Программа оказалась очень насыщенной. Она мне понравилась гораздо больше первого курса. Я уже приводил иллюстрацию уровней зрелости или уровней безопасности промшленной сети. Она как раз хорошо отражает программу курсов SANS. Первые два уровня — архитектурный пассивный был раскрыт в ICS410. А третий и четвертый уровни как раз рассматривались на ICS515.
Иными словами, если в первой части говорилось о различных встроенных и наложенных средствах и мерах защиты, то вторая была посвящена активному вовлечению человека в процесс мониторинга промышленной сети, реагирования на инциденты, а также исследований и анализа угроз.
Почти все примеры демонстрировались на основе свободного ПО — Snort, Volatility, Redline, Wireshark, SGUIL, ELSA, Network Miner, FTK Imager, pdf-parser, pdfid и др. Коммерческое решение было одно — CyberLens от Dragos Security (то, что автором CyberLens являлся автор курса Роберт Ли, ничего не значит :-). Тема коммерческих решений вообще была не раскрыта, что мне не очень понятно. Было бы логично сравнить возможности коммерческих и бесплатных решений. По словам инструктора разницы никакой, кроме производительности, удобства, гарантии и поддержки. Хотя я с этим не соглашусь — разница в функциональности тоже есть.
Возможно дело в том, что чем выше подниматься по уровням, описанным выше, тем дороже будет обходиться защита. И увеличивать ее стоимостью коммерческих решений инструктор, видимо, не посчитал нужным. Хотя на мой взгляд автоматизация, которую предлагают коммерческие решения, может компенсировать затраты на них. Хотя, надо признать, никто не производил таких расчетов.
Пятый, последний день запомнился тем, что у нас не было никакой теории и занятий вообще. Нам озвучили два кейса, которые надо было решить, ответив на 50 вопросов в контексте проведения расследования инцидентов на промышленный объект. На все было выделено 8 часов, которые должны были показать, насколько слушателями был усвоен материал и насколько хорошо мы до этого отработали 16 лабораторных работ.
Помимо программы очень насыщенной и интересной оказалась программа лабораторных работ, которые были совершенно разноуровневые — от умения использовать Shodan до работы с Raspberry Pi,
 |
| Набор для лабораторных работ на базе Raspberry Pi 2 |
от анализа сетевого трафика до анализа дампов памяти,
 |
| Анализ PDF-файла на предмет вредоносного содержания |
 |
| Графический интерфейс SGUIL для Snort |
Преподавал у нас Роберт Ли, человек известный в области промышленной ИБ, автор множества презентаций, а также ряда книг и курсов в SANS. До основания компании Dragos Security, он служил в ВВС США офицером по кибервойнам. Возможно с именно этим связана определенная русофобская риторика в рамках курса. По несколько раз на дню звучали примеры об угрозе со стороны России и, немного, Китая.
 |
| Один из комиксов Little Bobby |
Помимо пятидневного тренинга в середине организаторами был устроен сюрприз; даже два. Первый — часовой доклад на тему «5 лет после Stuxnet. Что изменилось, что нет и что нас ждет впереди?» Делал его Томас Брандстеттер, один из основателей небольшой немецкой консалтинговой фирмы, занимающейся промышленной ИБ. Не могу сказать, что доклад поразил меня — многие вещи были уже известны. Но поскольку доклад читался не только для нашей группы, но и для двух других, проходивших обучение по базовым темам промышленной ИБ, возможно он кому-то и понравился.
Вторым сюрпризом стал поход в близлежащий бар, где организаторы, оплатившие выпивку, дали возможность всем слушателям пообщаться в неформальной обстановке. Очень интересная задумка. Конечно, она имеет смысл только для длинных курсов (более 3-х дней). Такое отвлечение в середине обучения не только помогает расслабиться от насыщенной программы, но и предметно обсудить с коллегами по курсу уже усвоенный материал; обменяться мнениями. Тем более, что курс собрал публику со всей Европы (как минимум, были немцы, голландцы, норвежцы) и из разных компаний, занимающихся консалтингом, разработкой, эксплуатацией решений в сфере промышленной ИБ.
Томас Брандстеттер — основатель не немецкой, а австрийской консалтинговой компании limes security
Упс… Путаю я их все время 😉