Автоматтандырылған жүйелерді шолудың ақпараттық қауіпсіздігін қамтамасыз ету. Автоматтандырылған жүйелердің ақпараттық қауіпсіздігі: қандай мамандық, кіммен жұмыс істеу керек? Университеттер мен бағыттар

2005 жылы Красноярск қаласында ақпараттық қауіпсіздік саласында білім алу үшін оқуға түсуге болады. Красноярск мемлекеттік техникалық университеті (қазіргі Сібір федералды университетінің политехникалық институты) немесе Сібір мемлекеттік аэроғарыш университеті. Мен соңғысын таңдадым, мені әсіресе қасбетінде боялған үлкен зымыран мен тақырыптағы «ғарыш» сөзі қызықтырды. Сібір мемлекеттік аграрлық университеті өз кезегінде екі бағытты таңдауға мәжбүр болды: 090105 «Жан-жақты қолдау ақпараттық қауіпсіздік автоматтандырылған жүйелер» және 090106 «Телекоммуникация жүйелерінің ақпараттық қауіпсіздігі» (екі жағдайда да біліктілігі – ақпараттық қауіпсіздік бойынша маман), Политехникумда 090102 «Компьютерлік қауіпсіздік» мамандығы (біліктілігі – математик). «Кешенді» және «телекоммуникация» қауіпсіздігі арасында, I. соңғысын таңдамады Бағдарламалар мүлдем басқаша болды, біздің тренингіміз негізінен оның барлық көріністерінде (радио, ұялы, сымды байланыс) байланыс негіздерін зерттеуге арналды.

Бес жарым жыл бойы біз байланыс арнасының үлгілерін жасадық, таратқыштар мен қабылдағыштарды сыздық, сигнал сипаттамаларын есептедік, шуға төзімді кодтауды зерттедік. Мұның бәрі бұрынғы әскерилердің жетекшілігімен (бұл өз романтикасы бар). Физиканы, әсіресе «тербелістер мен толқындар» бөлімін ұнататындар үшін (мектеп бағдарламасындағы ең қиыны шығар) «Телекоммуникация қауіпсіздігі» мамандығы толықтай қолайлы болды. Менің көптеген достарым мен таныстарым «Интеграцияланған қауіпсіздікте» оқыды және бізде ортақ сабақтар болды, бірақ олардың бағдарламасы, менің ойымша, қарапайым болды. Бірақ бұл компьютерлермен және заңнамамен көбірек жұмыс істеуді қамтыды. Күйеуім политехникалық университетті бітірді – оларда математика көп болды (бізде физика бар сияқты).

Қазір не?

Бір-екі жыл бұрын бәрі өзгерді, енді Сібір мемлекеттік аграрлық университетінде 10.03.01 «Ақпараттық қауіпсіздік» мамандығы бойынша бакалавр және 10.05.02 «Телекоммуникациялық жүйелердің ақпараттық қауіпсіздігі» (менің мамандығым жаңа атаумен) мамандығы бойынша оқуға болады. )(сілтеме) . SFU бағыттары көрсетілген . Томскіде TUSUR-да ақпараттық қауіпсіздікті үйретеді (сілтеме ). Бірден атап өткім келеді, мамандықтар жабық, яғни басқа елдің азаматтығы бар (сондай-ақ қос азаматтық) адамдар қабылданбайды.

Үйрену оңай ма?

Оқу өте қиын дер едім, өз бетінше үй тапсырмалары, курстық және стандартты жұмыстар көп. Мен үнемі бір нәрсені есептеп, санауға тура келді. Физика мен математика көп. Бұрын оқитын қыздар көп емес еді, қазір одан да көп. 27 адамнан тұратын тобымызда үш қыз болды. Жұлдыз жорамалына сенетіндер үшін қызықты деталь – үшеуі де Скорпионның зодиак белгісіне ие болды, олар техникалық ғылымдарға бейімділік бар дейді. Тағы бір қызық жайт, алтын және күміс жүлдегерлер саны – топтың жартысы.

Оқу мен жұмыстың қандай ортақтығы бар?

Өкінішке орай, алынған білімнің көпшілігі пайдалы болмады. Ең пайдалысы алты айлық курс аясында ақпараттық қауіпсіздіктің құқықтық және ұйымдастырушылық негіздерін зерделеу болды. Барлық элементтер сәйкес компьютерлік қауіпсіздікСондай-ақ пайдалы болды, бірақ телекоммуникация болмады. Университетте екінші курстан бастап оқыдым ғылыми жұмысжәне ғылыми семинарларға бардым, маған олар маған барлық пәндерден көбірек берген сияқты :) Қалған білімімді кітаптардан, журналдардан, интернеттен және жұмыс тәжірибесінен алдым.

Жұмыс табу қиын ба?

Әртүрлі пікірлер бар, бірақ өз тәжірибемнен және таныстарымның, достарымның тәжірибесінен жұмыс табу қиын, бірақ мүмкін деп айта аламын. Мен қазірдің өзінде төртінші орында және әр жолы мамандығым бойынша жұмыс істеймін. Оның үстіне бірінші және екінші жұмыс орындары әлі оқу кезінде болды, сондықтан толық емес жоғары білімнің өзінде жұмыс табуға болады. Фрилансерлік жұмысты табу қиын техникалық қорғауақпарат ұйымға берілген лицензияларды талап етеді және оларды алу өте қиын. Бірақ сіз ақпараттық қауіпсіздік қызметтерін ұсынатын компанияда жұмыс таба аласыз, содан кейін жалақы клиенттердің санына тікелей байланысты болады. Тұрақтылықты қаласаңыз, өндірісте ақпараттық қауіпсіздік маманы болғаныңыз абзал.

Еңбекақы

Орташа алғанда, ол бағдарламашыларға қарағанда төмен және толық емес жұмыс уақытын табу қиынырақ. Бірақ әдетте жүйелік әкімшілерге қарағанда жоғары.

Маман не істейді?

Жұмыстың көптеген бағыттары бар, тіпті бір лауазымның атауы бар. Ақпаратты қорғау құралдарын орнату және конфигурациялау, ақпараттық қауіпсіздік бойынша нұсқаулықтар мен ережелерді жазу, пайдаланушыларды қауіпсіз жұмыс әдістеріне үйрету, криптографиялық құралдармен жұмыс істеу, инциденттерді тексеру және т.б.

Минустар

Мен кемшіліктерді қарастыратын едім:

• жұмыс орындарын шағын таңдау (бағдарламашылармен және басқа IT мамандарымен салыстырғанда);
• төмен жалақы, қиын толық емес жұмыс күні;
• көптеген құжаттармен жұмыс істеу.

Сипаттама

Осы профиль бойынша оқыту барысында студенттерге:

• ішкі жүйе құрамдастарын басқару, олардың техникалық жағдайын тексеру, жөндеу және техникалық қызмет көрсету;
• ішкі жүйе құрамдастарын бейімдеу және орнатуды жүзеге асыру;
• еңбекті қорғау және қауіпсіздік мәселелері бойынша іс-шараларды ұйымдастыруға;
• автоматтандырылған жүйелерде ақпараттық қауіпсіздікті қамтамасыз ету үшін қажетті бағдарламалық-техникалық құралдарды қолдану;
• қолданылатын аппараттық және бағдарламалық құралдардың өнімділігін бақылау;
• құпия ақпаратты есепке алуды, өңдеуді, беруді және сақтауды қамтамасыз етуге;
• инженерлік жабдықты пайдалану;
• бақылау тексерулерін жүргізу, үй-жайларды, үй-жайларды және құрылыстарды сертификаттау процесінде сөзсіз туындайтын жеке техникалық мәселелерді шешуге техникалық құралдар;
• құқықтық нормаларды қолдану, нұсқауларжәне құжаттар;
• ақпараттық қауіпсіздіктің кешенді жүйесінде ұйымдық құрылымды әзірлеу;
• қамтамасыз ету үшін қолданылатын күрделі жүйелердің тиімділігін бақылау ақпараттық қауіпсіздік.

Кіммен жұмыс істеу керек

Кәсіби өсудің негізгі бағыты – кәсіпорындарда ақпараттық қауіпсіздікті қамтамасыз ету. Оларға жатады ірі корпорацияларжәне бөлшек сауда желілері. Әртүрлі жеке детективтік агенттіктер де деректерді қорғау дәрежесі максималды деңгейде болуы керек ұқсас қызметтерге мұқтаж. Жұмыспен қамту саласындағы көшбасшылар әртүрлі мемлекеттік органдар болып табылады, олар үнемі қауіпсіздік жүйесін әзірлеушілерді және бар сыртқы қауіптердің диагностиктерін талап етеді. Мансаптық өсу үшін көптеген түлектер өздерінің кәсіби мансабын шағын кәсіпорындардағы әзірлеу топтарында бастайды. Осы уақыт ішінде олар баға жетпес тәжірибе жинақтайды, олардың болуы оларға ірі ұйымдарда ең жақсы шарттармен жұмысқа орналасуға мүмкіндік береді.

Жақында университеттерде «Ақпараттық қауіпсіздік» сияқты бағыт танымал болды. Оқуды бітіргеннен кейін не істеу керек? Бұл сұрақты мамандықтың түлектері мен студенттерінің барлығы дерлік қояды. Бір жағынан бұл IT-технологиялар, ал екінші жағынан белгісіз. Сондықтан біз университетте ақпараттық қауіпсіздікті меңгерген адамды қандай мансап күтіп тұрғанын анықтауға тырысамыз. Егер сіз мұқият қарасаңыз, сіз көптеген қызықты және беделді бос жұмыс орындарын таба аласыз. Олардың кейбіреулері сізге үлкен табыс әкелуі мүмкін.

Желі орнатушы

Демек, сіз автоматтандырылған жүйелер саласын игердіңіз немесе бітіруді жоспарлап отырсыз". Оқуды бітіргеннен кейін не істеу керек? Бұл сұраққа университет нақты жауап бермейді. Бірақ іс жүзінде қай жерден жұмысқа тұруға болатынын түсінуге болады. .

Мысалы, осы мамандықты бітірген адам желіні орнатушы болып жұмыс істей алады. Көбінесе компьютерлік. Әдетте, әртүрлі интернет-провайдерлер мұндай мамандарды жұмысқа алуға өте дайын. Сіздің міндетіңіз негізгі сервердің бақылауын, қауіпсіздігін және тұрақтылығын сақтау болады.

Басқаша айтқанда, егер сіз Ақпараттық қауіпсіздік саласын меңгерген болсаңыз, бірақ кіммен жұмыс істеу керектігін білмесеңіз, онда сіз белгілі интернет-провайдерлерге жүгіне аласыз. Олар сізге тез арада орын табады. Сонымен қатар, желілерді орнату өте маңызды және қиын міндет болып табылады, бірақ әсіресе тиімді емес. Сондықтан сізге басқа нұсқаны табуға тура келеді. Әрине, егер сіз монтаждаушыны мамандық ретінде таңдамаған болсаңыз.

Бағдарламашы

Сонымен, сіз мамандыққа түстіңіз, 5 жылдан кейін кім жұмыс істейсіз? Бұл жерде нақты жауап беру қиын. Өйткені, бұл бағыт ІТ-технологияның барлық саласын қамтиды. Іс жүзінде біз шамамен келесідей суретке ие боламыз: сіз технология мен компьютердің барлық аспектілері туралы аздап түсінетін адам боласыз.

Осылайша, магистранттың жұмыс істеудің көптеген нұсқалары бар. Бірақ жұмысқа орналасудың сәттілігі, әдетте, оқу кезінде адамның нақты бір нәрсені қаншалықты сәтті және анық «бекіткеніне» байланысты. Егер сіз мамандық алсаңыз - сіз не істеу керектігін білмейсіз, бірақ сонымен бірге сіз негізінен бағдарламалаумен айналысқан болсаңыз, онда сіз бағдарламашы ретінде жұмысқа орналаса аласыз. Бұл өте беделді және жоғары ақы төленетін орын. Бірақ мұнда бәрі бірдей жұмыс істей алмайды. Табысты жұмысқа орналасу үшін сізге университеттің 1-ші курсынан бастап бағдарламалауды бастау керек. Сонда сәттілік сізге күледі.

Күзетші

Шыны керек, кез келген маман күзетші болып жұмыс істей алады. Тіпті ең қарапайым студент. Соған қарамастан сіз «Телекоммуникациялық жүйелердің ақпараттық қауіпсіздігі» мамандығын алдыңыз. Кіммен жұмыс істеу керек? Тізімде көрсетілген бос орындардан басқа, сіз күзетші ретінде жұмысқа орналасуға тырыса аласыз. Дүкенге немесе бөлшек сауда желісіне емес, әлдеқайда беделді жерге. Онда арнайы камералар арқылы тәртіпті бақылауға тура келеді.

Бірақ бұл бос орын әсіресе танымал емес. Тіпті, сіз жылы және жайлы кеңседен болып жатқанның бәрін бақылайтыныңызды ескерсеңіз. Күзетші - бұл университетте 5 жыл, тіпті одан да көп оқуға тұрарлық қызмет емес. Сондықтан көбісі бұл ұстанымды тәжірибе үшін ғана қабылдайды. Содан кейін олар қолайлы және беделді орын іздейді. Мұны істеу соншалықты оңай болмаса да.

Егер сіз «Телекоммуникациялық жүйелердің ақпараттық қауіпсіздігі» мамандығын игерген болсаңыз, әлі кіммен жұмыс істеу керектігін білмесеңіз және күзетші немесе орнатушы мамандығы сізге сәйкес келмесе, қайтадан іздеуге тура келеді. Шындығында, кейде сіздің дәрежеңіз бойынша жұмыс істеу үшін жақсы орын табу өте қиын болуы мүмкін. Сондықтан көп адамдар «кем дегенде бір жерде» жұмысқа орналасуға тырысады. Бірақ біз осы саланың түлектері үшін ең қолайлы бос жұмыс орындарын анықтауға тырысамыз.

Жүйелік администратор

Міне, бітірушілер үшін өте қолайлы болатын тағы бір. Информатика бойынша кез келген дерлік мамандықты алғаннан кейін жүйелік әкімші бола алатынын бәрі бірдей елестете алмайды. Бұл әдемі қарапайым жұмыс, бұл бесіктен компьютерлік технология саласында өзін-өзі тәрбиелеген мектеп оқушысының да төтеп бере алады.

Бұл «Ақпараттық қауіпсіздік» көп қырлы мамандық. Қай жерде жұмыс істеу керек, әркім өзіне қолайлы орынды таңдауға тырысады. Егер сіз жүйелік әкімшілер қатарына «тіркелсеңіз», компьютеріңіз бен желіңіздің жұмысын үнемі бақылап отыруға дайын болыңыз. Көптеген адамдар үшін бұл рахат әкелетін өте қарапайым тапсырма. Сонымен қатар, жүйелік администраторконфигурациялау мен жөндеуді де орындау керек операциялық жүйелержәне жабдықтар. Бұл процедуралармен қазір мектеп оқушысы да таныс.

Көп жағдайда жүйелік әкімші жұмысы өте беделді болып саналады және аса қиын емес. Көбінесе сізге жеке кеңсе беріледі, онда сіз өзіңізге ұнайтын нәрсені жасай аласыз. Бірақ бірдеңе дұрыс болмайынша. Немесе жұмыс беруші сізге тегін кесте бере алады (қоңырау бойынша). Барлығы жұмыс істейді? Сосын үйде бол. Бірдеңе кенет бұзылды ма? Жұмыс орнына келіп, бәрін жөндеңіз. Айтпақшы, мөлшері, әдетте, сіздің жұмыс кестеңіздің сипатына байланысты емес.

Бірақ бұл «Ақпараттық қауіпсіздік» дайындағанның бәрі емес. Тізімде көрсетілген опциялардан басқа қайда жұмыс істеу керек?

Жеке қауіпсіздік қызметтері (жабдықтарды орнату)

Мысалы, егер сіз күзетші болып жұмыс істегіңіз келмесе, бірақ қандай да бір түрде өзіңізді осы мамандыққа «байланыстырсаңыз», сіз жеке күзет қызметінде (мысалы, кәсіпорындарда) жұмысқа орналаса аласыз. Ол жерге нақты кім баруы керек? Мысалы, бақылау жабдығын орнату шебері.

Сіздің жауапкершіліктеріңіз қандай болады? Қызметтерге тапсырыс берген жерге келіңіз, жабдықты орнатыңыз, қосыңыз, оның функционалдығын тексеріңіз және конфигурациялаңыз (қажет болса). Және бәрі. Кейбіреулер бұл жерде күрделі ештеңе жоқ деп ойлауы мүмкін. Бірақ іс жүзінде бәрі сәл басқаша - кейбір жұмысшылар, мысалы, камераларды «серверге» немесе компьютерге дұрыс қоса алмайды, онда болып жатқан барлық оқиғалардың бейне жазбасы көрсетіледі.

Сонымен қатар, кейде қауіпсіздік камераларында түсірілген жазбаларды қарауға көмек көрсетуге тура келеді. Бұл, әсіресе, жұмыс орнындағы күзетші мұндай жабдықпен қалай жұмыс істеу керектігін білмесе дұрыс. Жалпы, бақылау жүйелерінің шебері ретінде жұмыс істеу де өте беделді. Әсіресе, егер сіз өз бизнесіңізді жақсы білсеңіз.

IT-мұғалім

Егер сіз «Ақпараттық қауіпсіздік» (мамандық) туралы білсеңіз, қай жерде жұмыс істеу керек, сіз нақты білмеуіңіз мүмкін. Бұл жағдайда, жоғарыда айтылғандай, студенттер мен түлектер жұмыстың қандай да бір түрін табуға тырысады. Ал нұсқалардың бірі мектеп болды. Мен мұнда қалай жұмысқа тұрсам болады? Сіз информатика мұғалімі бола аласыз.

Шынымды айтсам, бұл бағыт таңдаған мамандығына аса сәйкес келмейді. Соған қарамастан студенттердің компьютер туралы жалпы түсінігі әлі де қалыптасады. Және олар бұл материалды мектеп оқушыларына ұсына алады. Қарапайым информатика мұғалімі болып жұмыс істейтін ақпараттық қауіпсіздік маманы бұл күндері сирек емес. Әдетте адамдар бұл бос орынға басқа нұсқалар болмаған кезде келіседі. Міне, «Ақпараттық қауіпсіздік» деген қатыгездік. Мен тағы кіммен жұмыс істеуім керек? Мұны анықтауға тырысайық.

Кәсіпкер

Жеке және жеке кәсіпкерлер біздің заманымызда сирек емес. Әдетте адамның қолында дипломы бар, жұмысы жоқ немесе мүлдем білімі болмаса, бірақ ойы, уақыты мен күші көп болса, ол кәсіпкер болып, өз ісін ашады. Егер сіз «Ақпараттық қауіпсіздік» мамандығын меңгерген болсаңыз, дәл осылай жасауға болады. Мен нақты кіммен жұмыс істеуім керек?

Мысалы, кеңсені ұйымдастыруға болады компьютерлік көмекнемесе бақылау жүйелерін жеке орнату. Мұндай жабдық қазіргі уақытта өте қымбат емес, сонымен қатар әрбір дерлік компьютерлік дүкенде сатылады. Сонымен қатар, сіз компьютерлік тақырыптар бойынша копирайтер болуға тырыса аласыз. Ақпараттық қауіпсіздік, дәлірек айтқанда, осы тақырыптағы мақалалар Интернетте өте танымал. Ал өз ісіңді білсең, жазу қабілетің болса, жұмыс онша қиын болмайды. Бірақ бұл өте тиімді.

Қорытындылау

Сонымен, бүгін біз «Ақпараттық қауіпсіздік» мамандығының түлектері қайда жұмыс істей алатынын анықтадық. Көріп отырғаныңыздай, оқиғаларды дамытудың көптеген нұсқалары бар және олардың көпшілігі әр оқушының жеке дағдыларына байланысты.

Жалпы, мұндай жұмысшылар шын өміркомпьютерге қатысты кез келген жұмысқа орналасу. Мұнда дизайнерлер, 3D модельдеушілер және веб-бағдарламашылар бар. Ең бастысы, нақты не істегіңіз келетінін өзіңіз шешіңіз. Ал 1-курстан бастап осы салада біліктілігіңізді арттырыңыз.

Ақпараттық қауіпсіздік факультетін бітіргеннен кейін не істей аласыз және қай жерден тәжірибе жинақтай аласыз? Егер сіз шағын қалада тұрсаңыз, күзетші болу үшін оқудың мағынасы бар ма? Мұның барлығы туралы GeekBrains білім беру жобаларының жетекшісі Сергей Кручинин әңгімелейді. Бұл адам GeekUniversity-тің барлық 8 факультетінің декандарының жұмысын басқарады және оқу жоспарларын үйлестіреді.

Сергей, ең бастысынан бастайық. Ақпараттық қауіпсіздік жөніндегі маман – бұл кең ұғым. Сіз нақты нені үйретесіз?

Біріншіден, факультет бағдарламасын тәжірибеші мамандар әзірлегенін айтқым келеді. Mail.Ru ақпараттық қауіпсіздік жөніндегі маманы және факультет деканы Никита Ступинге ерекше алғысымызды білдіреміз. Оқушылармен бөлісеміз озық тәжірибелер Mail.Ru тобында бұрыннан қолданылған қауіпсіздік.

Ешкім шатастырмас үшін, сіз ақпараттық қауіпсіздік саласында (АЖ) «қағаз» бар екенін түсінуіңіз керек және практикалық жұмыс. «Қағаз» мамандары қауіпсіздік жүйесінің құжаттарға сәйкес заң талаптарына сәйкестігін бақылайды. Шындығында, ол ешкім іздемейтін және бекітпейтін тесіктерге толы болуы мүмкін, бірақ құжаттамада бәрі стандартқа сәйкес.

Бұлай істемеңіз

Біз «қағаз» қауіпсіздігіне емес, веб-қосымшалардың, желілердің, жабдықтар мен деректердің практикалық қауіпсіздігіне назар аударамыз. Біздің студенттер хакерлік әдістер мен технологияларды, хакерлік құралдарды және қорғалатын жүйелердің жұмысын зерттейді. Барлық осы білім осалдықтарды табу және жабу үшін қажет.

Біздің студенттер сонымен қатар ақпараттық қауіпсіздіктің «қағаз» жағымен қысқаша танысады: олар кәсіпорын қызметкерлеріне арналған ережелер мен нұсқаулықтарды жасауды үйренеді. Стандарттар мен құжаттама ешбір жағдайда пайдасыз емес, бірақ олар нақты қорғауды алмастыра алмайды.

- Неліктен GeekUniversity дәл осы жолды таңдады?

Практикалық қауіпсіздік маңыздырақ. Мықты бизнес ең алдымен нәтижеге мүдделі. Мен сондай-ақ тәжірибеден бастауға кеңес берер едім, себебі бұл сізді жас және прогрессивті IT командасына апаруы мүмкін.

«Қағаз» бос орындарға көбінесе ойлау қабілеті ерекше, университеттік білімі және мемлекеттік органдардағы тәжірибесі бар 40-50 жас аралығындағы адамдар келеді. Олар заттарға ресми түрде қарайды. Тексеру кезінде олар: «Сізде шабуылды анықтау жүйесі бар ма?» деген сияқты сұрақтар қояды. Немесе бірдеңені тексеру үшін олар клиенттен түбірлік құпия сөзді сұрайды. Құпия сөзсіз біздің түлек орташа станокта не қажет екенін қарап, қажет болса парольді өзі өзгертеді.

GeekUnivestity-те біз Mail.Ru Group және ұқсас компанияларда сұранысқа ие мамандарды дайындап жатырмыз - олар, мысалы, үлкен пошта қызметінің қауіпсіздігін қамтамасыз етуге қатыса алады.

– Айтпақшы, Mail.Ru Group қауіпсіздіктің қандай бағыттары бойынша мамандарды жалдайды?

Басымдықтардың ішінде өнімнің қауіпсіздігі (Application Security), тіпті ашық бос орын бар. Бұл саладағы мамандар веб-қызметтің осал тұстарын таба алады, SQL инъекцияларын бейтараптандыруды, ОЖ командалық инъекциясын және т.б. Инфрақұрылымдық қауіпсіздік мамандары да сұранысқа ие. Олардың құзыреттері: желі деңгейін қорғау (L3, L4, TCP/IP, брандмауэр), операциялық жүйе қауіпсіздігі (бума мен ядро ​​жаңартуларын бақылау), құпия сөз саясаты, периметрді сканерлеу - тізім ұзақ уақытқа созылады.

– Терминологиямен енді танысып жатқандар үшін веб-сервистерде инъекция деген не?

Бұл хабар идентификаторы сияқты қолданба күткен деректердің орнына шабуылдаушы өзіне қажетті пәрменді енгізеді және сценарий оны орындайды. Алаяқ құпия деректерге немесе тіпті осалдық табылған құрылғыға қол жеткізе алады.

- Тағы қандай қауіптерді табуға үйретесіз?

Екілік, криптографиялық. Осалдықтардың көптеген түрлері бар. Оқу жылының алғашқы екі тоқсаны тек веб-қауіпсіздікке арналған. Бұл өте маңызды бағыт, өйткені бизнес офлайннан онлайнға ауысады, ал пайдаланушы деректері интернетке және бұлттарға өтеді. Осыдан 10 жыл бұрын таксиге тек телефон арқылы тапсырыс берілетін. Қазір - негізінен Uber және Yandex.Taxi сияқты қызметтер арқылы. Ал басты мәселе - деректеріңізге сенетін веб-қызмет қаншалықты қауіпсіз.

Егер сайт әзірлеушілері қауіпсіздік туралы қамқорлық жасамаса, азды-көпті дамыған пайдаланушы басқа адамдардың хабарламаларын оқи алады, фотосуреттерді қарай алады және т.б. Бағдарламашының немқұрайлылығын пайдалану үшін жасалған веб осалдықтарының жиынтығы бар. Біз студенттерге шабуылдаушылар мұндай осалдықтарды қалай тауып, пайдаланатынын, бұл неге әкелетінін және оның алдын алу жолдарын түсіндіреміз.

Мұндай нәрселерді білу веб-әзірлеушілерге, жоба менеджерлеріне және веб-сайтқа кірушілердің құпия деректерін қорғағысы келетіндерге пайдалы. Немесе аудит жүргізетін тәжірибеші маманды тарту керек. Қауіптерді анықтау шайқастың жартысынан аз. Біз әлі де оларды қалай жою керектігін анықтауымыз керек, содан кейін қорғаныс жұмыс істейтініне көз жеткізуіміз керек.

GeekBrains кеңсесі: біз студенттердің білім алуы үшін кешке дейін жұмыс істейміз

Біздің студенттер веб-қауіпсіздіктен басқа, желі қауіпсіздігін егжей-тегжейлі зерттейді. Бұл аймақтар ішінара байланысты, себебі серверге ғана емес, сонымен қатар қызметтің клиенттік бөлігіне де әсер ететін қауіптер бар.

Мысалы, кейбір сайттар, соның ішінде ірі ұйымдар трафикті шифрламайды. Бұл оны жалған машиналарға қайта бағыттауға және пайдаланушылар серверге жібергісі келетіндердің барлығын ұстауға мүмкіндік береді.

Егер адам озық IT компаниялары жоқ шағын қалада тұрса ше? Сондықтан ол практикалық күзетші ретінде дайындалды. Ол кіммен жұмыс істеуі керек?

Біз оқытатын технологиялық стек жүйені басқаруға және ақпараттық қауіпсіздікке қатысты басқа салаларға байланысты. Адам ыждағаттылықпен оқыса, бізде жалпы маман болады. Енді мен толығырақ түсіндіремін.

Жақсы қауіпсіздік маманы басқаруға қабілетті болуы керек. Ақпараттық қауіпсіздік мамандарының түйіндемелеріне қарасаңыз, олардың көпшілігі өз мансабында жүйелік басқару кезеңінен өткен.

Біздің студенттер Linux-ті жақыннан оқиды. Бұл операциялық жүйемен бұрын жұмыс істемеген кез келген адам ең алдымен оны орнатуды үйренеді виртуалды машина. Келесі кезекте студенттер терминалда жұмыс істеуді, бағдарламалық қамтамасыз етуді орнатуды және негізгі есептерді шешуді меңгереді.

Біз сондай-ақ қызметтермен жұмыс істеуді үйретеміз: Nginx немесе Apache серверін, ДҚБЖ дерекқорын орнату, BIND DNS серверін және поштаны орнату. Жаттығуға ақы төлегеннен кейін білім өздігінен келмейтінін есте ұстаған жөн - сіз күш салуыңыз керек.

– Сіз сондай-ақ желілерді құруды және конфигурациялауды үйретесіз бе?

Иә. Желілік инженер - қауіпсіздік маманының жұмысында ортақ нәрсе бар тағы бір мамандық. Сіз кем дегенде конфигурациялай білуіңіз керек желі сүзгілері, порттарды жабу, белсенді қосылымдарды бақылау.

Оқу кезінде компьютерлік желілерстуденттер Cisco Packet Tracer симуляторында практикалық дағдыларды үйренеді. Біз оны түсінікті болу үшін таңдадық, бірақ Cisco жабдығымен жұмыс істеу мүмкіндігі де түйіндемеңіз үшін бонус болып табылады.

Бұрыштық тақырып желі қауіпсіздігі- TCP/IP. Бұл желі арқылы деректерді тасымалдауға арналған модель. Әкімшілер мен қауіпсіздік мамандары оның әртүрлі енгізулерімен үнемі жұмыс істейді. Біз сізге арна мен арна протоколдарының қандай екенін айтамыз. желілік деңгей, олар қалай жұмыс істейді, сізге MAC мекенжайы не үшін қажет. Шабуылдардың көптеген түрлері сілтеме деңгейінде жасалғанымен, мұны аз адамдар түсінеді.

Желілік технологияларды оқу

- Жағдайға қайта оралайық, «түлек көшкісі келмейді шағын қала" Қайда жұмыс істеу керек?

Барлық жерде провайдерлер бар екенінен бастайық. Олар біздің түлегімізді желі инженері ретінде жұмысқа алуға қуанышты болады. Сонымен қатар, бұл қауіпсіздікті өте жақсы түсінетін желі инженері болады. Мансап тұрғысынан ол бұрын тек желілерді салған адамдардан артықшылыққа ие болады: бұралған жұп кабельдерді бұрап, онымен шатырлар арқылы өтті. Біздің қауіпсіздік инженеріне менеджер дәрежесіне дейін көтерілу оңайырақ болады. Провайдерлердің веб-сайттары мен кейбір қызметтері бар - мұнда сіз өзіңізді білдіре аласыз.

Келесі мәселе, жүйелік әкімшілер барлық жерде қажет. Егер компанияда ақпараттық қауіпсіздік бойынша жеке маман болмаса, оның міндеттерін жүйелік әкімші орындайды. Тағы да, біздің түлек қауіпсіздікті өздері және үстірт зерттеген әкімшілерден артықшылық алады.

Жеке ескертпеде, егер сізде Мәскеуге немесе Санкт-Петербургке көшу және ірі жергілікті немесе халықаралық компанияда жұмыс істеу мүмкіндігі болса, бұл тұрарлық екенін қосамын. Қазірдің өзінде жетістікке жеткен студенттеріміз бар.

-Қосымшалармен жұмыс істеу туралы не айтасыз? Өйткені, күзетші де бағдарламалық жасақтаманы бақылауда ұстауы керек.

Иә, студенттер зиянды кодты анықтай алуы үшін қолданбаны бөлшектеу және талдауды үйретеміз.

Сіз шабуылдаушылар мен олармен күресетіндер бірдей құралдарды қолданатынын түсінуіңіз керек. «Қара» (жаман) хакерлер талдайды бағдарламалық қамтамасыз етужәне пайдалануға болатын осалдықтарды іздеңіз. Ақ қалпақ (этикалық) хакер қауіпсіздік саңылауларын жабу үшін қателерді іздейді.

Біз кодты қалай зерттеу керектігін үйретеміз. Егер бағдарламашы ұқыпсыз болса, белгілі бір жағдайларда бағдарлама құпия деректерді ашуы мүмкін. Мысалы, пайдаланушыға бөлікті жіберіңіз жедел жады, мұнда құпия сөздер, жеке кілттер және басқа да қызықты заттар сақталады.

Біз сонымен қатар Python тілінде бағдарламалауды үйретеміз. Бұл тапсырмаларды автоматтандыруды немесе деректерді талдау құралдарын жазуды ыңғайлы етеді. Бұл дағдылар күзетшіні жоғары кәсіби деңгейге көтереді.

Бізде операциялық жүйелер курсы да бар. Ол ОС архитектурасы туралы, қауіпсіздік қатерлерінің Linux, DOS, Windows және т.б.

Біз ядро ​​кеңістігі және пайдаланушы кеңістігі деген не екенін, жадтың қалай жұмыс істейтінін және қазіргі операциялық жүйелердегі бір қолданбаның басқа қолданбаның деректерін неге өзгерте алмайтынын түсіндіреміз. Процесс жіптен қалай ерекшеленеді?

Курстың соңына қарай – төртінші тоқсанда – студенттер екілік осалдықтар тақырыбымен танысады.

– Студенттер нормативтік-құқықтық актілерді жасауды, құжаттармен жұмыс істеуді де үйренетінін айттыңыз.

Біз құқық қорғау және реттеуші органдармен - FSTEC және ФСБ-мен өзара әрекеттесу туралы айтамыз. Біз Ресей заңнамасында көзделген қауіпсіздік стандарттарын қашан және қалай қолдану керектігін білеміз.

Тағы біреуі бар маңызды нүкте. Біз әлеуметтік инженерия негіздерін оқытамыз. Өйткені шабуылдаушы ешқашан қиын жолды қажетсіз қабылдамайды. Кез келген нәрсені бұзбас бұрын, ол пайдаланушыдан құпия сөзді немесе басқа қажетті ақпаратты алуға тырысады. Біз сізге компания қызметкерлеріне арналған нұсқаулықтарды жасау кезінде мұндай схемаларды қалай ескеру керектігін айтамыз.

- Демек, сіз «әмбебап қауіпсіздік сарбазын» дайындап жатырсыз ба?

Біз бұзып, қорғауды білетін адамды дайындап жатырмыз. Ақпараттық жүйені сауатты құру үшін бұзу әдістерін түсіну қажет.

Жақсы күзетші шабуылдаушы сияқты дағдыларға ие. Бірақ ол оларды өзімшілдік және/немесе қылмыстық мақсаттар үшін емес, жүйені және, сайып келгенде, пайдаланушыларды қорғау үшін пайдаланады.

Сіз кез келген нәрсені бұза аласыз - бұл уақыт пен ресурстар мәселесі. Бірақ жақсы құрылған қорғанысты айналып өту шабуылдаушыны құртуы мүмкін.

– Зерттелетін бағыттардың ішінде басымдықтар қалай белгіленеді?

Веб қауіпсіздігіне басты назар аударылады. Желілік инженерия және жүйелік әкімшілік оған жақын орналасқан. Басқа салаларда біз студенттің қызығушылығына қарай дамытуға болатын негізгі білімді береміз.

Қауіпсіздік жөніндегі студент практикалық тәжірибені қайдан ала алады? Ол оқуының нәтижесі бойынша түйіндемесінде қандай жетістіктерге қол жеткізе алады? Ал өзіңізді қалай деңгейге көтеруге болады?

Қауіптерді модельдеуге болады. Бұл үшін арнайы құралдар бар. Қарапайым нәрселерден бастаған дұрыс: сайтта «қате веб-қосымшаны» алыңыз және орнатыңыз - bWAPP (қате веб-қосымша). Бастапқыда ол «этикалық хакерлер» оны осалдықтарды табу және бұғаттау үшін қолдана алуы үшін қауіпсіз болу үшін жасалған.

Сондай-ақ DVL бар - әдейі конфигурация қателері бар арнайы Linux дистрибуциясы.

Мұндай құралдар өте пайдалы, бірақ студенттер олардан тез жалықтырады, сондықтан біз одан да қызықты тесттер дайындадық. Мысалы, Capture the flag сияқты жарыстар. Сіз қашықтағы құрылғыға қол жеткізесіз, бірақ сіз оның осалдықтарын алдын ала білмейсіз және оларды табуыңыз керек. Мұндай жарыстар мен жарыстардағы жеңістер нарықта бағаланады - оларды түйіндемеңізге қауіпсіз түрде жазуға болады. Нағыз веб-сайтқа қарағанда маңызды тренажерды бұзу оңай емес.

Сондай-ақ, Bug Bounty сияқты жарыстарға қатысуға тұрарлық. Бұл ұйым өнімдегі осалдықтарды тапқандарға сыйақы ұсынатын кезде. Біз сізге осындай бағдарламаларға қалай қатысуға болатынын айтамыз. Егер сізде хакеронеде жақсы дамыған аккаунтыңыз болса, сізді ірі компанияларда, соның ішінде шетелдік компанияларда қарсы алады.

Біздің студент сонымен қатар веб-сайт иелеріне аудит қызметтерін ұсына алады: осалдықтарды тауып, жабу. Ең бастысы, сайттың иесімен алдын ала келісу керек, өйткені «қара» және «ақ» бұзу арасындағы сызық өте жұқа және қажетсіз көмек қылмыстық жауапкершілікке әкелуі мүмкін.

Қауіпсіздік аудитін оған мән бермейтіндерге ұсынудың мағынасы бар ма? Бұл осалдық тіпті маман емес адамға да көрінеді, бірақ оны ешкім жоймайды ...

Байқап көруге тұрарлық. Кейбіреулер шынымен жазуды пайдасыз деп санайды, бірақ мәселе туралы ойланбағандар да бар. Мен бір сайт иесіне HTTP қолданатынын және HTTPS-ке ауысатын уақыт екенін түсіндірдім, өйткені әйтпесе пайдаланушы құпия сөздері қорғалмаған байланыс арнасы арқылы беріледі. Ал адам тыңдады. Егер сайт табыс әкелсе, иесі оның дамуына мүдделі және, ең алдымен, диалогқа түседі.

Міне, конкурста жеңіске жеткен, біреуге ревизия жүргізген, бірақ штатта әлі жұмыс істемеген адам. Бұл жұмыс іздеу кезінде қиындық туғыза ма?

Жоқ. Біздің түлек бір жыл бойы GeekBrains және Mail.Ru Group компанияларында болды. Ол қазірдің өзінде күзетшінің жұмысын елестетеді ірі компания, бүкіл технологиялық стекті біледі және стартап портфолиосын жинады. Қарапайым жұмыс берушінің көзқарасы бойынша бұл өте көп.

- Сұхбатта өзін көрсететін бірдеңе болады...

Әрине. Түлек кейбір мәселелерді болашақ басшыдан жақсы түсінуі мүмкін.

Сергей, көп рахмет! Қазір менде ақпараттық қауіпсіздік факультетінде нені және не үшін оқытатынын толық түсіндім. Оқырмандардың сұрақтары болса, түсініктемелерде қояды деп үміттенемін. Ал сіз бен біз тағы бір факультет – жасанды интеллект туралы егжей-тегжейлі сөйлесуге әлі уақыт табамыз.

Жаңа факультет пен Data Science бағыты туралы шынымен де көп нәрсе айтуға болады. Сондықтан келесі жолы.

Ақпараттық қауіпсіздік жөніндегі маман – компанияның ақпараттық тәуекелдерін талдайтын, олардың алдын алу шараларын әзірлейтін және жүзеге асыратын адам. Оның міндеттеріне сонымен қатар техникалық деректерді қорғау жабдығын орнату, конфигурациялау және қызмет көрсету кіреді. Қауіпсіздік мамандары сонымен қатар қызметкерлерге ақпараттық қауіпсіздік мәселелері бойынша тренингтер мен кеңестер жүргізеді, нормативтік-техникалық құжаттамаларды әзірлейді.

Ақпараттық қауіпсіздік маманы, әсіресе ірі компанияда, қызықты мәселелерді шешіп қана қоймайды, сонымен қатар үлкен жауапкершілікті де алады. Ол әкімшілендіру принциптерін жақсы түсінуі және жергілікті компьютерлік желілерді вирустық шабуылдардан немесе хакерлерден қорғау мақсатында нақты кәсіпорындар үшін қауіпсіздік жүйесін құра білуі керек. Сонымен қатар, ақпараттық қауіпсіздікке жауапты қызметкер басқа қызметкерлерді ақпараттық қауіпсіздік негіздерін сақтауға үйретуі керек.Кейде ол мемлекеттік кәсіпорында жұмыс жүргізілсе, жол жүруге шектеу қою сияқты қосымша міндеттемелермен шектеледі.

Басқа лауазымдар: Ақпараттық және коммуникациялық жүйелерді қорғау жөніндегі техник, Ақпарат және коммуникация жүйелерін қорғау жөніндегі аға техник, Деректерді қорғау жөніндегі маман, Қауіпсіздік қызметкері

Жауапкершіліктер

Деректерді қорғау жүйелерін құру және тестілеу

Ақпараттық қауіпсіздік жөніндегі маман ақпараттық қауіпсіздікті қамтамасыз ету бойынша шаралар қабылдау үшін ұйымның материалдарын жинауы және талдауы керек, атап айтқанда:

• орнату және конфигурациялау техникалық және бағдарламалық қамтамасыз етуқорғау;
• мемлекеттік, әскери, қызметтік немесе коммерциялық құпияны құрайтын ақпараттың шығуының ықтимал арналарын табу;
• басқару автоматикасының жаңа құралдарын, басқару жабдығының схемаларын, модельдерін және ақпараттық қауіпсіздік жүйелерін әзірлеуге қатысу;
• техникалық және аппараттық-бағдарламалық қамтамасыз ету ақпаратты қорғау құралдарын орнату, конфигурациялау және қызмет көрсету

Құжаттаманы қалыптастыру

Стандарттарға сәйкес жобалық және жұмыс техникалық құжаттаманы әзірлеу және дайындау - қауіпсіздік маманының тағы бір міндеті.

• ақпараттық қауіпсіздікті басқару бойынша ережелерді, ережелерді, нұсқаулықтарды және басқа да ұйымдық-өкімдік құжаттарды ресімдеу;
• ақпаратты қорғау құралдарының тиімділігін арттыру және жетілдіру бойынша ұсыныстар әзірлеу.

Қызметкерлерге кеңес беру

Ақпараттық қауіпсіздік жөніндегі маман сонымен қатар компания қызметкерлерімен кеңесіп, туындаған мәселелерді шешуге көмектесуі керек:

• ақпараттық қауіпсіздік талаптарын ескере отырып, топ жұмысын ұйымдастыру;
• қамтамасыз ету құқықтық қорғауақпарат;
• қорғау объектілеріне сараптама жүргізу және оларды аттестациялауды жүргізу.

Нені білу керек және не істей алу керек

Жеке қасиеттер

• Жүйелі және икемді ойлау;
• Белгілі бір қызмет нәтижесіне назар аудару;
• бастама;
• Жоспарлау және жобалау қабілеті;
• Қарым-қатынас дағдылары;
• Ұйымдастыру;
• Жауапкершілік;
• Анықтау;
• Өздігінен білім алу қабілеті;
• Стресске төзімділік.

Негізгі дағдылар

• Ақпараттық қауіпсіздік негіздерін түсіну;
• Білім ағылшыншатехникалық әдебиеттерді оқу деңгейінде;
• C, C#, JAVA, Perl, PHP, JSP, EJB, J2EE және т.б. әр түрлі тілдерде бағдарламалау мүмкіндігі.
• Түрлі операциялық жүйелерді басқару, антивирустық бағдарламалық қамтамасыз етуді орнату және қолдау дағдылары;
• Желінің архитектурасын түсіну;
• Тапсырмаларды дұрыс қоя білу.