IT Security Certificeringen

[RooT]

shadowman12 schreef op maandag 8 juli 2019 @ 21:54:
[...]


Nee die heb ik niet gedaan, maar ze zullen we daarmee denk ik wel samenwerken met een andere partij, want zelf hebben ze daar denk ik de docenten niet voor, omdat ze een bedrijfskundige focus hebben zoals ik zei. Maar met alleen certified ethical hacker zullen je het in de security wereld sowieso niet gaan redden denk ik.
Er staat computer science of iets vergelijkbaars he. Ja voor sommige studies moet je wat reistijd over hebben, daar kan ik verder niks voor je in betekenen. Het is wel een hele goede opleiding, dat is het enige wat ik kan zeggen. En als je iets echt wil zul je er wat voor over moeten hebben.

Het is ook geen probleem om te reizen, maar ik werk ook nog (heb een eigen bedrijf), dan is het niet te doen om iedere dag naar Amsterdam te reizen. Maar ik zie ook dat ze het part-time aanbieden, dat zou een optie kunnen zijn.

Maar buiten dit, ben ik meer geïnteresseerd in hoe de markt hier naar kijkt. Vind men dit soort opleidingen waardevoller dan bijvoorbeeld certificeringen op security gebied?

[Turdie]

RooT schreef op maandag 8 juli 2019 @ 22:26:
[...]

Het is ook geen probleem om te reizen, maar ik werk ook nog (heb een eigen bedrijf), dan is het niet te doen om iedere dag naar Amsterdam te reizen. Maar ik zie ook dat ze het part-time aanbieden, dat zou een optie kunnen zijn.

Maar buiten dit, ben ik meer geïnteresseerd in hoe de markt hier naar kijkt. Vind men dit soort opleidingen waardevoller dan bijvoorbeeld certificeringen op security gebied?

Wat vaak ik vaak zie is het een combinatie van werkervaring, certificeren en opleiding, zoals je ook wel ziet in andere werkvelden. Veel security mensen hebben een achtergrond als systeenbeheerder/system engineer . Het hangt natuurlijk wel een beetje af of je echt de technische kant op wil van security engineer of meer beleid/procedures als security officer/security architect.

[ Voor 4% gewijzigd door Turdie op 08-07-2019 23:18 ]

[Liegebeest]

RooT schreef op maandag 8 juli 2019 @ 21:49:
[...]
Hier heb ik ook eens aan gedacht. Al weet ik nog niet zo goed hoe ik daar in moet beginnen. Is neem ik aan eigenlijk hetzelfde als pentesten van servers, aangezien IoT devices altijd verbonden zijn met een gateway (wat meestal gewoon een kleine linux server is), welke dus het kwetsbaarste is. Met andere woorden, hoe denk jij dat dit anders is dan een gewone server?

Bij dit soort apparatuur moet je er van uit gaan dat mensen het apparaat volledig binnenstebuiten gaan keren, omdat ze er de toegang toe hebben. De hardware zal van alle kanten worden bepoteld, de firmware gaat men proberen er uit te sleuren, men zal z'n best doen om de hardware dingen te laten doen die niet de bedoeling zijn.

Vergis je niet, IoT is de kern van een heleboel zaken die onze fysieke wereld veilig horen te houden. Van beveiligingssystemen bij de overheid, tot de apparatuur die jou in leven houdt als je een ongeluk hebt gehad. In veel gevallen zijn de fabrikanten van dat soort zaken echter helemaal niet bezig met IT security, laat staan pentesting. Anecdote van iemand bij Paul's Security Weekly: "So we were testing this defibrilator for a medical company and had found parts in the API where you could manually enter voltages. So we asked them what'd happen if, for example, we'd enter 10kV. They just stared blankly at us and asked why anyone would ever do that. "

Pentesting in de IoT en ICS wereld is veel meer dan alleen maar servertje pesten. Je gaat rommelen met hardware en met zaken die potentieel mensenlevens kunnen kosten.

Hacks4Pancakes beschreef recent een hetze rondom een verhuurder in Amerika die verplicht in al haar woningen smart locks wilde laten installeren.

https://tisiphone.net/201...our-apartment-goes-smart/

En dat is alleen maar in de private sfeer...

[Metzie]

RooT schreef op maandag 8 juli 2019 @ 19:11:

Graag jullie advies

Een elektrotechniek achtergrond, zeker als je ook ervaring met PLC's hebt is een grote pre. Beveiliging van industrial control systems gaat heel groot worden in de toekomst. Zoals bijvoorbeeld de (semi)overheid met al haar sluizen, pompen, en nuts voorzieningen.

Omdat je al een bachelor hebt zou je een minor IT security kunnen doen, of direct naar certificaten gaan. Let wel op dat een goede ICT achtergrond zeker wel nodig is. Als je daar nog wat hulp bij nodig hebt dan zijn certificaten van CompTIA een goede instap vind ik. De heilige graal is nog steeds de CISSP, maar dan heb je wel 5 jaar ervaring nodig in 2 of meer van de de domeinen.

[Liegebeest]

Metzie schreef op donderdag 11 juli 2019 @ 15:15:
[...]
De heilige graal is nog steeds de CISSP

De enige toevoeging die ik zou willen doen: "de heilige graal voor HR is nog steeds de CISSP".

[RooT]

Metzie schreef op donderdag 11 juli 2019 @ 15:15:
[...]


Een elektrotechniek achtergrond, zeker als je ook ervaring met PLC's hebt is een grote pre. Beveiliging van industrial control systems gaat heel groot worden in de toekomst. Zoals bijvoorbeeld de (semi)overheid met al haar sluizen, pompen, en nuts voorzieningen.

Omdat je al een bachelor hebt zou je een minor IT security kunnen doen, of direct naar certificaten gaan. Let wel op dat een goede ICT achtergrond zeker wel nodig is. Als je daar nog wat hulp bij nodig hebt dan zijn certificaten van CompTIA een goede instap vind ik. De heilige graal is nog steeds de CISSP, maar dan heb je wel 5 jaar ervaring nodig in 2 of meer van de de domeinen.

Wederom, nuttig advies, dank je

Probleem is alleen dat ik nu nog niet echt weet hoe ik daar werk van kan maken, ik zie daar nog niet echt banen voor, ik denk dat dit over een aantal jaren wel gaat komen.

Zelf zit ik aan het volgende te denken, wat nu als ik eerst richting Linux serverbeheer ga, daar mijn certificaten voor behaal (ik heb weliswaar geen ICT opleiding maar ik heb jaren ervaring met Linux, dus voor mij geen grote stap), bijvoorbeeld de redhat certificaten, daar werk in probeer te vinden en van daaruit de security certificaten halen?

Want mij lijkt dat je alleen met de security certificaten ook niet veel kan namelijk, tenzij je al een baan hebt in de ICT, zoals beheer van servers of netwerken. Of in combinatie met wat jij beschrijft.

[Liegebeest]

RooT schreef op zaterdag 13 juli 2019 @ 21:41:
[...]
Zelf zit ik aan het volgende te denken, wat nu als ik eerst richting Linux serverbeheer ga, [...] daar werk in probeer te vinden en van daaruit de security certificaten halen?

Dat's zo'n beetje de gebaande weg ja

[ShadowBumble]

Liegebeest schreef op donderdag 11 juli 2019 @ 19:56:
[...]

"de heilige graal voor HR is nog steeds de CISSP".

Het is eindelijk doorgedrongen dat CEH, toch niet heel serieus genomen werd ?

[Liegebeest]

ShadowBumble schreef op donderdag 18 juli 2019 @ 16:03:
[...]

Het is eindelijk doorgedrongen dat CEH, toch niet heel serieus genomen werd ?

Bij wie, bij mij? Of bij HR? De eerste week ik al jaren, zelfs voor ik'm haalde. Maar ik betwijfel of HR het al weet

[ShadowBumble]

Liegebeest schreef op donderdag 18 juli 2019 @ 20:27:
[...]

Bij wie, bij mij? Of bij HR? De eerste week ik al jaren, zelfs voor ik'm haalde. Maar ik betwijfel of HR het al weet

HR natuurlijk

[Stufferdt]

ISO 27001 Lead Auditor is in de pocket!

Na 9 weken wachten heb ik eindelijk resultaat terug had het niet verwacht aangezien het online examen totaal niet leek op de stof die ik heb ontvangen voor mijn zelfstudie. Maar blijkbaar heb ik er toch wat van weten te maken

Doordat ik weinig auditervaring heb, heb ik nog de 'titel'/aanduidiging PECB certified Provisional Auditor, maar hoop hier de komende jaren in te kunnen groeien (met werkervaring en audit-uren).

edit:
Boek voor Security+ toevallig vanmorgen besteld, al twijfel ik nog even over examen doen. Maar stof eigen maken kan nooit kwaad natuurlijk.

[ Voor 13% gewijzigd door Stufferdt op 23-07-2019 14:15 ]

[Metzie]

Stufferdt schreef op dinsdag 23 juli 2019 @ 14:06:
ISO 27001 Lead Auditor is in de pocket!

Gefeliciteerd, ik zag het ook op Linkedin. Security+ gewoon doen, je moet er best wel wat voor studeren, maar als je elke dag een uurtje doet dan kom je een heel eind. Als je mijn studie notities wilt hebben moet je me maar even een PM sturen. Ergens in dit topic staat ook mijn studieaanpak als je dat interessant vind. (of anders op Reddit)

[Stufferdt]

Metzie schreef op woensdag 24 juli 2019 @ 23:10:
[...]


Gefeliciteerd, ik zag het ook op Linkedin. Security+ gewoon doen, je moet er best wel wat voor studeren, maar als je elke dag een uurtje doet dan kom je een heel eind. Als je mijn studie notities wilt hebben moet je me maar even een PM sturen. Ergens in dit topic staat ook mijn studieaanpak als je dat interessant vind. (of anders op Reddit)

Thanks! En top, dit houd ik zeker even in gedachten
Ik neem sowieso het boek en de stof door om wat meer kennis te vergaren en merk vanzelf of ik het zinvol acht om te certificeren of dat ik m'n opleidingsbudget liever aan iets ander uitgeef

[Metzie]

Stufferdt schreef op donderdag 25 juli 2019 @ 16:45:
of dat ik m'n opleidingsbudget liever aan iets ander uitgeef

Je hebt echt geen training nodig voor Security+, gewoon het boek van Darril Gibson kopen en eventueel een video training in de Udemy uitverkoop voor $12,99. Ik neem aan dat je dat gewoon kan declareren? Kan je je studie budget voor een volgende training gebruiken.

[Hmmbob]

^^^Wat hij zegt.

[Stufferdt]

Metzie schreef op donderdag 25 juli 2019 @ 20:00:
[...]


Je hebt echt geen training nodig voor Security+, gewoon het boek van Darril Gibson kopen en eventueel een video training in de Udemy uitverkoop voor $12,99. Ik neem aan dat je dat gewoon kan declareren? Kan je je studie budget voor een volgende training gebruiken.

Oh goede tip! Yes, ik kan gewoon declareren. Dan doe ik dat, bedankt

[Anoniem: 491161]

Stufferdt schreef op donderdag 25 juli 2019 @ 16:45:
[...]


Thanks! En top, dit houd ik zeker even in gedachten
Ik neem sowieso het boek en de stof door om wat meer kennis te vergaren en merk vanzelf of ik het zinvol acht om te certificeren of dat ik m'n opleidingsbudget liever aan iets ander uitgeef

Ik heb zonder training en ervaring in (cyber)security Security+ gedaan met één week voorbereiding, dus als je ook maar een beetje interesse hebt in het vakgebied moet het wel lukken. Ik heb vooral de videos van Professor Messer gekeken: https://www.professormess.../sy0-501-training-course/

Daarnaast het boek van Darril Gibson een beetje doorgebladerd, en de Cert Guide van David Prowse omdat ik die had gekregen van m'n werk.

[Liegebeest]

Mochten jullie een uurtje te doden hebben en iets willen zien over AD aanvallen -> YouTube: BlueHat IL 2018 - Vincent Le Toux & Benjamin Delpy - What Can Make Y...

Vincent le Toux en GentilKiwi presenteren over hun DCShadow aanval. Niet zomaar een privesc of persistence, maar gewoon keiharde domination van AD zonder overduidelijke logging die in een SIEM terecht komt. Cross-domain, cross-forest, zo lang d'r maar trusts zijn. En met dat filmpje toch weer 1 CPE verdiend

Alle details hiero -> https://www.dcshadow.com

[ Voor 7% gewijzigd door Liegebeest op 29-07-2019 22:31 ]

[Squ1zZy]

Liegebeest schreef op maandag 29 juli 2019 @ 22:28:
Mochten jullie een uurtje te doden hebben en iets willen zien over AD aanvallen -> YouTube: BlueHat IL 2018 - Vincent Le Toux & Benjamin Delpy - What Can Make Y...

Vincent le Toux en GentilKiwi presenteren over hun DCShadow aanval. Niet zomaar een privesc of persistence, maar gewoon keiharde domination van AD zonder overduidelijke logging die in een SIEM terecht komt. Cross-domain, cross-forest, zo lang d'r maar trusts zijn. En met dat filmpje toch weer 1 CPE verdiend

Alle details hiero -> https://www.dcshadow.com

Alleen niet naar te luisteren 🤭

[AlainG]

Goeiemorgen. Ik zoek na 30 jaar IT, vooral in infra me ook meer te specialiseren in Cyber security. Heeft er iemand ervaring met Cybrary? Zou een site met gratis training zijn. Hier voor CISSP: https://www.cybrary.it/course/cissp/

[Zenix]

@AlainG Prima site om mee te beginnen inderdaad. Die CISSP cursus kan je als aanvulling gebruiken als je dat certificaat wil gaan halen.

Ik heb trouwens CCNA Cyber Ops afgerond. Het tweede examen was een stuk leuker dan de eerste. De focus lag op incident handling en alle skills die je daarvoor nodig hebt. Zeer geschikt als je een CSIRT/SOC positie voor ogen hebt. Een nadeel is wel dat het een Cisco examen is, waardoor er ook wat Cisco producten naar voren komen die niemand gebruikt. Maar 90% van het examen ging gelukkig daar niet over.

[AlainG]

Dank je voor de super info! Ik ben voor het moment meer aan het neigen naar security architectuurwerk, misschien ook incidente response. Geen zin om vast te lopen in producten van vendors.

[AlainG]

Trouwens nog iets waar ik aan dacht. Heeft er iemand ook cursus en brevet privé detective doorlopen? Ik ken hier in België verzekeringsexperts die dat hebben om officieel getuigenissen te kunnen opnemen. Lijkt me handig voor incidents of waar err raakvlak is met industriële spionage of gewoon sabotage.

[Squ1zZy]

<verwijderd>

[ Voor 96% gewijzigd door Squ1zZy op 08-11-2020 17:20 ]

[Liegebeest]

Squ1zZy schreef op maandag 29 juli 2019 @ 23:16:
[...]
Alleen niet naar te luisteren 🤭

Ach, het Frenglish is even wennen en z'n grapjes wat geforceerd... maar de stof is zeer interessant!

"Zen we haf zis accoon..."

[Squ1zZy]

Liegebeest schreef op dinsdag 30 juli 2019 @ 20:36:
[...]

Ach, het Frenglish is even wennen en z'n grapjes wat geforceerd... maar de stof is zeer interessant!

"Zen we haf zis accoon..."

Ow helemaal mee eens. Heb meer respect voor Benjamin though (al is het alleen vanwege Mimikatz). Vind de grapjes van Vincent wel wat gemaakt inderdaad.

[Metzie]

AlainG schreef op dinsdag 30 juli 2019 @ 10:58:
Goeiemorgen. Ik zoek na 30 jaar IT, vooral in infra me ook meer te specialiseren in Cyber security. Heeft er iemand ervaring met Cybrary? Zou een site met gratis training zijn. Hier voor CISSP: https://www.cybrary.it/course/cissp/

Cybrary heb ik gebruikt vanwege de gratis Kelly Handerhan CISSP training. De training is erg goed en behandeld alle belangrijke thema's. Laat je niet afschikken dat de cursus uit 2015 is, de nieuwe CISSP stof is alleen wat uitgebreid met wat cloud en andere kleine zaken.

Mijn CISSP journey kan je terug lezen in deze post op GoT.

[shoombak]

Beetje ongerelateerd, maar is iemand (al) lid van https://opensecurity.global/?

[azerty]

shoombak schreef op vrijdag 16 augustus 2019 @ 12:13:
Beetje ongerelateerd, maar is iemand (al) lid van https://opensecurity.global/?

Ik niet, maar had ook geen zin om mijn email te posten in dat quasi oneindige thread op de Sans mailing list

[Liegebeest]

azerty schreef op zondag 18 augustus 2019 @ 17:15:
[...]


Ik niet, maar had ook geen zin om mijn email te posten in dat quasi oneindige thread op de Sans mailing list

Ditto, plus ik heb al meer communities ingeschreven en weer vergeten dan ik er nu actief bezoek. Dus laat ook maar eventjes voor nu

[Boudewijn]

Nee wat is de meerwaarde ervan? Ik ken genoeg mensen in de infosec (heck ik doe het voor mijn brood) maar heb hier nog niemand over gehoord. Heb dus ook geen invites gehad of verhalen erover gehoord.

[Brainscrewer]

Een aantal namen die ik daar zie posten plaatsen al hun nieuws ook wel op Twitter, waar ik ze ook volg. Beetje dubbelop zo

[Crowdpleaser]

Afgelopen week mijn SSCP examen gehaald, viel mij erg mee.

Heb het boek 2x doorgelezen, en daar vanuit de test examen gemaakt, er waren veel vragen die ik met praktijkervaring kon beantwoorden. Over het algemeen was het veel conceptueel denken, en goed onderscheid maken tussen techniek en gebruikersgemak. Nu de endorsment fase in, ben benieuwd hoe lang dit zal gaan duren.

Wat zouden jullie als vervolg training / certificering aanraden? CISSP of CCSP?

[hellknight]

Congrats @Crowdpleaser
Ik zou aanraden te beginnen met CISSP (als je de 4 jaar werkervaring kunt aantonen)
CCSP kan je evt daarna nog doen

[Crowdpleaser]

Voor CISSP zit ik op 1-2 jaar werkervaring, ik kan natuurlijk eht examen doen, en dan ervaring op gaan doen, maar voor mijn gevoel "heb" ik dan nog niets. Ondanks dat het natuurlijk een waardevolle certificering is. Zie jij CCSP als een laag OP CISSP?

[Equator]

Nee, CCSP is meer een specialisatie van CISSP. CISSP is veel breder en omvat veel meer dan alleen de benoemde zaken in CCSP.

Hoewel CCSP ook een aantal dingen benoemt die niet specifiek Cloud Specifiek zijn. Maar het staat verder wel los van CISSP. De echte specialisaties van CISSP (ISSAP, ISSEP, ISSMP) hebben CISSP als requirement.

[Crowdpleaser]

Check, goed om te weten, dank!

[hellknight]

Crowdpleaser schreef op woensdag 21 augustus 2019 @ 10:32:
Voor CISSP zit ik op 1-2 jaar werkervaring, ik kan natuurlijk eht examen doen, en dan ervaring op gaan doen, maar voor mijn gevoel "heb" ik dan nog niets. Ondanks dat het natuurlijk een waardevolle certificering is. Zie jij CCSP als een laag OP CISSP?

Als je nog helemaal geen ISC2 certificering had, kon je het CISSP examen doen en Associate status aanvragen. Nu je SSCP al hebt, heeft het m.i. weinig nut om een examen te doen als je de benodigde ervaring nog niet hebt. Als je veel met cloud doet kan CCSP zeker nut hebben, maar het is een stuk minder bekend dat CISSP, en beidde hebben 5 jaar ervaring nodig (voor CISSP telt SSCP als 1 jaar, ik weet niet zeker of dit bij CCSP ook het geval is)

[Crowdpleaser]

Dit is mijn eerste certificering, Associate status wacht ik nu op, samen met referenties. Eerst maar eens aan de slag en die uren maken. Thanks voor de info

[Hmmbob]

Metzie schreef op woensdag 12 juni 2019 @ 15:09:
Let wel op, het CCSP examen gaat per 1 augustus veranderen. De content is bijgewerkt naar de huidige standaarden en het examen is verkort van 4 naar 3 uur. Er komen ook nieuwe studieboeken uit van Sybex en McGraw-Hill. Volgens mij is de basis van de content nog steeds hetzelfde, maar zullen er wel wat updates hier-en-daar zijn.

Zie ook https://www.isc2.org/Certifications/CCSP/Domain-Refresh-FAQ

Hierop voortbordurend: 1 augustus is voorbij - beter even wachten op het nieuwe ISC2 lesmateriaal (vanaf 1 oktober) of zou je nu al CCSP kunnen oppakken en het examen afleggen met de bestaande materialen?

[Crowdpleaser]

Voor SSCP had ik ook een vernieuwd boek, deze was van juni 2019 ipv het oude boek uit 2018.

[Metzie]

Hmmbob schreef op woensdag 21 augustus 2019 @ 14:33:
[...]

Hierop voortbordurend: 1 augustus is voorbij - beter even wachten op het nieuwe ISC2 lesmateriaal (vanaf 1 oktober) of zou je nu al CCSP kunnen oppakken en het examen afleggen met de bestaande materialen?

Volgens diverse ervarings deskundigen op Reddit die hun examen na 1 augustus hebben gedaan kan je het examen zonder problemen halen met de huidige boeken / training materialen. Ik zou dus niet wachten maar lekker beginnen.

Even schaamteloze plug: Ik heb het CCSP proefvragen boek in de verkoop.

[TRON]

TRON schreef op donderdag 13 juni 2019 @ 08:32:
[...]

Bij mij stokt het nog helemaal in het begin. Het examen heb ik eind mei succesvol gehaald. In mijn Pearson VUE account staat ook dat het examen 'passed' is. Vanaf dat moment radiostilte.

Ja, ja, het is zover. Ik mag mezelf nu officieel CISSP noemen. 'k Ben succesvol door het endorsementproces gekomen en verwelkomd als lid (na betaling van $125).

\o/ Woehoe. Nu door met CISM en daarna waarschijnlijk CCSP. Daarna wellicht wat inhoudelijkere trainingen.

[Metzie]

TRON schreef op donderdag 22 augustus 2019 @ 21:28:
[...]

Ja, ja, het is zover. Ik mag mezelf nu officieel CISSP noemen. 'k Ben succesvol door het endorsementproces gekomen en verwelkomd als lid (na betaling van $125).

\o/ Woehoe. Nu door met CISM en daarna waarschijnlijk CCSP. Daarna wellicht wat inhoudelijkere trainingen.

Gefeliciteerd met je CISSP. Ga je nog een beschrijving maken hoe je je studie hebt aangepakt? CISM staat ook voor mij op de planning deze herfst. Het all-in-one boek is al in huis, moet alleen nog Review Questions, Answers & Explanations Database toegang kopen bij ISACA.

[TRON]

Metzie schreef op donderdag 22 augustus 2019 @ 23:37:
[...]


Gefeliciteerd met je CISSP. Ga je nog een beschrijving maken hoe je je studie hebt aangepakt? CISM staat ook voor mij op de planning deze herfst. Het all-in-one boek is al in huis, moet alleen nog Review Questions, Answers & Explanations Database toegang kopen bij ISACA.

Heb je behoefte aan een dergelijke beschrijving? Wat wil je graag weten? 'k Vind het geen probleem om daar wat over uit te weiden.

[Metzie]

TRON schreef op vrijdag 23 augustus 2019 @ 08:43:
[...]

Heb je behoefte aan een dergelijke beschrijving? Wat wil je graag weten? 'k Vind het geen probleem om daar wat over uit te weiden.

Nee, niet per-se behoefte, maar ik vind het altjd wel leuk om te lezen hoe anderen zich voorbereiden. Wellicht wel interessant voor de lurkers in dit topic die nog wel hun CISSP moeten behalen. Ik schrijf altijd een samenvatting op Reddit en hier op GoT.

[TRON]

Metzie schreef op zaterdag 24 augustus 2019 @ 22:13:
[...]


Nee, niet per-se behoefte, maar ik vind het altjd wel leuk om te lezen hoe anderen zich voorbereiden. Wellicht wel interessant voor de lurkers in dit topic die nog wel hun CISSP moeten behalen. Ik schrijf altijd een samenvatting op Reddit en hier op GoT.

Goed idee, dank je voor de tip. Hierbij:

Over mij
Ik heb meer dan 15 jaar ervaring in het securityvak, waarbij ik de laatste jaren mijn kennis verder heb kunnen verbreden en verdiepen en enterpriseniveau. Naast mijn opgedane kennis op enterpriseniveau, heb ik ook veel ervaring opgedaan vanuit mijn hobby, nieuwsgierigheid en eigen bedrijf.


Studieaanpak voor CISSP / Resources
Mijn voorkeur gaat uit naar een hybridevorm van leren. Er zijn diverse mogelijkheden om de kennis tot je te nemen: klassikale training of bootcamp, boeken en uittreksels lezen, filmpjes kijken, oefenexamens maken en vast nog meer. In dit geval heb ik er voor gekozen om de boeken door te lezen (en dan met name waarbij mijn kennis nog niet op het vereiste niveau was), ondersteunende filmpjes te kijken en vlak voor het examen het wel bekende uittreksel (Sunflower) door te nemen en oefenexamens te maken per hoofdonderwerp uit het boek. De oefenexamens kan je online maken via een url in een van de onderstaande boeken.

Via Amazon heb ik een bundle aangeschaft met de volgende boeken:
- (ISC)2 CISSP Official Study Guide (8th edition)
- CISSP Official (ISC)2 Practice Tests (2nd edition)
- CISSP All-in-One Exam Guide

De filmpjes die ik gekeken heb waren van CBK. Deze waren samen volgens mij plusminus 25 uur aan filmpjes.

De voorbereiding heeft mij ongeveer 2 maanden tijd gekost. Filmpjes kijken, vervolgens de hoofdstukken uit de boeken lezen waarvan ik nog minder kennis heb. Examenvragen maken per hoofdstuk / hoofdonderwerp and last but not least nog even de samenvatting doorlezen.


Het examen
Ik had het examen in de ochtend gepland omdat ik dan nog 'fris en fruitig' ben. Eerlijkheidshalve moet ik bekennen dat ik het examen niet zo moeilijk vond. Na 100 vragen hield het examen voor mij en volgens mij heb ik er iets meer dan 1,5 uur over gedaan. Toen het examen na 100 vragen ophield had ik twee gedachten: OF ik ben falikant gefaald en het systeem ziet er geen heil meer in om mij meer vragen te stellen zodat ik nog wat punten kan inlopen; OF ik heb het erg goed gedaan en meer vragen zijn niet nodig om vast te stellen dat ik het begrijp.

Mijn gevoel neigde heel sterk naar het tweede en toen ik de ruimte verliet kreeg ik mijn ‘you have passed provisionally’-brief in mijn handen geduwd. Euforie ten top


En daarna?
Houd je mailbox goed in de gaten. De endorsementinstructies staan in de mail die je gaat ontvangen nadat je examenresultaat verwerkt it. Voor het succesvol afronden van het endorsementproces moet je aantonen dat je voldoende werkervaring hebt in het vakgebied. Let goed op dat je kan aantonen dat je kennis hebt over diverse hoofdonderwerpen. Daarnaast moet een bestaand CISSP-lid jou aanbevelen.
Wanneer het endorsementproces is doorlopen en is geaccepteerd, dan moet je (als je dat nog niet bent) lid worden van (ISC)2 en het certificaat is vlak daarna beschikbaar.


-edit-
Zie aanvulling van @Squ1zZy hieronder voor meer informatie over het vervolg

[Squ1zZy]

TRON schreef op maandag 26 augustus 2019 @ 10:51:
[...]

<KNIP>
Daarnaast moet een bestaand CISSP-lid jou aanbevelen.

Dit kan op 2 manieren

Iedereen draagt de titel "Associate" na het behalen van een examen. Als je het certificaat wilt ontvangen moet je een zogenaamd endorsement proces door. Dit kan op 2 manieren:

• Door ISC2 zelf.
• Door een gecertificeerde CISSP-er.

Wanneer het endorsement proces door een gecertificeerd individu wordt uitgevoerd, verklaard diegene dat hij garandeert dat de endorser voldoet aan de volgende eisen:

• Garanderen te weten dat diegene voldoet aan de eisen per certificaat.
• Voldoen aan de "Code of Ethics" van ISC2.

Mocht je dit willen laten doen via ISC2, dan moet er zoveel mogelijk "bewijs" worden aangeleverd via een web-formulier waarna het maximaal 6 weken duurt voordat je het certificaat mag ontvangen.

Meer informatie is te vinden in het ISC2 topic:
ISC² security certificering

[Hmmbob]

Squ1zZy schreef op dinsdag 27 augustus 2019 @ 07:00:
[...]
Dit kan op 2 manieren

En in dit topic zijn er meerde mensen die aangegeven hebben daar best bij te willen helpen, als je niemand in je directe omgeving hebt. Met wat zoekwerk zijn die te vinden, wanneer nodig. ( * Hmmbob zwaait )

[ Voor 11% gewijzigd door Hmmbob op 27-08-2019 09:50 ]

[Squ1zZy]

Hmmbob schreef op dinsdag 27 augustus 2019 @ 09:49:
[...]
En in dit topic zijn er meerde mensen die aangegeven hebben daar best bij te willen helpen, als je niemand in je directe omgeving hebt. Met wat zoekwerk zijn die te vinden, wanneer nodig. ( * Hmmbob zwaait )

Ik heb het door ISC2 laten doen omdat ik merk dat sommige mensen wat makkelijk zijn met het endorsement proces. Ik moet zeggen dat dit ook best te doen is hoor. Als je 5 jaar ervaring hebt en je kunt het aantonen kan je het best via ISC2 doen.

Top dat mensen bereid zijn te helpen

[hellknight]

Squ1zZy schreef op dinsdag 27 augustus 2019 @ 11:53:
[...]


Ik heb het door ISC2 laten doen omdat ik merk dat sommige mensen wat makkelijk zijn met het endorsement proces. Ik moet zeggen dat dit ook best te doen is hoor. Als je 5 jaar ervaring hebt en je kunt het aantonen kan je het best via ISC2 doen.

Top dat mensen bereid zijn te helpen

Voor SSCP heb ik het ook via ISC2 gedaan, aangezien ik toen niet direct iemand kon vinden die al gecertificeerd was. Toen ik CISSP examen had gehaald was ondertussen de SO van 1 van onze divisies gecertificeerd, en hij was bereid me te endorsen. In beidde gevallen was de rest van het proces hetzelfde - "papieren"liggen maandje of 2 in een digitale lade, er wordt geen navraag gedaan / contact op genomen met endorser / referenties, er kwam mail dat ze erg druk waren, dus dat er wat vertraging was.Enkele dagen daarna kwam bericht dat endorsement goedgekeurd was, en dat ik officieel gecertificeerd was.
Voor mij leek het dus ietwat een wassen neus.
Hoe is de ervaring van anderen hier?? vergelijkbaar, of is er bij jullie wel degelijk navraag gedaan / contact opgenomen met mensen?

[Squ1zZy]

<verwijderd>

[ Voor 98% gewijzigd door Squ1zZy op 08-11-2020 17:20 ]

[Hmmbob]

Squ1zZy schreef op dinsdag 27 augustus 2019 @ 11:53:
[...]


Ik heb het door ISC2 laten doen omdat ik merk dat sommige mensen wat makkelijk zijn met het endorsement proces. Ik moet zeggen dat dit ook best te doen is hoor. Als je 5 jaar ervaring hebt en je kunt het aantonen kan je het best via ISC2 doen.

Top dat mensen bereid zijn te helpen

Lol, ik loop dat toch over het algemeen aan als een (iets verlicht) sollicitatieproces: werkgeschiedenis, inhoudelijk inzicht, voorbeelden etc. Maar hee, aanbod staat, wat je kiest is ieders eigen keuze natuurlijk!

edit: nu ik iets langer nadenk, hoop ik eigenlijk dat iedereen dat doet. Want op het moment dat deze endorsements soepel weggegeven worden, verwatert de waarde van het papiertje vrij snel en daar hebben de zittende CISSPs alleen maar weer last van...

[ Voor 17% gewijzigd door Hmmbob op 27-08-2019 15:20 ]

[Liegebeest]

Squ1zZy schreef op dinsdag 27 augustus 2019 @ 11:53:
[...]
Ik heb het door ISC2 laten doen omdat ik merk dat sommige mensen wat makkelijk zijn met het endorsement proces.

Juist één van de dingen die me ergert inderdaad, dus ik doe juist m'n best er altijd minstens een uur voor te nemen met de persoon die ik voordraag. Wat @Hmmbob zei: verwateren. Misschien houd ik het niet tegen, maar ik draag er in elk geval niet aan bij.

In ander nieuws: ik ga zowaar voor't eerst in jaren serieus op gesprek bij een potentiële werkgever. Niet een opdrachtgever, maar echt werkgever. Leuk en spannend, maar ik ben ook wat onzeker en huiverig want ik zou mezelf met die andere baan keihard vastleggen op één specifiek security-deel-gebied in plaats van de luxe, brede inzetbaarheid die ik de afgelopen jaren heb gehad. Hmm. Stof tot nadenken.

[ Voor 40% gewijzigd door Liegebeest op 27-08-2019 21:02 ]

[Riesjart1974]

Aan mijn leidinggevende een budget gevraagd voor een 4 daagse CISM training met examen. Een paar maanden geleden mijn CISSP gehaald, het lijkt mij een logische stap. Ik ben wel wat meer technisch aangelegd, ik ben benieuwd hoe CISM gaat, welke meer organisatorisch is qua inhoud.

Ik heb begrepen dat de officiële vragendatabase en het boek van ISACA voldoende zouden moeten zijn. Iemand nog tips voor andere goede bronnen?

[ Voor 20% gewijzigd door Riesjart1974 op 08-09-2019 11:05 ]

[kgevol]

Ik ben ook bezig met CISM en heb een 4 daagse training gevolgd. Tijdens het maken van oefenvragen bleek echter dat niet alle stof in de examenvragen behandeld is. Nu dus bezig met de online QAE database van Isaca en dat is toch wel een aanrader. Planning is om eind oktober examen te doen.

[Metzie]

Riesjart1974 schreef op zondag 8 september 2019 @ 10:43:
Ik heb begrepen dat de officiële vragendatabase en het boek van ISACA voldoende zouden moeten zijn. Iemand nog tips voor andere goede bronnen?

CISM staat ook op mijn to-do. Na wat research op Reddit ben ik er achter dat het ISACA of All-in-one boek plus de officiële vragendatabase ruim voldoende zijn. Ik zou het dus niet uitgebreider of gecompliceerder maken dan deze twee officiële bronnen.

[Riesjart1974]

Metzie schreef op zondag 8 september 2019 @ 15:37:
[...]


CISM staat ook op mijn to-do. Na wat research op Reddit ben ik er achter dat het ISACA of All-in-one boek plus de officiële vragendatabase ruim voldoende zijn. Ik zou het dus niet uitgebreider of gecompliceerder maken dan deze twee officiële bronnen.

Dat idee had ik ook, inderdaad. Dan ga ik het daar mee proberen en de 4-daagse examentraining.
Toch weer 32 CPE-puntjes voor de CISSP en CEH certificering. 😉

Zal mij benieuwen, hopelijk niet teveel wollige theorie. Meer technische trainingen, zoals CISSP, liggen mij een stuk beter (en vind ik ook wel leuker).

[mehmet-ali_can]

Heb een vraag mag je tijdens de OSCP examen PDF cursus of lab van pwk gebruiken of nakijken?

[Grim]

mehmet-ali_can schreef op dinsdag 10 september 2019 @ 20:25:
Heb een vraag mag je tijdens de OSCP examen PDF cursus of lab van pwk gebruiken of nakijken?

Ja, je mag zelfs Google gebruiken en andere notities die je genomen hebt. Zolang als je niet je problemen gaat voorleggen aan een ander persoon die het dan voor je oplost is het goed.

PS: Ik heb zelf de cursus (& examen) nog niet gedaan maar mijn antwoord komt voort uit het lezen van voorbereidingen/reviews en spreken met mensen die het examen wel reeds (succesvol) hebben afgelegd.

[Liegebeest]

Grim heeft gelijk Sowieso hebben OffSec een duidelijke examen-handleiding op hun site staan.

Basically: je mag alle bronnen gebruiken, zolang je maar geen anderen om hulp vraagt of walkthroughs gaat gebruiken. Ik heb tijdens mijn examen nog on-the-spot dingen zitten leren van Fuzzy Security Toegegeven, ik deed't examen toen ze nog niet met screensharing de hele tijd met je mee zaten te kijken.

[ Voor 30% gewijzigd door Liegebeest op 11-09-2019 23:08 ]

[Boudewijn]

Neuh maar behalve metasploit (die mag beperkt) gebruiken mag alles.

offtopic:
als je dit al moet vragen wordt oscp wel een harde leerschool

[Ingegno]

Zo, mag er ook aan beginnen: OSCP.

Nauwelijks ervaring met pentesten tot aan afgelopen twee weken. Deed voornamelijk infra (Linux/Windows/network) en scripten (Python, Bash) daar waar nodig. Werkgever wilt me een beetje die kant opduwen (pentesten wordt een dingetje straks). Benieuwd of de studielast net zo erg is als de CCNP of RHCSA oid.

[Liegebeest]

Mmm... Als ik terugdenk is het zwaarder dan RHCSA, vooral omdat je eerst een heel boekwerk met cursus en huiswerk doorloopt en pas daarna losgaat op 50+ servers in het lab. En dat moet je proberen in krappe labtijd te stampen, tenzij je dus verlengingen bijkoopt.

Ik heb d'r indertijd slim omheen gespeeld, omdat ik de classroom versie van de PWK cursus had gedaan. Daar kreeg je de Kali cursus VM, waar ook de nodige kwetsbare apps op staan die in het lesboek worden gebruikt. Zo kon ik dus 95% van de huiswerkopdrachten doen, zonder de labtijd überhaupt te starten.

Al met al... Ik heb de PWK classroom in December gedaan en in Mei er op ben ik voor m'n OSCP geslaagd. Één maand besteed aan het herhalen van het lesboek en doen van het huiswerk en m'n drie maanden labtijd volledig gebruikt voor het aanvallen van de labs.

Linksom of rechtsom: heel veel plezier gewenst!

[photofreak]

OSCP is wel uitdagend, maar dat komt vooral omdat je tijdig een verscheidenheid aan machines moet kunnen openbreken. Dat onder de knie krijgen kost tijd, maar met voldoende oefening is het te doen. Alle oefeningen uit het boek maken en 90% van de labmachines openen was voor mij genoeg oefening.

De stof zelf is overigens niet bijzonder moeilijk en bestaat vooral uit het toepassen van bekende technieken.

Nog twee tips:

• Het is handig om gelijk het pakket met 90 dagen labtijd te nemen. Die tijd heb je waarschijnlijk wel nodig als je geen ervaring hebt met pentesten.
• Probeer het gebruik van Meterpreter en exploits in het lab te beperken. Is allemaal super handig, maar niet altijd even leerzaam.

[ Voor 3% gewijzigd door photofreak op 14-09-2019 16:09 ]

[azerty]

Voor diegenen die nog een paar boeken nodig hebben: https://www.humblebundle....ity-certification-2-books

[EricdePeerik]

azerty schreef op dinsdag 17 september 2019 @ 02:28:
Voor diegenen die nog een paar boeken nodig hebben: https://www.humblebundle....ity-certification-2-books

Handig. Binnenkort starten met CompTIA Security+, dus dit komt goed van pas. Rekening kan naar de baas.

[Liegebeest]

Network+ en/of CCNA voor mij De MCSA boeken zijn ook mooi, hoewel ik de MS Press boeken al in huis had. Maar in dat opzicht komen de oefenvragen weer mooi van pas.

[mehmet-ali_can]

Als ik 90 dagen labs koopt begint die dadelijk of niet?
Gaat dat niet eerst cursus en video studeren daarna labs 90 dagen starten?

[Liegebeest]

EDIT: Fout, zie onder voor het juiste antwoord.

[ Voor 83% gewijzigd door Liegebeest op 19-09-2019 23:10 ]

[photofreak]

Q: "When does my lab time start?"
A: "The lab time will begin on your course starting date at the same time that you receive your course materials."
--
Q: "Can I receive my course materials early?"
A: "It is not possible to receive the course materials prior to your course start date as our courses have been designed to be worked through in the labs as you progress through the materials."

Source: https://www.offensive-security.com/faq/

[ Voor 10% gewijzigd door photofreak op 19-09-2019 21:21 ]

[Arend_Akelig]

Welk boek raden jullie aan om aan de zelfstudie voor CISM te beginnen?

[Metzie]

Arend_Akelig schreef op donderdag 26 september 2019 @ 16:38:
Welk boek raden jullie aan om aan de zelfstudie voor CISM te beginnen?

Volgens mij zijn er maar twee boeken. Het officiele boek van ISACA of de All-in-one versie. Het ISACA boek heeft op Amazon een gemiddeld cijfer van 2,5 ster ten opzichte van het All-in-one dat 4,5 ster heeft. Ik heb zelf het All-in-one boek liggen, maar nog niet mee gestart, ka er inhoudelijk nog niks over zeggen.

Maar ik denk dat de online ISACA QAE database het meest hulpvaardig is om je voor te bereiden op het examen.

[Arend_Akelig]

Metzie schreef op donderdag 26 september 2019 @ 23:46:
[...]


Volgens mij zijn er maar twee boeken. Het officiele boek van ISACA of de All-in-one versie. Het ISACA boek heeft op Amazon een gemiddeld cijfer van 2,5 ster ten opzichte van het All-in-one dat 4,5 ster heeft. Ik heb zelf het All-in-one boek liggen, maar nog niet mee gestart, ka er inhoudelijk nog niks over zeggen.

Maar ik denk dat de online ISACA QAE database het meest hulpvaardig is om je voor te bereiden op het examen.

Dank voor je antwoord. Ik ga er van uit dat die scores redelijk betrouwbaar zijn. Ik denk dat ik maar start met het aanschaffen van het all-in-one boek.

[Anoniem: 555961]

Vraagje, welke certificering raden jullie aan voor de absolute beginner: SANS SEC504 of CEH? Kosten spelen geen rol. Het gaat meer om de vraag welke course de beste basis biedt voor pentesting/ethical hacking voor iemand die een beginner is in de security wereld (maar wel over simpele kennis beschikt en bijv. al met een paar makkelijke machines heeft gerommeld). Het gaat verder ook niet om welke van de 2 ‘beter’ op je CV staat.

[hellknight]

SEC504, zonder twijfel.
de SANS certificering zijn minder bekend bij HR, etc, maar zijn zeer goed. CEH is redelijk bekend bij HR, etc, maar staat onder security professionals zelf vrij slecht bekend

[Brainscrewer]

Ik zou SANS SEC504 ook aanraden. 2 jaar geleden ook gevolgd en maak nog regelmatig gebruik van kennis die ik tijdens de training heb opgedaan.

[Hmmbob]

+1 voor SANS boven CEH.

[Zenix]

Vanaf 11 oktober kan je registeren voor de beta van de nieuwe Comptia CySa+
https://certification.com...security-analyst#overview kost 50 euro.

Ik ga hem denk ik wel doen, voor die prijs leuk om te proberen. @Liegebeest Je Pentest+ kan je hiermee ook verlengen

[ Voor 11% gewijzigd door Zenix op 05-10-2019 14:31 ]

[Liegebeest]

Zenix schreef op zaterdag 5 oktober 2019 @ 14:27:
Vanaf 11 oktober kan je registeren voor de beta van de nieuwe Comptia CySa+
https://certification.com...security-analyst#overview kost 50 euro.

Ik ga hem denk ik wel doen, voor die prijs leuk om te proberen. @Liegebeest Je Pentest+ kan je hiermee ook verlengen

AWWYEAAHHH!

Ik zat er al op te wachten! Vol spanning steeds /r/comptia refreshen om te zien of er nieuwe beta's komen. Eens zien of ik ergens goedkope proefexamens kan vinden.

Dankje voor de tip! Ga'm meteen op kantoor delen.

EDIT:
Jawel, op Udemy zijn de cursus en proefexamens van Jason Dion in de aanbieding. $23 voor beiden samen, of $11 voor vijf proefexamens. Volgens de CompTIA Reddit is mr Dion's werk één van de betere opties. En zeker nu het in de aanbieding is (nog twee dagen).

[ Voor 17% gewijzigd door Liegebeest op 05-10-2019 15:36 ]

[Liegebeest]

hellknight schreef op donderdag 3 oktober 2019 @ 16:15:
SEC504, zonder twijfel.
de SANS certificering zijn minder bekend bij HR, etc, maar zijn zeer goed. CEH is redelijk bekend bij HR, etc, maar staat onder security professionals zelf vrij slecht bekend

Het nadeel is dat bij veel bedrijven CEH er in is gewezeld als een vereiste checkbox. Geen CEH? Niet solliciteren op de vacature.

[Liegebeest]

Drie posts achter elkaar, sorry

Ik was van de week bij de CTF van het PvIB. Oh man, het niveau was echt even een stuk pittiger dan voorgaande jaren Ik voelde me weer helemaal een newb! Best leuk!

De enige challenge waar ik echt kaas van kon maken, was het decrypten van TLS verkeer in Wireshark. Had ik nog niet eerder gedaan, dus een leuke oefening. Aanvankelijk hoopte ik dat de private key zwak genoeg was gekozen om te kraken met RsaCtfTool, op basis van het certificaat dat in de PCAP zat. Dat was al een oefeningetje op zich, leuk om verder te onderzoeken! Maar helaas, de key was sterk.

Een tip van één van de tafel-coaches was om de Subject name eens te onderzoeken. Wat blijkt? De naam SuperFish was niet als flauwigheid gekozen, maar serieus een echte instantie wiens private key was gelekt. Zie hier. En het verhaal er achter vind je hier. Het was een adware waar men fouten had gemaakt zodat de private key kon worden achterhaald.

Vanaf dat punt was't zaak om de private key met de juiste config in Wireshark te laden. Een eindje dieper in de capture kon je daarna 't http verkeer lezen en de flag vinden. Nice

[Anoniem: 555961]

Dank voor de reacties. Het interesseert mij in die zin niet zoveel wat ze er bij een HR afdeling van vinden. Ik zoek gewoon de beste training voor een beginner die verder wil komen in pentesting. Als dat SANS is dan is dat SANS, anderzijds, als dat CEH is dan is dat CEH. Dat beginners-aspect is voor mij het belangrijkst.

Als ik jullie zo hoor dan is SANS dus de betere keuze voor een beginner?

[azerty]

Anoniem: 555961 schreef op zondag 6 oktober 2019 @ 10:12:
Dank voor de reacties. Het interesseert mij in die zin niet zoveel wat ze er bij een HR afdeling van vinden. Ik zoek gewoon de beste training voor een beginner die verder wil komen in pentesting. Als dat SANS is dan is dat SANS, anderzijds, als dat CEH is dan is dat CEH. Dat beginners-aspect is voor mij het belangrijkst.

Als ik jullie zo hoor dan is SANS dus de betere keuze voor een beginner?

Mijn traject (maar wel met wat voorkennis) was eerst CEH, dan GPEN. Het niveauverschil tussen de twee was aanzienlijk...

Als er geen budgettaire limieten zijn, en je geeft geen bal om HR, doe dan de SANS cursussen (SEC504, SEC560, ...)

[Anoniem: 555961]

azerty schreef op zondag 6 oktober 2019 @ 10:22:
[...]


Mijn traject (maar wel met wat voorkennis) was eerst CEH, dan GPEN. Het niveauverschil tussen de twee was aanzienlijk...

Als er geen budgettaire limieten zijn, en je geeft geen bal om HR, doe dan de SANS cursussen (SEC504, SEC560, ...)

Thanks, ik was bang dat SEC504 misschien iets minder entry-level was dan CEH, maar als ik jullie zo hoor dan is dat dus niet aan de orde?

[Zenix]

ik zou helemaal geen SANS of EC-Council doen als je echt entry wil gaan doen. Comptia security+ is daar het meest geschikt voor.

Daarna kan je CySa+ en Pentest+ gaan doen. Vervolgens kan je richting de OSCP gaan. Het leuke is, al deze examens van Comptia gecombineerd kosten net zoveel als CEH. Met OSCP erbij ben je nog minder kwijt dan SANS504.

[ Voor 9% gewijzigd door Zenix op 06-10-2019 11:26 ]

[Squ1zZy]

Anoniem: 555961 schreef op zondag 6 oktober 2019 @ 10:12:
Dank voor de reacties. Het interesseert mij in die zin niet zoveel wat ze er bij een HR afdeling van vinden. Ik zoek gewoon de beste training voor een beginner die verder wil komen in pentesting. Als dat SANS is dan is dat SANS, anderzijds, als dat CEH is dan is dat CEH. Dat beginners-aspect is voor mij het belangrijkst.

Als ik jullie zo hoor dan is SANS dus de betere keuze voor een beginner?

Het ligt er ook aan waar je solliciteert denk ik. Ik werk bij een security bedrijf en daar weet de recruiter best welke certificaten ze naar moet kijken.

En het blijft lastig. Iemand met OSCP kan ook geholpen zijn. Nu wat lastiger omdat er meegekeken wordt, maar dan nog kan er hulp worden ingeschakeld (weglopen en iemand bellen die het examen al heeft behaald om tips te vragen bijvoorbeeld).

Daarom vind ik ISC2 wel ok. Daar is “vals spelen” moeilijk. Echter was CISSP een paar jaar terug nog een open boek examen. Geen idee wat ik daar van moet vinden.

Als een bedrijf waarde hecht aan CEH dan neem ik het bedrijf sowieso al niet serieus.

[Anoniem: 555961]

Zenix schreef op zondag 6 oktober 2019 @ 11:25:
ik zou helemaal geen SANS of EC-Council doen als je echt entry wil gaan doen. Comptia security+ is daar het meest geschikt voor.

Daarna kan je CySa+ en Pentest+ gaan doen. Vervolgens kan je richting de OSCP gaan. Het leuke is, al deze examens van Comptia gecombineerd kosten net zoveel als CEH. Met OSCP erbij ben je nog minder kwijt dan SANS504.

Ik ben op dit moment ook bezig met mijn CISSP (verplicht voor werkgever), dus het lijkt mij in die zin overbodig om voor Security+ te gaan. Ik zoek echt een pentesting/ethical hecking training/certificering om mij voor te bereiden op dat vakgebied. Vandaar de keuze tussen SEC504 en CEH.

Iemand die misschien ook een ervaring kan delen over SEC504, hoe beginners-proof de training is?

Nogmaals bedankt voor alle ervaringen tot nog toe, erg waardevol!

[Zenix]

Anoniem: 555961 schreef op zondag 6 oktober 2019 @ 13:04:
[...]


Ik ben op dit moment ook bezig met mijn CISSP (verplicht voor werkgever), dus het lijkt mij in die zin overbodig om voor Security+ te gaan. Ik zoek echt een pentesting/ethical hecking training/certificering om mij voor te bereiden op dat vakgebied. Vandaar de keuze tussen SEC504 en CEH.

Iemand die misschien ook een ervaring kan delen over SEC504, hoe beginners-proof de training is?

Nogmaals bedankt voor alle ervaringen tot nog toe, erg waardevol!

Pentest+ is beter dan CEH. De ervaring van Liegebeest zegt eigelijk alles: https://www.kilala.nl/index.php?id=2423 Ik heb toen het beta examen ook gedaan, maar niet gehaald. Terwijl ik CEH wel zou kunnen halen.

Hoe het tegenover SEC504 staat is mij niet duidelijk. Ik zou CEH totaal niet overwegen.

Wat je ook nog kan overwegen is eLearnsecurity eJPT (entry) en vervolgens eCPPT. Een stuk praktischer dan alle andere opties.

[ Voor 19% gewijzigd door Zenix op 06-10-2019 13:18 ]

[Liegebeest]

Squ1zZy schreef op zondag 6 oktober 2019 @ 12:37:
[...]
Daarom vind ik ISC2 wel ok. Daar is “vals spelen” moeilijk. Echter was CISSP een paar jaar terug nog een open boek examen. Geen idee wat ik daar van moet vinden.

Dude what? In welk jaar deed jij je CISSP?

Ik heb'm elf jaar geleden gehaald en daar werd als een havik op de examinanten gelet. No way dat je daar ooit iets mee mocht nemen dat niet leek op een flesje water of een boterham. En die mocht zelfs niet naar je tafeltje.

Aangaande je ontwikkelingspad en bang-for-the-buck: het hangt er vanaf hoe erg beginner jij bent.

Toen ik begon heb ik wel degelijk CEH gedaan, waar ik aan de ene kant wat heb opgepikt en aan de andere kant kwam veel bekend voor. Als het je niet specifiek om de certificatie gaat (HR checkboxes zijn veel geld waard!) kan je inderdaad beter kijken naar eLearnSecurity. Die bieden vergelijkbare materialen voor minder geld.

Pentest+ van CompTIA vond ik zelf niet slecht, maar die gaat er van uit dat je ook werkelijk het eea al in praktijk hebt gebracht. Je vindt er hier in NL sowieso geen cursussen voor, dus je moet op eigen houtje aan de bak.

Na CEH ben ik, koppig als ik ben, PWK (Pen-testing with Kali Linux) gaan doen, de training die leidt tot het OSCP examen. Je kan kiezen uit de online variant versus de klaslokaal versie. Online is heel erg goede value for money, maar je moet op eigen houtje goed hard doorbuffellen. De classroom versie is bijna net zo duur als een SANS training, maar is het wel goed waard! Superleuk en uitdagend.

Voor SEC504 enz kan je overwegen om te solliciteren voor het SANS Work/Study programma. Dat scheelt je enorm veel geld en is een super-ervaring! Je kan kijken wanneer SEC504 in NL wordt gehouden om dan te solliciteren voor die datum. Zenix linkte net al naar m'n blog; als je daar zoekt naar "facilitator" dan vind je mijn ervaringen met het SANS W/S programma.

TLDR:
* Helemaal een beginner? CEH of eLearnSecurity.
* Al wat ervaring en formaliseren? OffSec PWK of SANS SEC504.
* Eerst oefenen voordat je dat doet? Huur labtijd bij PenTester Academy, of doe gratis veel Hack The Box.

[ Voor 61% gewijzigd door Liegebeest op 06-10-2019 15:57 ]

[Squ1zZy]

Liegebeest schreef op zondag 6 oktober 2019 @ 15:44:
[...]

Dude what? In welk jaar deed jij je CISSP?

Ik heb'm elf jaar geleden gehaald en daar werd als een havik op de examinanten gelet. No way dat je daar ooit iets mee mocht nemen dat niet leek op een flesje water of een boterham. En die mocht zelfs niet naar je tafeltje.

Aangaande je ontwikkelingspad en bang-for-the-buck: het hangt er vanaf hoe erg beginner jij bent.

Toen ik begon heb ik wel degelijk CEH gedaan, waar ik aan de ene kant wat heb opgepikt en aan de andere kant kwam veel bekend voor. Als het je niet specifiek om de certificatie gaat (HR checkboxes zijn veel geld waard!) kan je inderdaad beter kijken naar eLearnSecurity. Die bieden vergelijkbare materialen voor minder geld.

Pentest+ van CompTIA vond ik zelf niet slecht, maar die gaat er van uit dat je ook werkelijk het eea al in praktijk hebt gebracht. Je vindt er hier in NL sowieso geen cursussen voor, dus je moet op eigen houtje aan de bak.

Na CEH ben ik, koppig als ik ben, PWK (Pen-testing with Kali Linux) gaan doen, de training die leidt tot het OSCP examen. Je kan kiezen uit de online variant versus de klaslokaal versie. Online is heel erg goede value for money, maar je moet op eigen houtje goed hard doorbuffellen. De classroom versie is bijna net zo duur als een SANS training, maar is het wel goed waard! Superleuk en uitdagend.

Voor SEC504 enz kan je overwegen om te solliciteren voor het SANS Work/Study programma. Dat scheelt je enorm veel geld en is een super-ervaring! Je kan kijken wanneer SEC504 in NL wordt gehouden om dan te solliciteren voor die datum. Zenix linkte net al naar m'n blog; als je daar zoekt naar "facilitator" dan vind je mijn ervaringen met het SANS W/S programma.

TLDR:
* Helemaal een beginner? CEH of eLearnSecurity.
* Al wat ervaring en formaliseren? OffSec PWK of SANS SEC504.
* Eerst oefenen voordat je dat doet? Huur labtijd bij PenTester Academy, of doe gratis veel Hack The Box.

Noem je mij oud?

[Liegebeest]

Squ1zZy schreef op zondag 6 oktober 2019 @ 16:04:
[...]

Noem je mij oud?

Dat hangt er vanaf Volgens mij schelen jij en ik niet zo veel, en ik wordt er steeds vaker aan herinnerd dat ik oud word.

Sprekend van! We hebben het nu wel steeds over cursussen en certs zoals OSCP, CEH, GPEN, GCIH enz enz, maar we gaan aan één ding voorbij. Als pen-tester ben je nergens als je niets weet van je doelwit. Dus naast het feit dat je leuke "trainingen voor hacken" kan volgen is het onontbeerlijk om ook Windows en Linux goed te leren kennen. En op zijn minst Bash, Powershell en Python.

En als je webapps wilt gaan pen-testen dan merk ik dat ik zelf tekort kom tegenwoordig door geen Javascript te kennen. Bovendien is het handig om ook moderne frameworks als Node.js en Angular te leren.

Dus als je echt pennen wilt testen? Leer zo veel mogelijk over je doelwit!

[Zenix]

@Liegebeest De CySA+ 001 en 002 verschillen wel duidelijk. Je kan bij Comptia de objectives downloaden. Deels kan je het oude materiaal gebruiken, maar aanvullend kan je ook materiaal gebruiken van CCNA Cyber Ops.

Naast kennis van OS en scripting is ook netwerk kennis belangrijk. Bij een aantal bedrijven waar ik ben geweest kon ik zo het netwerk plat leggen. Basis dingen zoals port-security, bpdu-protection of DHCP snooping waren dan niet actief. Daarnaast is het ook wel handig als je kennis hebt van 802.1x en RADIUS voor als je in een omgeving komt met een NAC zoals Cisco ISE of Aruba ClearPass.

[ Voor 4% gewijzigd door Zenix op 07-10-2019 20:05 ]

[Liegebeest]

Zenix schreef op maandag 7 oktober 2019 @ 20:03:
@Liegebeest De CySA+ 001 en 002 verschillen wel duidelijk. Je kan bij Comptia de objectives downloaden. Deels kan je het oude materiaal gebruiken, maar aanvullend kan je ook materiaal gebruiken van CCNA Cyber Ops.

Oh wow! Goed dat je het zegt! Ik had nog helemaal niet gekeken naar de objectives!

Sowieso doe ik doe beta's vaak voor de lol, kijken hoe ver ik kom. Niet dat ik er met de pet naar gooi natuurlijk, dus ik ga je raad goed inzetten!

[paella]

Ik kom heel ver bij het boeken van CySA+ 002 maar bij "submit order" heeft ie een "unexpected problem" fout. Nou begint morgen de registratie pas officieel, dus ik ga er van uit dat het morgen goed gaat.

[Son Gohan]

paella schreef op donderdag 10 oktober 2019 @ 20:01:
Ik kom heel ver bij het boeken van CySA+ 002 maar bij "submit order" heeft ie een "unexpected problem" fout. Nou begint morgen de registratie pas officieel, dus ik ga er van uit dat het morgen goed gaat.

Weet jij toevallig of het geld kost om je in te schrijven voor de Beta-exams voor CompTIA CySA+?

[Liegebeest]

Son Gohan schreef op donderdag 10 oktober 2019 @ 20:23:
[...]


Weet jij toevallig of het geld kost om je in te schrijven voor de Beta-exams voor CompTIA CySA+?

$50. In plaats van de normale $350.

[paella]

Ik kreeg direct 45 euro te zien, geen omzetting (klopt wel ongeveer dus).

[Liegebeest]

Wat me trouwens opvalt heh? Ik ben aan't voorbereiden voor dat Attacking AD examen van PenTester Academy. Veel van de tools die daar worden gebruikt en aanbevolen lijken qua development alweer stilgevallen. PowerView en PowerUp waren al een tijd geleden ingelijfd in PowerSploit, maar geen van allen is sinds 2016 nog aangeraakt. Zelfs Empire is stil gevallen en "no longer supported".

Mis ik iets? Zijn er modernere vervangers? Is het wel goed zo?

Zelfs Mimikatz is al redelijk 'long in the tooth' en Delphy is een tijd geleden al begonnen aan Kekeo.

[ Voor 16% gewijzigd door Liegebeest op 10-10-2019 21:09 ]

[Brainscrewer]

Mimikatz en soortgelijken maken natuurlijk misbruik van kwetsbaarheden in het protocol zelf. Volgens mij zijn die kwetsbaarheden zo fundamenteel dat er niet zo snel wat aan gaat veranderen. Daarnast zijn tools als PowerSploit en Empire redelijk 'proven technology', maar de precieze redenen waarom er geen verdere ontwikkeling is weet ik ook niet.

Er zijn nog wel een aantal alternatieven: https://github.com/cobbr/Covenant, https://github.com/FactionC2/Faction, https://github.com/its-a-feature/Apfell