Cyber Security for de tekniske yrkesfagene

Hva er den nødvendige grad av kometanse i forhold til Cyber Security i forhold til de tekniske yrkesfagene?

Dagens og morgendagens fagarbeider innenfor teknologifagene bør vel være i stand til å ivareta sikkeheten til for eksempel et automatisert industrianlegg koblet opp mot Internett og/eller et smarthus eller en intelligent bygning koblet opp mot Internett.

Påstand: “Få mennesker klarer å gjennomføre gode nok risikovurderinger til å identifisere sikkerhetstiltakene som gir best effekt” – NSM

Dagens og morgendagens fagarbeider har kanskje også behov for å kunne lese og holde seg orientert omkring det daglige trusselbildet i forhold til det som går på sikkerhet for IT og OT systemer. Sikkerhetsbloggen til Telenor kan vel for eksempel være et godt valg.

For å forstå innholdet i sikkerhetsbloggen til Telenor med en særlig grad av dybde, så kreves det en del teknisk kompetanse. For å forebygge og avdekke og håndtere for eksempel et slikt angrep som skjedde mot Norsk Hydro i 2019, så kreves det jo også en del teknisk kompetanse.

Det kan vel se ut som at det kan være hensiktsmessig å dele inn komptansenivåene for fagarbeidere i tre nivåer, avhengig av hvilke fagområder som det er snakk om.

1. Sluttbrukerkompetanse for fagarbeidere som ikke arbeider innenfor IKT drift eller tekniske fag.
2. IKT – Fagarbeider. Kompetanse i forhold til planlegging, implementering, dokumentasjon og verifikasjon for fagarbeidere som arbeider med IKT implementering og/eller drift. Opplæring i IT sikkerhet må integreres inn i denne opplæringen.
3. OT – Fagarbeider. Kompetanse i forhold til planlegging, implementering, dokumentasjon og verifikasjon for fagarbeidere som arbeider med OT implementering og/eller drift. Opplæring i OT sikkerhet må integreres inn i denne opplæringen. Med OT så menes “operasjonell teknologi” som styrer for eksempel Intelligente bygninger og automatiserte anlegg, som er koblet opp mot Internett.

En annen interessant problemstilling nå, det er jo den sammensmeltingen mellom “tradisjonell OT-teknologi” og “IIoT – Industrial Internet og Things” som nå ser ut til å være under utvikling.

En tredje interessant problemstilling, det er jo dette som går på virtualisering og såkalte skybaserte tjenester og bruk av maskinlæring eller “kunstig intelligens” eller AI, i den forbindelse.

Det interesasante spørsmålet er jo da “Hvilken kompetanse bør de fagarbeiderne som arbeider innenfor nivå 1, 2 og 3 rent praktisk ha, og hvordan legger man eventuelt opp en slik opplæring?

Slik som jeg ser det så vil det for ingen av disse nivåene være tilstrekkelig med bare forelesning eller teori. Teori må kombineres med praksis og det må legges opp til det man kaller for “dybdelæring“.

Det finnes et eksisterende undervisningopplegg som kanskje kan være en god start for alle de tre nivåene, der man kanskje kan utvikle innholdet videre til også i litt større grad også å omfatte “Operasjonell Teknologi”. Dette undervisningopplegget heter “Hacker Highscool“.

Innholdet i Hacker Highscoll bygger på en kombinasjon av teori og praksis som så absolutt bør lede fram til en form for dybdelæring og selvstendig forståelse av lærestoffet.

Praksisøvelsene og terorien baserer seg bare på bruk av elevenes egne Windows PC’er brukt på et ordinært datanettverk.

Som en videreutvikling av lærestoffet hos “Hacker Highschool” så kunne man tenke seg at man la til rette for at det ble opprettet egne lokalnettverk spesielt tilrettelagt for opplæring i IT og OT sikkerhet og at det også ble tatt i bruk flere typer teknisk utstyr.

Hvordan kan dette gjennomføres slik at det eventuelt dekker alle de tre kompetansenivåene?

Del 1 – Nødvendig teknisk utstyr.

Det kan etableres egne lokalnettverk for opplæringen som typisk inneholder:

• Kablede og trådløse routere.
• Switcher
• Kientmaskiner basert på PC med Windows og Linux operativsystem.
• Servermaskiner basert på PC/Rasberry PI med Windows og Linux operativsystem.
• IoT enheter basert på Raspberry PI og eventuelt Arduino og/eller andre microcontrollere.
• PLS og HMI enheter av industriell type.
• Mulighet til å demonstrere og/eller prøve ut vlan- virtuelle lokalnett.
• Mulighet for å demonstrere eller å prøve ut “internet routing” eller kommunikasjon via flere routere.
• Deler av opplæringen kan også gjennomføres på simuleringssoftware som for eksempel Cisco Packet Tracer.

Del 2 – Omfanget av opplæringen.

En så omfattende opplæring som dette vil nødvendigvis måtte fordeles over alle de tre studieårene gjennom VG1, VG2 og VG3. Opplæring i “digital kompetanse” og “Cyber Security” er også to tema som vil være naturlig integrert inn i hverandre og som kan batraktes som “to sider av samme sak”.

Faget “Elektroniske kretser og nettverk” innenfor studiet “VG1 Elektro og datateknologi” har allerede nå i dag en slik utforming av læreplanen at en grunnleggende opplæring i “Cyber Security” passer godt inn. Dette betyr at elevene kan lære “Cyber Security” hver uke gjennom hele det første studieåret for de elevene som går VG1 Elektro og datateknologi.

Hvis man skal gjennomføre en systematisk, målrettet opplæring i “Cyber Security” gjennom VG1, VG2 og VG3, så kan det kanskje være nødvendig med en revisjon i læreplanene for VG2 og VG3 for blant annet studieretningene for elektriker og automatiker.

Del 3 – Forslag til innhold i opplæringen.

Forslaget til innhold i opplæringen framstår vel kanskje som litt omfattende, men det er allikevell ikke mer omfattende enn at man for eksempel kan finne ganske mye av innholdet i Cisco Networking Achademy: https://www.netacad.com/

Følgende innhold foreslås gjennomført ut i fra kombinasjon av teori og praksis og ut i fra et prinsipp for helhetlig og tverrfaglig dybdelæring:

• Programmering i kompilerte og tolkede programmeringsspråk som C++ og Python.
• Bruk av vanlig forekommende IDE.
• Oppkobling, konfigurering lokalnettverk.
• DHCP servere.
• Kryptering av trådløse nettverk.
• TCP/IP og OSI modellen.
• IP adresser og subnetworking.
• Datakommunikasjon via flere routere.
• NAT-routere
• Lokale og globale IP adresser.
• Portforwarding
• Segmentering av lokalnettverk med bruk av VLan
• Lokale kablede og trådløse nettverk for smarthus.
• Ulike typer feltbuss for industrielle systemer.
• Feilsøking av ulike typer nettverk.
• Dokumentasjon av ulike typer nettverk.
• Klient server systemer
• Peer to peer nettverk
• Windows operativsystem
• Windows Active Directory – System for tilganger og sikkerhet.
• Linux operativsystem
• Ulike typer brannmurer
• DNS servere.
• File servere.
• Webservere
• Kryptering av webservere
• IP-Telefoni og servere for IP-telefoni
• Fjernkontroll og kryptering via SSH
• Fjernkontroll og kryptering vha Remote Desktop
• Tilkopling til lokale nettverk vha VPN.
• Kryptering ved bruk av VPN.
• Styring av intelligente bygninger og automatiserte industrisystemer via lokalnett og Internett.
• IoT – Praksisøvelser og grunnleggende prinsipper.
• Industriell IoT – Praksisøvelser og grunnleggende prinsipper.
• Bruk av portscannere
• Bruk av packet sniffere
• Praktiske øvelser i bruk av PEN testing distroer som Kali Linux og Parrot.
• Virtualisering
• Skybaserte tjenester.
• Sikkerhet rundt skybaserte tjenester
• Ai og maskinkæring

Del 4 – Praktisk gjennomføring

• Opplæringen fordeles gjennom 3 år, gjennom VG1, VG2 og VG3.
• Elevene arbeider regelmessig med lærestoffet over hele perioden på 3 år.
• Det legges vekt på at opplæringen skal ha karakter av lystbetonte og selvmotiverende praksisøvelser. Praksis utdypes med teori.
• Dybdelæring, tverrfaglighet og helhetsforståelse gjennomføres som hovedprinsipp.
• Det utarbeides en lærebok med tilhørende webressurser som forklarer steg for steg hvordan øvelsene kan gjennomføres og som gir nødvendig bakgrunnsteori.
• Installasjon og konfigurering av ulike servere skjer først og fremst på et midlertidig lokalnett som åpnes og stenges ned for undervisningøkten. Dette gjennomføres av sikkerhetsmessige grunner.
• Deler av opplæringen kan også gjennomføres på simuleringssoftware som for eksempel Cisco Packet Tracer.
• Serverfunksjoner kan også installeres og konfigureres på skybaserte plattformer som for eksempel Microsoft Azure. Hovedprinsipp er at læreren har kontroll over det som skjer og at tjenestene stenges ned etter undervisningøkten.