:strip_icc():strip_exif()/u/882001/crop58973e18831a9_cropped.jpeg?f=community)
:strip_icc():strip_exif()/u/85246/alterbirdgeblackbirdsmall.jpg?f=community)
/u/365254/crop62e2919a741c0.png?f=community)
:strip_icc():strip_exif()/u/16677/crop5db01361a1e1e_cropped.jpeg?f=community)
Asustor AS6704T (32GB, 4x16TB MG08), OpenWrt (3x GL.iNet Flint 2 MT6000), Lyrion Media Server, Odroid H2/N2+/C4/C2, DS918+ (4x8TB WD RED)
:strip_icc():strip_exif()/u/27034/worm.jpg?f=community)
:strip_icc():strip_exif()/u/449308/autowp_ru_scania_logo_60.jpg?f=community){kind=logo}
:strip_icc():strip_exif()/u/640302/crop5b07dc428c775_cropped.jpeg?f=community)
Jups. Ik heb allebei.
Inmiddels weeral 5/6 jaar geleden behaald (eerste 2 certificaten toen ik net van het HBO afkwam).
Ik heb implementer bij BSI klassikaal gedaan. Goede docent maar je wordt wel heel erg de stof van het examen doorgeloodst. Laatste middag was het thema iets rondom brainstormen ofzo. Heel maf.
PECB Lead auditor een papieren cursus aangeschaft met examenvoucher. 4 dagen a 150 slides door mogen beuken die in een enorme ringmap zaten. Examen bestond uit casussen en duurde 3 uur geloof ik.
Ik denk dat je vooral praktische ervaring nodig hebt met beiden: dus maak een audit eens mee en voer zelf interne audits eens uit en begrijp de fundamenten van een HLS-managementsysteem. Dat helpt wel enorm vind ik. Vond het vanuit de cursussen allemaal wel heel theoretisch en groots. Terwijl een ISMS ook heel praktisch en efficient kan worden ingericht. Maar daar zit juist de toegevoegde waarde van de adviseur denk ik
edit:
Allebei laten verlopen. Nooit audit-uren aangetoond/ingediend. BSI LI was meer een aanwezigheidspapiertje. Maargoed, ben wel iets
[ Voor 4% gewijzigd door Stufferdt op 13-02-2025 13:08 ]
I don't know what happened, but it sure don't add up on paper And as long as she lets me, I'll take her wherever she wants me to take her
/u/528703/crop565b8adf732d6_cropped.png?f=community)
1x Venus-E v151 +LilyGo HA, CT003 V114 | 5040Wp ZO + 4200Wp NW | Tibber, 3x25A, Easee Charge Lite | EV 98kWh
:strip_icc():strip_exif()/u/49556/Liegebeest-small.jpg?f=community)
:strip_icc():strip_exif()/u/34345/crop604df19f86683.jpg?f=community)
1x Venus-E v151 +LilyGo HA, CT003 V114 | 5040Wp ZO + 4200Wp NW | Tibber, 3x25A, Easee Charge Lite | EV 98kWh
/u/643723/crop604c784b0c334_cropped.png?f=community)
Ik ben momenteel halverwege het stof en het boek. Dus 7/10 op de vragen die ik tot nu toe heb gemaakt. Goede tip om inderdaad de fouten nogmaals goed te bestuderen.
Iemand geen tips voor youtube filmpjes of proefexamen vragen apps?
:strip_exif()/u/108168/koebjieste21.gif?f=community)
:strip_exif()/u/16793/metal.gif?f=community)
Vandaag mijn CySA+ gehaald, nadat ik vorige maand Security+ heb gehaald (en ook nog MS SC-900 tussendoor)
Toch efficient gebruik gemaakt van een periode tussen opdrachten in.
Vooral gebruik gemaakt van CBT Nuggets, al merkte ik met de bijgevoegde proefexamens van Kaplan dat de lesstof van CBT zeker niet de volledige lading dekt. Dat was bij CySA+ nog meer dan bij Security+.
En nu... komt er weer een nieuwe opdracht aan. Maar ik verwacht dat ik BTL1 ga doen.
Toch efficient gebruik gemaakt van een periode tussen opdrachten in.
Vooral gebruik gemaakt van CBT Nuggets, al merkte ik met de bijgevoegde proefexamens van Kaplan dat de lesstof van CBT zeker niet de volledige lading dekt. Dat was bij CySA+ nog meer dan bij Security+.
En nu... komt er weer een nieuwe opdracht aan. Maar ik verwacht dat ik BTL1 ga doen.
[ Voor 0% gewijzigd door Hennie-M op 19-02-2025 15:18 . Reden: CS-900 was een typo ]
Dankje voor het delen! Ik kwam juist hierheen om'm te delen, dus tof dat ie d'r al was
Liege, liege, liegebeest!
/u/770583/crop6570c40105420_cropped.png?f=community)
:strip_icc():strip_exif()/u/941141/crop59592e599236b_cropped.jpeg?f=community)
Yup. Alle ISO270001 certificeringen moet je elke drie jaar verlengen, net als veel andere security certs.
Qua het volgen van een cursus: er zijn meer aanbieders op de markt. Ik heb mijn ISO27001 LI gedaan bij TSTC in Veenendaal, dat was vier dagen achter elkaar en dan kon je op Vrijdag meteen het examen doen als je wilde.
De cursus bij Security Academy doen heeft mogelijk een voordeel: het is vaak één dag per week. Dat geeft je tijd om nog wat huiswerk / leeswerk / onderzoek te doen. Nadeel is dat je dus ook gewoon langer bezig bent.
Wat voor leerkracht je krijgt is afhankelijk van wie er voor die club beschikbaar zijn. Ik ben zelf vaker cursist geweest bij TSTC (beviel goed) en ben betrokken als leerkracht bij Security Academy (bevalt ook goed). Dus, snuffel rond, vraag nog wat meer ervaringen.
Liege, liege, liegebeest!
:strip_icc():strip_exif()/u/345834/crop659102bd4439a_cropped.jpg?f=community)
:strip_icc():strip_exif()/u/722/crop577cf817e1f9e_cropped.jpeg?f=community)
Godallemachtig, wat een desillusie. 
Ik heb vanochtend om 04:00 de handdoek in de ring gegooid, na achttien uren OSCP+. Zeven jaar geleden deed ik m'n OSCP en slaagde ik binnen dertien uur, en nu had ik pas 20 van de 100 punten. Zoals ik op m'n blog schrijf: "This ain't your (grand)mother's OSCP!"... dit was ff andere koek, het is fiks pittiger dan voorheen.
https://www.kilala.nl/index.php?id=2634
Ik heb vanochtend om 04:00 de handdoek in de ring gegooid, na achttien uren OSCP+. Zeven jaar geleden deed ik m'n OSCP en slaagde ik binnen dertien uur, en nu had ik pas 20 van de 100 punten. Zoals ik op m'n blog schrijf: "This ain't your (grand)mother's OSCP!"... dit was ff andere koek, het is fiks pittiger dan voorheen.
https://www.kilala.nl/index.php?id=2634
Liege, liege, liegebeest!
Je website lijkt bij mij niet te willen laden of echt Heeeel erg langzaam:
Godallemachtig, wat een desillusie.
Ik heb vanochtend om 04:00 de handdoek in de ring gegooid, na achttien uren OSCP+. Zeven jaar geleden deed ik m'n OSCP en slaagde ik binnen dertien uur, en nu had ik pas 20 van de 100 punten. Zoals ik op m'n blog schrijf: "This ain't your (grand)mother's OSCP!"... dit was ff andere koek, het is fiks pittiger dan voorheen.
https://www.kilala.nl/index.php?id=2634
Wordt je ouderwets ge-slash-dot?
Maar vervelend dat je het niet gehaald hebt, ben benieuwd naar je blog!
Edit2: Ik heb je blog nu gelezen. Ik heb waardering voor je openheid! Je ziet waar je kan en moet verbeteren en dus gaat het de volgende keer beter! Heb jij een deadline opgelegd gekregen of ben je zelf te vroeg gestart met het examen?
edit: Vanaf mijn telefoon via 5g werkt het inderdaad supersnel. Via Odido fiber voor geen meter. rond de 100ms latency en 31% packetdrops. Andere destinations hebben er geen last van. Maar ik ga dit topic verder niet kapen. Het zal vast wel een peering issue van Odido richting je hosting zijn.
[ Voor 32% gewijzigd door Hennie-M op 26-04-2025 12:28 ]
Euh, bij mij doet ie't gewoon goed en snel. Maar wel goed dat je me herinnert een backup te maken; dat is te lang geleden en dat stukje zelfbouw CMS zal een echte hack/pentest niet weerstaan.
Liege, liege, liegebeest!
Niet leuk om te horen! Ik heb t/m januari toegang tot alles en heb dus nog even de tijd gelukkig. Hoop te doen nog wel, veel oefenen. Wat ga jij nu doen?:
Godallemachtig, wat een desillusie.
Ik heb vanochtend om 04:00 de handdoek in de ring gegooid, na achttien uren OSCP+. Zeven jaar geleden deed ik m'n OSCP en slaagde ik binnen dertien uur, en nu had ik pas 20 van de 100 punten. Zoals ik op m'n blog schrijf: "This ain't your (grand)mother's OSCP!"... dit was ff andere koek, het is fiks pittiger dan voorheen.
https://www.kilala.nl/index.php?id=2634
No production networks were harmed during this posting
Als de donder toch mijn examen-verslag schrijven. Ik ging dat eerst niet doen, maar dat is dom: dan laat ik een kans op feedback liggen, waar ik al voor heb betaald!
Dus...
- Rapport schrijven en inleveren
- Volgende week drie dagen lesgeven
- Herpakken en een plan bedenken voor de rest van het jaar
- Waarschijnlijk de rest van het jaar: CPTS studie path, daarna HTB Labs en mogelijk OffSec Labs.
- Hopelijk voor het eind van het jaar CPTS examen.
EDIT:
Vier uur later, 35 pagina's aan rapport (excl. appendices) ingediend. Wat een boekwerk, stel je voor dat ik meer succes had gehad in de labs!
[ Voor 8% gewijzigd door Liegebeest op 26-04-2025 17:04 ]
Liege, liege, liegebeest!
Wat fijn dat je jouw ervaringen deelt voor iedereen die geïnteresseerd is. In je blog schrijf je dat je het prettig vindt om feedback te krijgen op je rapport. Uit mijn ervaring blijkt echter dat Offsec geen inhoudelijke feedback geeft—je ontvangt alleen een e-mail met de uitslag.:
Godallemachtig, wat een desillusie.
Ik heb vanochtend om 04:00 de handdoek in de ring gegooid, na achttien uren OSCP+. Zeven jaar geleden deed ik m'n OSCP en slaagde ik binnen dertien uur, en nu had ik pas 20 van de 100 punten. Zoals ik op m'n blog schrijf: "This ain't your (grand)mother's OSCP!"... dit was ff andere koek, het is fiks pittiger dan voorheen.
https://www.kilala.nl/index.php?id=2634
Ik ken veel collega’s die dagelijks vergelijkbaar werk doen, maar toch moeite hebben met het examen en meerdere pogingen nodig hebben. Sommigen slagen er zelfs helemaal niet in om het te halen. Ik wil ook niet generaliseren. Voor iedereen is het ook weer anders.
Pardon my dutch
:strip_icc():strip_exif()/u/26315/bleh.jpg?f=community)
"Leuk" om te lezen @Liegebeest interessant om te zien wat voor impact het heeft als je er even een tijdje uit bent inderdaad. Was lang geleden dat ik je blog voorbij heb zien komen. Houd er wel rekening mee dat OSCP (zoals je weet) een typisch examen is waarbij teveel kennis je enorm dwars kan zitten. Ik had een collega die jaren succesvol pentesting deed voor grote organisaties maar toch 7x gezakt is voor zijn OSCP omdat hij gewoon te vaak het "Rabbithole" syndroom had omdat hij gewoon te veel wist.
Bij OSCP is het echt de kunst om je tot de lesstof te beperken en dat goed te kunnen toepassen in verschillende situaties.
Daarnaast ik hoor hele goede dingen over CPTS maar de stof is op sommige vlakken minder en op sommige vlakken meer als de OSCP stof, dus ook hier is kennis beperking de kunst ( wel super benieuwd wat je ervan gaat vinden.
35 Pagina's maar:
[...]
Vier uur later, 35 pagina's aan rapport (excl. appendices) ingediend. Wat een boekwerk, stel je voor dat ik meer succes had gehad in de labs!
Slacker 
"Allow me to shatter your delusions of grandeur."
/u/33916/crop5d4d5b00c4c16_cropped.png?f=community)
Ai balen man! Wat was de reden dat je opnieuw OSCP bent gaan doen? Je OSCP is altijd geldig, of heb je de wens/vraag om OSCP+ gecertificeerd te blijven?:
Godallemachtig, wat een desillusie.
Ik heb vanochtend om 04:00 de handdoek in de ring gegooid, na achttien uren OSCP+. Zeven jaar geleden deed ik m'n OSCP en slaagde ik binnen dertien uur, en nu had ik pas 20 van de 100 punten. Zoals ik op m'n blog schrijf: "This ain't your (grand)mother's OSCP!"... dit was ff andere koek, het is fiks pittiger dan voorheen.
https://www.kilala.nl/index.php?id=2634
Ik heb in 2023 mijn OSCP gehaald, vlak voordat ze OSCP+ aankondigde. Ik kon toen voor een 'klein' bedrag opnieuw OSCP+ examen doen, maar ik vond dat het niet waard, ik ben niet van plan om die + bij te houden. (Dat doe ik wel door veel te pentesten)
Ik vond OSCP best meevallen, maar misschien heb ik gewoon veel geluk gehad met een makkelijke set ofzo? Ik heb in de voorbereiding het offsec materiaal doorgenomen (inclusief training bij TSTC) en de 3(2?) test-examenlabs gedaan die je van offsec krijgt. Tijdens het examen was het wel even puzzelen, maar uiteindelijk alle machines kunnen rooten. Heb ook nog 6 uurtjes geslapen, al was dat wel nadat ik al 80 punten had, daardoor lukte het wel om m'n ogen dicht te doen
Verder had ik nog niet veel ervaring met pentesten, wel veel windows ervaring omdat ik jaren systeembeheerder was, maar voor wat betreft het hacken was CEH mijn enige ervaring.
Dankjewel, voor je suggesties en je geruststellende woorden.
Ik ben nu bezig met de CPTS learning path. Hoopte die af te hebben voordat ik OSCP+ ging doen, maar dat is niet gelukt; ik kreeg Februari en Maart echt ff een knauw waardoor ik echt even niet goed kon studeren.
Ik vind hun cursusmateriaal best goed en de labs uitstekend. Beter dan wat ik vroeger met OffSec had.
Voor 20 van de 100 punten. Ass.35 Pagina's maar
Maar nee... Ik ben blij dat ik het rapport heb geschreven en heb ingeleverd. Ik was alleen teleurgesteld over de "feedback" van OffSec. Die was duidelijk niet geschreven door een persoon, maar met een template bij elkaar geklikt... Geen enkele inhoudelijke feedback.
Liege, liege, liegebeest!
Voor de lol, om eerlijk te zijn.!
En omdat ik mezelf iets wilde bewijzen... wat niet is gelukt.
Ik ben idd OSCP gecertificeerd en die is inderdaad oneindig geldig. Maar omdat ik pentesten er al jaren "bij doe" vind ik dat ik eigenlijk "geen echte pentester" ben. En dus wilde ik mezelf uitdagen, kijken of het me ging lukken, kijken waar m'n zwakke plekken zitten.
Liege, liege, liegebeest!
Even een snarf&barf van m'n LinkedIn en Reddit:
CertNexus CSC-210 has been on the DoD 8140 list for a while, for positions requiring secure coding skills. The certification itself isn't very well known, it was recently reviewed on r/cybersecurity by u/7alen7 here -> https://www.reddit.com/r/...xam_discussion/?rdt=62757
CertNexus are working on the successor to CSC-210, called CSSD-110: Cyber Secure Software Developer. They're opening the public beta-test of the exam per May 1st. Anyone can apply, they'll want you to write a little about why you want to do the beta. As far as I know it'll be a free exam
Info and beta application here -> https://certnexus.com/cyber-secure-software-developer/
Liege, liege, liegebeest!
@Liegebeest Kan het zijn dat je RSS feed het al een tijd niet werkt?
No production networks were harmed during this posting
Dat zou zomaar kunnen...
Is dat een nette hint dat ik daar datalek?
Ik ga eens kijken.EDIT:
Ah, gelukkig niet... maar idd, de scripting er achter werkt niet meer goed. Dat moest ik maar eens fixen, bedankt voor de bug report!
[ Voor 20% gewijzigd door Liegebeest op 02-05-2025 11:29 ]
Liege, liege, liegebeest!
Inderdaad nee, geen datalek oid. Maar ik lees vaak met interesse de artikelen en realiseerde met de laatste link die je hier postte dat ik m niet in mijn rss feed langs heb zien komen.:
[...]
Is dat een nette hint dat ik daar datalek?
No production networks were harmed during this posting
:strip_icc():strip_exif()/u/2121012/crop66a0a04286cd6_cropped.jpg?f=community)
:strip_icc():strip_exif()/u/322227/crop5cc0dfd3bbef2_cropped.jpeg?f=community)
:strip_icc():strip_exif()/u/8430/logo.jpg?f=community){kind=logo}
@BytePhantomX Ik heb jouw bericht even geknipt omdat je onbedoeld nog meer aandacht op het probleem vestigt.
@Ecablynx Uit jouw bericht heb ik de functie verwijderd aangezien BytePhantomX je er op wijst dat je geacht wordt die informatie niet bekend te maken.
@Ecablynx Uit jouw bericht heb ik de functie verwijderd aangezien BytePhantomX je er op wijst dat je geacht wordt die informatie niet bekend te maken.
NIST SP800-31 rev 1. Dit is echt super taaie kost, maar zo ontzettend waardevol. Het is in ieder geval voor mij de leidraad voor het uitvoeren van risk assessments in het cybersecurity vakgebied. https://csrc.nist.gov/pubs/sp/800/30/r1/final. Als je een beetje er doorheen komt en het toepasbaar maakt voor jouw organisatie, dan is het ontzettend praktisch en gestructureerd en veel beter dan een generieke kans x impact aanpak. In dit plaatje zit die generieke kans x impact ook, alleen dan verwerkt in het blokje 'adverse impact'.
:strip_exif()/f/image/mERLZxO1bnTbS5xTDQr1n9sc.png?f=user_large)
Ik zou echter niet weten waar dit in een cursus verwerkt is en dan ook nog in het Nederlands.
(Ben overigens benieuwd naar andere of ze deze kennen, gebruiken of wat van vinden)
[ Voor 9% gewijzigd door BytePhantomX op 22-05-2025 16:32 ]
:strip_icc():strip_exif()/u/828703/crop580600bbc69e6_cropped.jpeg?f=community)
Ik gebruik dit niet specifiek, maar in de praktijk verschilt het niet veel van een klassieke kans x impact-benadering verrijkt met een cyclische aanpak (die organisaties vaak al hebben via een PDCA-cycle). Het idee is eigenlijk hetzelfde, alleen voeg je er meer ‘meetbare’ variabelen aan toe om de analyse te verrijken en een cyclisch proces voor riskmanagement (vaak ook al geborgd in andere processen). Als je dit concept in het extreme wilt zien, kijk dan eens naar IRAM2. Ik heb daar jaren geleden een risicoanalyse mee gedaan. Het werkt echt fantastisch, mits je alle variabelen goed en concreet kunt kwantificeren. Maar zodra bepaalde variabelen vaag blijven, wordt het al snel overkill.
Mijn ervaring is dat het zelden zinvol is om verder te gaan dan de basis van kans x impact, eventueel aangevuld met een paar relevante (risk) variabelen die ik als consultant inbreng. Vaak is de organisatie simpelweg nog niet volwassen genoeg om op dat niveau iets te doen met de uitkomsten en sluit een simpelere variant goed aan bij een enterprise breed risk management beleid. In de meeste gevallen is een simpele kans x impact-analyse, gecombineerd met de bestaande controls, een prima vertrekpunt om mee aan de slag te gaan. Dat gezegd hebbende: als je wél die extra diepgang kunt realiseren, dan begint riskmanagement pas echt interessant te worden en dan wordt het eigenlijk pas leuk
Goed verdienmodel zo'n beta. Ze hebben max 300 plekken.
If participants would like additional exam prep, they will be able to purchase an AAISM Certification Questions, Answers, and Explanations Database (QAE) for an additional $199. Purchase of this product is not required to participate in the beta.
Approved volunteers must purchase the beta exam for US $399.
Toch weer 400/600 dollar per tester.
Ik zou opzich wel geintereseerd zijn in de QAE. Het certificaat is voor mij minder relevant en zou ook niet helemaal recht doen aan mijn (beperkte) kennis van AI.
Ontopic vraag:
Iemand nog een leuke cursus/online training/mooi startpunt voor OSINT? (of moet ik dit sowieso maar zelf uitzoeken gezien het onderwerp
).
I don't know what happened, but it sure don't add up on paper And as long as she lets me, I'll take her wherever she wants me to take her
Je zou eens kunnen kijken naar TCM Security. Die bieden een aantal cursussen waaronder OSINT fundamentals voor een hele betaalbare prijs (volgens mij nu 15 euries per maand?).:
[...]
Ontopic vraag:
Iemand nog een leuke cursus/online training/mooi startpunt voor OSINT? (of moet ik dit sowieso maar zelf uitzoeken gezien het onderwerp
Voordat ik mijn OSCP haalde ben ik bij TCM door een aantal van die cursussen gevlogen. Goede stof en duidelijk uitgelegd. Je moet dan wel van filmpjes houden.
Zolang ze niet AI generated zijn, is dat vaak best prettig.
PDSO en anderen maakten aanvankelijk filmpjes waarin de trainer zelf alles nog insprak en je'm vaak in beeld zag. Dat is prettig. PDSO is daarna overgestapt naar wel de slides maken, maar een voice-over laten maken met AI. Ik snap waarom, dan is het maken van aanpassingen tussentijds veel gemakkelijker. Zij blijven echter volhouden dat ze een voice actor hadden ingehuurd.
Maar het allerergste zijn de YouTube kanalen waarbij ze AI gebruiken voor de slides, de stem en voor het gezicht dat je ziet praten.
Liege, liege, liegebeest!
:strip_icc():strip_exif()/u/345166/korn.jpg?f=community)
Ik weet het wil alleen een keer mijn ervaring vanuit technische security engineer verifieren met een "goede" ciso. Helaas nog geen ervaring met een goede ciso gehad. Ik wil vooral erg diep en de hele scope dichtbouwen met een cis control. Bijvoorbeeld rbac ja je kan je safeguard completen door te zeggen ik heb mijn admin roles met rbac gebouwd. Ik gooi het op segmentatie van je admin accounts en het hele functie huis. Maar sparren zou ook kunnen inderdaad. Ik gooi hem wel een keer in de cybermeister groep
Stuur gerust een DM, ik weet niet of ik een goede CISO ben, maar ik ben nog nooit ontslagen bij de banken en fintechs waar ik bij heb gewerkt:
[...]
Ik weet het wil alleen een keer mijn ervaring vanuit technische security engineer verifieren met een "goede" ciso. Helaas nog geen ervaring met een goede ciso gehad. Ik wil vooral erg diep en de hele scope dichtbouwen met een cis control. Bijvoorbeeld rbac ja je kan je safeguard completen door te zeggen ik heb mijn admin roles met rbac gebouwd. Ik gooi het op segmentatie van je admin accounts en het hele functie huis. Maar sparren zou ook kunnen inderdaad. Ik gooi hem wel een keer in de cybermeister groep
. Zonder verder iets van je context te weten, is een risico assessment een perfect hulpmiddel om dit te identificeren. Organisatiebreed, of elke andere scope pakkende, kun je een assessment uitvoeren en maatregelen identificeren om risico’s te mitigeren, koppelend aan CIS controls.
Bij dit soort discussie rijst bij mij altijd de vraag, waarom implementeer je een control? Is dat voor een vinkje van de auditor, of wil je daadwerkelijk risico's mitigeren. En in dat laatste geval, wat is dan het risico. Van genoeg actoren is prima beschreven wat ze precies doen (https://attack.mitre.org/) en dan kun je dus ook de CIS control naast de aanvalstechnieken leggen om te kijken of die control wel van invloed is op de dreiging die je wilt mitigeren. Er zijn volgens mij ook meerdere mappings tussen CIS controls en MITRE.:
[...]
Ik weet het wil alleen een keer mijn ervaring vanuit technische security engineer verifieren met een "goede" ciso. Helaas nog geen ervaring met een goede ciso gehad. Ik wil vooral erg diep en de hele scope dichtbouwen met een cis control. Bijvoorbeeld rbac ja je kan je safeguard completen door te zeggen ik heb mijn admin roles met rbac gebouwd. Ik gooi het op segmentatie van je admin accounts en het hele functie huis. Maar sparren zou ook kunnen inderdaad. Ik gooi hem wel een keer in de cybermeister groep
Zomaar alle CIS controls (tot het extreme) implementeren is natuurlijk heel veilig, maar past het wel bij de context van het bedrijf en de dreiging die er is. Voorbeeld: network access control is en hele krachtige control om fysieke toegang tot je netwerk te controleren. Echter wel duur en complex en m.i. geen prio als je belangrijkste dreiging komt van Ransomware aanvallen. En is spionage een belangrijke dreiging, dan zou ik weer geen genoegen nemen met de CIS controls. Dan moet je veel verder gaan in je maatregelen.
Ps waar ik met CIS overigens echt heel veel moeite mee heb is de nummering. Het lijkt voor sommigen een volgordelijkheid te zijn, alsin eerst control 1 helemaal doen voor je naar control 2 gaat. En als je dat doet, komen de meeste bedrijven niet toe aan control 2, laat staan nummer 3.
Ik weet dat het niet zo bedoeld is, maar te vaak gezien dat er op die manier naar de controls werd gekeken.
[ Voor 14% gewijzigd door BytePhantomX op 21-06-2025 11:02 ]
Goede tip! Thanks. Dit ziet er wel nuttig uit. Ik ga eens kijken of ik een abbonementje kan declareren
I don't know what happened, but it sure don't add up on paper And as long as she lets me, I'll take her wherever she wants me to take her
Ditto.... Gefeliciteerd!
Dus volgens CompTIA zou ik de cursus nu ook weer namens hen mogen geven.
Doe ik niet, maar goed... Wel tijd om mijn slides te gaan updaten voor de volgende Linux-groep.
Liege, liege, liegebeest!
Vandaag het CISM-examen gehaald, nog geen score bekend – alleen de binaire melding “geslaagd”.
Ik deel mijn ervaring hier, omdat ik hier ook veel gelurkt heb, misschien heeft iemand wat aan mijn tips.
Geen van de vragen verraste me qua nieuwe terminologie.
Soms voelde het meer als een begrijpend lezen toets dan een cybersecurity-examen. Engels is zoals voor de meesten hier ook niet mijn moedertaal, dus ik moest elke vraag minstens drie keer goed lezen.
Korte achtergrond over mij:
10 jaar ervaring in netwerken (defensie, off-shore)
15 jaar in forensisch onderzoek overheid
(Behaalde eerder certificeringen:) CISSP, GCFE, GCFA, CCNA (2x), CEH (2x), ICMDE, MCSE (2000–2003–2008–2012), VCP en nog wat andere certificeringen die ik vergeten ben – zowel de inhoud als de afkortingen
Gebruikte bronnen:
Pete Zerger's YouTube-serie
Sterk aanbevolen. Ik luisterde hiernaar tijdens andere bezigheden (sportschool, verhuizen) op normale snelheid en later nog een keer op 1,5x snelheid met meer focus zonder andere activiteten.
Ik heb ook zijn “Last Mile”-boek gekocht, voornamelijk om hem te steunen. Het boek is een uitgebreidere versie van zijn PowerPoints, maar zeker nuttig – ik heb het globaal doorgenomen de laatste week.
PocketPrep –
Slechts $21 per maand, absoluut de moeite waard. Richt zich meer op de harde feiten dan strategische vraagstelling en
Ik begon met een gemiddelde van ongeveer 70% en zat rond de 85% op het moment van het examen.
Sybex Study Guide – CISM Certified Information Security Manager Study Guide
Ongeveer 40% gelezen. Ik vond dit eigenlijk te diepgaand voor het echte examen.
Een last-minute bron die ik zeker kan aanraden is Sean Henna van Nemstar
(Ook goed om je Iers accent bij te schaven 😉)
Hij focust vooral op examentechnieken. Zoals ik al zei: het is bijna net zo veel een Engelse taaltoets als een cybersecurity-examen.
Dankzij hem herkende ik een aantal strikvragen) in het examen – lastige vragen die je op het verkeerde been proberen te zetten (al zal ik er vast nog een paar gemist hebben).
QAE heb ik niet gebruikt vanwege de prijs.
Vergelijking met CISSP:
Mijn CISSP bleek ik al in 2015 heb behaald (ik word oud... en sponsor sindsdien ISC2). Sommige onderdelen kwamen me bekend voor (zoals het berekenen van ALE), maar het technische gedeelte is bij CISM meer conceptueel.
Bijvoorbeeld: het verschil tussen een firewall en een router begrijpen, in plaats van te weten wat de block size van AES is.
Next up : OSCP, dat zou wel eens een stuk taaier kunnen worden
Ik deel mijn ervaring hier, omdat ik hier ook veel gelurkt heb, misschien heeft iemand wat aan mijn tips.
Geen van de vragen verraste me qua nieuwe terminologie.
Soms voelde het meer als een begrijpend lezen toets dan een cybersecurity-examen. Engels is zoals voor de meesten hier ook niet mijn moedertaal, dus ik moest elke vraag minstens drie keer goed lezen.
Korte achtergrond over mij:
10 jaar ervaring in netwerken (defensie, off-shore)
15 jaar in forensisch onderzoek overheid
(Behaalde eerder certificeringen:) CISSP, GCFE, GCFA, CCNA (2x), CEH (2x), ICMDE, MCSE (2000–2003–2008–2012), VCP en nog wat andere certificeringen die ik vergeten ben – zowel de inhoud als de afkortingen
Gebruikte bronnen:
Pete Zerger's YouTube-serie
Sterk aanbevolen. Ik luisterde hiernaar tijdens andere bezigheden (sportschool, verhuizen) op normale snelheid en later nog een keer op 1,5x snelheid met meer focus zonder andere activiteten.
Ik heb ook zijn “Last Mile”-boek gekocht, voornamelijk om hem te steunen. Het boek is een uitgebreidere versie van zijn PowerPoints, maar zeker nuttig – ik heb het globaal doorgenomen de laatste week.
PocketPrep –
Slechts $21 per maand, absoluut de moeite waard. Richt zich meer op de harde feiten dan strategische vraagstelling en
Ik begon met een gemiddelde van ongeveer 70% en zat rond de 85% op het moment van het examen.
Sybex Study Guide – CISM Certified Information Security Manager Study Guide
Ongeveer 40% gelezen. Ik vond dit eigenlijk te diepgaand voor het echte examen.
Een last-minute bron die ik zeker kan aanraden is Sean Henna van Nemstar
(Ook goed om je Iers accent bij te schaven 😉)
Hij focust vooral op examentechnieken. Zoals ik al zei: het is bijna net zo veel een Engelse taaltoets als een cybersecurity-examen.
Dankzij hem herkende ik een aantal strikvragen) in het examen – lastige vragen die je op het verkeerde been proberen te zetten (al zal ik er vast nog een paar gemist hebben).
QAE heb ik niet gebruikt vanwege de prijs.
Vergelijking met CISSP:
Mijn CISSP bleek ik al in 2015 heb behaald (ik word oud... en sponsor sindsdien ISC2). Sommige onderdelen kwamen me bekend voor (zoals het berekenen van ALE), maar het technische gedeelte is bij CISM meer conceptueel.
Bijvoorbeeld: het verschil tussen een firewall en een router begrijpen, in plaats van te weten wat de block size van AES is.
Next up : OSCP, dat zou wel eens een stuk taaier kunnen worden
Ik wil hier nog op graag op ingaan omdat ik hier ook nog altijd een beetje naar op zoek ben. TCM en SANS zijn al genoemd.:
[...]
Ontopic vraag:
Iemand nog een leuke cursus/online training/mooi startpunt voor OSINT? (of moet ik dit sowieso maar zelf uitzoeken gezien het onderwerp
De volgende trainingen heb ik ervaring mee.
Basel Institute LEARN - Open Source Intelligence
Training zit er goed in elkaar maar is een vrij korte e-learning. Leuk als introductie.
Open Source Intelligence Professional (OSIP)
Deze vond ik wel sterk, zeer uitgebreid en met een praktijkexamen. Examen is erg Amerikaans georiënteerd maar leuk te doen. Van (de club van) OSINT-OG Michael Bazzell.
Hiernaast is er nog de McAfee institute certificering, maar daar hoor ik geen goede verhalen over.
Hier een leuke recente reddit post over McAfee institue certificering
Ik wil echte OSINT-specialisten niet tekort doen, maar ik ben nog altijd zoekende naar wat OSINT nou precies is. (ik ben zelf nota bene OSINT-trainer)
En bedoel ik niet de definitie, maar ik twijfel er soms aan of het, afgezien van de specialisten, een eigen tak van sport is.
Ik denk dat iemand die ervaring heeft met gestructureerd werken, data uit verschillende bronnen kan correleren en digitaal vaardig is, eigenlijk al een goede OSINT-er is. De trucs komen en gaan, maar deze bestanddelen blijven.
Met de intelligence cycle ben ik bekend en ook het verschil tussen OSINT als een product en als een proces zien.
Maar eigenlijk ken ik voornamelijk OSINT-ers die met kladblok/obsidian werken in VM's op een laptop zonder oog voor OPSEC.
Geo-locaten is knap en spreekt tot de verbeelding, maar dit is niet in heel veel praktijksituaties van belang.
Facebook graph werkte vroeger, nu zijn er weer een andere methode voor socials. Hoe je dit vastlegt en correleert is belangrijk, maar hoe toets je dit af?
Ik zou eigenlijk niet zo goed weten wat je op een examen zou moeten vragen, ik vind de praktijkopdrachten zoals TCM en OSIP wel sterk.
Ik sta open voor ander certificeringsopties / meningen
[ Voor 3% gewijzigd door OM602 op 21-07-2025 11:12 ]
En ik heb 'm vandaag gedaan (laatste dag dat het kon). Inderdaad goed, maar het is niet een hele advanced certification. Weet eigenlijk wel zeker dat ik het gehaald heb.
No production networks were harmed during this posting
Klopt het is echt de fundamentals voor ontwikkelaars die nog nooit echt hebben nagedacht over de beveiliging van hun eigen producten. En dat zijn er helaas nog veel te veel.:
[...]
En ik heb 'm vandaag gedaan (laatste dag dat het kon). Inderdaad goed, maar het is niet een hele advanced certification. Weet eigenlijk wel zeker dat ik het gehaald heb.
Liege, liege, liegebeest!