Всем привет! На всеми любимом портале было много разных статей по сертификации в области ИБ, поэтому претендовать на оригинальность и неповторимость контента не собираюсь, но все же очень хотел бы поделиться своим опытом получения GIAC (Global Information Assurance Company) сертификации в области промышленной кибербезопасности. Со времен появления таких страшных слов как Stuxnet, Duqu, Shamoon, Triton, постепенно стал формироваться рынок предоставления услуг специалистов, которые вроде как бы IT, но еще могут и ПЛК перегрузить с переписанием конфигурации на ladders и при этом завод не остановить.  Так в мир пришло понятие IT&OT (Information Technology & Operation Technology).  Следом сразу, (понятное дело, что нельзя допускать к работе неквалифицированные кадры) пришла необходимость сертифицировать специалистов в области, относящейся к обеспечению безопасности АСУТП, промышленных систем – которых, оказывается в нашей жизни стало очень много от автоматического клапана подачи воды в квартире до системы управления самолетами (вспомним прекрасную статью о расследовании проблем Boeing). И даже, как внезапно оказалось — сложного медицинского оборудования.  Небольшая лирика как я пришел к необходимости получать сертификацию (можно пропустить): Благополучно отучившись в конце нулевых на факультете защиты информации, я с гордо поднятой головой шагнул в ряды КИП-овцев, работая слесарем по слаботочным системам охранной сигнализации. Вроде как ИБ сказали мне на предприятии в то время:) Так началась моя карьера АСУ-тпшника с дипломом бакалавра по ИБ. Через шесть лет, дослужившиcь до начальника отдела SCADA систем я ушел работать консультантом по безопасности промышленных систем управления в иностранную компанию-вендора софта и оборудования. Вот тут как раз и появилась необходимость быть сертифицированным ИБ специалистом.  GIAC является разработкой SANS, организации которая занимается проведением тренингов и сертификацией специалистов по информационной безопасности. Репутация сертификата от GIAC очень высока среди специалистов и заказчиков на рынках EMEA, US, Asia Pacific. У нас, на пост советском пространстве и в странах СНГ, такой сертификат могут затребовать только зарубежные компании, имеющие бизнес в наших странах, международные и консалтинговые агенства. Лично я, никогда не сталкивался с запросом на наличие подобной сертификации от отечественных компаний. Все в основном запрашивают CISSP. Это мое субъективное мнение и если кто поделится своим опытом в комментах – будет интересно узнать. В SANS достаточно разных направлений (на мой взгляд, в последенее время ребята слишком уж расширили их количество), но есть и очень интересные практические курсы. Особенно понравился NetWars. Но рассказ пойдет о курсе ICS410: ICS/SCADA Security Essentials  и сертификате под названием: Global Industrial Cyber Security Professional (GICSP). Из всех, предлагаемых SANS видов Industrial Cyber Security сертификаций, эта явялется самой универсальной. Поскольку вторая относится в большей степени к Power Grid системам, которым на западе уделяется отдельное внимание и они относятся к обособленному классу систем. А третья (на момент моего пути сертификации) относилась к Incident Response.
Курс стоит не дешево, но дает досточно обширные знания и по IT&OT. Особенно будет полезен тем камрадам, которые решили сменить свою сферу напримет с ИТ security в банковской отрасли на Industrial Cyber Security. Поскольку у меня уже имелся бэкграунд в области АСУТП, КИП и Operation Technology, то для меня принципиально нового или жизненно важного в этом курсе не было. Курс состоит из 50% теории и 50% практики. Из практики самым интересным был контест – NetWars. На протяжении двух дней, после основного курса занятий, все студенты всех классов разбивались на команды и выполняли задачи по получению прав доступа, извлечению нужной информации, получению доступа к сети, кучей задач по раскрутке хэшей, работа с Wireshark и всякие разные плюшки.  Материал курса имеет краткое изложение в виде книг, которые потом вы получаете в свое бессрочное пользование. Кстати их же можно взять на экзамен, так как формат Open Book, но они мало чем вам там помогут, поскольку на экзамен отведено 3 часа, 115 вопросов, язык сдачи – английский. За все 3 часа можно взять перерыв на 15 минут. Но учтите, что беря перерыв на 15 минут и возвращаясь к тестам через 5 – вы просто отдаете оставшиеся десять минут, так как больше остановить время в программе тестирования не получится. Можно пропустить до 15 вопросов, которые потом появятся в самом конце.  Лично я не рекомендую оставлять на потом много вопросов, потому что времени в 3 часа действительно мало, а когда в конце у тебя вылезают еще не решенные вопросы – то есть большая вероятность неуспеть. Я оставил «на потом» лишь три вопроса, которые были для меня действительно тяжелыми, поскольку относились к знанию стандарта NIST 800.82 и NERC. Психологически такие вопросы «на потом» бьют по нервам в самом конце — когда твой мозг устал, ты хочешь в туалет, таймер на экране будто бы ускоряется в геометрической прогрессии.  В целом, чтобы пройти тестирование нужно набрать 71% правильных ответов. До сдачи экзамена у вас будет возможность потренироваться на реальных тестах – так как в стоимость входит 2 тренировочных теста по 115 вопросов и с уловиями, аналогичными реальному экзамену. Я рекомендую сдавать экзамен через месяц после прохождения тренинга, потратив данный месяц на систематические самостоятельные занятия по тем вопросам – в которых вы чувствуте неуверенность. Будет неплохо, если вы возьмете полученные на курсе печатные материалы, которые выглядят как краткие тезисы по каждой из тем – и будете целенаправленно искать информацию по топикам, которые содержатся в этих книгах. Разбейте месяц на две части, выполняя пробные тесты и получая примерную картину того – в каких вопросах вы сильны, а где нужно подтянуться.  Я бы хотел выделить следующие основные направления, из которых состоит непосредственно сам экзамен (не учебный курс, поскольку он покрывает гораздо более обширные темы): В целом, сам тренинг, за исключением наверное CTF NetWars был для меня не сильно информативным в плане приобретения потенциально новых знаний. Скорее были приобретены более глубокие детали некоторых тем, особенно в области организации и защиты радиосетей, применяющихся для передачи технологической информации, а так же более упорядоченный материал по структуре зарубежных стандартов, посвященных данной теме. Поэтому для инженеров и специалистов, которые имеют достаточные знания и опыт работы с АСУТП/КИП или Industrial Networks – можно задуматься о том, чтобы сэкономить на тренинге (а экономить имеет смысл), самостоятельно подготовиться и пойти сразу сдавать сертификационный экзамен, который к слову стоит 700USD. В случае фейла, заплатить придется еще раз. Сертификационных центров, которые примут вас на экзамен предостаточно, главное заранее подать заявку. Вообще я рекомендую сразу поставить дату экзамена, поскольку в противном случае вы будете постоянно оттягивать ее, заменяя процесс подготовки другими жизненно и не совсем важными делами. А имея конкретную дату дедлайна, вы будете self-motivated. Idustrial Cyber Security