Բացահայտում ենք Տեղեկատվական Անվտանգության ոլորտը
Tags: security, career, armenian, beginners
Published: 2020-03-23 18:18:13

### Ի՞նչ է Տեղեկատվական Անվտանգությունը
**Տեղեկատվական անվտանգություն** (*information security*, նաև կոչվում է կիբերանվտանգություն՝ *cybersecurity*) է կոչվում միջոցների ու գործընթացների համախումբը, որը նպատակաուղղված է պաշտպանելու գաղտնի տեղեկատվությունը չնախատեսված օգտագործումից, բացահայտումից, փոփոխությունից կամ ոչնչացումից։

### ՏԱ Մասնագիտացումներ
Ընդհանուր առմամբ, տեղեկատվական անվտանգության ոլորտը բաժանվում է երկու պայմանական ճամբարների՝ 
* կապույտ թիմ (*blue team*) - պաշտպանվող կողմ՝ ձեռնարկում է ՏԱ միջոցներ և կատարում անհրաժեշտ գործընթացներ,
* կարմիր թիմ (*red team*) - հարձակվող կողմ՝ կազմակերպության թույլտվությամբ իրականացնում է հետախուզություն և հարձակումներ դրա տեղեկատվական համակարգերի վրա՝ փորձելով պարզել բոլոր հնարավոր խոցելի հատվածները և դրանով իսկ սատարել կապույտ թմի առավել արդյունավետ աշխատանքին։

Լինելով բավականին լայն ոլորտ՝ Տեղեկատվական անվտանգությունն ունի ենթաոլորտներ, որոնցով հնարավոր է մասնագիտանալ։ Դրանցից մի քանիսն են` 
* **Ցանցային անվտանգություն** (*network security*)՝ ցանցի հասանելիության և անվտանգության ապահովում ծրագրային գործիքների և սարքավորումների միջոցով։ Հաճախ համատեղվում է ցանցային ադմինիստրացիայի հետ,
* **Ծրագրային անվտանգություն** (*application security*)՝ անվտանգ վեբ, համակարգչային և բջջային ծրագրերի մշակում և պաշտպանություն հնարավոր խոցելիությունից (*vulnerability*), որի հայտնաբերման գործընթացը կոչվում է **ներթափանցման փորձարկում** (*penetration testing*),
* **Թվային քրեագիտություն** (*digital forensics*) և **արտակարգ պատահարների աջակցություն** (*incident response*)՝ այս ոլորտները հաճախ միասին անվանվում են DFIR և ենթադրում են արդեն իսկ կատարված հարձակման հետևանքների ճշտում, հնարավոր կորուստների վերականգնում և հետագայում նմանատիպ հարձակումներից պաշտպանվելու միջոցների ձեռնարկում,
* **Աուդիտ** (*security audit*)՝ ընկերության ՏԱ միջոցների՝ անհրաժեշտ չափանիշների համապատասխանության ստուգում,
* **Ծածկագիտություն** (*cryptography*)՝ տեղեկատվության գաղտնագրման (*encryption*) ալգորիթմերի մշակում կամ հակառակը՝ հակառակորդի գաղտնագրման ալգորիթմերի շրջանցում և թաքնված տվյալների բացահայտում,
* **Սպառնալիքների հետազոտում** (*threat intelligence research*)՝ ռազմավարական մակարդակի հնարավոր ռիսկերի մոդելավորում և ռիսկային դերակատարների ճշգրտում, հաճախ կենտրոնանում է օտարերկրյա պետությունների հովանու տակ գործող երկարաժամկետ սպառնալիք (*APT - Advanced Persistent Threat*) հանդիսացող խմբավորումների վրա,
* **Արդյունաբերական համակարգերի անվտանգություն** (*industrial control systems (ICS) security*)՝ ցանցային կառավարմամբ օժտված արտադրական և էներգետիկ համակարգերի անվտանգության ապահովում։ 
* **Վնասատու ծրագրերի վերլուծություն** (*malware analysis*)՝ համակարգչային վիրուսների մանրակրկիտ հետազոտում, դրանց հայտնաբերման և չեզոքացման նոր մեթոդների մշակում,
* **Կառավարում** (*management*)՝ ընկերության ՏԱ գործընթացների և կադրերի ղեկավարում, որոշ մեծ ընկերություններում այս նպատակով հատկացվում է ՏԱ գծով տնօրենի (Chief Information Security Officer) պաշտոն։

### Արդյո՞ք ՏԱ մասնագիտության համար անհրաժեշտ է ծրագրավորման իմացություն

Տվյալ հարցի պատասխանը կախված է ՏԱ կոնկրետ ճյուղից։ Օրինակ՝ ծրագրային անվտանգությունը (*application security*) ենթադրում է խոցելիությունից զուրկ ծրագրերի մշակում, ըստ այդմ կենտրոնացված է ծրագրավորման շուրջ և պահանջում է վերջինիս իմացություն։ Մյուս կողմից, ներթափանցման փորձարկման (*penetration testing*) որոշ մասնագետներ զբաղվում են այս ոլորտով առանց ծրագրավորման խորը գիտելիքների։ 
> Գոյություն ունեն ֆրիլանս հարթակներ, որոնք կենտրոնանում են ներթափանցման փորձարկման մասնագետների հետ աշխատանքի վրա։ Այդպիսիք են [HackerOne-ը](https://www.hackerone.com/) և [BugCrowd-ը](https://www.bugcrowd.com/)

Տեղեկատվական անվտանգության մասնագետներն օգտագործում են թե՛ անվճար, թե՛ վճարովի պատրաստի ծրագրային գործիքների համար, սակայն շատ դեպքերում անհրաժեշտ է լինում մշակել սեփական գործիքները՝ հարմարության, ինչպես նաև գտնված խոցելիության ցուցադրության համար։ Այժմ նաև շեշտ է դրվում շատ գործընթացների և գործիքների ավտոմատցման վրա, որի կազմակերպման համար ցանկալի է ծրագրավորման լեզվի (հաճախ՝ Python-ի) իմացություն։

### ՏԱ ոլորտի որակավորում
Քանի որ համալսարանական կրթական համակարգերը դեռևս չեն բավարարում ոլորտի կադրային պահանջարկը, այստեղ գործում է որակավորման բազմակողմանի համակարգ։ Հավաստագրերը ՏԱ ոլորտում բաժանվում են երկու տեսակի՝
* Որևէ կոնկրետ արտադրողի կողմից տրված հավաստագրեր (*vendor-specific*), որոնք փաստում են տվյալ ընկերության ապրանքանիշի տեխնիկական իմացություն
* Ընդհանուր (կոնկրետ արտադրողի հետ չկպաված) հավաստագրեր (*vendor-neutral*), որոնք ստուգում են ընդհանրական սկզբունքների և մարտավարության իմացություն։

Թվարկենք մի քանի *vendor-neutral* հավաստագրերի հեղինակ կազմակերպություններ և դրանց առավել հայտնի հավաստագրերը՝
#### [CompTIA](https://www.comptia.org/) հավաստագրեր՝
* CompTIA Security+՝ ստուգում է ՏԱ ոլորտի մասին ընդհանուր իմացություն, նախատեսված է ոլորտի սկսնակների համար,
* CompTIA PenTest+՝ կենտրոնանում է ներթափանցման փորձարկման վրա։

#### [(ISC)2](https://www.isc2.org/) հավաստագրեր՝
* (ISC)2 CISSP (Certified Information Systems Security Professional)՝ փաստում է տեղեկատվական համակարգերի անվտանգության բարձր մակարդակի գիտելիքենրի մասին։ Նախատեսված է արդեն իսկ փորձառու մասնագետների համար, ովքեր ձգտում են ՏԱ գծով գործադիր պաշտոնի,
* (ISC)2 CSSLP (Certified Secure Software Lifecycle Professional)` կենտրոնանում է ծրագրային անվտանգության վրա։

#### [GIAC](https://www.giac.org/) հավաստագրեր՝
* GIAC Secure Software Programmer - .NET՝ կենտրոնանում է .NET հարթակի վրա անվտանգ ծրագրերի մշակման վրա, այս հավաստագիրն ունի նաև Java լեզվի համար նախատեսված տարբերակ
* GIAC Web Application Penetration Tester՝ նախատեսված է վեբ հավելվածների ներթափանցման փորձարկման և խոցելիությունից պաշտպանվելու գիտելիքների ստուգման համար
* GIAC Security Expert՝ տվյալ կազմակերպության կողմից առաջարկվող ամենահեղինակավոր և ամենաբարդ որակավորումը։ GSE-ն և վերոնշյալ CISSP-ն համարվում են ոլորտի առաջատար որակավորումներ

#### [Offensive Security](https://www.offensive-security.com/) հավաստագրեր՝
* Offensive Security Certified Professional
* Offensive Security Certified Expert
* Offensive Security Exploitation Expert

### Ամփոփում

Քանի որ ինքս դեռ բացահայտում եմ ՏԱ ոլորտը, այս գրառման մեջ հավաքագրել եմ դրա մասին կազմած իմ նախնական պատկերացումները՝
* ՏԱ նշանակությունը,
* ծրագրավորման իմացության անհրաժեշտությունը,
* ոլորտի ճյուղերը,
* շուկայում հեղինակություն վայելող մասնագիտական որակավորումները։

Մոտ ապագայում պլանավորում եմ կենտրոնանալ ծրագրային անվտանգության վրա (մասնավորապես C#/.NET տեխնոլոգիաների օգտագործմամբ), ինչի մասին կպատմեմ հետագա գրառումներում։