Penetration testing

Вы замечали, что мир IT очень огромен, но при этом в нем как будто нет места для ИБ, несмотря на то, что довольно много, а порой критично много на самом деле нуждающихся в нём?

Многие сейчас создают, развивают продукты, но очень мало кто хочет платить за их безопасность, люди искоса смотрят на такое решение, ведь многие - в основном, конечно, бизнесмены - не хотят и не готовы платить за то, что не принесет им деньги впоследствии, а потенциал "не потерять" для них, по всей видимости, не звучит громко.

Под катом я хотел бы сравнить и провести параллель ( пусть, быть может, местами, это может казаться утрированно) между ведьмаками и пентестерами ( ведьмаками из мира IT).

По моим наблюдениям, мир ИТ сейчас устроен так, что кругом создается все больше сервисов, больше устройств, больше технологий - следовательно больше затрат cо стороны пользоватей, при этом , внедряя все больше, как правило, платных, подписок и платных возможностей ( в том числе расширенных ), и многие при этом, думая лишь о прибыли, забывают думать о защите.

Основные причины - не рассчитали бюджет на это или же целенаправленно забили на безопасность а-ля "и так сойдет", "да кому мы нужны".

При этом так же бывают случаи, когда не рассчитали время : У тебя есть определенные обязанности перед инвесторами или же начальством и тебе обязательно нужно уложиться в сроки.

Это удается немногим, но ,уложившись в сроки, люди в итоге успевают выпускают , "как есть" , обычно поставив безопасность на последнее место - сделав лишь самый основной функционал, не успев его должным образом протестировать - но это серьезный просчет, ведь всегда присутствует человеческий фактор, нельзя не учитывать сонных , уставших программистов , допустивших ( что , в принципе, не звучит так уж сверхъествественно ) , ошибку(-и) в огромном количестве программного кода.

И это только если не считать дефолтных качеств самих программистов - порой , происходит серьезная халтура, когда бюджет попросту "пилят" - происходит это так:

1. Выделяется бюджет на тестирование, очень приличный кусок от изначальной цены отламывают и кладут себе в карманы, а оставшееся уже готовы потратить на это самое тестирование.

2. Ищут за оставшуюся цену специалистов в иб.

3. Обычно все же находятся те, кто принимают за эту сумму проведение работ, но сами тем временем ищут тех, кто бы сделал эту работу за меньшую сумму, с учетом того, что те потом сами допишут определенные пункты ТЗ.

4. Эта цепочка движется вниз до тех пор, пока не дойдет до студентов, которые еще вчера "работали за еду" и им бы не помешала практика.

5. В итоге цепочка движется обратно вверх, где каждый на звено выше дописывает что-то от себя.

6. Как результат, в руки заказчику возвращается отчет низкого качества, в чем, собственно, они сами и виноваты.

Что касается добросовестных программистов-разработчиков, они на то и разработчики, чтобы именно разрабатывать продукты, а не защищать их.

Да, можно придерживаться принципов безопасной разработки, но никто не заменит полноценную работу пентестера.

Некоторые компании , разрабатывающие инструменты для автоматизации проведения пентеста признают, что хоть инструменты могут выручать, но живую работу пентестера нельзя заменить нечем, а пентестер , вооруженный этими самыми инструментами становится еще мощнее.

Но некоторые этого до сих пор не понимают, всегда необходимы специализированные профессионалы своего дела, эксперты в области иб, "особый отряд" - пентестеры.

Теперь же поговорим о терминологии.

К пентестерам мы вернемся после описания Ведьмаков, которые тоже представляют собой "особый отряд".

Терминология

Кто такие ведьмаки?

Ведьмаки вымышленные персонажи из вселенной "Ведьмака" Анджея Сапковского, мутанты со сверхъестественными способностями, прошедшие специальную подготовку, чтобы стать профессиональными истребителями чудовищ по найму.

Считается, что у ведьмаков нет эмоций, хотя это и не совсем так. За последние годы каста ведьмаков сократилась до горстки действующих охотников; столь мало их осталось, что мир начинает напоминать времена, когда их и вовсе не было.

Имунны ко всем болезням и токсинам, объясняется тем, что перед боем ведьмаки принимают токсичные эликсиры, усиливающие их способности на некоторое время, в то время как обычный человек может не перенести эффекта и умереть.

То есть -в общепризнанном смыслеведьмак это профессия. Обычно под этим словом подразумевают наемных охотников на монстров, однако не любых представителей этого ремесла, а прошедших через ряд мутаций и изменений организма, которые делают ведьмаковсверхлюдьми, обладающими невероятными физическими возможностями. Именно эти данные позволяют им быть как нельзя более приспособленными к охоте на различных тварей и существ, и таким образом быть куда эффективнее любых конкурентов.

Главного харизматичного героя - Геральта из Ривии вы можете знать, как минимум по одной из лучших игр десятилетия - "Ведьмак 3 : Дикая Охота".

Пентестеры

Пентестеры - особый "отряд" людей, специально обученный и прошедший подготовку, чтобы стать профессиональными истребителями "чудовищ" - проблем (уязвимостей) в IT.

Считается, что у пентестеров ( читай "хакеров") нет эмоций, что это суровые "компьютерщики" хотя это и не совсем так. За последние годы каста безопасников тоже сократилась до горстки действующих охотников; столь мало их осталось, что мир начинает напоминать времена, когда их и вовсе не было - особенно в России.

Имунны ко всем болезням и токсинам, объясняется тем, что перед боем пентестеры принимают токсичные эликсиры ( большое количество энергетиков, в том числе - кофе ), усиливающие их способности на некоторое время, в то время как обычный человек может не перенести такого количества и соответствующего ему эффекта и умереть.

То есть -в общепризнанном смыслепентестер это профессия. Обычно под этим словом подразумевают наемных охотников на уязвимости и баги, однако не любых представителей этого ремесла, а прошедших через боевую закалку и опыт, и изменений организма, которые делают пентестеровсверхлюдьми, обладающими невероятными физическими возможностями.

А именно эти данные позволяют им выдерживать нагрузку на сердце и быть как нельзя более приспособленными к охоте на различных тварей и существ (вирусы и баги ), и таким образом быть куда эффективнее любых конкурентов - программистов с каким-то уклоном в ИБ.

Помимо этих сходств, ведьмаки, как и пентестеры, сталкиваются с недовольством тех, кто их нанял, а иногда и просто встречными прохожими.

На ведьмаков, как и на хакеров смотрят , как на какую-то отдельную касту людей , где те
"не такие ,как все", и иногда даже опасаются.

Порой, ведьмак , гуляя по городу может услышать от "необразованных" в свою сторону "мутант, выродок".

Пентестер (он же хакер), может услышать - все от тех же "необразованных" - фрик, задрот.

Обоим в "бою" не обойтись без светящейся в темноте "волшебной" штуковины.

Те же, кто "образован" и "в курсе" наоборот, относятся с уважением и почётом, что в мире ведьмака к самим ведьмакам, что в нашем мире IT - к пентестерам, и уважают их ремесло.

Ведьмакам , после убийства ими чудовища на заказ могут сыпаться предъявы, начиная попытками урезать плату за заказ, осознанной заменой на более дешевую плату, заканчивая полным отказом платить, ссылаясь на разные , порой абсурдные причины, за которыми, конечно же, скрывается понесение ущерба репутации и нежелание признавать свой проигрыш.

Пентестеров тоже не любят, тоже порой хотят урезать плату , осознанно заменить плату на более дешевую или не платить вовсе, ссылаясь на разные, порой абсурдные причины, а так же пытаются заткнуть (1, 2) - ибо не хотят нести репутационный ущерб.

Такое порой нередко встречается , что не всегда, даже тем, кто все правильно сделал, не выплачивают награду за найденные баги и уязвимости по программе bugbounty.

Порой с этих слов состоят многие интро к рассказам на различных конференциях , таких как, например, ZeroNights.

Багбаунти

Кстати о багбаунти, в мире IТ это платформа , где , в каком -то смысле "висит" заказ на убийство за которое полагается награда, но для начала это "чудовище" нужно выследить, может даже выманить и затем устранить, но по умолчанию предполагается, что оно есть, так как жителям оно где-то время от времени мешает спокойно жить.

В Ведьмаке 3 Дикая Охота эту функцию просто выполняет доска объявлений.

Ведьмаки, как и пентестеры, как было сказано ранее, созданы для того, чтобы выполнять задачи , с которыми не способны справиться обычные воины и подготовленные рыцари, не смотря на свои силы.

Так же , обучение пентесту, как и обучение в ведьмачьих школах терпит раскол - при обычных обстоятельствах ты не найдешь возможности этого сделать, единственная возможность - делать это подпольно ( онлайн/оффлайн -курсы ) или же тебя настигает судьба самоучки, никакие вузы и школы не предоставят вам в полной мере всех возможностей для становления "элитным убийцей".

К чему же это я это все?..

Во вселенной Ведьмака, само становление ведьмаком требовало адских мук, через которые способны были пройти лишь единицы, что все таки, в последствии, окупало себя в полной мере - никто не мог выполнять работу лучше.

Вот только было множество пренебрежений к работе ведьмаков , что выражалось в неуважении и, пониженной , по меркам рынка , заработной плате со стороны нанимателей и простых жителей привели к упадку ведьмачьих школ, это не считая многих других нюансов и неудобств, которых им приходилось терпеть.

Там жители считали, мол чудовищ осталось не так много и оставшееся количество ведьмаков справится - но на самом деле ошибались, ведь чудовищ много и все они будут продолжать плодиться ( а с чего бы нет? ), быть может, создавая новые виды, а ведьмаки , хоть и сверхбойцы, но все же смертны, а создание новых бойцов либо идет очень медленно в подполье, либо отсутствует вовсе.

С той же проблемой мы сталкиваемся и в реальной жизни. Плохая гигиена в сфере ИБ, пренебрежение, неуважение по отношению к пентестерам, отсутствие качественных курсов(встречаю очень много воды), качественного обучения (многих интересует не желание научить, а лишь коммерция - проводить уроков как можно больше, рассказывая минимально, чтобы растянуть период на подольше и , следовательно, вытащить денег побольше) , а так же отсутствие его вовсе - ведет к вымиранию качественных проведений тестов на проникновение, качественных продуктов.

А ведь на кону наша с вами жизнь и наши персональные данные, если продолжить в том же духе - в будущем защищать страну будет некому.

В мире ведьмака эту проблему никто не собирается исправлять, но мы - еще можем попытаться это изменить.

Сертифицированный этичный хакер на зарплате, баунтихантер(не, ну есть же репорт на хакерване, значит зачет по пункту), ресечер и автор публикацийCVE, гик с брейном, скилованный без фабрики,гений, миллиардер, плейбой, филантроп.

Сертификаты:CEHMaster,OSCE,OSWEи другая мелочь, о которой поговорим ниже.

Заметили, да? Я почти готовый эксперт для курса по ИБ в какой-нибудь беспринципной школе программирования с огромным бюджетом на рекламу и небольшим на подготовку и проверку качества учебного материала.

К счастью, для тех, кто еще только начинает путь и выбирает, где учиться практике, я решил поделиться знаниями об известных платных курсах с позиции человека с опытом и в прохождении курсов, и в работе по профилю и рассказать о своем опыте обучения на некоторых платных курсах по теме ИБ с уклоном вoffensiveкак от российских школ, так и зарубежных, высказать мнение стоит ли оно того, а также дать небольшие подсказки по приобретению схожих знаний и навыков без финансовых затрат. К тому же я помню, что школы сами просят отзывы и, по слухам,небоятся публиковать правдивые.

Реклама курсов формата войти в АйТи обещает сделать из вчерашнего обывателя востребованного специалиста экстра-класса с нуля в любой областиIT. Выпускнику обещают тонны предложений к сотрудничеству от известнейших компаний с приятными суммами компенсационного пакета и прочими плюшками сразу после окончания обучения, нужно всего лишь здесь и сейчас купить какой-нибудь курс и чему-нибудь обучиться у какого-нибудь эксперта. Мимо пройти сложно вот вам реклама на каждом сайте или в околотематических телеграмм каналах, вот вам кредит под видом рассрочки, вот вам обратный звонок вместо содержательного письма на e-mail, где опытный продаван "убедит" вас купить или взять в кредит самый дорогой пакет курсов, который, кстати, брать нужно здесь и сейчас, ведь только для васлиповыескидки в комплекте. Уже чувствуете нотки лживой эксклюзивности?

Круглый год курсы продаются по скидке (такого даже в пятерочке с самым невкусным сыром не бывает) с пометкой только для вас и только сейчас, осталось полтора места, либо промокод на скидку в конце очередной статьи на хабре о том, как типичный спец в %job_name% зарабатывает 300к/сек. На самом деле берут планку топового спеца и намекают, что вообще-то таким стать очень просто, мы покажем как.

Довольно интересны случаи, когда эксперт, он же ментор курса, ищет спеца на должность себе в команду, но учеников со своих же курсов не берет, хотя обещал обучить всем необходимым навыкам для работы по профилю.

Да, кстати, если ментор убеждает вас, что занимается обучением, потому что ему в кайф делиться знаниями и обучать других, спросите, где материалы, которые он разместил для коммьюнити бесплатно, то есть без гонорара за курс. Нет, аргумент знания должны быть платными в любой вариации не засчитывается, очередной разборDIVAилиbWAPP тоже.

Geekbrains

"Этичный хакер"

Стоимость:free

В 2018 году я выиграл в конкурсе "Колесо фортуны" от GeekBrains на одном из оффлайн ивентов один бесплатный курс на выбор, выбрал курс "Этичный хакер".По ссылке можно найти описание. Стоимость отдельного курса на тот момент была около 12 000, но, если я правильно помню модель продажи, продавались не отдельные курсы, а набор курсов в составе факультета, что, очевидно, увеличивало общую стоимость.

Указанный курс обещал слушателям рассказать об актуальных методах взлома и концепциях хакинга, о том, как выявлять и анализировать уязвимости IT-систем, обнаруживать и предотвращать несанкционированные проникновения.

На всё это отводилось восемь недель, на каждой из которых будет проведен один вебинар длиной в среднем 2 часа.

Если считать актуальными методами ОЧЕНЬ БЕГЛЙ обзор nmap, metasploit, показ интерфейса пары утилит для атаки на wi-fi и другого в принципе полезного в работе пентестера софта, то да, несомненно, эта часть обещания выполнена.

При написании статьи решил вспомнить содержимое уроков и воспользовался аккаунтом на сайте geekbrains и сохраненными там вебинарами. Освежил память и и не нашел части заявленных тем в содержимом вебинаров, ибо преподаватель явно забил на подготовку к урокам и выдавал околоактуальную отсебятину, а несоответствие темы и материала вебинара объяснял так: "я практик и сейчас вам в формате стендапа выдаю актуальнейшую инфу", а так как на курсе учились люди определенно без опыта в "этичном хакинге", возражений по содержимому особо не поступало.

В качестве ДЗ выдавалось напутствие попрактиковаться в том, что было рассказано, а в примерно половине случаев в форму для ДЗ на платформе предлагалось сдать заглушку, т.е. ничего. Для тех, кто не понял, можно было вообще ничего не делать весь курс, но получить сертификат об успешном завершении обучения.

Кстати, преподаватели на курсах регулярно меняются, предполагаю, что светлое желание "делиться уникальным опытом со студентами" быстро пропадает после пары-тройки семестров, а уникальный опыт почему-то легко гуглится по указанной теме множеством более качественных и подробных статей. Мой преподаватель, например, после завершения карьеры ментора в школе объявил себя биохакером иулетел в космос воевать с покемонамивыпустил курс по разгону мозга БАДами(а че, тоже хакерство),клиентская база к которому набиралась из общего чата выпускников и учеников курса этичный хакер.

На мой взгляд полезность курса сомнительна, практики слишком мало. Сертификат полезен чуть менее, чем никак, в лучшем случае может свидетельствовать о любопытстве, способности сползти с дивана и что-то сделать, а также тяге учитьс, в худшем о неспособности обладателя фильтровать и анализировать информацию, в том числе отзывы (или их отсутствие).

Сейчас курс куда-то трансформировался или просто сменил название, поэтому теперь понять, что поменялось вряд ли возможно.

Всем заинтересовавшимся подобным обучением предлагаю использовать из курса только список заявленных тем, гугл и голову. При тех же временных затратах можно получить гораздо больше актуальных навыков и даже попрактиковаться.

Дополнительно практиковаться в поисках реальных уязвимостей предлагаю наbugbountyплатформах, на одной из них у Mail.Ru есть целая программа с вознаграждениями, включающая в себя в том числе geekbrains.

SkillFactory

"Информационная безопасность для системного администратора"

Стоимость:15000 руб.

В 2019 году где-то в сети попалась реклама курса, название заинтересовало, но описание можно было получить лишь после ввода почты и номера телефона. Получив описание по почте, бонусом я получил звонок от координатора курсов с предложением срочно согласиться пройти обучение на этом курсе, заплатив 30 000 или 35 000 рублей (точно не помню). Стоимость мне не понравилась, и я отказался, координатор перезвонил позже и озвучил новую стоимость, а также предложил вносить платеж частями до прохождения каждого модуля. Новая стоимость 20 000, модулей 4, соответственно 5 000 в месяц с возможностью отказаться от обучения и дальнейшей оплаты, а также возвратом средств за прошедший месяц, если курс не подойдет. Такие условия мне показались приемлемыми, и я согласился. Забегая вперед, отмечу, что к концу курса я разубедился в необходимости усваивать всю программу и принял решение отказаться от дальнейшего обучения и, соответственно, оплаты последней части. Итого 15000. Похоже, просто пытались различными фокусами и мнимой скидкой завлечь на курс как можно больше людей.

Курс в целом соответствовал своей заявленной программе, указанные темы были раскрыты, но отсутствовала практика как класс. В результате получилось что-то вроде саморекламы группы экспертов от мира ИБ (это которые менторы) под эгидой школы программирования, такое портфолио формата смотри как я умею для ментора.

Кстати, список тем известен до начала обучения, можно было использовать какroadmapдля самостоятельного изучения и не участвовать в этом тренинге софтскиллов для экспертов в качестве подопытного кролика.

Сертификат курса вам вряд ли пригодится, так как выдавали его всем зарегистрировавшимся и оплатившим хотя бы первый месяц, о самом курсе скорее всего мало кто слышал, еще меньше знают его программу и могут оценить полезность для собственной организации, а сам курс, похоже, канул в небытие, выполнив свою основную функцию собрать деньги со слушателей.

Codeby.net

"Тестирование Веб-Приложений на проникновение"

Стоимость:34990 руб. (при раннем доступе)

Кажется, на момент прохождения имел в названии фразу "с нуля", но как показала практика, нули до финала не дошли. В мой поток до финала дошел вообще только я.

Платный ctf подходящая характеристика курса. Но, по крайней мере, это был первый за долгое время платный курс с кучей практики в своем арсенале, выполнение которой занимало значительное часть времени прохождения курса.

Codeby проделали замечательную работу по продвижению курса, сделала отличную обертку, а также свою лабораторию (по фактуctf-площадку).

Для общения организовали группу в телеге с менторами и всеми участниками потока.

Менторы нужны были для подсказок при решении, хотя давали их в основном намеками, по учебным материалам что-то непонятное было проще искать самостоятельно.

Лаборатория представляет собой ctf-платформу с заданиями категории web, несколько заданий на каждую заявленную тему. Задачи и материалы следующей темы открывались после прохождения предыдущей и проверки результатов ментором. За прохождение заданий начислялись баллы, которые можно было потратить на подсказки к заданиям других модулей или же на подсказки к заданиям на экзамене.

Экзамен представлял собой набор ctf-тасков категории web, для прохождения было необходимо набрать достаточное количество баллов, решив несколько заданий различного уровня сложности, получить и сдать флаги. На решение задач экзамена отводилось 24 часа, на мой взгляд более чем достаточно.

Вы можете сами решать все задания сами, кстати, когда другие ученики увидят, что вы решили задание, вас, вероятно, завалят вопросами о способе решения. Вы можете объединиться с кем-то и проходить курс, постигая азы командной работы (рекомендую, потому что фаззить некоторые формы словарями в одного утомительно, кроме того, не редко возникала ситуация, когда сервис "падал", не выдержав нагрузки), вы можете спрашивать решения у коллег по курсу, но к экзамену лучше бы разобраться как работает уязвимость, с помощью которой был получен тот или иной флаг.

После успешной сдачи экзамена выпускник получает сертификат, пластиковую карточку и футболку. Качество сертификата реально классное, после него даже обидно за диплом о высшем.

Немного о доставке. Сертификат и прочие плюшки я получил больше, чем через год после сдачи, вероятно, из-за того, что в мой поток нужно было подготовить по одному экземпляру каждого приза и только мне одному, а делать единичные заказы не выгодно, а в следующий поток, похоже, тупозабилизабыли, а когда я все получил, то нашел ошибки на пластиковой карточке в написании никнейма. Обещали без проблем переделать.

Всем, кто заинтересовался курсом, рекомендую обратить внимание на различного рода бесплатныеctf-площадки для практики (напр.ctf.antichat.ru и прочиеHTB), а учебные материалы легко гуглятся по темам.

Полезность сертификата оценить не представилось возможным, хвалебных од на собеседованиях ему я не слышал, хорошие отзывы только у них на форуме и очень мало, в требованиях конкурсов на проведение работ замечен не был, к себе работать тоже не берут.

Certified Ethical Hacker CEH v10

Стоимость:$1299

Известнейшая во всем мире сертификация для специалистов ИБ. Подтверждает наличие соответствующего уровня знаний в сфере безопасности сетей. Сертифицированный этичный хакер является квалифицированным специалистом, который понимает и знает, как искать слабые места и уязвимости в целевых системах и использует те же знания и инструменты, что и хакер.

Хотя бытует мнение, что изжила себя по причине формата тестов, которые включают в себя ограниченный список вопросов, которые можно просто натренировать.

На мой взгляд все сильно зависит от подхода, хочешь просто корочку да пожалуйста, все равно в итоге понятно кто ты на самом деле по результату работы.Ктому же теперь всем противникам тестов и фанатам практики доступен курс CEHPractical, который включает в себя виртуальную лабораторию для обучения и экзамен CEH Practical[S1], в котором за 6 часов нужно решить несколько практических задач в виртуальной лаборатории под присмотром наблюдателя.

Что мне, кстати, понравилось в учебных материалах, предоставленных в рамках пакета, так это понятное и структурированное изложение всего многообразия заявленных тем.

Не сказал бы, что курс вносит много нового, он скорее структурирует, если ты уже в теме или закончил обучение, допустим, в ВУЗе по соответствующему направлению, а CEH Practical вносит практику для закрепления необходимой теории.

Итак, вы решили сдать экзаменCEHи не пользоваться услугами российских посредников, оставили заявку на покупку курса на официальном сайтеEC-Councilи оставили свой номер телефона, готовьтесь к звонку

Сейчас будут активно продавать, невзирая на ваши попытки возразить, что Imsorry,Icantunderstandwhatare youtalkingabout.Please,sendmee-mail.

Впрочем, неплохая практика аудированиия, к тому же совершенно бесплатная. Скидок не предложили. Предложили приобрести вместо одного ваучера на экзамен CEH за $1199 с необходимостью подтверждения atleasttwoyearsofworkexperienceintheinformationsecuritydomain еще за $100 пакет CEH iLearn package, включающий в себя видеолекции и учебник для курсовCEHиCEHPractical, а также ваучер на экзамены CEH и CEH Practical с итоговой суммой $1299. Выбор был очевиден.

По результатам курса сдаем CEH (4 часа, 125 вопросов с вариантами ответов), сдаем CEH Practical и при успешной сдаче этих двух сертификаций становимся CEH Master на 3 года.

БонусомяпопалвTOP 10 in the world Quarter 4 September 2020 EC-Council Ethical Hacking Leaderboard забавнаяачивканамойвзгляд

Стоимость, вероятно, завышена, но, думаю, тут идет ориентир на международный рынок и дело просто в платежеспособности клиента в среднем.

Польза от этих ТРЕХ сертификаций, пожалуй, значительна. Во-первых, ее все знают в околоИБшных кругах,во-вторых, в описаниях вакансии одно из желательных требований работодателя иметь те или иные сертификаты, в том числе и CEH, как-никак уже немного проще выделиться из потока кандидатов, в-третьих, специфика некоторых компаний предполагает тендеры, где в требованиях нет-нет, а попадается условие "наличие в проектной команде специалиста с сертификацией X". В-четвертых, можно похоливарить на тему "почему CEH, а не OSCP".

Сдать экзаменCEHс равной вероятностью может и вчерашний выпускник универа, и специалист с опытом. ДляCEHPracticalвсе же лучше потренироваться в виртуальной лаборатории, но какие-то сложности вряд ли возникнут.

Эквивалентные знания можно получить из гугления, благо домены, необходимые для изучения перечислены, а практические навыки можно наработать на начальной позиции пентестера или стажировке.

Основная ценность этого обучения как я уже сказал именно известность сертификата, и более или менее честная попытка организаторов препятствовать самым тупым попыткам экзаменуемого схитрить, кроме того, успешный кандидат уверенно отвечает собеседующему-троллю на вопрос Не подскажете, а по какому порту работает ping?.

Offensive-Security

Advanced Web Attacks and Exploitation

Стоимость: $1800

ПоговоримобAdvanced Web Attacks and Exploitation (AWAE) исертификацииOSWE:

КурсисертификацияотизвестнейшихOffensive Security

Направлены на whitebox manual pentest web-приложений. На мой взгляд гораздо интереснее разбираться в исходном коде, чем тот же период фаззить параметры вслепую иногда даже не представляя, как может работать то или иное приложение под капотом.

Что заявлено, то и предоставлено. Доступ к виртуальной лабе из обширного списка хостов, являющихся уязвимыми веб-приложениями, разработанных с использованием значительного списка технологий, pdf-мануал с разъяснением как решать каждую из машин (кажется, кроме одной после последнего обновления курса), видео пошаговое решение лаб с демонстрацией.

ПОШАГОВОЕ и ДОСТАТОЧНО ПОДРОБНОЕ видео, такой же подробный мануал, в конце концов это называется методические материалы для учебы, а не исключительно "иди гугли и разбирайся".

Изучаем реальные уязвимости в реальном коде на различных популярных языках программирования, забудьте про SQLMap, пишем свой на Python, как это вы не понимаете, как реализовать экплуатацию Time-Based SQL и обойти фильтрацию? Очень жаль, ведь пересдача будет стоить вам $200 и 4 недели ожидания после первого провала.

Решил все задания и допы? Будем считать, что на экзамен подготовки хватит.

Экзамен два уязвимых веб-приложения на двух серверах, еще два таких же уязвимых веб-приложения на двух других серверах, но уже с доступом поrdpилиsshна хост для отладки и доступа к исходникам приложения. Задача обойти аутентификацию и получить возможность удаленно исполнять команды на каждом хосте через уязвимости в приложении. На эту часть дается двое суток под присмотром веб-камеры и некоторого количества наблюдателей за ней, иногда больше одного.

Для сдачи экзамена достаточно обойти две аутентификации и получить одну RCE (наоборот можно, но баллов для сдачи не хватит). Не забудьте в процессе экзамена, пока есть доступ к машинам, сделать достаточно скриншотов и написать скрипт, позволяющий проэксплуатировать найденные за экзамен уязвимости.

Еще одни сутки дают на написание и отправку отчета на английском языке (не говорите мне, что вам понадобились ЦЕЛЕ сутки на эту задачу, не такой уж много нужно для отчета, к тому же за вами больше не присматривают).

После отправки отчета обещают проверять до 10 дней, хотя на самом деле все проходит гораздо быстрее (мне, например, ответили через сутки).

На мой взгляд ценен как самой сертификацией, похоже, пока не сильно распространенной, как тот же OSCP, так и объемом знаний и навыков, которые можно получить в процессе прохождения курса.

Плюсы те же что и у CEH сертификатов. К тому же в ИБшных кругах считается не самой простой для сдачи, что добавляет крутости сдавшему в глазах окружающих.

Новичкам в пентесте веб-приложений курс может не подойти из-за необходимости уметь читать исходный код на нескольких распространенных языках программирования и понимание наиболее вероятных мест появления уязвимостей в коде.

Если поискатьCVEдля опенсурсных веб-приложений, можно сделать свою лабораторию для оттачивания навыков, и не тратить деньги на курс и нервы на экзамен.Exploit-dbвпомощь.

Offensive-Security

Cracking the PerimeterисертикацияOSCE

Стоимость: $1200

Курс больше сфокусирован на разработке эксплойтов, чем про "нагуглить подходящий эксплоит". Многие сравнивают его с OSCP, но на мой взгляд это как теплое с мягким про разные единицы измерения. В OSCE большечертовщиныбинарщины, за подробностями идем в статью моего коллеги и руководителя Сергея Зеленского.

Несмотря на то, что я сдавал старую версию, полученные опыт и навыки все еще актуальны в том числе в качестве фундамента для дальнейшего развития в областиexploitdevelopment.

Плюсы те же что и у CEH илиOSWEсертификатов. Дополнительным бонусом в какой-то мере служит то, что OSCE этой версии теперь раритет у новичков в ИБ эта версия больше никогда не появится.

ЗдесьExploit-dbтоже поможет самообучению, нужно только разбирать бинарные уязвимости, в отличие отWeb-уязвимостей, которые дляOSWE.

Выводы

По моим наблюдениям, курсы, которые котируются в тусовке, курсы, на которых мне понравилось учиться и курсы, которые имели в своем багаже НОРМАЛЬНЕ методички это одни и те же курсы. Эти же курсы с сертификацией в том или ином составе имеет в своём портфолио каждый эксперт, который будет ментором на курсах второго типа. Удивительно, не правда ли?

Дополнительным маркером качества курса могут служить усилия, предпринимаемые обучающей платформой для защиты учебных материалов от пиратства.

Для тех же, кто еще только начинает искать подходящие источники знаний могу отметить следующий факт многие работодатели готовы оплатить курсы отEC-Council,Offensive-Securityили другие УЖЕ зарекомендовавшие себя сертификациисвоим работникам. Это может быть обучение для повышения навыков, поощрение за проделанную работу или для получения в штат специалиста с необходимой квалификацией для выигрыша конкурсов на работы, то есть работнику такие курсы, вероятно, ничего не будет стоить в финансовом плане.

Иные курсы, вероятно, могут пригодиться для получения первой работы поподходящему уровню компенсации интересующему профилю, так сказать войти в АйТи, если повезет,по крайней мере примерно так утверждает их реклама, а значит платить за знания придётся вам самим и до получения работы. Вы еще при этом являетесь бета-тестером сырого продукта (и вот вы уже получили свой первый опыт работы вQA). По моему опыту такие курсы обычно содержат поверхностное освещение тем от приглашенных экспертов, которые имеют какой-то опыт в теме вообще или в конкретном направлении курса, вот только не каждый эксперт может быть хорошим наставником, а также способен уделять время для качественной подготовки учебных материалов. Похоже, некоторые эксперты приходят слегка подзаработать или прокачать релевантные софт-скиллы. Зачем еще они приходят, можно найти в описаниях вакансий для менторов курсов.