Предлагаемые направления подготовки

Клуб Информационной Безопасности

В доковидное время, КИБ проводил по 4-5 спецкурса каждый семестр. Практика показала, что после спецкурса многие ребята имели уже достаточное количество знаний, чтобы трудоустроиться (И это круто!). Однако знания были поверхностными, неглубокими и не цельными.

Мир меняется, требования повышаются. Нужны более подготовленные кадры в сфере инфобеза на старте. КИБ хочет пойти дальше и организовывать полноценные направления подготовки, состоящие из 3-5 спецкурсов.

Вопрос о выдачи диплома (а оно надо?) на базе какого-либо ВУЗ-а и одобренное министерством образования мы так же рассматриваем и уже ведём переговоры. Но пока не обещаем, т.к. есть ряд дополнительных бюрократических обязательств, которые должен подписать КИБ. Данный вопрос, если вас волнует, просим так же указать в анкете!

Мы не резиновые, поэтому нужно понять какое направление наиболее актуально. Планируем стартовать в апреле-мае, на лето дать большое ДЗ, осенью продолжить и завершить в декабре.

Итоговый выбор будет зависить от трёх факторов:

статистика по анкете студентов (см. "опрос")
анализ потребностей в компаниях
согласования с ВУЗ-ом

Просим неравнодушных студентов ознакомиться с текстом, подумать, и пройти анонимное анкетирование.

Всего предлагаемых направлений пять:

DevSecOps
WEB-пентестинг
Data Science в задачах ИБ (ДЛИБ \ DSIS)
Безопасность мобильных устройств и приложений (Mobile Security)
Управление Информационной Безопасностью (SGRC)

Если вы уже знаете о чём это, то можно сразу пройти анкетирование тут: https://docs.google.com/forms/d/1MyYkGojmNkSmI3oQn8LtfroNCjlIdHoneuGdSlRQ-kY

Для остальных текст ниже.

DevSecOps

Plan -> Code -> Build -> Test -> Release -> Deploy -> Operate -> Monitor диаграмма.

При разработке программного обеспечения необходимо изначально закладывать вопросы инфобеза. Чтобы было меньше ошибок в коде и архитектуре, потому что потом исправлять их будет существенно дороже.

Конечно было бы здорово, если бы каждый программист был бы ещё и ИБ-шником... Однако это затратно, дорого, сложно. Можно включить в команду одного полноценного ИБ специалиста. Это "классическое" решение. Однако ввиду стоимости оплаты труда, содержать одного "чистого" ИБ специалиста достаточно затратно.

Есть другая идея. Вырастить DevOps специалиста в DevSecOps, добавив ему в качестве доп. нагрузки различные ИБ задач. Ведь на DevOps-ере замыкается итоговая сборка и тестирование решения. Инфобез в разработке это в 90% случаев DevOps работа: настройка различных правил в Sonar Qube-е и интеграция их в CI\CD, настройка токенов в Vault \ KeyCloak и т.д. В конце концов просто закрытие неиспользуемых портов и проведения автоматического пентеста в рамках CI\CD уже может закрыть большинство уязвимостей.

Направление DevSecOps это будущее DevOps в целом. Скорее всего в обозримом будущем DevOps без Security будет редкостью.

WEB-пентестинг

Из всех направлений пентеста WEB-пентест наиболее актуален. Компьютерные сети повсеместно распространены, поэтому профессия не устареет.

В канале уже публиковали пошаговый рецепт для начинашек: https://pentesterlab.com/bootcamp. Рекомендуем с ним ознакомиться и уже начинать учиться!

В рамках направления хотим дать цельные знания по различным протоколам компьютерных сетей, инструментам, направлениям профессионального роста, бизнес-процессам.

ДЛИБ (DSIS)

Инфобез тема спекулятивная, Даталогия (Data Science) тоже... А Даталогия в ИБ (ДЛИБ) или Data Science in Information Security (DSIS) и подавно. Много ненужного пиара и дурацких картинок.

Тем не менее в реальности настоящий Data Science крайне востребован в ИБ продуктах: это и фрод-мониторинг, и защита от пиратства, и Brand Protection, и Next-Generation Antivirus (NGAV), и Web Application Firewall (WAF). Скоро и СЗИ будут содержать частичку Data Science; ведь разумно же прикрутить UEBA для анализа пользователя в системе? Согласны?

В отличие от 99% задач в сфере Data Science, изучаемый объект Machine Learning алгоритмов постоянно изменяется, постоянно меняет свои свойства. Вы можете сделать крутую систему, например, для предотвращения банковского фрода. Но через месяц, фродеры адаптируются, сменят тактику и вам придётся начинать сначала... Ведь мы противостоим хакеру\мошеннику, который знает, что за ним наблюдают. Противник меняет свойства своих атак и потоянно дорабатывает свой инструментарий.

Это крайне важный нюанс! По этой причине выживают самые примитивные Machine Learning алгоритмы, способные к постоянному дообучению. Значит основной упор нужно делать на Feature Extraction. К сожалению, этому не учат в ШАД Яндекса. DSIS сильно отличается от "классического DS" и 80% знаний ШАД-а будут излишними...

Мы уже читали DSIS как ознакомительный спецкурс в КИБ-е. Есть предложение сделать его отдельным полноценным направлением подготовки.

Безопасность мобильных устройств и приложений (Mobile Security)

Мобильные устройства окружают нас везде. В КИБ-е мы неоднократно проводили спецкурсы по безопасности мобильных приложений, где рассматривали только мобильные приложения (и преимущественно Android системы). Кому интересно, может посмотреть в канале по хештегу #mobiles.

Тогда мы не лезли в устройство в целом и в комплексную безопасность мобильных устройств в окружении с другими системами.

В рамках направления есть идея объять безопасность мобильных устройств в целом.

УИБ (SGRC)

Управление Информационной Безопасностью (УИБ) или Security Governance, Risk and Compliance (SGRC) это не просто "бумажки таскать" и "закрывать хотелки ФСТЕК-а"...

УИБ крайне важное направление инфобеза, своего рода краеугольный камень. Альфа и омега. Да, к сожалению, часто УИБ вырождается в "бумажную безопасность" в плохом смысле этого слова.

Однако MITRE ATT&CK или OSC&R придумали не только для "бумажек". Грамотный и, самое главное, полный анализ угроз организации; понимание: что существенно, а что маловажно; адекватное оценивание решений и продуктов ИБ — это очень интересно и востребовано!

Кстати, рекомендуем к ознакомлению систему молодого стартапа SECURITM: https://securitm.ru/

Мы их рекламируем, потому что у них есть бесплатная облачная Community версия! Зарегистрировался — и работаешь. Что очень полезно для студентов. Обязательно выделите вечер и потыкайте. Не пожалеете — многая информация на место встанет. А ещё крутая тема для подготовки по ТОИБАС-у.

Вкладка "Главное" Community версии проекта SECURITM.

В рамках направления мы охватим УИБ в целом и дадим полное понимание, что такое ИБ процесс с самой вершины айсберга.

Опрос

Просим потратить 5-10 минут и пройти анонимный вопрос для статистики:

https://docs.google.com/forms/d/1MyYkGojmNkSmI3oQn8LtfroNCjlIdHoneuGdSlRQ-kY