SEC530: Arquitetura e Engenharia de Segurança Defensável (36 CPEs)

SEC530: Arquitetura e Engenharia de Segurança Defensável foi projetada para ajudar os alunos a estabelecer e manter uma abordagem holística e em camadas para a segurança. A segurança eficaz requer um equilíbrio entre os recursos de detecção, prevenção e resposta, mas esse equilíbrio exige que os controles sejam implementados na rede, diretamente nos terminais e nos ambientes de nuvem. Os pontos fortes e fracos de uma solução complementam outra solução por meio de posicionamento estratégico, implementação e ajuste fino.

NOTA: O termo “arquitetura” é interpretado de forma diferente por diferentes organizações e em várias regiões do mundo. Este curso se concentra na aplicação estratégica e técnica e nos casos de uso, incluindo o ajuste fino e a implementação de vários componentes de infraestrutura e técnicas de defesa cibernética. Se você espera que o curso se concentre exclusivamente na colocação de soluções estratégicas e casos de uso, o curso não é para você.

Para abordar essas questões, este curso se concentra em combinar conceitos estratégicos de infraestrutura e posicionamento de ferramentas, além de mergulhar em sua aplicação técnica. Discutiremos e identificaremos quais soluções estão disponíveis e como aplicá-las com sucesso. Mais importante ainda, avaliaremos os pontos fortes e fracos de várias soluções e como colocá-las em camadas de forma coesa para obter defesa em profundidade.

O cenário de ameaças em constante mudança exige uma mudança de mentalidade, bem como um redirecionamento de muitos dispositivos. Onde isso deixa nossos dispositivos de perímetro clássicos, como firewalls? Quais são as ramificações da mentalidade “criptografar tudo” para dispositivos como sistemas de detecção de intrusão de rede?

Neste curso, os alunos aprenderão os fundamentos da arquitetura de segurança defensável atualizada e como projetá-la. Haverá um forte foco em alavancar a infraestrutura atual (e investimento), incluindo switches, roteadores e firewalls. Os alunos aprenderão como reconfigurar esses dispositivos para melhorar significativamente os recursos de prevenção de suas organizações diante do cenário dinâmico de ameaças de hoje. O curso também aprofundará as tecnologias mais recentes e suas capacidades, pontos fortes e fracos. Você receberá recomendações e sugestões que ajudarão na construção de uma infraestrutura de segurança robusta.

Embora este não seja um curso de monitoramento, ele se encaixa perfeitamente com o monitoramento contínuo de segurança, garantindo que a arquitetura de segurança não apenas suporte a prevenção, mas também forneça os logs críticos que podem ser alimentados em um sistema de Gerenciamento de Informações e Eventos de Segurança (SIEM) em uma Unidade de Operações de Segurança. Centro.

Vários laboratórios práticos realizados diariamente reforçarão os pontos-chave do curso e fornecerão habilidades práticas que os alunos poderão aproveitar assim que retornarem ao trabalho.

O que você vai receber

• Vídeos de introdução e passo a passo da maioria dos laboratórios
• Uma VM Linux carregada com toneladas de ferramentas e outros recursos
• Um pacote de download digital que inclui o acima e mais

Requisitos do Computador

Importante! Configure o seu equipamento de acordo com as instruções do SANS!

É necessário um sistema devidamente configurado para participar plenamente deste curso. Se você não ler atentamente e seguir estas instruções, provavelmente sairá da aula insatisfeito porque não poderá participar de exercícios práticos essenciais para este curso. Portanto, recomendamos fortemente que você chegue com um sistema que atenda a todos os requisitos especificados para o curso.

NOTA CRÍTICA: Os sistemas Apple que utilizam a linha de processadores M1 não podem executar a funcionalidade de virtualização necessária e, portanto, não podem de forma alguma ser usados ??para este curso.

É necessário um sistema devidamente configurado para cada aluno participante deste curso. Antes de vir para a aula, leia atentamente e siga estas instruções à risca.

Sistema operacional do host: versão mais recente do Windows 10, macOS 10.15.x ou posterior ou Linux que também pode instalar e executar os produtos de virtualização VMware descritos abaixo. É necessário atualizar totalmente o sistema operacional do host antes da aula para garantir que você tenha os drivers e patches corretos instalados para utilizar os dispositivos USB 3.0 mais recentes. Aqueles que usam um host Linux também devem poder acessar partições exFAT usando o kernel apropriado ou os módulos FUSE. Você também deve ter 8 GB de RAM ou superior para que a VM funcione corretamente na classe.

É fundamental que sua CPU e sistema operacional suportem 64 bits para que nossa máquina virtual convidada de 64 bits seja executada em seu laptop.

Além de ter hardware compatível com 64 bits, AMD-V, Intel VT-x ou equivalente deve ser habilitado no BIOS/UEFI.

Baixe e instale VMware Workstation Pro 15.5.x, VMware Player 15.5.x ou Fusion 11.5.x ou versões superiores antes da aula. Se você não possui uma cópia licenciada do VMware Workstation ou Fusion, pode fazer download de uma cópia de avaliação gratuita de 30 dias da VMware. A VMware enviará a você um número de série por tempo limitado se você se registrar para a avaliação em seu site.

Outros softwares de virtualização, como VirtualBox e Hyper-V, não são apropriados devido a problemas de compatibilidade e solução de problemas que você pode encontrar durante a aula.

VMware Workstation Pro e VMware Player no Windows 10 não são compatíveis com as tecnologias Windows 10 Credential Guard e Device Guard. Desative esses recursos durante a aula, se estiverem ativados em seu sistema, seguindo as instruções neste documento.

Para mais informações sobre hardware e software a ser utilizado no curso, clique aqui.

GIAC Defensible Security Architecture (GDSA)

A certificação GDSA prova que os profissionais podem projetar e implementar uma combinação eficaz de controles centrados em rede e centrados em dados para equilibrar prevenção, detecção e resposta.

• Arquitetura de segurança defensável: abordagens centradas em rede e centradas em dados
• Arquitetura de segurança de rede: proteção de aplicativos na pilha TCP/IP
• Zero Trust Architecture: criação de ambiente seguro com nuvens privadas, híbridas ou públicas

Para mais informações sobre a certificação GDSA, clique aqui

SEC530.1: Arquitetura e Engenharia de Segurança Defensável

• Esta primeira seção do curso descreve o fortalecimento de sistemas e redes, começando com a arquitetura e as camadas gerais da rede. Para citar The Tao of Network Security Monitoring, de Richard Bejtlich, as redes defensáveis ??”incentivam, em vez de frustrar, a autodefesa digital”.
• A seção começa com uma visão geral das arquiteturas tradicionais de rede e segurança e seus pontos fracos comuns. A mentalidade de segurança defensável é “construa uma vez, construa direito”. Todas as redes devem desempenhar suas funções operacionais de forma eficaz e a segurança pode complementar esse objetivo. É muito mais eficiente preparar a segurança desde o início do que adaptá-la posteriormente.
• A discussão então se voltará para os conceitos de rede de camada inferior, incluindo muitas dicas “arrancadas das manchetes” que os coautores implantaram com sucesso nas trincheiras para fortalecer a infraestrutura a fim de prevenir e detectar ataques modernos. Os exemplos incluem o uso de VLANs privadas, que efetivamente eliminam o pivô malicioso de cliente para cliente, e 802.1X e NAC, que atenuam dispositivos não autorizados. Exemplos específicos de sintaxe do Cisco IOS são fornecidos para proteger os switches.

SEC530.2: Arquitetura e Engenharia de Segurança de Rede

• Esta seção desenvolve a discussão sobre proteção de infraestrutura e avança para conceitos como dispositivos de roteamento, firewalls e proxies de aplicativos. Exemplos acionáveis são fornecidos para proteger roteadores, com comandos específicos do Cisco IOS para executar cada etapa.
• A seção continua com um mergulho profundo no IPv6, que atualmente responde por 23% do tráfego de backbone da Internet, de acordo com o Google, ao mesmo tempo em que é usado e ignorado pela maioria das organizações. Forneceremos informações detalhadas sobre IPv6, discutiremos erros comuns (como aplicar uma mentalidade IPv4 ao IPv6) e forneceremos soluções acionáveis para proteger o protocolo. A seção termina com uma discussão sobre firewalls e proxies de aplicativos.

SEC530.3: Segurança Centrada em Rede

• As organizações possuem ou têm acesso a muitas tecnologias de segurança baseadas em rede, desde firewalls de última geração até proxies da Web e sandboxes de malware. No entanto, a eficácia dessas tecnologias é diretamente afetada por sua implementação. A dependência excessiva de recursos integrados, como controle de aplicativos, antivírus, prevenção de intrusão, prevenção de perda de dados ou outros mecanismos automáticos de inspeção profunda de pacotes mal-intencionados, leva a uma implementação altamente focada na prevenção, com enormes lacunas na prevenção e na detecção.
• Esta seção se concentra no uso de soluções de segurança de camada de aplicativo que uma organização já possui com uma mentalidade moderna. Pensando fora da caixa, até mesmo controles antigos, como um appliance de spam, podem ser usados para capturar ataques modernos, como phishing por meio de domínios primos e outras técnicas de falsificação. E, novamente, ao projetar defesas para ataques modernos, os recursos de prevenção e detecção ganham significativamente.

SEC530.4: Segurança Centrada em Dados

• As organizações não podem proteger algo que não sabem que existe. O problema é que existem dados críticos e sensíveis por toda parte. Para complicar ainda mais isso, os dados geralmente são controlados por uma pilha completa de aplicativos envolvendo vários serviços que podem ser hospedados no local ou na nuvem.
• Esta seção se concentra em identificar os dados principais onde eles residem e como protegê-los. A proteção inclui o uso de soluções de governança de dados e medidas de segurança de pilha completa de aplicativos, como firewalls de aplicativos da Web e monitoramento de atividades de banco de dados, além de manter um foco nítido na proteção dos sistemas que hospedam serviços principais, como hipervisores locais, plataformas de computação em nuvem e serviços de contêiner como o Docker.
• A abordagem de segurança centrada em dados se concentra no que é essencial para uma organização e prioriza os controles de segurança em torno dela. Por que gastar muito tempo e dinheiro protegendo tudo quando os controles podem ser otimizados e focados em proteger o que importa? Vamos encarar: alguns sistemas são mais críticos do que outros.

SEC530.5: Arquitetura Zero-Trust: Enfrentando os Adversários Já em Nossas Redes

• Hoje, um mantra de segurança comum é “confiar, mas verificar”. Mas este é um conceito quebrado. Os computadores são capazes de calcular a confiança em tempo real, portanto, em vez de pensar em termos de “confiar, mas verificar”, as organizações deveriam implementar “verificar e confiar”. Ao fazer isso, o acesso pode ser restrito a níveis apropriados ao mesmo tempo em que o acesso pode se tornar mais fluido.
• Esta seção se concentra na implementação de uma arquitetura de confiança zero em que a confiança não está mais implícita, mas deve ser comprovada. Ao fazer isso, um modelo de confiança variável pode ser usado para alterar os níveis de acesso dinamicamente. Isso, por sua vez, permite a implementação de menos ou mais controles de segurança conforme necessário, dada a confiança de um usuário e de um dispositivo mantida ao longo do tempo. O foco está na implementação da arquitetura de confiança zero com as tecnologias de segurança existentes para maximizar seu valor e impacto na postura de segurança de uma organização.
• Durante esta seção, a criptografia e a autenticação serão usadas para criar uma rede reforçada, seja externa ou interna. Além disso, técnicas defensivas avançadas serão implementadas para interromper as ferramentas de ataque modernas, deixando os serviços totalmente funcionais para os ativos autorizados.

SEC530.6: Desafio prático de proteger a bandeira

• O curso culmina em uma competição de design e segurança da bandeira baseada em equipe. Desenvolvido por NetWars, o sexto dia oferece um dia inteiro de trabalho prático aplicando os princípios ensinados ao longo da semana. Sua equipe progredirá por vários níveis e missões projetadas para garantir o domínio das modernas técnicas de defesa cibernética promovidas ao longo deste curso. As equipes avaliarão, projetarão e protegerão uma variedade de sistemas e dispositivos de computador, aproveitando todas as sete camadas do modelo OSI.

• Noções básicas de protocolos e dispositivos de rede
• Experiência com Linux a partir da linha de comando

• Analisar uma arquitetura de segurança para deficiências
• Implementar tecnologias para recursos aprimorados de prevenção, detecção e resposta
• Compreender as deficiências nas soluções de segurança e entender como ajustá-las e operá-las
• Aplicar os princípios aprendidos no curso para projetar uma arquitetura de segurança defensável
• Determinar as necessidades de monitoramento de segurança apropriadas para organizações de todos os tamanhos
• Maximizar o investimento existente na arquitetura de segurança reconfigurando os ativos existentes
• Determinar os recursos necessários para dar suporte ao monitoramento contínuo dos principais controles de segurança críticos
• Configurar o registro e o monitoramento apropriados para dar suporte a um Centro de Operações de Segurança e a um programa de monitoramento contínuo

Embora a lista acima descreva brevemente o conhecimento e as habilidades que você aprenderá, ela mal arranha a superfície do que este curso tem a oferecer. Laboratórios práticos ao longo do curso reforçarão os principais conceitos e princípios, além de ensinar como usar as principais ferramentas de script.

Quando sua jornada de treinamento SEC530 estiver concluída e suas habilidades forem aprimoradas e aprimoradas, será hora de voltar ao trabalho e cumprir a promessa do SANS de que você poderá aplicar o que aprendeu neste curso no dia em que retornar ao o escritório.

Este curso irá prepará-lo para

• Soluções de segurança de camada que vão da rede ao endpoint e tecnologias baseadas em nuvem
• Compreender as implicações da colocação adequada de controles técnicos
• Ajustar, ajustar e implementar técnicas, tecnologias e recursos de segurança
• Pensar fora da caixa usando soluções de segurança comuns de maneiras inovadoras
• Equilibrar a detecção com a prevenção, permitindo melhores tempos de resposta e recursos
• Entender onde as tecnologias de prevenção provavelmente falharão e como complementá-las com tecnologias de detecção específicas
• Entender como a infraestrutura e as soluções de segurança funcionam em nível técnico e como implementá-las melhor