El analista de intrusiones certificado por GIAC, también conocido como GCIA, es una certificación de analista de intrusiones muy respetada y ampliamente reconocida. El examen de certificación GIAC GCIA está diseñado para evaluar el conocimiento y las habilidades de un profesional en seguridad de redes y análisis de intrusiones.
Pero, ¿qué es exactamente el examen de certificación GCIA y qué trabajos puede tomar? En este artículo, le brindaremos todo lo que necesita saber sobre el examen de certificación GCIA, incluidas las oportunidades profesionales, el formato del examen y los temas cubiertos.
¿Qué es la certificación GIAC Certified Intrusion Analyst (GCIA)?
La certificación GIAC Certified Intrusion Analyst (GCIA) es una credencial independiente del proveedor que valida el conocimiento y las habilidades de una persona en detección y análisis de intrusiones. Los titulares de la certificación GIAC GCIA poseen las habilidades para configurar y monitorear los sistemas de detección de intrusos y leer, interpretar y analizar el tráfico de la red y los archivos de registro.
Para obtener la certificación GIAC GCIA, debe aprobar un examen supervisado que cubra varios objetivos del examen, como análisis de tráfico de red, creación de firmas, análisis de registros y manejo de incidentes. El examen GIAC GCIA tiene 106 preguntas de opción múltiple. La duración del examen de certificación GCIA es de cuatro horas. Para aprobar el examen GCIA, debe obtener un puntaje de 67% o más.
Estas son las áreas cubiertas en el examen GCIA:
- Fundamentos de análisis de tráfico y protocolos de aplicación
- IDS de código abierto: Snort y Zeek
- Análisis forense y monitoreo del tráfico de red
¿Quién puede tomar la certificación GCIA?
- Profesionales responsables de la detección de intrusos
- Analistas de sistemas
- Analistas de seguridad
- Ingenieros de redes
- Administradores de red
- Gerentes de seguridad prácticos
Objetivos del examen de certificación GCIA y declaraciones de resultados
Conceptos avanzados de IDS
Los candidatos demostrarán una comprensión profunda de los métodos de ajuste de IDS y los problemas de correlación.
Protocolos de aplicación
Los candidatos demostrarán conocimientos y habilidades para diseccionar y analizar protocolos de capa de aplicación.
Conceptos de TCP/IP y la capa de enlace
Los candidatos comprenderán a fondo las comunicaciones TCP/IP y las operaciones de la capa de enlace.
Fragmentación
Los candidatos demostrarán una comprensión de la fragmentación e identificarán los ataques basados en la fragmentación en las capturas de paquetes.
Fundamentos de IDS y arquitectura de red
Los candidatos demostrarán una comprensión básica de los conceptos de IDS, como la arquitectura de red y los beneficios/debilidades de los sistemas IDS comunes.
Reglas del sistema de detección de intrusos
Los candidatos crearán reglas IDS efectivas para detectar diversas actividades maliciosas.
encabezados IP
Los candidatos diseccionarán los encabezados de los paquetes IP y los analizarán en busca de anomalías que puedan indicar problemas de seguridad.
###IPv6 Los candidatos demostrarán conocimiento de IPv6 y en qué se diferencia de IPv4.
Análisis forense de red y análisis de tráfico
Los candidatos demostrarán su capacidad para analizar datos de múltiples fuentes (p. ej., captura de paquetes, NetFlow, archivos de registro) para identificar comportamientos normales y maliciosos.
Ingeniería de paquetes
Los candidatos demostrarán conocimiento de manipulación y elaboración de paquetes.
SiLK y otras herramientas de análisis de tráfico
Los candidatos demostrarán una comprensión de SiLK y otras herramientas para realizar análisis de flujo y tráfico de red.
###TCP Los candidatos demostrarán una sólida comprensión del protocolo TCP y la capacidad de discernir el comportamiento típico y anómalo.
Filtros de volcado de Tcp
Los candidatos demostrarán su habilidad para construir filtros tcpdump basados en criterios dados.
UDP y ICMP
Los candidatos demostrarán su conocimiento de los protocolos UDP e ICMP y su capacidad para distinguir el comportamiento típico del anómalo.
Fundamentos de Wireshark
Los candidatos demostrarán la capacidad de usar Wireshark para analizar el tráfico de red típico y malicioso.
Plan de estudios del examen de certificación GCIA
SEC503.1: Monitoreo y análisis de red: Parte I
Esta sección presenta la pila TCP/IP para monitorear y encontrar amenazas de manera más efectiva en su nube o infraestructura tradicional. "Paquetes como segundo idioma" es el primer paso del curso. Tan pronto como se establece la importancia de recopilar paquetes de ataque de día cero y otros, los estudiantes se sumergen en el análisis de paquetes de bajo nivel para identificar amenazas. En esta sección, aprenderá sobre el modelo de comunicación TCP/IP, bits, bytes, binario y hexadecimal. Además, explica cada campo de encabezado de IP y cómo funciona.
- Conceptos de TCP/IP
- Introducción a Wireshark
- Acceso a la red/Capa de enlace: Capa 2
- Capa IP: Capa 3
- Procesamiento de línea de comandos UNIX
SEC503.2: Supervisión y análisis de red: Parte II
Esta sección concluye los paquetes como una parte del curso en un segundo idioma y sienta las bases para discusiones más profundas. En este curso, los estudiantes aprenderán sobre los protocolos de la capa de transporte principal que se usan en el modelo TCP/IP y las tendencias modernas que están cambiando la forma en que se usan estos protocolos. Para ayudarlo a analizar su propio tráfico, esta sección explora dos herramientas esenciales, Wireshark y tcpdump, utilizando funciones avanzadas. Con los filtros de visualización de Wireshark y los filtros de paquetes Berkeley de tcpdump, los datos a gran escala se filtran hasta el tráfico de interés para identificar amenazas en infraestructuras tradicionales y basadas en la nube. Las capas de transporte TCP/IP, incluidos TCP, UDP e ICMP, también se examinarán en este contexto. Se discutirán varias innovaciones con serias implicaciones para el monitoreo de redes modernas, junto con el significado y la función de cada campo de encabezado.
- Filtros de visualización de Wireshark
- Escribir filtros BPF -TCP -UDP
- ICMP
- IP6
- Aplicación del mundo real: Investigación de una red
SEC503.3: Detección y respuesta de amenazas basadas en firmas
La tercera sección del curso se basa en la base de las dos primeras secciones y se centra en los protocolos de la capa de aplicación. Al aplicar este conocimiento, explorará los mecanismos de última generación para la detección de amenazas en la nube, en puntos finales, redes híbridas e infraestructuras tradicionales. Durante este curso, los estudiantes aprenden sobre Scapy, una poderosa herramienta de creación de paquetes basada en Python que les permite manipular, crear, leer y escribir paquetes. Con Scapy, puede desarrollar paquetes para probar herramientas de monitoreo o capacidades de detección de firewall de próxima generación. Esto es especialmente importante cuando se agrega una vulnerabilidad recientemente anunciada a una regla de monitoreo de red creada por el usuario. El curso incluye una variedad de escenarios prácticos y usos de Scapy.
- Asqueroso
- Wireshark avanzado
- Introducción a Snort/Suricata
- Eficaz Snort/Suricata -DNS
- Protocolos de Microsoft
- HTTP moderno
- Cómo investigar un protocolo
- Aplicación del mundo real: identificación del tráfico de interés
SEC503.4: Creación de sistemas de detección de amenazas de día cero
La sección 4 proporciona una discusión en profundidad de los sistemas de detección de intrusos en la red modernos y futuros en función del conocimiento fundamental obtenido en las primeras tres secciones. Los estudiantes ahora sintetizarán todo lo que han aprendido y lo aplicarán a un diseño de capacidades de detección de amenazas que superen a Snort/FirePower/Suricata y los firewalls de próxima generación mediante el uso de detección de comportamiento avanzada (Zeek) y firewalls de próxima generación.
- Red de arquitectura
- Introducción al Monitoreo de Redes a Escala
- Zeek
- Teoría de la evasión IDS/IPS
SEC503.5: Detección de amenazas a gran escala, análisis forense y análisis
Esta sección continúa la tendencia de dar instrucción menos formal y proporcionar más práctica. En esta sección se cubren tres áreas principales, comenzando con el análisis y la recopilación a gran escala basados en datos mediante NetFlow e IPFIX. Usando los protocolos desarrollados en las primeras secciones del curso, NetFlow se convierte en una poderosa herramienta para realizar la búsqueda de amenazas tanto en la nube como en la infraestructura tradicional. Después de cubrir los aspectos básicos, los estudiantes crearán consultas de NetFlow personalizadas y las utilizarán para analizar datos más avanzados. La segunda área presenta el análisis de tráfico como una continuación del tema del análisis a gran escala. Después de aprender varias herramientas y técnicas para cazar amenazas de día cero a nivel de red, los estudiantes pueden practicarlas en ejercicios prácticos. Además, discutirá y demostrará técnicas de vanguardia para detectar anomalías utilizando inteligencia artificial y aprendizaje automático. En el área final, explorará el análisis forense de redes y la reconstrucción de incidentes. A través de ejercicios prácticos, los estudiantes aplican todas las herramientas y técnicas que han aprendido a lo largo del curso a tres incidentes detallados.
- Uso de registros de flujo de red
- Caza y visualización de amenazas
- Introducción al Análisis Forense de Redes
SEC503.6: Monitoreo de red avanzado y detección de amenazas Capstone
Durante la sección final del curso del examen de certificación de GCIA, puede realizar un punto culminante práctico de monitoreo de red basado en servidor y detección de amenazas que lo desafiará y lo involucrará. En este curso, los estudiantes responden numerosas preguntas que requieren el uso de las herramientas y la teoría cubiertas en el curso, ya sea solos o en equipos. El desafío se basa en seis conjuntos de datos de la vida real en una investigación de incidentes urgentes. Está diseñado como un evento de "acompañamiento", donde los estudiantes responden preguntas basadas en el análisis de los mismos datos que realizó un equipo de profesionales.
La línea de fondo
Si desea establecer una carrera en detección de intrusos, la certificación GCIA es, sin duda, una certificación muy conocida y respetada. Al aprobar el examen GCIA, puede demostrar su conocimiento y experiencia en detección y análisis de intrusos, lo que lo convierte en un profesional de seguridad muy solicitado.
Entonces, si está listo para tomar la certificación GIAC GCIA, CBT Proxy puede ayudarlo a aprobar el examen en su primer intento. Para obtener más información sobre el examen GCIA, haga clic en el botón de chat a continuación y uno de nuestros guías se comunicará con usted en consecuencia.
