Раздел 1
Кластер профессий: повторение
Информационная безопасность обеспечивает три свойства информации: конфиденциальность, целостность и доступность. Специалисты кластера имеют общую теоретическую базу (операционные системы, компьютерные сети, программирование, криптография, право) и различаются ролью в обеспечении защиты. На уроке 3 рассмотрены четыре направления; на этом уроке рассматриваются остальные шесть.
Построение защиты
Как сделать систему устойчивой к атакам?
Проверка защиты (наступательная безопасность)
Можно ли обойти существующую защиту?
Обнаружение атак и реагирование
Что происходит в системе прямо сейчас?
Управление и соответствие требованиям
Выполняет ли организация законы и стандарты?
Цветом выделены направления, рассматриваемые на этом уроке. Серым обозначены направления урока 3; ссылки ведут на первую часть обзора.
Правовая граница профессии. Действия специалиста по ИБ законны только при наличии полномочий: собственной зоны ответственности или письменного разрешения владельца системы. Это относится и к исследованию вредоносных программ, и к учебным проверкам сотрудников. Неправомерный доступ к компьютерной информации, создание и распространение вредоносных программ являются уголовными преступлениями (ст. 272–274 УК РФ).
Направление 5 · Построение защиты
Криптограф
Разрабатывает, анализирует и внедряет криптографические средства защиты информации: алгоритмы шифрования, электронной подписи и хеширования, а также протоколы, в которых они применяются. Направление требует наиболее глубокой математической подготовки среди профессий кластера.
Типичные задачи
- Анализ стойкости алгоритмов и протоколовоценка того, какие вычислительные ресурсы необходимы нарушителю для вскрытия шифра или подделки подписи
- Разработка и встраивание средств криптографической защитыреализация алгоритмов в программах и устройствах; в России применяются национальные стандарты: блочные шифры «Кузнечик» и «Магма» (ГОСТ Р 34.12-2015), хеш-функция «Стрибог» (ГОСТ Р 34.11-2012), электронная подпись по ГОСТ Р 34.10-2012
- Управление ключамипорядок создания, хранения, распределения, смены и уничтожения криптографических ключей; инфраструктура открытых ключей и сертификаты
- Проверка корректности реализациипоиск ошибок, при которых стойкий алгоритм становится уязвимым: предсказуемые случайные числа, повторное использование ключей, утечки по побочным каналам
- Сопровождение сертификацииподготовка средств криптографической защиты к сертификации; в России деятельность с шифровальными средствами лицензирует ФСБ России
Образование
- Высшее образование по направлению 10.05.01 «Компьютерная безопасность» (в том числе специализация «Математические методы защиты информации»)
- Допустим переход с математических направлений (01.03.01 «Математика», 01.03.02 «Прикладная математика и информатика», 02.03.01 «Математика и компьютерные науки»)
Опыт и знания
- Алгебра, теория чисел, теория вероятностей, теория сложности вычислений
- Программирование на C, C++, Python; понимание архитектуры процессора
- Типичный путь: математическое образование → аспирантура или исследовательская группа → разработчик средств криптографической защиты
Связь с уроком. Протокол SSH, который используется во второй части урока, основан на криптографии: сервер подтверждает свою подлинность ключом, отпечаток которого клиент показывает при первом подключении, а весь сеанс, включая пароль, передаётся в зашифрованном виде.
Направление 6 · Проверка защиты
Вирусный аналитик
Исследует вредоносные программы: устанавливает, каким образом программа проникает в систему, какие действия выполняет, как связывается с управляющим сервером и как её обнаружить и удалить. Результаты анализа используются для создания сигнатур антивирусов, правил обнаружения и рекомендаций по защите.
Типичные задачи
- Статический анализисследование файла без его запуска: определение типа файла, извлечение строк, вычисление контрольных сумм (
file,strings,sha256sum), дизассемблирование и декомпиляция (Ghidra, IDA) - Динамический анализзапуск образца в изолированной среде (песочнице, виртуальной машине без доступа к рабочей сети) и наблюдение за созданными файлами, процессами и сетевыми соединениями
- Выделение индикаторов компрометациихеши файлов, адреса управляющих серверов, имена создаваемых файлов и ключей реестра, по которым заражение обнаруживается на других компьютерах
- Разработка правил обнаружениясигнатуры и правила YARA, описывающие характерные признаки семейства вредоносных программ
- Подготовка отчётаописание механизма работы программы и рекомендации для аналитиков SOC и специалистов по реагированию на инциденты
Образование
- Высшее образование по направлениям 10.05.01 «Компьютерная безопасность», 10.03.01 «Информационная безопасность» или 09.03.04 «Программная инженерия»
Опыт и знания
- Язык ассемблера x86-64 и ARM, устройство исполняемых файлов (ELF, PE), устройство операционных систем
- Программирование на C и Python
- Участие в соревнованиях CTF в категории reverse engineering
- Типичный путь: разработчик системного ПО или аналитик SOC → младший вирусный аналитик в антивирусной компании
Связь с курсом. Анализ начинается с команд, которые уже изучены: вредоносный файл ищут командой find, его строки фильтруют командой grep, а файлы, созданные программой, сравнивают с исходным состоянием системы.
Направление 8 · Обнаружение атак и реагирование
Специалист по реагированию на инциденты
Подключается к работе, когда атака уже обнаружена: ограничивает её распространение, устраняет последствия, восстанавливает работу систем и устанавливает, как именно нарушитель проник в инфраструктуру. Работа ведётся по регламенту, в условиях ограниченного времени и во взаимодействии с ИТ-службой и руководством организации.
Типичные задачи
- Локализация инцидентаизоляция заражённых компьютеров от сети, блокировка скомпрометированных учётных записей, смена паролей и ключей
- Сбор цифровых свидетельствсоздание копий дисков и памяти, выгрузка журналов (
journalctl, журналы веб-сервера и межсетевого экрана) с сохранением их целостности - Восстановление хронологиисопоставление записей журналов разных систем: когда и с какого адреса выполнен первый вход, какие команды выполнены, какие файлы изменены
- Устранение последствий и восстановлениеудаление вредоносных программ и созданных нарушителем учётных записей, восстановление данных из резервных копий, проверка отсутствия повторного доступа
- Постинцидентный анализотчёт о причинах инцидента и меры, исключающие его повторение; сведения о компьютерных инцидентах на объектах критической информационной инфраструктуры передаются в НКЦКИ
Образование
- Высшее образование по направлениям группы 10.00.00, в том числе 10.05.05 «Безопасность информационных технологий в правоохранительной сфере»
- Допустим переход из ИТ-направлений после работы администратором или аналитиком SOC
Опыт и знания
- Уверенное администрирование Linux и Windows, знание сетевых протоколов
- Чтение журналов и автоматизация их анализа на Bash и Python
- Основы компьютерной криминалистики, знание матрицы MITRE ATT&CK
- Типичный путь: аналитик SOC L1–L2 → специалист по реагированию на инциденты
Связь с уроком. Этап 3 SSH-квеста представляет собой упрощённое расследование: по журналу journalctl -u ssh устанавливается, кто, когда и с какого адреса подключался, по журналу sudo выявляются попытки повысить права, после чего гостевые учётные записи удаляются.
Направление 9 · Обнаружение атак и реагирование
Аналитик киберугроз
Собирает и анализирует сведения о группировках нарушителей, их целях, инструментах и методах, чтобы организация могла подготовиться к атакам заранее. Результатом работы являются отчёты для руководства, индикаторы компрометации для аналитиков SOC и описание тактик нарушителей для инженеров по защите.
Типичные задачи
- Сбор сведениймониторинг отраслевых отчётов, бюллетеней регуляторов, открытых источников (OSINT) и закрытых площадок, на которых обсуждаются атаки
- Описание группировокпрофиль группировки нарушителей: цели, отрасли-жертвы, используемые инструменты, тактики и техники в терминах матрицы MITRE ATT&CK
- Работа с индикаторами компрометациипроверка, обогащение и передача в SIEM адресов, доменов и хешей файлов, связанных с актуальными атаками
- Поиск угроз в собственной инфраструктурепроверка гипотезы о присутствии нарушителя: например, поиск в журналах обращений к адресам, указанным в свежем отчёте
- Подготовка отчётовстратегические отчёты для руководства и технические бюллетени для специалистов
Образование
- Высшее образование по направлениям группы 10.00.00, в том числе 10.05.04 «Информационно-аналитические системы безопасности»
- Ценится подготовка в области анализа данных и знание иностранных языков: значительная часть источников публикуется не на русском языке
Опыт и знания
- Понимание техник атак и устройства инфраструктуры организации
- Аналитическое мышление, умение оценивать достоверность источников
- Работа с большими объёмами текстовых данных, Python
- Типичный путь: аналитик SOC или вирусный аналитик → аналитик киберугроз
Связь с курсом. Проверка индикаторов компрометации по журналам в простейшем случае выполняется изученными командами: journalctl -u ssh | grep 203.0.113.45 показывает, были ли подключения с адреса, указанного в отчёте об атаке.
Направление 10 · Управление и соответствие требованиям
Специалист по аудиту и комплаенсу
Проверяет, соответствует ли защита информации в организации требованиям законодательства, стандартов и внутренних документов, и оценивает риски информационной безопасности. Работает на стыке техники, права и управления: переводит требования закона в конкретные технические и организационные меры.
Типичные задачи
- Анализ требованийопределение обязательных для организации норм: 152-ФЗ «О персональных данных», 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», требования ФСТЭК России, стандарты серии ГОСТ Р ИСО/МЭК 27000
- Оценка рисковперечень защищаемых активов, актуальных угроз и уязвимостей; оценка вероятности и ущерба; выбор мер защиты, соразмерных риску
- Разработка документовполитика ИБ, регламенты управления доступом, резервного копирования и реагирования на инциденты
- Проведение аудитапроверка выполнения регламентов: например, наличие у уволенных сотрудников действующих учётных записей, своевременность установки обновлений, соответствие прав доступа должностным обязанностям
- Взаимодействие с проверяющими органамиподготовка организации к проверкам регуляторов и устранение выявленных нарушений
Образование
- Высшее образование по направлениям группы 10.00.00 «Информационная безопасность»
- Полезно дополнительное образование в области права или управления
Опыт и знания
- Знание законодательства и стандартов в области ИБ
- Понимание технических мер защиты на уровне, достаточном для проверки их реализации
- Навыки подготовки документов и ведения переговоров
- Типичный путь: инженер по ИБ → аудитор → руководитель службы ИБ
Связь с уроком. Обязательные правила SSH-квеста являются примером регламента: гостевые учётные записи создаются без права на sudo и удаляются по окончании работы. Контрольная проверка grep petrov /etc/passwd на этапе 3 — это элементарная процедура аудита.
Раздел 8
Взаимодействие направлений при инциденте
Направления кластера не изолированы друг от друга. Обработка одного инцидента, например компрометации учётной записи SSH на сервере организации, затрагивает почти все роли:
- Аналитик киберугроззаранее сообщает, что группировка подбирает пароли SSH с определённых адресов, и передаёт индикаторы компрометации.
- Аналитик SOCполучает оповещение о серии неудачных входов, за которой последовал успешный вход, и передаёт инцидент на следующую линию.
- Специалист по реагированиюблокирует учётную запись, изолирует сервер, восстанавливает хронологию по журналам.
- Вирусный аналитикисследует программу, оставленную нарушителем на сервере, и выделяет признаки для её поиска на других компьютерах.
- Инженер по защите инфраструктурызапрещает вход по паролю, оставляя вход только по ключам, и включает блокировку адресов после неудачных попыток.
- Специалист по аудитупроверяет, почему регламент парольной политики не был выполнен, и вносит изменения в документы; специалист по социальной инженерии проверяет, не был ли пароль получен обманом.
Раздел 9
Сравнение направлений
| Направление | Основной вопрос | Базовая подготовка | Предшествующая профессия | Порог входа |
|---|---|---|---|---|
| Криптограф | Насколько стойка защита данных? | Математика, программирование | Математик-исследователь | Очень высокий |
| Вирусный аналитик | Как работает вредоносная программа? | Ассемблер, устройство ОС | Системный программист, аналитик SOC | Высокий |
| Социальная инженерия | Устойчивы ли сотрудники к обману? | ИБ, психология, право | Специалист по ИБ, пентестер | Средний |
| Реагирование на инциденты | Что произошло и как это остановить? | ОС, сети, журналы | Аналитик SOC, администратор | Высокий |
| Аналитик киберугроз | Кто и как может атаковать? | Техники атак, анализ данных | Аналитик SOC, вирусный аналитик | Высокий |
| Аудит и комплаенс | Выполняются ли требования? | ИБ, право, управление | Инженер по ИБ | Средний |
Большинство направлений не являются начальными позициями: в них приходят после двух–пяти лет работы администратором, разработчиком или аналитиком SOC. Общей основой остаются операционные системы, компьютерные сети и программирование.
Направление 7 · Проверка защиты
Специалист по социальной инженерии
Оценивает устойчивость сотрудников организации к методам социальной инженерии — манипуляции, при которой нарушитель побуждает человека самостоятельно раскрыть пароль, открыть вредоносное вложение или предоставить доступ. По договору с организацией проводит учебные проверки и обучает сотрудников распознавать такие атаки.
Типичные задачи
Образование
Опыт и знания
Связь с уроком. Правила SSH-квеста запрещают сообщать пароль гостевой учётной записи кому-либо, кроме её владельца. Пароль, переданный постороннему, обесценивает любую техническую защиту, и именно на это рассчитаны атаки социальной инженерии.