Բացահայտում ենք Տեղեկատվական Անվտանգության ոլորտը

Ի՞նչ է Տեղեկատվական Անվտանգությունը

Տեղեկատվական անվտանգություն (information security, նաև կոչվում է կիբերանվտանգություն՝ cybersecurity) է կոչվում միջոցների ու գործընթացների համախումբը, որը նպատակաուղղված է պաշտպանելու գաղտնի տեղեկատվությունը չնախատեսված օգտագործումից, բացահայտումից, փոփոխությունից կամ ոչնչացումից։

ՏԱ Մասնագիտացումներ

Ընդհանուր առմամբ, տեղեկատվական անվտանգության ոլորտը բաժանվում է երկու պայմանական ճամբարների՝

• կապույտ թիմ (blue team) - պաշտպանվող կողմ՝ ձեռնարկում է ՏԱ միջոցներ և կատարում անհրաժեշտ գործընթացներ,
• կարմիր թիմ (red team) - հարձակվող կողմ՝ կազմակերպության թույլտվությամբ իրականացնում է հետախուզություն և հարձակումներ դրա տեղեկատվական համակարգերի վրա՝ փորձելով պարզել բոլոր հնարավոր խոցելի հատվածները և դրանով իսկ սատարել կապույտ թմի առավել արդյունավետ աշխատանքին։

Լինելով բավականին լայն ոլորտ՝ Տեղեկատվական անվտանգությունն ունի ենթաոլորտներ, որոնցով հնարավոր է մասնագիտանալ։ Դրանցից մի քանիսն են`

• Ցանցային անվտանգություն (network security)՝ ցանցի հասանելիության և անվտանգության ապահովում ծրագրային գործիքների և սարքավորումների միջոցով։ Հաճախ համատեղվում է ցանցային ադմինիստրացիայի հետ,
• Ծրագրային անվտանգություն (application security)՝ անվտանգ վեբ, համակարգչային և բջջային ծրագրերի մշակում և պաշտպանություն հնարավոր խոցելիությունից (vulnerability), որի հայտնաբերման գործընթացը կոչվում է ներթափանցման փորձարկում (penetration testing),
• Թվային քրեագիտություն (digital forensics) և արտակարգ պատահարների աջակցություն (incident response)՝ այս ոլորտները հաճախ միասին անվանվում են DFIR և ենթադրում են արդեն իսկ կատարված հարձակման հետևանքների ճշտում, հնարավոր կորուստների վերականգնում և հետագայում նմանատիպ հարձակումներից պաշտպանվելու միջոցների ձեռնարկում,
• Աուդիտ (security audit)՝ ընկերության ՏԱ միջոցների՝ անհրաժեշտ չափանիշների համապատասխանության ստուգում,
• Ծածկագիտություն (cryptography)՝ տեղեկատվության գաղտնագրման (encryption) ալգորիթմերի մշակում կամ հակառակը՝ հակառակորդի գաղտնագրման ալգորիթմերի շրջանցում և թաքնված տվյալների բացահայտում,
• Սպառնալիքների հետազոտում (threat intelligence research)՝ ռազմավարական մակարդակի հնարավոր ռիսկերի մոդելավորում և ռիսկային դերակատարների ճշգրտում, հաճախ կենտրոնանում է օտարերկրյա պետությունների հովանու տակ գործող երկարաժամկետ սպառնալիք (APT - Advanced Persistent Threat) հանդիսացող խմբավորումների վրա,
• Արդյունաբերական համակարգերի անվտանգություն (industrial control systems (ICS) security)՝ ցանցային կառավարմամբ օժտված արտադրական և էներգետիկ համակարգերի անվտանգության ապահովում։
• Վնասատու ծրագրերի վերլուծություն (malware analysis)՝ համակարգչային վիրուսների մանրակրկիտ հետազոտում, դրանց հայտնաբերման և չեզոքացման նոր մեթոդների մշակում,
• Կառավարում (management)՝ ընկերության ՏԱ գործընթացների և կադրերի ղեկավարում, որոշ մեծ ընկերություններում այս նպատակով հատկացվում է ՏԱ գծով տնօրենի (Chief Information Security Officer) պաշտոն։

Արդյո՞ք ՏԱ մասնագիտության համար անհրաժեշտ է ծրագրավորման իմացություն

Տվյալ հարցի պատասխանը կախված է ՏԱ կոնկրետ ճյուղից։ Օրինակ՝ ծրագրային անվտանգությունը (application security) ենթադրում է խոցելիությունից զուրկ ծրագրերի մշակում, ըստ այդմ կենտրոնացված է ծրագրավորման շուրջ և պահանջում է վերջինիս իմացություն։ Մյուս կողմից, ներթափանցման փորձարկման (penetration testing) որոշ մասնագետներ զբաղվում են այս ոլորտով առանց ծրագրավորման խորը գիտելիքների։

Գոյություն ունեն ֆրիլանս հարթակներ, որոնք կենտրոնանում են ներթափանցման փորձարկման մասնագետների հետ աշխատանքի վրա։ Այդպիսիք են HackerOne-ը և BugCrowd-ը

Տեղեկատվական անվտանգության մասնագետներն օգտագործում են թե՛ անվճար, թե՛ վճարովի պատրաստի ծրագրային գործիքների համար, սակայն շատ դեպքերում անհրաժեշտ է լինում մշակել սեփական գործիքները՝ հարմարության, ինչպես նաև գտնված խոցելիության ցուցադրության համար։ Այժմ նաև շեշտ է դրվում շատ գործընթացների և գործիքների ավտոմատցման վրա, որի կազմակերպման համար ցանկալի է ծրագրավորման լեզվի (հաճախ՝ Python-ի) իմացություն։

ՏԱ ոլորտի որակավորում

Քանի որ համալսարանական կրթական համակարգերը դեռևս չեն բավարարում ոլորտի կադրային պահանջարկը, այստեղ գործում է որակավորման բազմակողմանի համակարգ։ Հավաստագրերը ՏԱ ոլորտում բաժանվում են երկու տեսակի՝

• Որևէ կոնկրետ արտադրողի կողմից տրված հավաստագրեր (vendor-specific), որոնք փաստում են տվյալ ընկերության ապրանքանիշի տեխնիկական իմացություն
• Ընդհանուր (կոնկրետ արտադրողի հետ չկպաված) հավաստագրեր (vendor-neutral), որոնք ստուգում են ընդհանրական սկզբունքների և մարտավարության իմացություն։

Թվարկենք մի քանի vendor-neutral հավաստագրերի հեղինակ կազմակերպություններ և դրանց առավել հայտնի հավաստագրերը՝

CompTIA հավաստագրեր՝

• CompTIA Security+՝ ստուգում է ՏԱ ոլորտի մասին ընդհանուր իմացություն, նախատեսված է ոլորտի սկսնակների համար,
• CompTIA PenTest+՝ կենտրոնանում է ներթափանցման փորձարկման վրա։

(ISC)2 հավաստագրեր՝

• (ISC)2 CISSP (Certified Information Systems Security Professional)՝ փաստում է տեղեկատվական համակարգերի անվտանգության բարձր մակարդակի գիտելիքենրի մասին։ Նախատեսված է արդեն իսկ փորձառու մասնագետների համար, ովքեր ձգտում են ՏԱ գծով գործադիր պաշտոնի,
• (ISC)2 CSSLP (Certified Secure Software Lifecycle Professional)` կենտրոնանում է ծրագրային անվտանգության վրա։

GIAC հավաստագրեր՝

• GIAC Secure Software Programmer - .NET՝ կենտրոնանում է .NET հարթակի վրա անվտանգ ծրագրերի մշակման վրա, այս հավաստագիրն ունի նաև Java լեզվի համար նախատեսված տարբերակ
• GIAC Web Application Penetration Tester՝ նախատեսված է վեբ հավելվածների ներթափանցման փորձարկման և խոցելիությունից պաշտպանվելու գիտելիքների ստուգման համար
• GIAC Security Expert՝ տվյալ կազմակերպության կողմից առաջարկվող ամենահեղինակավոր և ամենաբարդ որակավորումը։ GSE-ն և վերոնշյալ CISSP-ն համարվում են ոլորտի առաջատար որակավորումներ

Offensive Security հավաստագրեր՝

• Offensive Security Certified Professional
• Offensive Security Certified Expert
• Offensive Security Exploitation Expert

Ամփոփում

Քանի որ ինքս դեռ բացահայտում եմ ՏԱ ոլորտը, այս գրառման մեջ հավաքագրել եմ դրա մասին կազմած իմ նախնական պատկերացումները՝

• ՏԱ նշանակությունը,
• ծրագրավորման իմացության անհրաժեշտությունը,
• ոլորտի ճյուղերը,
• շուկայում հեղինակություն վայելող մասնագիտական որակավորումները։

Մոտ ապագայում պլանավորում եմ կենտրոնանալ ծրագրային անվտանգության վրա (մասնավորապես C#/.NET տեխնոլոգիաների օգտագործմամբ), ինչի մասին կպատմեմ հետագա գրառումներում։