Studie: Exin vs Comptia/ECCouncil

[sh4d0wman]

Na enige jaren werken ben ik weer actief aan het kijken naar studie/certificering, in mijn geval gericht op informatie beveiliging.

Binnen NL zie ik bij Exin de nodige interessante examens, ook omdat die eventueel bij een HBO studie van LOI van pas kunnen komen. Alleen sommige boeken welke genoemd worden lijken mij wat outdated. Heeft iemand ervaring met Exin modules? Hoe bevalt dit? En hoe zou de waardering hier voor zijn in het buitenland?

Een andere optie is CEH (Certified Ethical Hacker) van ECcouncil en Security+ van Comptia. Hierbij is Security+ wat minder technisch dus dat vult elkaar mooi aan. Beiden zijn internationaal vrij bekend.

Ik zit zoals jullie begrijpen te twijfelen wat de beste aanpak zal zijn, ook omdat ik niet zeker weet of ik nog een HBO opleiding er bij wil doen. Misschien zit ik namelijk over een jaar niet meer in NL. Tips en suggesties welkom

[sh4d0wman]

Subtiel schopje

[Falcon10]

ik heb net te horen gekregen dat het Security+ certificaat best wel geapprecieerd wordt bij firmas.

Ben dus ook wel geinteresseerd hierin.

Hoe zit dit examen/certificaat juist in elkaar ?
Is er bv een firma in Belgie die deze cursus/examen geeft ?

[sh4d0wman]

Op de comptia website is een overzicht te vinden voor Security+. Ik heb een Sybex boek inmiddels al doorgenomen en dat valt wel mee. Ben nog even een testengine aan het downloaden. Het geeft een breed beeld van beveiliging. Kijk anders even op de website, ik weet niet of je al wat kennis hebt, dan zou zelfstudie wel moeten kunnen volstaan denk ik.

Certified Ethical Hacker is meer tooltjes kennis en technischer van aard. Hier zijn recent de exameisen veranderd en nog geen nieuwe boeken beschikbaar. Deze staat bij mij voor later in de planning.

Exin nog geen ervaring mee opgedaan.

[ebia]

CompTIA Security+ is inderdaad een internationaal alom erkende certificering voor ieder die een goede basiskennis wil vergaren over dit onderwerp. Nadelen van de certificering is dat deze vrij groot is (100 vragen) en dat deze kostbaar is (ca € 250,-). Voordelen is dat de naam CompTIA vrijwel overal bekend is. De Security+ materie vind ik persoonlijk ook technisch, net als CEH, maar is gewoon anders van opzet en doel.

De CEH toets gaat wat specifieker in op de gebruikte 'hackertools'. Hier moet je je echter niet teveel van voorstellen, want als je dit nader bestudeerd zul je inzien dat dit nou niet bepaald de meeste professionele en moderne tools zijn. Het examen bestaat uit 125 vragen, de exachte kosten zijn mij onbekend maar zullen denk ik ongeveer op het niveau van dat van CompTIA liggen.

Voor de certificering van EC Council geldt dat deze de afgelopen tijd behoorlijk gehyped is, maar dat deze nog lang niet zo'n reputatie heeft opgebouwd als de CompTIA certificering. Voor beiden toetsen geldt wel dat deze je slechts een basiskennis geven van het security onderwerp. Wil je verder doorleren zul je bij CompTIA doodlopen, want er is geen vervolg op de Security+ toets. De EC Council heeft wel een vervolgtraject. Persoonlijk vind ik de houding van het EC Council in deze vrij autoritair. Je kan deze bijvoorbeeld niet volgen mits je een werkgeversverklaring hebt dat je al een tijd in het securityvak bezig bent, en ook een verklaring omtrent gedrag (bewijs van goed gedrag) is een verplichting.

Waar het denk ik uiteindelijk om draait is wat je precies in de security wereld wil gaan doen. Wil je een 0-day exploit hacker worden, consultant, auditor of manager, of iets anders?

Bij Exin kan je bijvoorbeeld een I-Tracks shorttrack traject volgen. Dit zijn eigenlijk in stukken gehakte AMBI modules, welke hier in Nederland best een naam hebben. Als je een zogenaamd Academy carreer volgt kan je uiteindelijk door middel van een kopstudie ook op deze manier je HBO halen. Je kan dan, als een soort minor, die security gerelateerde tracks volgen voor studiepunten. Echter hoor ik in de praktijk toch wat mindere verhalen over deze studie, zo zouden er toch weinig opleiders zijn die het gehele traject aanbieden. Ook ben je voor een deel van die Academy track afhankelijk van een werkgever waar je opdrachten zult moeten vervullen. Dus als dit niet in je huidige carriërepad een plaats kan krijgen is ook deze methode geen optie.

Het GIAC is ook een groot aanbieder van security gerelateerde opleidingen. Ook GIAC heeft gevestigde naam binnen de security wereld. Voor de kleinere en basiscertificeringen geldt vaak dat je deze thuis kunt leren, de prijzen zijn echter hoog. Voor de wat geavanceerdere opleidingen kun je beter naar opleidingsdagen gaan. Houd ook hier rekening met hoge kosten voor de cursussen welke vrijwel altijd buiten Nederland plaatsvinden.

Wil je gewoon lekker hands-on leren hoe je nou een servertje kan rooten kijk dan eens naar de Offensive Security cursussen van Remote-exploit.org (de makers van BackTrack). Dit is een betaalbare online zelfstudie faciliteit die door middel van videotutorials en een online hack-omgeving je wegwijs maakt in het gebruik van échte tools (o.a. Metasploit) ipv die lame-tooltjes welke bij CEH worden besproken. De certificering heeft nog niet echt een naam gemaakt binnen de security wereld maar als je dieper de techniek in wilt is dit toch echt een aanrader.

Ohjah voor een aardig vergelijk tussen de diverse opleidingen kun je hier kijken: http://www.giac.org/certi...ificationCousins_v1.3.xls

[sh4d0wman]

Bedankt ebia! Doe jij zelf iets in security? zo ja, wat?

GIAC heb ik inderdaad ook naar gekeken maar daar waren helaas geen examens van mogelijk in NL. Exin lijkt mij alleen iets als ik ook HBO zou gaan doen aangezien het geen internationale bekendheid heeft. CEH is recent geupdate en heeft nu ook weer wat andere tools maar er zitten ook veel oude tussen. Veder lijkt het mij een beetje onzinning om van elke tool alle switches uit je hoofd te moeten leren. Van veel tooltjes weet ik waar ze voor gebruikt worden en hoe. Alleen de geavanceerde technieken mis ik. In CEH zie je daar ook nog weinig van terug, wel in de pentest module van hun maar ik geloof dat je daar eerst CEH voor moest doen, moet ik even opzoeken.

Ik zal nog eens naar de remote-exploit.org cursussen kijken, ben ik in het verleden wel eens langs gekomen op internet. Iig weet ik dat ik op dit moment eerst Security+ ga doen zodat ik kan aantonen over basiskennis te beschikken en daarna kijk ik verder. Zelf zou ik graag richting pentesting/audits gaan. In Nederland zijn hier wel enkele bedrijven die zich daar mee bezig houden, hoe groot de markt is vind ik moeilijk inschatten. In Amerika lees je vaker over tiger teams/pentest teams enzo welke dan b.v. gewoon een onderdeel vormen van een organisatie zoals MS ofzo.

[ebia]

Ik werk niet in de securitybranche, maar heb me enige tijd terug op de materie ingelezen. En uiteindelijk besloten dat het niets voor mij is

Het klopt inderdaad dat je bij het EC Council eerst de CEH moet behalen alvorens je sommige van de vervolgmodules kan doen. Als je bijvoorbeeld wilt gaan voor het LPT (licensed penetration tester) moet je én CEH én ECSA én een curus volgen én werkervaring hebben én je c.v. sturen én een bewijs van goed gedrag. Lijkt me behoorlijk over the top als je het mij vraagt.

De ISC² CISSP examens kennen deze strenge eisen ook wel, maar aangezien dat toch meer de audit kant op is is dat ook niet meer dan logisch. Als je pentester wilt worden moet je gewoon veel hands-on ervaring opdoen met diverse systemen en omgevingen. Vooral zeker met de huidige virtualisatietechnieken is het erg makkelijk om een testomgeving op te zetten om te kunnen oefenen.

Security+ lijkt me een goed begin, het toont je basiskennis en is overal welkom.