ما هو "الأمن السيبراني Jarno Baselier" وماذا تفعل؟
جارنو بازلير للأمن السيبراني هي شركة تعليمية واختبارات أمنية عالية الجودة. نحن متخصصون في إجراء اختبارات الاختراق (pentests) في البيئات الصناعية وبيئات مكاتب الشركات.
تأسس جارنو بازلير للأمن السيبراني في عام 2022 (ليس مفاجئًا هنا) يارنو بازيلير. بدأت الشركة بعد سنوات عديدة من الخبرة في هذا المجال ولأن الطلب على الآفات عالية الجودة كبير ، خاصة في البيئات الصناعية.
يعد تأمين مكونات تكنولوجيا المعلومات داخل البيئات الصناعية أمرًا يصبح أكثر أهمية ولا يمتلك الكثير من المتخصصين المعرفة اللازمة لإجراء هذه الاختبارات بشكل صحيح وبالقدر المناسب من العناية. نظرًا لأنني كنت أعمل في هذه البيئات (نسميها بيئات "OT" أو "بيئة التشغيل") لسنوات وأعطيت الكثير من التدريب ، فقد قررت أن الوقت قد حان لمساعدة المزيد من المؤسسات من خلال تقديم خدماتي لهم.
قصة يارنو
عندما بدأت في عالم الأمن السيبراني ، لم يكن هذا سائدًا كما هو الحال اليوم. نحن نتحدث 2010/2011. في ذلك الوقت كنت أعمل كمهندس نظام في شركة أسنان كبيرة في هولندا. مجرمو الإنترنت في ارتفاع وكذلك إنفاذ القانون. فكر في إجمالي الناتج المحلي (يسمى AVG في هولندا). منذ أن كنت أتعامل مع أمن النظام ، أردت حقًا معرفة كيفية عمل المهاجمين والتعرف عليها. لأنه ، يمكننا فقط حماية ما نعرفه بشكل صحيح؟
في ذلك الوقت لم يكن هناك الكثير من الشهادات بخصوص "القرصنة الأخلاقية". الشيء الذي برز في ذلك الوقت كان القرصنة الأخلاقية المعتمدة من مجلس ECC. لذلك قررت أنني بحاجة إلى تلك الشهادة لأعرف في العمق كيف يعمل مجرمو الإنترنت. حسنًا ، مفسد صغير ... لم يكن هذا صحيحًا. لأن هذا كان مجرد بداية. ومع ذلك ، كان من الجيد أن أبدأ في هذا العمل. كان أستاذي في ذلك الوقت تيم بيرسون. كان تيم شخصًا ملهمًا للغاية وأصبح فيما بعد صديقًا لي. بعد الدورة (التي استمرت أسبوعًا) قمت بقيادة تيم إلى المطار وعرض علي "منصب داخلي". في الأساس كان يقول "قم بالعمل الشرير مجانًا وسأعلمك حيل التجارة". وهكذا فعلت. شاركت لاحقًا في كتابة الدورة التدريبية v9 لدورة القرصنة الأخلاقية المعتمدة.
لقد تعلمت الكثير في السنوات القليلة الأولى. ليس من الناحية الفنية فحسب ، بل لقد استمتعت أيضًا بالممارسة والمساعدة لدرجة أنني كنت أعرف أن هذا هو ما أريد القيام به في المستقبل. في السنوات التي تلت ، أصبح "الأمن السيبراني" عنصرًا ساخنًا. المزيد والمزيد من الانتهاكات حيث يتم الكشف عنها للجمهور (بمساعدة وسائل الإعلام). ازداد وعي الشركات والموظفين وأصبح المهاجمون أكثر تعقيدًا. القرصنة في الوقت الحاضر لا تشبه القرصنة في أوائل عام 2000. الهجمات عادة لم تعد بهذه السهولة وتتطلب تخطيطًا مناسبًا ومستوى عالٍ من المهارة. نظرًا لأن المهاجمين يصبحون أكثر تطورًا ، يحتاج المدافعون أيضًا إلى الاستمرار في تطوير المعرفة والمهارة. هذه هي لعبة "القط والفأر" التي تدوم طويلاً والتي تشبه ما يحدث بين المجرمين والشرطة.
لذلك كان هذا ما فعلته في السنوات التي تلت ذلك. حاولت التعلم والممارسة بقدر ما أستطيع. لقد بدأت بلدي المدونة مرة أخرى في عام 2014 وبدأت مؤخرًا بلدي قناة يوتيوب. كلتا القناتين هولندية لكنهما تركزان على تقديم محتوى عالي الجودة خصيصًا لمتخصص الأمن الهجومي. أعتقد أن لدينا جهدًا مشتركًا في جعل العالم مكانًا أفضل وأكثر أمانًا. من خلال مشاركة معرفتي ، آمل أن أساعد الآخرين حتى يتمكنوا من النمو ومشاركة المعرفة الجديدة بأنفسهم. هذا هو جمال عالم الأمن السيبراني. هناك الكثير لنتعلمه لدرجة أنني سأستمر في التعلم كل يوم.
أخبرني والدي دائمًا أنه لا يهم ما سأفعله في الحياة ولكن أن أكون الأفضل في الشيء الذي اخترت القيام به. لذلك بعد أن اكتسبت المزيد من المعرفة ، بدأت العمل في فريق CERT الهولندي أيضًا بإجراء اختبارات اختراق متعددة وتعلم المزيد حول قدرات الدفاع / المراقبة.
كل اختبار أقوم به ليس قيمًا للشركة فحسب ، بل لي أيضًا. أحيانًا تكون هذه الاختبارات مسيئة وأحيانًا نتعاون مع ما يسمى "الفريق الأزرق". الفريق الأزرق هو "الطرف المدافع" الذي يؤدي مهام مثل المراقبة والاستجابة والبحث عن الخيوط وما إلى ذلك. عندما يعمل الفريق الأحمر (أنا ، الطرف المهاجم) والفريق الأزرق معًا نسمي هذا "الفريق الأرجواني". مؤخرًا ، نرى أن "العمل الجماعي الأرجواني" هو جزء حيوي من إستراتيجية الأمان الجيدة. عادةً ما نبدأ المشاركة بنهج الفريق الأحمر ثم "نعيد" لاحقًا الدروس المستفادة مع الفريق الأزرق حتى يتمكنوا من التعلم ورؤية ما فعلناه ويمكننا مساعدتهم في العثور على القطع الأثرية المناسبة وبناء محفزات وظيفية.
بعد إجراء العديد من اختبارات الاختراق التي تختلف من نطاقات مختلفة (البنية التحتية في الشركة ، وتطبيقات الويب ، والبنية التحتية السحابية ، والتكنولوجيا التشغيلية) وبعد الحصول على المزيد من الشهادات لتأهيل نفسي (OCSE ، OSEP ، OSWE ، CSA) استخدمت قنواتي ليس فقط لمشاركة المعلومات ولكن أيضًا للتدريس حقًا. تحتوي قناتي على YouTube على الكثير من مقاطع الفيديو "التعليمية" التي تم إنشاؤها خصيصًا لتدريب زملائي مجانًا. ستحصل القناة هذا العام على 100 فيديو تعليمي تغطي مجموعة متنوعة من المواضيع وجيدة لمدة 75 ساعة تدريبية. لذلك عند الانتهاء من هذا المشروع قد أفكر في إنشاء تدريب "مدفوع الأجر".
إن امتلاك قناة اجتماعية لفترة طويلة له فوائد عديدة عندما يتعلق الأمر "بالثقة" والأشخاص المستعدين لتوظيفك. نظرًا لارتفاع الطلب على خدمات اختبار الاختراق ورغبات التدريب ، فقد قررت إنشاء شركتي الخاصة. يمنحني هذا القدرة على تولي الوظائف التي أجدها ممتعة للغاية وتعليم الطريقة التي أعتقد أنها الأكثر فعالية. أحيانًا تكون دروسي الرئيسية من 2 إلى 4 ساعات وأحيانًا تكون أكثر كثافة وتنتشر على مدار يومين. هذا يعتمد على مستوى المهارة وعدد الحضور.
التحديات التي يواجهها العمل / السوق
من وجهة نظري ، يواجه السوق العديد من التحديات. من الهجمات المتقدمة ، وارتفاع التكاليف إلى النقص في الأفراد المؤهلين. لعام 2023/2024 أرى 3 تحديات رئيسية.
1. تكنولوجيا العمليات الأمنية في البيئات الصناعية
لسنوات ، كان الأمن السيبراني يركز على جميع مكونات تكنولوجيا المعلومات والاتصالات العادية مثل أنظمة تشغيل Windows ، وتزامن مستخدمي Active Directory ، وتطبيقات الويب والبروتوكولات الشائعة مثل TCP / IP. وعلى الرغم من وجود العديد من أصول تكنولوجيا المعلومات والاتصالات "العادية" في الأتمتة الصناعية ، إلا أن هذا المجال يظل مختلفًا تمامًا. فكر في:
· استخدام البروتوكولات المتخصصة (مثل Modbus و Profinet و DNP3 وما إلى ذلك) ؛
· استخدام البرامج المتخصصة.
· استخدام الأجهزة المتخصصة.
والأهم من ذلك ، أن جميع مكونات تكنولوجيا المعلومات تدير آلات التحكم في الأجهزة المتخصصة. وأحيانًا تكون هذه الآلات حيوية. لذلك يمكن أن يؤدي تعطل هذه الآلات إلى خسائر مالية ضخمة وحوادث وحتى خسائر في الأرواح البشرية.
الشيء هو أن كل هذه الآلات باهظة الثمن ولها دورة حياة طويلة. بعض الآلات تعمل لمدة 20-40 سنة. نظرًا لدورات الحياة الطويلة هذه ، لم يتم إنشاء الأجهزة وبرامج التحكم وفقًا لأحدث ممارسات الأمان. إلى جانب ذلك ، من الصعب أيضًا تخطيط الأطر الزمنية المجدولة للصيانة في بيئة قيد التشغيل. هذا يجعل تصحيح الأنظمة وتحديثها أمرًا صعبًا للغاية. لذلك في البيئات الصناعية ، تكون المخاطر كبيرة وعادة ما يكون الأمان قديمًا. يعرف القراصنة هذا. البيئات الصناعية قابلة للاختراق وبسبب وجود مخاطر عالية فهي مثالية للمهاجمين الأشرار المستعدين لابتزاز ضحاياهم. لذا فإن الحاجة إلى اختبار وتأمين هذه البيئات لم تكن أبدًا أعلى مما هي عليه اليوم. بصفتك خبيرًا ، فأنت بحاجة إلى معرفة ما تفعله في هذه البيئات المتخصصة لأن خطأ واحدًا بسيطًا قد يؤدي إلى توقف العمل وخسائر مالية ضخمة. يطلب هذا من المختبرين المؤهلين الذين يعرفون كيفية إجراء اختبارات الأمان بأمان في هذه البيئات الحساسة.
2. ابتزاز برامج الفدية
قد يكون الابتزاز ، كما هو موضح في الفقرة السابقة ، أكبر موضوع للأمن السيبراني في هذه اللحظة. تقوم برامج الفدية عادةً بتشفير الملفات الحساسة على الكمبيوتر وتطلب فدية لفتح هذه الملفات مرة أخرى. ومع ذلك ، فإن عملية تشفير كل ملف على النظام هي عملية تستغرق وقتًا طويلاً. يمنح هذا الضحية وقتًا للتدخل وحفظ بعض البيانات عن طريق إنهاء البرامج الضارة قبل تشفير البيانات. إلى جانب ذلك ، تتمتع الشركات بإمكانية الاستعادة من النسخ الاحتياطية دون دفع الفدية. تتمثل الضجة الجديدة في سرقة البيانات وابتزاز الأعمال فقط من خلال التهديد بنشر البيانات علنًا. هذا النوع من الهجوم أسرع في التنفيذ ويصعب اكتشافه ولا يمكن إصلاحه باستخدام النسخ الاحتياطية.
3. (السحابة) تهديدات الطرف الثالث
تغيير كبير آخر في عالم الأمن السيبراني هو الاعتماد السريع للحوسبة السحابية. يتم اعتماد أدوات SaaS بسرعة عالية ولكن يتم أيضًا تنفيذ IaaS (البنية التحتية كخدمة) على نطاق واسع وعادة ما يكون موجودًا إلى جانب البنية التحتية المحلية. عادةً ما تكون هذه البيئات آمنة نسبيًا ، ولكن عدم الإلمام بأفضل ممارسات أمان السحابة ، ونموذج الأمان المشترك على السحابة ، وعوامل أخرى يمكن أن تجعل البيئات السحابية في بعض الأحيان أكثر عرضة للهجوم من البنية التحتية داخل الشركة. يتمتع المهاجمون بميزة أنه يمكنهم اختبار هذه البيئات على نطاق عالمي. هناك اتجاه كبير يتمثل في أنه بالإضافة إلى مستخدمي الخدمات السحابية ، يتم أيضًا استهداف موفري الخدمات السحابية. بهذه الطريقة يمكن لمجرمي الإنترنت الوصول إلى البيانات الحساسة لعملائهم وربما البنية التحتية لتكنولوجيا المعلومات الخاصة بهم. بهذه الطريقة يمكن أن يكون تأثير الهجوم أكبر بكثير وأكثر فائدة للمهاجم.
الفرص التي يواجهها العمل / السوق
نظرًا لأننا نواجه هجمات متقدمة على نطاق واسع في بيئة تكنولوجيا المعلومات والاتصالات دائمة التوسع ، فإن عمل الفرق الزرقاء والفرق الحمراء لم يكن أبدًا بهذه الأهمية. على سبيل المثال ، بعد بضعة أشهر من انتشار جائحة COVID-19 في عام 2020 ، زاد عدد الهجمات الإلكترونية بنسبة 63٪. وكان عام 2021 أسوأ. وكان عدد المخالفات حتى نهاية سبتمبر 2021 قد تجاوز بالفعل العدد الإجمالي لعام 2020 بنسبة 17٪. 2023 لن يكون مختلفا. تتفاقم الزيادة المقلقة في عدد الاختراقات والهجمات الإلكترونية من خلال اتجاه آخر مثير للقلق: ارتفاع تكلفة الخروقات.
هذه المعرفة وحقيقة أن هناك نقصًا كبيرًا في الشخصية الماهرة تجعل هناك طلبًا كبيرًا على جميع أنواع محترفي الأمن السيبراني تقريبًا. الفريق الأحمر والفريق الأزرق والوظائف الإدارية. فكر في:
مهندسو الأمن السيبراني
محللي الأمن السيبراني
· المتسللين الأخلاقيين
محللي البرمجيات الخبيثة
· CISO و ISO
وهذا يعني أن هناك عملًا كافيًا في هذا الفرع ، وهناك العديد من فرص التدريب ويمكن الحصول على راتب جيد.
نصيحة للآخرين حول العمل
نظرًا لأن صناعة الأمن السيبراني مزدهرة ، فهناك العديد من الشركات الناشئة (مثلي). في صناعة "مزدهرة" يتم كسب الكثير من المال بينما لا تكون الجودة مضمونة دائمًا. الجميع يحاول الحصول على نصيبها. نرى أن هناك حاجة لمراجعي حسابات موردي الأمن الذين يصدرون ختم الجودة بعد تدقيق ناجح. بهذه الطريقة تعرف الشركات أن الإجراءات الداخلية على الأقل مطبقة ومُطبقة.
يعد تقديم أفضل جودة لعملائك أمرًا حيويًا في هذا الفرع الحساس. يحتاج المخترقون إلى النصيحة في جعل البيئة أكثر أمانًا بدلاً من جعلها أكثر انعدامًا للأمان بعد اختبار pentest (لقد رأيت هذا يحدث أكثر من مرة). للقيام بذلك أنصح المنظمات بالاستثمار في نفسها وفي موظفيها. تأكد من حصول الشركة على ختم الجودة على الأقل ومن تدريب المتخصصين على الوظائف التي يحتاجون إليها. أظهر أيضًا للعملاء أن موظفيك قد تم تدريبهم حتى يتمكن العميل من التأكد من أن المهمة ستتم بشكل جيد.
نصيحة أخرى أحب أن أقدمها هي إرسال نفس الفريق إلى نفس الشركة في وظائف المتابعة إن أمكن (إذا تم تدريب الموظفين على القيام بذلك). من الجيد دائمًا رؤية وجه مألوف. إنه يمنح المصمم شعوراً بالثقة وبالنسبة للمكفوفين ، من الممتع العمل في بيئة يعرفونها بالفعل (جزئيًا). في النهاية ، سيكون هذا مفيدًا أيضًا للجودة النهائية للاختبار.
GP
يشمل عمل طبيب الأسرة مجموعة واسعة من التنوع السريري ، الأمر الذي يتطلب معرفة واسعة ومعرفة واسعة من أخصائي. ومع ذلك ، أعتقد أن أهم شيء بالنسبة لطبيب الأسرة هو أن يكون إنسانًا لأن التعاون والتفاهم بين الطبيب والمريض ضروريان لضمان رعاية صحية ناجحة. في أيام إجازتي ، أحب أن أكون في الطبيعة. منذ الطفولة وأنا شغوف بلعب الشطرنج والتنس. كلما كان لدي إجازة ، أستمتع بالسفر حول العالم.
- مواقف جنسية مجنونة ستحاول دائمًا - أبريل 7، 2023
- لماذا يجب عليك شراء Cockrings مع المقابس المؤخرة؟ - أبريل 7، 2023
- أفضل عشرة مقابس ذيل لصنمك البري - أبريل 6، 2023
