Cómo obtener el certificado OSCP ( Offensive Security Certified Professional)
Quizás, la seguridad "ofensiva" es la mejor traducción del área de actividad de la que hablaremos hoy. Por supuesto,
ofensivo también es ofensivo e incluso agresivo, pero ahora no se trata de eso.
Por lo tanto, aún no ha perdido la fe en una carrera en el campo de la seguridad de la información, pero finalmente está convencido de que la mayoría de los certificados de los proveedores son papel sin sentido, no vale la pena su tiempo. Uno de mis colegas ya se ofrece a entregar a todos los que pagaron por el examen el certificado de
Especialista en Dumping Certificado por el Vendedor y este es el final de todo este circo. Pero seamos realistas, la capacitación y la certificación es un negocio serio, y no llegará a ningún lado en el futuro cercano.
Es aún peor si el conocimiento y las habilidades que decide confirmar no están vinculados a ningún proveedor en particular.
Ya hablé sobre CISSP , pero ¿qué pasa con las habilidades prácticas en el campo de la seguridad de la información?
Por un lado, está el extremadamente popular examen de Ethincal Hacker certificado. No tengo absolutamente ninguna duda de que es popular únicamente porque solo después de pasar este examen oficialmente se le puede llamar pirata informático. El problema aquí es diferente: también tendrá que aceptar que se convirtió en un hacker simplemente respondiendo 125 preguntas correctamente. A pesar de lo absurdo de la situación, este examen es extremadamente popular en Occidente y es simplemente necesario para puestos individuales, especialmente en los sectores público y militar.
Por otro lado, están los grandes y terribles SANS y su programa Cyber Guardian. Suena muy bien, el certificado de finalización, como creo, es presentado personalmente por el Sr. Keanu Reeves en su imagen popular. Y solo hay un inconveniente: el costo de varios miles de dólares para todo el placer.
Sigue siendo el último: OSCP. Mucho se ha escrito sobre esta certificación, ahora es mi turno.
Entonces, después de haber pasado por la negación, la ira, el regateo y la depresión, comienzas a prepararte para la rendición. Mirando hacia el futuro, quiero decir que atravesará todas estas etapas más de una vez en el proceso de preparación, además en un orden diferente e incluso en combinaciones extrañas.
Después de pagar el curso, obtienes un pesado archivo pdf, varios archivos de video con comentarios y acceso a un laboratorio virtual. ¿Todavía no te molesta? Así es, no habrá "entrenamiento" aquí. El archivo PDF contiene información de referencia sobre utilidades que probablemente ya conozca: nc, curl, find y similares, y también hable brevemente sobre el kit de herramientas de distribución de Kali Linux. Hablando estrictamente, dio el dinero para la oportunidad de aprender por su cuenta, y el laboratorio virtual lo ayudará con esto.
En total, el laboratorio virtual tiene un poco menos de 60 máquinas: estaciones de trabajo, servidores miembros, correos, sitios web y mucho más. Inicialmente, planeé hacer un poco más de la mitad para evaluar el nivel de dificultad de las tareas en el examen. Pero a quien engaño, al final hizo todo. Al mismo tiempo, la red vive su propia vida, los usuarios se escriben cartas entre ellos y van a páginas web, y los servidores se solicitan información entre ellos.
Además, la red está dividida en subredes separadas por cortafuegos, y en algún momento incluso puede llegar al lugar santísimo. Me tomó un poco menos de 40 días obtener todos los autos. Por supuesto, hay bastantes tareas pasajeras, y hay monstruos reales. Google quién es Pain, Sufferance y Humble. Para cada uno de ellos, me llevó mucho tiempo. Todavía hay gh0st, pero es un automóvil de estilo CTF, y está muy fuera del contexto general.
La descripción del curso dice que no necesitas ninguna experiencia seria para comenzar a practicar. Pero en realidad esto no es así. Es poco probable que especialistas novatos asuman esta tarea, y los ingenieros experimentados son adecuados con un equipaje muy diferente. Un especialista en criptografía experimentado se ocupará fácilmente de Sufferance, un DBA experimentado resolverá Humble en 10 minutos y un administrador de Linux experimentado aplastará a Pain en dos.
En cualquier caso, pasa la mayor parte del tiempo estudiando y experimentando. Este es todo el OSCP. Si bien participará en máquinas de laboratorio, tendrá la oportunidad de comunicarse con los mismos estudiantes en el foro. Sin embargo, las pistas están prohibidas y lo mejor que escuchas es "¡Intenta más!". Más o menos motivación.
El tiempo en la red de laboratorios inevitablemente llegará a su fin y llegará el momento de reservar tiempo para el examen. Y esta, quizás, es la mayor diferencia entre el curso OSCP y todos los demás. Sin preguntas, sin "poner en el orden correcto", sin "elegir la respuesta más correcta". Nada de esto sucederá. Habrá un día para hackear 5 servidores y un día para escribir un informe sobre cómo exactamente lo hizo. Eso es todo.
Este año, por cierto, las reglas han cambiado un poco, y ahora necesitarás una cámara web para aprobar el examen. Un representante de Offensive Security se conectará y supervisará lo que está sucediendo en su pantalla, así como directamente en la sala. Esto no es particularmente molesto y después de 15 minutos lo olvidas. Por desgracia, esta es una consecuencia inevitable de la popularidad del examen y como resultado de los intentos de hacer trampa.
En mi caso, el examen duró 12 horas desde el inicio hasta el acceso al último servidor. Pasé unas horas más volviendo a comprobar todas las acciones tomadas y grabando capturas de pantalla. Bingo!
Y ahora una pequeña crítica que se puede encontrar en la red.
En primer lugar, caro. Eso es todo. ¿Pero cuáles son las alternativas? Los cursos SANS son aún más caros, y no he oído que nadie los compre por su propio dinero.
En segundo lugar, no enseñan nada. Es cierto, el curso OSCP por sí solo no enseña nada. En el libro, las herramientas básicas se analizan de manera muy superficial, y casi seguro que sabías todo esto y aquello, y generalmente no digo nada sobre los videos. Pero la esencia del curso es diferente: debes enseñarte todo y para ello se crean todas las condiciones. Hay demasiado material para caber en cualquier libro de texto.
En tercer lugar, autos viejos. Esto también es verdad. Si no me equivoco, el sistema operativo más reciente que conocí en la red de laboratorio fue Windows Server 2012R2. Lo veo de esta manera: se descubren nuevas vulnerabilidades todos los días. ¿Imagina cuánto costaría el curso si se actualizara diariamente? Lo principal que este curso puede enseñar es la metodología, y es absolutamente independiente de la edad de las vulnerabilidades detectadas. En el examen, por cierto, la situación es la opuesta: máquinas nuevas con Windows 10, kernels parcheados de Linux y cosas así.
Cuarto, el examen no prueba ningún conocimiento. Aquí me veo obligado a aceptar, aunque parcialmente. De hecho, el examen no evalúa tanto sus habilidades como tales, sino que evalúa sus habilidades de gestión del tiempo, su capacidad para trabajar en situaciones estresantes y su multitarea. Lo más importante es cómo puede seguir la metodología y no distraerse cuando la solución ya parece obvia. Después de 10 horas en la pantalla, la lógica puede comenzar a fallar, la atención se dispersa y comienza a caminar en círculos. Es aquí donde su conocimiento fundamental, así como la capacidad de distraer y mirar el problema desde otra perspectiva, serán útiles.
Que sigue La seguridad ofensiva en sí no ofrece ninguno de los siguientes pasos en la certificación. Por separado, hay un examen sobre la seguridad de las redes inalámbricas, aplicaciones web y un poco aparte es un examen para desarrolladores de exploits.
Un certificado es, por supuesto, excelente, pero de hecho lo mejor que puede aprender del curso OSCP es el conocimiento. Conocimiento que inevitablemente se volverá obsoleto si deja de participar de forma independiente en su educación.
Sergey Polunin ,
Jefe de equipo, Departamento de diseño, Gazinformservice LLC
El blog de Sergey en inglés se puede leer
aquí.