Certificação OSCP

Uma das certificações mais desejadas na área de segurança da informação, mais especificamente na área de teste de intrusão, a certificaçao OSCP (Offensive Security  Certified Professional) é realmente o que a sua fama indica: EXCELENTE. (ver links referenciados).

No início de julho o diretor da Andrade Soto Information Security Fábio Soto, me desafiou a tirar esta certificação e eu resolvi aceitar.

As certificações oferencias pela Offensive Security são diferentes de qualquer outra disponível no mercado, nesta a prova é 100% prática e isto significa que se o pretendente não sabe, não tem experiência, conhecimento ou tem dúvidas, então não tem nenhuma chance. Este nível de exigência é vista somente em certificações em nível Engineer, onde há prova de multipla escolha e um laboratório para a parte prática.

Um dos bordões da Offensive Security sobre o exame para obter-se a OSCP é:
“The OSCP challenges the students to prove they have a clear practical understanding of the penetration testing process and lifecycle through an arduous twenty four (24) hour certification exam.“

Sim, o exame dura 24horas e você deve cumprir os objetivos dentro deste prazo ou nada feito.

O início da jornada é marcado pelo email de boas-vindas que contém as informações de acesso ao laboratório. Este lab é disponibilizado de acordo com o pacote adquirido que varia de 30,60 ou 90 dias. Este período é destinado à prática e estudo guiado pelo material em PDF e vídeos do curso PWB (pentest with backtrak), não há instrutor. Realizar as tarefas deste curso é completamente opcional mas recomendável para estudantes iniciantes na área.

O laboratório possui algo próximo a 100 servidores separados em redes diferentes, regras de firewall a serem subvertidas e vulnerabilidades de todos os tipos. A fidelidade com a realidade em empresas é grande e é um dos objetivos da Offensive Security.

Alguns servidores possuem vulnerabilidades simples de serem exploradas, outros mais complexas. No fórum privado para os estudantes é possível notar que muita gente sofre até mesmo no laboratório. Há relatos de pessoas que fizeram o exame 4 vezes e extenderam o tempo de laboratório na mesma proporção mesmo tendo outras certificações respeitadas como CEH e CISSP. Isto assusta qualquer um que pretende realizar o exame, entretando comparar-se à experiência de outros é algo a ser evitado.

As habilidades exigidas no laboratório e no exame completam o ciclo de trabalho de um pentester, nele é necessário também alterar e criar exploits para adequá-los ao cenário proposto, criar scripts e ferramentas, identificar e explorar as vulnerabilidades sem a utilização de scanners de vulnerabilidades (como NESSUS, NeXpose, OpenVas, Acunetix…) e também é proibida a utilização do famoso Metasploit. Você realmente precisa saber o que está fazendo e conduzir tudo “com suas próprias mãos”. Com isto, em alguns casos a invasão ocorre de maneira simples, porém a obtenção de acesso completo ao sistema com privilégios administrativos é um pouco complexo e árduo.

Como foi dito anteriormente, o exame final é composto de 24 horas corridas invadindo servidores de uma rede dedicada para isto, e mais 24 horas corridas para a composição do relatório final contendo todos os dados obtidos, vulnerabilidades encontradas e exploradas.

Hoje minha opinião é a mesma de um número cada vez maior de profissionais ao redor do mundo que conhecem esta certificação: Um profissional com a assinatura OSCP, tem plenas condições de executar um pentest de qualidade. Para endossar o que estou afirmando, selecionei três opiniões encontradas na internet:

 “The OSCP is a certification that has already gained a very solid recognition and I only hope and expect that to continue. I’ve taken a couple of other security related certifications including the CEH, Security+, CISSP and the TigerScheme QSTM. If I had to select a candidate to perform a pen test on a client network, the OSCP certified candidate would get the job every single time. “ [1]

 “Without any question, the OSCP certification is one of the best security certifications on the market.“ [2]

“My summation? The OSCP is the real deal. The CTO and Lead Security Researcher at Proso , Nick Popovich, has had nothing but great things to say about his experience traversing the OSCP training and certification process. He notes that this particular certification is truly a difference-maker when it comes to pursuing penetration testing work in both the private and public sectors.” [3]

O reconhecimento desta certificação garante também 40 pontos CPE para a manutenção da certificação CISSP, fornecida pela (ISC)² ou outra que possui o programa de certificação continuada.

Meu exame iniciou as 13 horas e consegui concluir todas as invasões com acesso total nos sistemas requeridos em pouco mais de 9 horas. Minha preocupação inicial seria o tempo pois não estava interessado em perder uma noite de sono, felizmente não foi necessário. Em um dos servidores levei 4 horas para conseguir explorar a vulnerabilidade por detalhes que …

Devido a um contrato de confidencialidade, não posso revelar mais detalhes sobre o laboratório ou sobre o exame, porém enumerei algumas das habilidades exigidas durante a certificação:

  • Ter bons conhecimentos sobre métodos de exploração de buffer overflow ( como funciona, qual é o objetivo, como tirar vantagem da vulnerabilidade, usar um debugger) pra criar ou adaptar um exploit para windows e/ou linux.
  • Identificação de vulnerabilidades sem a utilização de ferramentas automatizadas como Nessus, OpenVas e Nexpose.
  • Exploração de vulnerabilidades sem a utilização do Metasploit.
  • Pensamento criativo, ser multi-tarefas, no mínimo um bom conhecimento sobre ambientes de rede e sistemas Microsoft e Linux.
  • Saber criar scripts em alguma linguagem de sua escolha (python, perl, ruby…)
  • Não obrigatório, porém recomendável saber C e Assembly

Depois de 2 dias esperando, a resposta chegou parabenizando-me pela conquista, eu havia sido aprovado pelos avaliadores.

Esta experiência valeu o desafio e me deixou com desejo de ir em busca de novos. E com certeza, nossos clientes são os maiores beneficiados.

Referêcias:

[1] http://www.iodigitalsec.com/blog/offensive-security-pwb-course-and-oscp-certification-review/
[2] http://www.itcertificationmaster.com/offensive-security-oscp/
[3] http://www.mycpes.com/blog/post/Certification-Spotlight-Offensive-Security-OSCP

Alguns outros reviews:

https://www.rcesecurity.com/2013/05/oscp-course-and-exam-review/
http://jedicorp.com/security/pwb-oscp-course-review/

Offensive Security OSCP Official – http://www.offensive-security.com/information-security-certifications/oscp-offensive-security-certified-professional/

Wikipedia -http://en.wikipedia.org/wiki/Offensive_Security_Certified_Professional

Postado por: Douglas dos Santos

Consultor de segurança da informação.

Leave a Reply