OSCP - आक्रामक सुरक्षा

OSCP ( आक्रामक सुरक्षा प्रमाणित व्यावसायिक) प्रमाणपत्र कैसे प्राप्त करें

शायद, "आक्रामक" सुरक्षा गतिविधि के क्षेत्र का सबसे अच्छा अनुवाद है जिसके बारे में हम आज बात करेंगे। बेशक, आक्रामक भी आक्रामक है, और यहां तक ​​कि आक्रामक भी है, लेकिन अब यह उसके बारे में नहीं है।

इसलिए, आपने अभी तक सूचना सुरक्षा के क्षेत्र में कैरियर में अपना विश्वास नहीं खोया है, लेकिन आप अंत में आश्वस्त हैं कि विक्रेताओं के अधिकांश प्रमाण पत्र आपके समय के लायक नहीं, संवेदनहीन कागज हैं। मेरा एक सहकर्मी पहले से ही सभी को सौंपने की पेशकश कर रहा है, जिन्होंने परीक्षा के लिए वेंडर सर्टिफाइड डंपिंग स्पेशलिस्ट का प्रमाण पत्र दिया और इस पूरे सर्कस को समाप्त कर दिया। लेकिन आइए यथार्थवादी बनें, प्रशिक्षण और प्रमाणन एक गंभीर व्यवसाय है, और यह निकट भविष्य में कहीं भी नहीं जाएगा।

यह और भी बुरा है यदि आप जिस ज्ञान और कौशल की पुष्टि करने का निर्णय लेते हैं वह किसी विशेष विक्रेता से बंधा हुआ नहीं है। मैंने पहले ही सीआईएसएसपी के बारे में बात की थी , लेकिन सूचना सुरक्षा के क्षेत्र में व्यावहारिक कौशल के बारे में क्या?

एक ओर, अत्यंत लोकप्रिय प्रमाणित एथिनकल हैकर परीक्षा है। मुझे इसमें कोई संदेह नहीं है कि वह पूरी तरह से लोकप्रिय है क्योंकि इस परीक्षा को पास करने के बाद ही आपको आधिकारिक तौर पर हैकर कहा जा सकता है। यहाँ समस्या अलग है: आपको इस बात से भी सहमत होना होगा कि आप 125 प्रश्नों का सही-सही उत्तर देकर एक हैकर बन गए हैं। स्थिति की बेरुखी के बावजूद, यह परीक्षा पश्चिम में बेहद लोकप्रिय है और यह केवल व्यक्तिगत पदों के लिए आवश्यक है, विशेष रूप से सार्वजनिक और सैन्य क्षेत्रों में।



दूसरी ओर, महान और भयानक SANS और उनके साइबर अभिभावक कार्यक्रम है। यह बहुत अच्छा लगता है, पूरा होने का प्रमाण पत्र, जैसा कि मुझे लगता है, व्यक्तिगत रूप से श्री कीनू रीव्स द्वारा अपनी लोकप्रिय छवि में प्रस्तुत किया गया है। और केवल एक माइनस है - सभी आनंद के लिए कई हजार डॉलर की लागत।

अंतिम - OSCP रहता है। इस प्रमाणीकरण के बारे में बहुत कुछ लिखा गया है, अब मेरी बारी है।
तो, इनकार, क्रोध, सौदेबाजी और अवसाद से गुजरने के बाद, आप आत्मसमर्पण की तैयारी शुरू कर देते हैं। आगे देखते हुए, मैं कहना चाहता हूं कि आप तैयारी की प्रक्रिया में एक से अधिक बार इन सभी चरणों से गुजरेंगे, एक अलग क्रम में और यहां तक ​​कि विचित्र संयोजनों में भी।

पाठ्यक्रम के लिए भुगतान करने के बाद, आपको एक भारी पीडीएफ-फाइल, टिप्पणियों के साथ कई वीडियो फाइलें और एक आभासी प्रयोगशाला तक पहुंच प्राप्त होती है। क्या यह आपको अभी तक परेशान नहीं करता है? यह सही है, यहां कोई "प्रशिक्षण" नहीं होगा। पीडीएफ फाइल में उपयोगिताओं पर संदर्भ जानकारी होती है, जिन्हें आप सबसे पहले जानते हैं: nc, कर्ल, ढूँढें, और इसी तरह, और काली लिनक्स वितरण टूलकिट के बारे में भी संक्षेप में बात करें। कड़ाई से बोलते हुए, आपने अपने दम पर सीखने के अवसर के लिए पैसे दिए, और आभासी प्रयोगशाला आपको इसमें मदद करेगी।


कुल मिलाकर, आभासी प्रयोगशाला में 60 से कम मशीनें हैं: कार्यस्थान, सदस्य सर्वर, मेलर, वेबसाइट और बहुत कुछ। प्रारंभ में, मैंने परीक्षा में कार्यों की कठिनाई के स्तर का आकलन करने के लिए आधे से थोड़ा अधिक करने की योजना बनाई। लेकिन जिसे मैंने धोखा दिया, अंत में उसने सब कुछ किया। उसी समय, नेटवर्क अपना स्वयं का जीवन जीता है, उपयोगकर्ता एक दूसरे को पत्र लिखते हैं और वेब पेज पर जाते हैं, और सर्वर एक दूसरे से कुछ जानकारी मांगते हैं।

इसके अलावा, नेटवर्क को फायरवॉल द्वारा अलग किए गए सबनेट में विभाजित किया गया है, और कुछ बिंदु पर आप होली के पवित्र तक भी पहुंच सकते हैं। सभी कारों को प्राप्त करने में मुझे 40 दिनों से थोड़ा कम समय लगा। बेशक, बहुत कुछ गुजरने वाले कार्य हैं, और असली राक्षस हैं। Google जो दर्द, पीड़ा, और विनम्र हैं। उनमें से प्रत्येक के लिए, मुझे बहुत समय लगा। अभी भी gh0st है, लेकिन यह CTF शैली की कार है, और यह गंभीर रूप से सामान्य संदर्भ से बाहर है।


पाठ्यक्रम विवरण कहता है कि आपको अभ्यास शुरू करने के लिए किसी गंभीर अनुभव की आवश्यकता नहीं है। लेकिन वास्तव में ऐसा नहीं है। नौसिखिया विशेषज्ञ इस कार्य को करने की संभावना नहीं रखते हैं, और अनुभवी इंजीनियर बहुत अलग सामान के साथ उपयुक्त हैं। एक अनुभवी क्रिप्टोग्राफी विशेषज्ञ आसानी से सफ़रेंस से निपटेगा, एक अनुभवी डीबीए 10 मिनट में विनम्र होगा, और एक अनुभवी लिनक्स प्रशासक दो में दर्द को कुचल देगा।

किसी भी मामले में, अधिकांश समय आप अध्ययन और प्रयोग करने में बिताते हैं। यह पूरा OSCP है। जब आप प्रयोगशाला मशीनों में लगे रहेंगे, तो आपके पास मंच पर समान छात्रों के साथ संवाद करने का अवसर होगा। हालांकि, वहाँ सुराग मना किया जाता है और सबसे अच्छा आप सुनते हैं "कठिन प्रयास करें!"। इतनी-सी प्रेरणा।

प्रयोगशाला नेटवर्क में समय अनिवार्य रूप से समाप्त हो जाएगा और परीक्षा के लिए आरक्षित समय आ जाएगा। और यह, शायद, OSCP पाठ्यक्रम और अन्य सभी के बीच सबसे बड़ा अंतर है। कोई सवाल नहीं, "सही क्रम में नहीं", नहीं "सबसे सही उत्तर चुनें।" इसमें से कुछ भी नहीं होगा। 5 सर्वरों को हैक करने के लिए एक दिन होगा और एक दिन रिपोर्ट लिखने के लिए कि आपने वास्तव में यह कैसे किया। वह सब है।

इस साल, वैसे, नियमों में थोड़ा बदलाव आया है, और अब परीक्षा पास करने के लिए आपको एक वेब कैमरा की आवश्यकता होगी। आक्रामक सुरक्षा का एक प्रतिनिधि कनेक्ट करेगा और निगरानी करेगा कि आपकी स्क्रीन पर क्या हो रहा है, साथ ही साथ सीधे कमरे में भी। यह विशेष रूप से कष्टप्रद नहीं है और 15 मिनट के बाद आप इसके बारे में भूल जाते हैं। काश, यह परीक्षा की लोकप्रियता का एक अनिवार्य परिणाम है और धोखा देने के प्रयासों के परिणामस्वरूप।

मेरे मामले में, परीक्षा शुरू होने से लेकर अंतिम सर्वर तक पहुंचने तक 12 घंटे तक चली। कुछ और घंटे मैंने स्क्रीनशॉट लेने और स्क्रीनशॉट रिकॉर्ड करने की सभी क्रियाओं को फिर से पढ़ाने में बिताए। बिंगो!

और अब थोड़ी आलोचना जो नेटवर्क पर पाई जा सकती है।
सबसे पहले, महंगा। वह सब है। लेकिन विकल्प क्या हैं? SANS पाठ्यक्रम और भी अधिक महंगे हैं, और मैंने किसी को अपने पैसे के लिए उन्हें खरीदने के लिए नहीं सुना है।

दूसरे, वे कुछ भी नहीं सिखाते। यह सच है, अकेले ओएससीपी पाठ्यक्रम कुछ भी नहीं सिखाता है। पुस्तक में, बुनियादी उपकरणों का बहुत ही सतही विश्लेषण किया गया है, और आप लगभग निश्चित रूप से यह और यह सब जानते हैं, और मैं आमतौर पर वीडियो के बारे में चुप रहता हूं। लेकिन पाठ्यक्रम का सार अलग है - आपको खुद को सब कुछ सिखाना होगा, और इसके लिए सभी परिस्थितियों का निर्माण होता है। किसी भी पाठ्यपुस्तक में फिट होने के लिए बहुत अधिक सामग्री है।

तीसरी, पुरानी कारें। यह भी सच है। यदि मैं गलत नहीं हूँ, तो सबसे हालिया ऑपरेटिंग सिस्टम जो मुझे लैब नेटवर्क पर मिला था वह था विंडोज सर्वर 2012 आर 2। मैं इसे इस तरह से देखता हूं: हर दिन नई कमजोरियों की खोज की जाती है। सोचिए अगर इसे रोजाना अपडेट किया जाए तो कोर्स में कितना खर्च आएगा? मुख्य बात यह है कि यह पाठ्यक्रम सिखा सकता है पद्धति है, और यह पता चला कमजोरियों की उम्र से बिल्कुल स्वतंत्र है। परीक्षा में, जिस तरह से, स्थिति विपरीत है - ताजा विंडोज 10 मशीनें, लिंचेड कर्नेल कर्नेल और सामान जैसे।

चौथा, परीक्षा बिना किसी ज्ञान के परीक्षा देती है। यहाँ मैं आंशिक रूप से सहमत होने के लिए मजबूर हूँ। वास्तव में, परीक्षा में आपके कौशल का इतना अधिक परीक्षण नहीं होता है, यह आपके समय प्रबंधन कौशल, तनावपूर्ण परिस्थितियों में काम करने की क्षमता और आपके मल्टीटास्किंग का परीक्षण करता है। सबसे महत्वपूर्ण बात यह है कि आप पद्धति का पालन कैसे कर सकते हैं और जब समाधान पहले से ही स्पष्ट लगता है तो विचलित न हों। स्क्रीन पर 10 घंटे के बाद, तर्क विफल होना शुरू हो सकता है, ध्यान बिखरा हुआ है, और आप हलकों में चलना शुरू करते हैं। यह यहां है कि आपका मौलिक ज्ञान, साथ ही ध्यान भटकाने और समस्या को दूसरे दृष्टिकोण से देखने की क्षमता काम आएगी।


आगे क्या है? आपत्तिजनक सुरक्षा स्वयं प्रमाणन में अगले चरणों की पेशकश नहीं करती है। अलग-अलग, वायरलेस नेटवर्क, वेब एप्लिकेशन की सुरक्षा पर एक परीक्षा होती है और थोड़ा अलग शोषण के डेवलपर्स के लिए एक परीक्षा होती है।

एक प्रमाण पत्र, बेशक, महान है, लेकिन वास्तव में आप ओएससीपी पाठ्यक्रम से जो सबसे अच्छा सीख सकते हैं वह ज्ञान है। ज्ञान जो अनिवार्य रूप से अप्रचलित हो जाएगा यदि आप स्वतंत्र रूप से अपनी शिक्षा में संलग्न होना चाहते हैं।

सर्गेई पोलुनिन ,
टीम लीडर, डिज़ाइन विभाग, गजिनफॉर्मस्वेस्क एलएलसी
सर्गेई का ब्लॉग अंग्रेजी में यहाँ पढ़ा जा सकता है।