस्कार! सभी के प्रिय पोर्टल पर सूचना सुरक्षा के क्षेत्र में प्रमाणीकरण पर बहुत सारे लेख थे, इसलिए मैं सामग्री की मौलिकता और मौलिकता का दावा नहीं करने वाला था, लेकिन मैं औद्योगिक साइबर सुरक्षा के क्षेत्र में GIAC (ग्लोबल इंफॉर्मेशन एश्योरेंस कंपनी) प्रमाणन प्राप्त करने के अपने अनुभव को साझा करना बहुत पसंद करूंगा। स्टक्सनेट , ड्यूक , शमून, ट्राइटन जैसे डरावने शब्दों के आगमन के बाद से, एक बाजार धीरे-धीरे विशेषज्ञ सेवाओं के प्रावधान के लिए उभरा है जो आईटी लगते हैं, लेकिन वे पीएलसी को लोड को फिर से लिखने के साथ ओवरलोड को भी लोड कर सकते हैं और संयंत्र को रोका नहीं जा सकता है।

तो आईटी और ओटी (सूचना प्रौद्योगिकी और संचालन प्रौद्योगिकी) की अवधारणा दुनिया में आई।

इसके तुरंत बाद, (यह स्पष्ट है कि अयोग्य कर्मियों को काम करने की अनुमति नहीं दी जानी चाहिए), प्रक्रिया नियंत्रण प्रणाली, औद्योगिक प्रणालियों की सुरक्षा सुनिश्चित करने के क्षेत्र में विशेषज्ञों को प्रमाणित करने की आवश्यकता थी - जो कि, यह पता चला है, हमारे जीवन में अपार्टमेंट में स्वचालित पानी की आपूर्ति वाल्व से लेकर नियंत्रण प्रणाली तक बहुत कुछ है। हवाई जहाज ( बोइंग समस्याओं की जांच के बारे में एक महान लेख याद रखें)। और यहां तक ​​कि, जैसा कि यह अचानक निकला - परिष्कृत चिकित्सा उपकरण।

थोड़ा गीत जैसा कि मुझे प्रमाणन प्राप्त करने की आवश्यकता थी (आप छोड़ सकते हैं): 2000 के दशक के अंत में सूचना सुरक्षा संकाय में सुरक्षित रूप से अध्ययन करने के बाद, मैंने गर्व से अपने सिर को इंस्ट्रूमेंट-कंट्रोल भेड़ के रैंक तक बढ़ा दिया, जो निम्न-वर्तमान अलार्म सिस्टम के लिए मैकेनिक के रूप में काम कर रहा था। ऐसा लगता है कि IS ने मुझे उस समय उद्यम में कहा था :) इसलिए ACS विशेषज्ञ के रूप में मेरा करियर सूचना सुरक्षा में स्नातक की डिग्री के साथ शुरू हुआ। छह साल बाद, SCADA सिस्टम विभाग के प्रमुख के लिए उठने के बाद, मैंने एक विदेशी सॉफ्टवेयर और हार्डवेयर विक्रेता कंपनी में औद्योगिक नियंत्रण प्रणालियों की सुरक्षा पर एक सलाहकार के रूप में काम करना छोड़ दिया। यह वह जगह है जहाँ प्रमाणित सूचना सुरक्षा विशेषज्ञ बनने की आवश्यकता है।

जीआईएसी एसएनएस संगठन का एक विकास है जो सूचना सुरक्षा विशेषज्ञों का प्रशिक्षण और प्रमाणन प्रदान करता है। EMAC, US, एशिया प्रशांत के बाजारों में विशेषज्ञों और ग्राहकों के बीच GIAC से प्रमाण पत्र की प्रतिष्ठा बहुत अधिक है। हमारे देश में, सोवियत के बाद के अंतरिक्ष में और सीआईएस देशों में, इस तरह के एक प्रमाण पत्र केवल विदेशी कंपनियों द्वारा अनुरोध किया जा सकता है जिनके पास हमारे देशों, अंतर्राष्ट्रीय और परामर्श एजेंसियों में व्यवसाय है। निजी तौर पर, मैं घरेलू कंपनियों से इस तरह के प्रमाणन के लिए अनुरोध नहीं किया है। सभी मूल रूप से CISSP का अनुरोध करते हैं। यह मेरी व्यक्तिपरक राय है, और यदि कोई टिप्पणी में अपना अनुभव साझा करता है, तो यह जानना दिलचस्प होगा।

SANS के पास काफी अलग दिशाएँ हैं (मेरी राय में, हाल ही में लोगों ने अपनी संख्या का बहुत विस्तार किया है), लेकिन बहुत ही दिलचस्प व्यावहारिक पाठ्यक्रम भी हैं। मुझे नेटवेर्स विशेष रूप से पसंद हैं। लेकिन कहानी ICS410 पाठ्यक्रम के बारे में होगी: ICS / SCADA सुरक्षा अनिवार्य और एक प्रमाण पत्र: Global Industrial Cyber ​​Security Professional (GICSP) ।

सभी प्रकार के औद्योगिक साइबर सुरक्षा प्रमाणपत्रों की पेशकश, यह सबसे बहुमुखी है। चूंकि दूसरा पावर ग्रिड सिस्टम से अधिक संबंधित है, जो पश्चिम में विशेष ध्यान दिया जाता है और सिस्टम के एक अलग वर्ग से संबंधित है। और तीसरा (मेरे प्रमाणन पथ के समय) हादसा प्रतिक्रिया से संबंधित।
यह पाठ्यक्रम सस्ता नहीं है, लेकिन यह आईटी और ओटी को काफी व्यापक ज्ञान प्रदान करता है। यह विशेष रूप से उन कामरेडों के लिए उपयोगी होगा जिन्होंने बैंकिंग क्षेत्र में आईटी सुरक्षा से लेकर औद्योगिक साइबर सुरक्षा तक अपने क्षेत्र को बदलने का फैसला किया। चूंकि मेरे पास पहले से ही प्रोसेस कंट्रोल सिस्टम, इंस्ट्रूमेंटेशन और ऑपरेशन टेक्नोलॉजी के क्षेत्र में एक पृष्ठभूमि थी, इसलिए मेरे लिए इस पाठ्यक्रम में कोई नया या महत्वपूर्ण नहीं था।

पाठ्यक्रम में 50% सिद्धांत और 50% अभ्यास शामिल हैं। अभ्यास से, सबसे दिलचस्प प्रतियोगिता थी - नेटवर्र्स। दो दिनों के लिए, कक्षाओं के मुख्य पाठ्यक्रम के बाद, सभी वर्गों के सभी छात्रों को टीमों में विभाजित किया गया था और एक्सेस अधिकार प्राप्त करने, आवश्यक जानकारी निकालने, नेटवर्क तक पहुंच प्राप्त करने, हैश को बढ़ावा देने के लिए कार्यों का एक गुच्छा, विंडसर के साथ काम करना और विभिन्न प्रकार के उपहारों के सभी प्रकार के कार्यों का प्रदर्शन किया।

पाठ्यक्रम सामग्री को पुस्तकों के रूप में संक्षेपित किया जाता है, जिसे आप तब अपने सतत उपयोग के लिए प्राप्त करते हैं। वैसे, उन्हें परीक्षा के लिए ओपन बुक फॉर्मेट के रूप में भी लिया जा सकता है, लेकिन वे वहां आपकी थोड़ी मदद करेंगे, क्योंकि परीक्षा में 3 घंटे, 115 प्रश्न हैं, डिलीवरी की भाषा अंग्रेजी है। सभी 3 घंटे के लिए आप 15 मिनट का ब्रेक ले सकते हैं। लेकिन ध्यान रखें कि 15 मिनट का ब्रेक लेना और 5 के बाद परीक्षण में वापस आना - आप बस शेष दस मिनट देते हैं, क्योंकि परीक्षण कार्यक्रम में समय को रोकना नहीं होगा। आप 15 प्रश्नों को छोड़ सकते हैं, जो तब बहुत अंत में दिखाई देते हैं।

व्यक्तिगत रूप से, मैं बाद के लिए बहुत सारे प्रश्नों को छोड़ने की सलाह नहीं देता, क्योंकि 3 बजे का समय वास्तव में कम होता है, और जब अंत में आपके पास अभी भी अनसुलझे मुद्दे सामने आते हैं, यानी विफलता की उच्च संभावना है। मैंने "बाद के लिए" केवल तीन प्रश्न छोड़े जो मेरे लिए वास्तव में कठिन थे क्योंकि वे एनआईएसटी 800.82 और एनईआरसी मानकों के ज्ञान से संबंधित थे। मनोवैज्ञानिक रूप से, ऐसे प्रश्न "बाद के लिए" बहुत अंत में नसों होते हैं - जब आपका मस्तिष्क थका हुआ होता है, तो आप शौचालय जाना चाहते हैं, स्क्रीन पर टाइमर तेजी से तेज हो रहा है।

सामान्य तौर पर, परीक्षण को पास करने के लिए आपको सही उत्तरों का 71% स्कोर करना होगा। परीक्षा उत्तीर्ण करने से पहले, आपके पास वास्तविक परीक्षण का अभ्यास करने का अवसर होगा - क्योंकि मूल्य में 115 प्रश्नों के साथ 2 अभ्यास परीक्षण शामिल हैं और वास्तविक परीक्षा के समान ही स्थितियां हैं।

मैं प्रशिक्षण के एक महीने बाद परीक्षा देने की सलाह देता हूं, इस महीने उन मुद्दों पर व्यवस्थित स्वतंत्र अध्ययन पर खर्च करता हूं - जिसमें आप असुरक्षित महसूस करते हैं। यह अच्छा होगा यदि आप पाठ्यक्रम पर प्राप्त मुद्रित सामग्री लेते हैं, जो प्रत्येक विषय पर संक्षिप्त सार की तरह दिखते हैं - और आप इन पुस्तकों में निहित विषयों पर जानकारी के लिए उद्देश्यपूर्ण रूप से खोज करेंगे। परीक्षण परीक्षण करके महीने को दो भागों में तोड़ें और आप जिन मुद्दों पर मजबूत हैं और जहां आपको पकड़ना है, उनकी अनुमानित तस्वीर प्राप्त करना।

मैं निम्नलिखित मुख्य क्षेत्रों को उजागर करना चाहूंगा जिनमें परीक्षा स्वयं शामिल है (प्रशिक्षण पाठ्यक्रम नहीं, क्योंकि इसमें बहुत अधिक व्यापक विषय शामिल हैं):

1. शारीरिक सुरक्षा: अन्य प्रमाणन परीक्षाओं की तरह, GICSP इस मुद्दे पर बहुत ध्यान देता है। दरवाजों पर भौतिक ताले के प्रकार के बारे में सवाल हैं, इलेक्ट्रॉनिक पास के मिथ्याकरण के साथ स्थितियों का वर्णन किया गया है, जहां आपको समस्या की स्पष्ट पहचान करके जवाब देने की आवश्यकता है। सीधे विषय क्षेत्र के आधार पर प्रौद्योगिकी (प्रक्रिया) की सुरक्षा से संबंधित प्रश्न हैं - तेल और गैस प्रक्रिया, परमाणु संयंत्र या पावर ग्रिड। उदाहरण के लिए, प्रश्न का प्रकार हो सकता है: निर्धारित करें कि एचएमआई पर स्टीम तापमान संवेदक से अलार्म आने पर स्थिति किस प्रकार की भौतिक सुरक्षा नियंत्रण है? या फॉर्म का एक प्रश्न: किसी वस्तु की परिधि सुरक्षा प्रणाली के निगरानी कैमरों से वीडियो रिकॉर्डिंग का विश्लेषण करने के लिए क्या स्थिति (घटना) एक कारण के रूप में काम करेगी?
   
   प्रतिशत के संदर्भ में, मैं यह नोट करूंगा कि मेरी परीक्षा में और परीक्षण परीक्षणों में इस भाग के प्रश्नों की संख्या 5% से अधिक नहीं थी।
2. अन्य और सबसे व्यापक श्रेणियों में से एक प्रक्रिया नियंत्रण प्रणाली, पीएलसी, SCADA के बारे में प्रश्न हैं: यहां यह आवश्यक है कि सेंसर से सर्वरों के लिए, जहां अनुप्रयोग सॉफ्टवेयर स्वयं काम करता है, वहां प्रक्रिया नियंत्रण प्रणाली की व्यवस्था के लिए सामग्री के अध्ययन के लिए व्यवस्थित रूप से संपर्क करना आवश्यक है। औद्योगिक डेटा ट्रांसफर प्रोटोकॉल (मोडबस, आरटीयू, प्रोफिबस, हार्ट, आदि) की किस्मों पर पर्याप्त संख्या में प्रश्नों का सामना करना पड़ेगा। आरटीयू पीएलसी से अलग कैसे होता है, हमलावर द्वारा संशोधन में पीएलसी में डेटा की सुरक्षा कैसे करें, मेमोरी पीएलसी मेमोरी के किन हिस्सों में डेटा संग्रहीत करता है, और जहां तर्क स्वयं संग्रहीत है (नियंत्रण प्रणाली प्रोग्रामर द्वारा लिखित एक प्रोग्राम)। उदाहरण के लिए, इस प्रकार का एक सवाल हो सकता है: एक उत्तर देने के लिए, पीएलसी और एचएमआई के बीच एक हमले का पता कैसे लगाया जा सकता है जो मोडबस प्रोटोकॉल पर काम करता है?
   
   SCADA सिस्टम और DCS के बीच अंतर के बारे में प्रश्न होंगे। एल 3 स्तर से एल 1, एल 2 स्तर पर नियंत्रण प्रणाली नेटवर्क को भेद करने के नियमों पर बड़ी संख्या में प्रश्न (मैं नेटवर्क पर प्रश्नों के साथ अनुभाग में अधिक विस्तार से वर्णन करूंगा)। इस विषय पर परिस्थितिजन्य प्रश्न भी बहुत विषम होंगे - वे नियंत्रण कक्ष में स्थिति का वर्णन करते हैं और आपको उन प्रक्रियाओं का चयन करने की आवश्यकता होती है जिन्हें प्रक्रिया ऑपरेटर या डिस्पैचर द्वारा निष्पादित किया जाना चाहिए।
   
   सामान्य तौर पर, यह खंड सबसे विशिष्ट और संकीर्ण-प्रोफ़ाइल है। इसे आपसे अच्छे ज्ञान की आवश्यकता होगी:
   - स्वचालित नियंत्रण प्रणाली, फील्ड पार्ट्स (सेंसर, डिवाइस कनेक्शन के प्रकार, सेंसर की भौतिक विशेषताएं, पीएलसी, आरटीयू);
   - आपातकालीन सुरक्षा प्रणालियाँ (ESD - आपातकालीन शटडाउन प्रणाली) प्रक्रियाओं और वस्तुओं की (वैसे, इस विषय पर लेखों की एक उत्कृष्ट श्रृंखला व्लादिमीर_सक्लीर हब पर है )
   - तेल शोधन, बिजली उत्पादन, पाइपलाइनों आदि में होने वाली भौतिक प्रक्रियाओं की एक बुनियादी समझ।
   - डीसीएस और स्काडा सिस्टम की वास्तुकला की समझ;
   मैं इस बात पर ध्यान दूंगा कि परीक्षा के सभी 115 प्रश्नों में इस प्रकार के 25% तक प्रश्नों का सामना किया जा सकता है।
3. नेटवर्क प्रौद्योगिकी और नेटवर्क सुरक्षा: मुझे लगता है कि इस विषय में प्रश्नों की संख्या परीक्षा में सबसे पहले आती है। संभवतः बिल्कुल सब कुछ होगा - ओएसआई मॉडल, किस स्तर पर एक विशेष प्रोटोकॉल काम करता है, नेटवर्क विभाजन पर बहुत सारे प्रश्न, नेटवर्क हमलों पर स्थितिजन्य प्रश्न, कनेक्शन के उदाहरण हमले के प्रकार को निर्धारित करने के प्रस्ताव के साथ लॉग होते हैं, कमजोर विन्यास को निर्धारित करने के प्रस्ताव के साथ स्विच कॉन्फ़िगरेशन के उदाहरण, कमजोरियों के बारे में प्रश्न। नेटवर्क प्रोटोकॉल, औद्योगिक संचार प्रोटोकॉल के नेटवर्क कनेक्शन की बारीकियों पर सवाल। खासकर बहुत सारे लोग ModBus के बारे में पूछते हैं। एक ही मोडबस के नेटवर्क पैकेट की संरचना, इसके प्रकार और डिवाइस द्वारा समर्थित संस्करणों के आधार पर। वायरलेस नेटवर्क पर हमलों पर बहुत ध्यान दिया जाता है - ZigBee, वायरलेस HART, पूरे 802.1x परिवार की नेटवर्क सुरक्षा के बारे में बस सवाल। नियंत्रण प्रणाली नेटवर्क में इन या उन सर्वरों को रखने के नियमों पर प्रश्न होंगे (यहां आपको IEC-62443 मानक पढ़ने और नियंत्रण प्रणाली नेटवर्क के संदर्भ मॉडल के सिद्धांतों को समझने की आवश्यकता है)। पर्ड्यू मॉडल के बारे में प्रश्न होंगे।
4. मुद्दों की एक श्रेणी जो विशेष रूप से इलेक्ट्रिक पावर ट्रांसमिशन सिस्टम और उनके लिए सूचना सुरक्षा प्रणालियों के संचालन की कार्यात्मक सुविधाओं से संबंधित है। संयुक्त राज्य अमेरिका में, प्रक्रिया नियंत्रण प्रणालियों की इस श्रेणी को पावर ग्रिड कहा जाता है और इसमें एक अलग भूमिका होती है। इसके लिए, अलग मानक (NIST 800.82) भी जारी किए गए हैं जो इस क्षेत्र के लिए सूचना सुरक्षा प्रणाली बनाने के दृष्टिकोण को विनियमित करते हैं। हमारे देशों में, अधिकांश भाग के लिए, यह क्षेत्र ASKUE प्रणालियों तक सीमित है (मुझे सही करें अगर किसी ने बिजली के वितरण और वितरण प्रणालियों को नियंत्रित करने के लिए अधिक गंभीर दृष्टिकोण से मुलाकात की है)। इसलिए, परीक्षा में आप पावर ग्रिड से संबंधित काफी विशिष्ट प्रश्नों का सामना करेंगे। अधिकांश भाग के लिए, ये पावर प्लांट में प्रचलित एक विशिष्ट स्थिति के लिए उपयोग-मामले थे, लेकिन उन उपकरणों के बारे में भी पूछताछ हो सकती है जो विशेष रूप से पावर ग्रिड में उपयोग किए जाते हैं। इस श्रेणी की प्रणालियों के लिए NIST अनुभागों के ज्ञान को संबोधित करने वाले प्रश्न होंगे।
5. मानकों के ज्ञान से संबंधित प्रश्न: NIST 800-82, NERC, IEC62443। मुझे लगता है कि यहां विशेष टिप्पणियों के बिना - आपको मानकों के अनुभागों में नेविगेट करने की आवश्यकता है, जो कि क्या और किन सिफारिशों के लिए जिम्मेदार है। विशिष्ट प्रश्न हैं, उदाहरण के लिए, सिस्टम की कार्यक्षमता की जांच की आवृत्ति, प्रक्रिया को अपडेट करने की आवृत्ति आदि। ऐसे प्रश्नों के प्रतिशत के रूप में, प्रश्नों की कुल संख्या का 15% तक हो सकता है। पर फिर कितना भाग्यशाली। उदाहरण के लिए, दो परीक्षण परीक्षणों में, मैं सिर्फ इसी तरह के सवालों के एक जोड़े में आया था। लेकिन परीक्षा में, वास्तव में उनमें से बहुत सारे थे।
6. खैर, प्रश्नों की अंतिम श्रेणी सभी प्रकार के उपयोग-मामलों और स्थितिजन्य प्रश्न हैं।

सामान्य तौर पर, CTF NetWars के संभावित अपवाद के साथ ही प्रशिक्षण, संभावित रूप से नए ज्ञान प्राप्त करने के मामले में मेरे लिए बहुत जानकारीपूर्ण नहीं था। बल्कि, कुछ विषयों के गहन विवरण प्राप्त किए गए, विशेष रूप से तकनीकी जानकारी प्रसारित करने के लिए उपयोग किए जाने वाले संगठन और रेडियो नेटवर्क के संरक्षण के साथ-साथ इस विषय के लिए समर्पित विदेशी मानकों की संरचना पर अधिक सुव्यवस्थित सामग्री। इसलिए, इंजीनियरों और विशेषज्ञों के लिए, जिनके पास प्रक्रिया नियंत्रण प्रणाली / इंस्ट्रूमेंटेशन या औद्योगिक नेटवर्क के साथ पर्याप्त ज्ञान और अनुभव है - आप प्रशिक्षण पर बचत के बारे में सोच सकते हैं (और इसे बचाने के लिए समझ में आता है), अपने आप को तैयार करें और प्रमाणन परीक्षा पास करने के लिए तुरंत जाएं, जिस तरह से 700USD। असफल होने की स्थिति में, आपको फिर से भुगतान करना होगा। बहुत सारे प्रमाणन केंद्र हैं जो आपको परीक्षा में ले जाएंगे, मुख्य बात यह है कि अग्रिम में एक आवेदन जमा करना है। सामान्य तौर पर, मैं परीक्षा की तारीख तुरंत निर्धारित करने की सलाह देता हूं, क्योंकि अन्यथा आप इसे लगातार देरी करेंगे, तैयारी की प्रक्रिया को अन्य महत्वपूर्ण और बहुत महत्वपूर्ण चीजों के साथ प्रतिस्थापित नहीं करेंगे। और एक विशिष्ट समय सीमा होने पर, आप स्व-प्रेरित होंगे।