Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie
Toon posts:

IT Security Certificeringen

Pagina: 1
Acties:

  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter

Certificering

Inleiding
De laatste jaren is security steeds zichtbaarder geworden in de IT wereld. Recent zijn er na master information security opleidingen ook bachelor trajecten opgericht. Niet iedereen heeft de tijd of middelen om zo'n opleiding te volgen. Of misschien wil men zich in een bepaalde richting specialiseren. Hiervoor zijn gelukkig veel certificerings trajecten te vinden.

In dit topic zou ik graag informatie, ervaringen, tips, etc uitwisselen over in de topicstart genoemde certificeringen. Op verzoek kan deze aangevuld worden met andere certificeringen. In heb geprobeerd om ze te groeperen en er alleen certificeringen in op te nemen welke in Nederland afgelegd kunnen worden.

Examens kunnen via VUE/Prometric gereserveerd worden. Sommige certificeringen zoals bijvoorbeeld CEH en CISSP hebben nog wel zaken van de werkgever nodig omtrent werkervaring.

In dit topic graag geen discussie over het nut / waarde van certificeringen. Een combinatie van werkervaring en certificering is het meest wenselijk. Mochten er boeken of software besproken worden dan is dat geen probleem. Het grijze gebied zoals pass4sure en aanverwanten dienen NIET besproken te worden.


IT Security (breed)
Inleiding
Trajecten onder deze kop behandelen veel verschillende gebieden van de informatiebeveiliging.

NaamOpleider
ISF: Information Security FoundationExin
NISA: Network and Internet Security AdvancedExin
Security+Comptia
NSA: Network Security AdministratorECCouncil
SSCP: Systems Security Certified PractitionerISC2
CISSP: Certified Information Systems Security ProfessionalISC2



Pentesting/Ehtical Hacking
Inleiding
Trajecten onder deze kop behandelen offensive security, het zogenaamde penetration testing en ethical hacking.

NaamOpleider
CEH: Certified Ethical HackerECCouncil
CSA: Certified Security AnalystECCouncil
LPI: Licensed Penetration TesterECCouncil
CPTS: Certified Pentesting SpecialistMile2
CPTE: Certified Pentesting ExpertMile2
eLearnSecurity Certified Professional Penetration TestereLearn Security
Offensive Security Wireless ProfessionalOffensive Security
Offensive Security Certified ProfessionalOffensive Security
Offensive Security Certified ExpertOffensive Security



Computer Forensics
Inleiding
Trajecten onder deze kop behandelen computer forensics. Zie voor meer informatie ook: IT Forensics

NaamOpleider
CHFI: Computer Hacking Forensic InvestigatorECCouncil
CCE: Certified Computer ExaminarISFCE



Risk assessment / Compliance / Management
Inleiding
Trajecten onder deze kop behandelen uiteenlopende zaken welke allen voornamelijk een meer strategisch en tactisch niveau spelen dan uitvoerend.

NaamOpleider
CISM: Certified Information Security ManagerISACA
CISA: Certified Information Systems AuditorISACA
ISMA: Information Security Management AdvancedExin
ISME: Information Security Management ExpertExin


En dan..
Verder heb je nog mogelijkheden om jezelf te certificeren op andere gebieden.

Mocht je interesse hebben om jezelf te certificeren op het gebied van Linux, Unix, etc dan is Het grote NOS certificeringtopic topic wellicht een goeie plek om informatie in te winnen.

Voor zaken op Cisco gebied kun je kijken bij [Cisco]Certificaten, ervaringen & discussies

Wil je liever meer met Microsoft doen ga dan naar [Microsoft Certified] Ervaringen en discussies - Deel 9



Slot
Ik hoop dat dit topic kan helpen bij het informeren en behalen van certificaten. Mochten er zaken missen of verkeerd staan in de topicstart dan hoor ik dat graag via een DM.


Edit 1 nov 2008: verwijzing in de startpost naar het forensics topic aangemaakt.
Edit 21 maart 2009: CCE toegevoegd.
Edit: 29 december 2009: overige certificerings trajecten toegevoegd
Edit: 20 jan 2010: EC-Council links fixed (iisschots bedankt voor het melden!)

sh4d0wman wijzigde deze reactie 13-09-2012 17:26 (13%)
Reden: Nieuwe links gemaakt

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Ik ben net als Jay-Jay ook bezig om te kijken voor een goede pen testing course. Het voordeel van Offensive Security is dat het examen bestaat uit het daadwerkelijk penetreren van 5 geprepareerde hosts binnen 24 uur. Dit is wel even wat anders dan meerkeuze vragen.
Als ik CEH objectives door kijk zie ik voornamelijk een hele sloot tooltjes voorbij komen. Ik vraag mij af hoe nuttig dit traject is en ben benieuwd of iemand hier ervaring mee heeft.

Security+
Omdat ik echter nog helemaal geen certificeringen heb op gebied van security begin ik echter met Comptia Security+. Hier heb ik inmiddels de Comptia kit van besteld van Amazon. Zodra deze binnen is zal ik het beoordelen. In de tussentijd heb ik gebruik gemaakt van:
- MSSecurity+ Training Kit
- Sybex Security+ Study Guide 2003

De MS kit gaat dieper op de stof in dan de Sybex guide. De nieuwe kit die ik besteld heb is in 2008 gepubliceerd dus ik ben benieuwd op welke punten het afwijkt. Het examen is nog steeds SY01 maar zal volgend jaar vervangen worden. Mijn examen probeer ik in oktober te plannen.
Iemand die wat examen ervaring kan posten? Komen die overeen met de testvragen in de boeken? Daar scoor ik over het algemeen wel vrij goed op.

Voor volgend jaar staat SSCP in de planning. Deze omdat ik nog niet aan de vereiste werkervaring van CISSP voldoe.

sh4d0wman wijzigde deze reactie 25-07-2008 12:57 (5%)

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Ja meerdere boeken zijn inderdaad aan te raden heb ik al gemerkt. CBT nuggets en soortgelijke video's vind ik voor Security+ niet noodzakelijk. Allemaal redelijk basic, met wat stampwerk moeten de zaken die ik wat minder goed ken wel blijven zitten denk ik :)

SSCP zal ik inderdaad even de data van checken en heeft inderdaad ook aardige overlap.

Voor CEH heb ik inmiddels al diverse boeken en video's binnen maar ik weet nog niet wat ik er precies van moet vinden.
CPTS en Offensive Security zijn bijna binnen, dan zal ik deze eens onderling vergelijken. Mile2 wordt in Nederland overigens ook aangeboden via New Horizons.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
@ hierboven: zoals in de TS aangegeven graag geen discussie over het nut van certificaten. Zoals we allemaal weten is praktijk ervaring heel belangrijk en zijn certificaten leuk om binnen te komen danwel aan klaten te kunnen laten zien.

Wat betreft CEH, volg de link en je weet de inhoud ;)

Wat voor cursus heb je bij Madison gedaan? Voor mij beheren ze onze firewall. Ben daar nog niet heel tevreden over.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Die heb ik ook wel eens bekeken en ik vermoed dat ze ook goed staan aangeschreven. Het probleem is dat ze moeilijk / niet in Nederland zijn af te leggen. Daarom heb ik zie niet in mijn startpost opgenomen. Ervaringen van personen die het wel hebben afgelegd zijn natuurlijk altijd welkom :)

Omdat ik in dit topic zie dat de voorkeur naar pentesting uitgaat bij de meeste personen hierbij nog een kleine tip. Abonneer je op de pentesting mailling list: http://www.securityfocus.com/archive
Je steekt er aardig wat van op, alhoewel er soms ook wel wat n00b vragen langs komen ;)

Is er nog interesse in een topic over IT Security boeken? Bjvoorbeeld werk van Bruce Schneier of Kevin Mitnick. Boeken gericht op de certificeringen kunnen wel in dit topic besproken worden.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Schopje, ik het gisteren het Comptia Security+ examen afgelegd. Ik ben gelukkig geslaagd :P Wel zaten er diverse zaken tussen die ik niet in de studieboeken tegen ben gekomen maar gelukkig wel wist omdat ik uit interesse al veel met beveiliging en pentesting bezig ben. Kan tricky zijn voor nieuwkomers en het zou me dan ook niet verbazen dat men de eerste maal zakt.

Nu eens kijken wat mijn volgende examen gaat worden, ik twijfel tussen CHFI en CEH. Forensics is toch ook wel erg leuk...
Volgend jaar in ieder geval Offensive Security maar daar moet ik even een rustige periode voor zien te vinden aangezien die erg pittig is/lijkt...

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Ik probeer binnenkort eens wat tijd vrij te maken om alles te updaten. Bij Exin zijn namelijk ook diverse nieuwe examens verschenen.

CEH kun je trouwens door zelfstudie doen, je hebt wel een werkgeversverklaring oid nodig. In ieder geval een speciaal formulier wat op hun site staat :P

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Hoi naamgenoot ;) Zie voor meer info IT Security Certificeringen

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
quote:
Jay-Jay schreef op zondag 22 maart 2009 @ 13:18:
Ben wel momenteel zelf bijna begonnen aan de OSCP van Offensive Security. Ik ben het al lang aan het zeggen, maar deze zomer wil ik hem toch echt wel eindelijk eens halen.
Wellicht is de capture the flag van LAMP (Linux, Apache, MySQL, PHP) nog leuk als een kleine voorbereider. Zie: http://lampsecurity.org/capture-the-flag-4
Je kunt een image downloaden en deze aanvallen, vervolgens de pdf downloaden en checken welke lekken je wel en niet gevonden hebt. Zal er binnenkort eens naar kijken.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
SSCP is inderdaad lichter. Een persoonlijke reden om voor SSCP te kiezen zou zijn dat je daar minder jaren werkervaring in de informatie beveiliging voor nodig hebt. Heb je de benodigde ervaring dan zou ik zeker voor CISSP kiezen aangezien dat een stuk bekender is.

wegens een nieuwe baan nog niet aan een complete update van de startpost toegekomen. ooit gaat dat wel gebeuren...

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Helaas geen antwoorden voor je maar wel een vraag. :P

Heb je het V6 examen van CEH afgelegd? zo ja, wat heb je gebruikt ter voorbereiding en wat was de indruk van het examen? Zelf ben ik ook van plan om deze over een paar maanden te doen. Voor komende maand 2 Exin examens geboekt: Information Security Foundation based on ISO/IEC 27002 en ITILv2, daarna waarschijnlijk CEH en weer verder met Cisco.

edit: ik had een post van jou over het hoofd gezien

edit2: in eerste instantie zelfstudie maar aangezien ik emigreer wellicht studie, de cursuskosten zijn daar wellicht iets gunstiger :P

sh4d0wman wijzigde deze reactie 13-01-2010 13:33 (20%)

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Ik heb vandaag bij Exin examen gedaan en ben geslaagd voor Information Security Foundation (ISF). Hiermee de short-track Network and Internet Security based on ISO/IEC 27002 volbracht.

Binnenkort ga ik beginnen met CEH (misschien eerst nog ICND2 tussendoor) doormiddel van zelfstudie. Heb diverse guides liggen en ook een trainingsvideo voor versie 6. Verder maar even mijn virtuele labje aanslingeren.

Mocht iemand nog nuttige tips hebben dan hoor ik die graag ;)

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Hier een discussie: http://www.ethicalhacker..../Itemid,54/topic,8549.15/
Het snelste is wellicht even mailen met ECCouncil.

Weet je overigens zeker dat je CEH wil doen? Het heeft namelijk geen beste naam binnen de security wereld, alleen HR schijnt het leuk te vinden. Ik ben begonnen aan de Offensive Security trainingen. Een andere optie zou eLearnSecurity kunnen zijn.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Dan zou ik CCNA Security doen, die is vrij makkelijk te halen met je huidige kennis. Ik denk dat je daar echter wel vrij snel doorheen bent dus wellicht daarna nog CCNP als het je leuk lijkt (of een deel van de modules).

Voor OSCP heb je inderdaad aardig veel vrije tijd nodig. OSWP zou je nog wel kunnen doen, studie belasting is niet al te zwaar en het examen is "maar" 4 uur + rapportage tijd. Succes!

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Mocht je niet voor CCNA Sec. gaan dan moet je eens kijken naar eLearnSecurity, eCPPT. Dit zit een beetje tussen CEH en OSCP niveau in. Het voordeel is dat je labtime per uur kan afnemen (of per fixed aantal dagen). Het examen moet je binnen 120 dagen afnemen. Dit examen is minder spectaculair dan OSCP. Je download bij eCPPT een vulnerable image, deze moet je onderzoeken op zwakheden en vervolgens dien je een rapportage op te sturen.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Voor mij persoonlijk richt ik me op een carriere als penetration tester. Hierbij is het van belang om (basis)kennis van veel verschillende zaken te hebben. Omdat je de kennis toch al op doet is het een kleine stap om dit in een certificaat om te zetten, iets wat klanten altijd leuk vinden om te zien.

Mijn studieplan is gericht op een mix van de zaken die mij interesseren (OSCP/OSCE) en certificaten die voor een werkgever belangrijk zijn (CISSP). Het voordeel van Cisco certificering is dat je deze makkelijk kan vernieuwen, CCNP is dan ook een meer jaren project. Tevens ligt het netwerkdeel mij ook meer dan operating systems. Windows en Linux zal ik niet snel aan beginnen aangezien dit te kostbaar wordt.

General Security/Theoretisch: Comptia Security+, CISSP
Defensive Security: CCNA Security, CCNP (voor NAC, firewall en IDS kennis)
Basis Netwerkkennis: CCNA
Offensive Security: OWSP, OSCP, OSCE (voornamelijk vanwege de mentale uitdaging, verder om aan te tonen dat ik de technische vaardigheden heb om een pentest uit te voeren)

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Ik heb geen ervaring met cursussen maar als zelfstudie ook geen probleem is kun je kijken naar Exin cursussen of Comptia Security+. Voordeel van deze laatste is dat het certificaat internationaal bekend is. Eventueel zou je het kleine broertje van CISSP kunnen doen, SSCP.

Securityacademy komt meestal wel goed uit recensies. ENSA en b.v CEH zou ik pas doen na een solide theoretische basis zoals bovengenoemde cursussen je geven. Verder moet je uiteraard ook kijken welk gebied binnen infosec het meest relevant en interessant is voor jezelf en je dagelijkse werkzaamheden.

Door de jaren heen heb ik vanalles op beveiligingsgebied gedaan en de keuze gemaakt om me op de offensieve kant te richten, pen testing en exploit development.

@fcoppens: volgens mij zijn er binnen Windows geen security tracks meer en zit het door de normale stof heen verweven.

sh4d0wman wijzigde deze reactie 23-01-2013 02:47 (7%)

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Je leeftijd gaat je echt nog niet in de weg zitten hoor ;) Imho moet een goede security expert ook beheer-ervaring hebben. Hierdoor kun je vaak beter advies geven over het verhelpen van kwetsbaarheden en tevens weet je uit eigen ervaring waar zwakheden kunnen zitten. Ik denk dat als je straks de nodige kennis bezit je wel gaat denken "oh shit, op die manier kon men ook bij mijn omgeving inbreken..."

Ik heb zelf een vergelijkbare achtergrond als jou. Na verloop van tijd kwamen er meer security gerelateerde taken in mijn pakket maar dat was voornamelijk defensief. Mijn hart ligt in het offensieve deel, ethical hacking / pentesting / exploit development.

Kijk welke richting je op wilt en probeer vervolgens certificaten in die richting te halen. CISSP is bijna een must maar heeft wel eisen aan werkervaring. Heb je die niet dan zal je CISSP Associate worden. Dat geeft in ieder geval wel aan dat je motivatie hebt.

Het technische deel zal je moeten leren door veel lezen, prutsen in een lab en niet snel op te geven. CEH ben ik zal geen fan van, ik zou dan eerder tijd in CISSP stoppen.

Wil je pentesting doen dan kan ik je eCPPT aanraden (van eLearnsecurity). Hierna OSCP (van Offensive Security) en je hebt een erg solide basis. Beide examens zijn compleet hands-on en mijn inziens dus waardevoller dan CEH. Het is leuk als je allemaal multiplechoice vragen kan beantwoorden maar dit zegt weinig over je technische vaardigheden.

Verder zou ik je aanraden om de diverse hackme challenges (b.v. damnvulnerablelinux, DeICE, etc) te downloaden en deze proberen op te lossen. Indien forensics je leuk lijkt kijk dan ook zeker eens naar de KLPD challenge zolang deze nog online is.

DM me gerust mocht je specifieke vragen hebben of stel ze in dit topic.

Eigen vraagje:
Ik woon nu in het buitenland en de vraag naar security experts is hier erg laag. Hoe is de markt op dit moment voor pentesting / auditing in NL?

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Met pentration testing zoek je zwakheden in verschillend soorten systemen en test of deze ook daadwerkelijk misbruikt kunnen worden. Dit kan op veel verschillende gebieden zijn: netwerk niveau, operating systems, telefoons, SCADA, de mens (social engineering) en dus ook webapplicaties.

Wel is het zo dat men zich meestal ergens in zal specialiseren omdat je niet alles in detail kunt kennen.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Ik kwam vorig jaar nog een linkje welke waarschijnlijk wel bruikbaar is voor beginners: http://www.cs.fsu.edu/~re...iveSecurity/lectures.html

Een goede mix tussen Linux en Windows exploitation, Web, Social Engineering, Incident Response, etc. Als je alle video's kijkt dan merk je vanzelf wel wat je aanspreekt en kun je daar verder gerichte certificaten / boeken / publicaties voor opzoeken.

ps: het staat los van Offensive Security van Backtrack/Kali.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Thx, daar moet ik nog eens in duiken eigenlijk. Ik heb een tijdje terug de intro bekeken maar het duurt wel even om de commando's wat onder de knie te krijgen.

Ik vind het in ieder geval een stuk leuker dan webhacking, daar heb ik niet zo veel mee. Ieder zijn ding :P

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


Acties:
  • 0Henk 'm!

  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Wat betreft CEH, ja dat kan. Lees ook eens de FAQ door: http://www.eccouncil.org/Support/frequently-asked-questions

Geen ervaring mee, waarom zou je het graag willen behalen? Een hands-on examen vind ik persoonlijk veel waardevoller. B.v. Offensive Security van OSCP of een certificaat van eLearnSecurity.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Het ligt een beetje aan je achtergrond. Zelf heb ik met name ervaring op Windows en netwerk gebied. Voor OSCP is Linux kennis en basis scripting (bash en perl of python) wel aan te raden (op basis van het studiemateriaal wat ik ooit eens ingekeken heb). Het examen heb ik nog niet afgelegd maar wel twee van eLearnSecurity (eCPPT Silver en Gold).

Bij eCPPT is de scope vele malen kleiner dan OSCP en het studiemateriaal was duidelijk inclusief labs om te trainen. De examens waren goed te doen, zowel handmatig als via Metasploit. Bij OSCP is Metasploit gebruik tijdens het examen niet toegestaan (m.u.v. exploit creation tools zoals pattern_create etc). Ik denk dat eCPPT een goede voorbereiding is indien je nog weinig tot geen pentest ervaring hebt. Wellicht loop je anders bij OSCP vast aangezien daar minder begeleiding is.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
quote:
Boudewijn schreef op maandag 26 oktober 2015 @ 14:00:
Ik heb deze week de SANS660 gedaan, iemand interesse in mijn ervaringen? De titel van het ding is "SEC660: Advanced Penetration Testing, Exploit Writing, and Ethical Hacking" .
sh4d0wman was dit topic al weer wat vergeten. :o Mocht je wat willen posten dan zou ik het graag lezen, lijkt mij een toffe training! Ik was aan het kijken naar de verschillen tussen:
SEC660: Advanced Penetration Testing, Exploit Writing, and Ethical Hacking
SEC760: Advanced Exploit Development for Penetration Testers

Aangezien SANS te prijzig is zonder werkgever die het betaald staat OSCP bij mij op de planning.
Wellicht daarna OSCE welke enige overeenkomst lijkt te hebben met Sans660/760.

Verder kom ik met de steekwoorden uit beide trainingen en Google ook wel een eindje maar het kost veel meer tijd :X

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
@Camacha
Dat had ik niet gezien aangezien ik hier zelf ook veel minder actief ben. Misschien heeft hij een mooi aanbod gekregen zoals in Mr Robot en is hij inmiddels multi-miljonair :P

@sopsop
Als je devver bent kijk dan zeker naar CSSLP.

Ik ken je werkgever en exacte werkzaamheden verder niet dus het is lastig advies te geven. Gezien je achtergrond heb je vast wel een basis, of aardig veel ervaring, in secure coding.
Misschien leuk om de audit kant dan mee te pakken: application security testing.

Dat heeft veel weg van penetration testing en is iets wat veel bedrijven graag uitbesteden omdat het eigen personeel de skills niet heeft. Ik weet alleen niet hoe relevant dit is voor je huidige werk.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
quote:
Boudewijn schreef op woensdag 28 september 2016 @ 09:45:
[...]

Nee ben geen miljonair, lurk wel in dit topic. De 660 was aardig, maar je gaat het 2 dagen over makkelijkere dingen hebben als pxeboot en klooien met scapy, en daarna 2 dagen heel bot ROP-chaining enzo.
Hij leeft! hehe Bedankt voor de update.Ik begin binnenkort aan OSCP maar moet ook nog verhuizen dus even kijken hoe ik dat combineer omdat ik dan wellicht enige tijd zonder internet zit. Ik vond nog een goede link met informatie over OSCP dus zal dat binnenkort wel even in dit topic spammen als er behoefte aan is.

Sterkte met de management trainingen, ik mag mij wellicht binnenkort meer in compliance verdiepen. Dat is ongeveer evenveel fun :P

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
quote:
Boudewijn schreef op woensdag 6 september 2017 @ 09:53:
Ja dan moet je al die bakken wel pwnen. Hehe, ik heb er gisteravond weer een gescoord. Avondje op gekauwd, kun je gewoon met admin:admin inloggen :'). Falerd dat ik ben.
Hehe daarom kun je maar beter een goede test methodology opzetten. (ben ik toevallig mee bezig om mijn bughunting process robuuster te maken maar ook nuttig voor OSCP)

Automatiseer alles wat mogelijk is en ga dan op je gemak de output bestuderen om te kijken waar er mogelijk iets fout zit. B.v. onetwopunch om het netwerk te scannen en daarna een simpel shell-script om de open poorten per IP te parsen en daar poort-specifieke scans op uit te laten voeren (if port == 80 then wikto/burp/whatever). De grootste uitdaging is de output leesbaar te krijgen/houden.

Zodra je eenmaal op een host zit heb je de standaard enumeration scripts maar ik zou ik ook nog wat custom spul toevoegen. B.v. een scan op bestandextensie (private keys, web-related files, configs, databases) en keywords (password, login, token, debug, etc.)

Ik weet niet op je op het examen manueel naar Injections moet zoeken of een tool mag gebruiken maar anders zou ik zeker even test-strings achter de hand hebben voor CMDi en SQLi. Gebaseerd of Wfuzz of Fuzzdb of SecLists.

Werkende shellcode / webshells zijn ook fijn. Dan hoef je hooguit firewall/av, badchars of length issues te tackelen.

Ooit zal ik toch ook eens aan OSCP beginnen. :P Het voordeel is dat je weet dat er IETS vulnerable is.
Vulnerability/0-day research op real-world software vind ik nog een tandje moeilijker, je weet niet of er wat mis is.

Slightly Offtopic:
Ik ben de laatste tijd weer eens in memory corruption exploitation gedoken, de standaard stack buffer en SEH overflows ken ik wel maar ik wil meer weten. Nu door na Heap buffer overflows en /GS/DEP/ASLR mitigation bypasses. Daarna resources zien te vinden voor pointer spul (UAF, NULL, etc.)

Vraag: Iemand nog goede resources? Voornamelijk gericht op Windows en mijn doel is meer triage (herkennen van de bug) dan de eigenlijke exploitatie.

Bruikbare gratis resources:
Sulley Fuzzing Basics, Windows Stack & SEH Buffer Overflow, Shellcode Egghunters
YouTube: Stefan Molls

Veel van LiveOverflow:
YouTube: LiveOverflow

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
quote:
Thanks die ken ik. Er zitten echter nog al wat metasploit tools in. Op het examen mag dit maar beperkt gebruikt worden. Daarom zou ik daar sneller voor de scripts gaan, zoals Liegebeest aangeeft zijn daar ook verschillende voorbeelden van te vinden.

Echter voor "normaal" gebruik is het wel interessant. Mocht ik er tijd voor hebben en mee aan de slag gaan maak ik hier ook wel even een topic aan.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Note: ik zit meer in vuln/exploit dev dan pentesting dus pop calc.exe of een cmd prompt is daar meestal genoeg en een instabiele shell is geen groot probleem ...

Mijn voorkeur gaat uit naar Liegebeest: case-by-case.
Dat is ook nuttiger omdat je soms met space restricties of vreemde bad characters zit.
Op den duur leg je vanzelf een archief aan van goede web-shells / shellcode.

Tijdens een real-life pentest zou ik wel voor shells kiezen met authenticatie, anders kan iedereen en zijn moeder connecten. Voor een examen maakt dat natuurlijk weinig uit.

Voor mijn eCPPT certificering maakte ik gebruik van Metasploit en Meterpreter echter viel deze vaak uit. Daarna heb ik voornamelijk shellcode van internet geplukt, getest en gebruikt. Meestal om RDP of SSH access aan te zetten, veel stabieler ga je het niet krijgen :)
Verder nog handmatig shellcode moeten schrijven maar dat is niet mijn ding hehe.

Inspiratie: http://shell-storm.org/shellcode/

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Wat is je doel? CISA is voornamelijk op de audit kant gericht, CISM op management en CISSP meer all-round. Indien je nog weinig ervaring hebt binnen infosec dan zou ik voor CISSP gaan en daarna verder kijken wat je graag wil doen. Zit je meer aan techniek te denken dan zou ik zou ik naar hele andere certificerings trajecten gaan kijken afhankelijk van of je defensief of offensief wil werken.

Anyway, allen zijn wel met zelf-studie te halen (boeken + video's). Dat moet wel bij je passen. Anders zijn er diverse cursussen te vinden in NL (b.v. Computrain, Fox-IT en anderen). Die zijn inderdaad vrij prijzig. Een andere optie is te kijken naar Comptia Security+, dat is een tandje lager dan CISSP maar bevat opzich goede basis-kennis.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


Acties:
  • +2Henk 'm!

  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Al die vuln vm's enzo zijn leuk maar vergeet niet om ook tegen echte applicaties te testen. Bij een VM weet je dat er ergens een lek zit.

Begin bijvoorbeeld met een applicatie van exploit-db en de bijbehorende exploit. Ga daarna op zoek naar eenzelfde soort bug in een willekeurige applicatie.

Bijkomend voordeel is dat je CVE's op je cv kan zetten of een bug bounty binnen harken. Je leert dan ook gelijk bug triage (wat is de impact? root cause?), rapportage en wellicht mitigation. d:)b

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


Acties:
  • +2Henk 'm!

  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
Seco lijkt iets Nederlands / Europees dus daar zou ik minder snel voor gaan dan een internationale partij b.v. Comptia met Security+. CISSP kun je ook zonder werkervaring behalen alleen ben je dan "Associate" uit mijn hoofd.

Ik weet niet welke kennis je precies hebt en zoekt. Meestal wordt je geen CISO zonder een bepaalde basis kennis / vers vanuit de schoolbanken. Het is geen beschermde titel dus bij elk bedrijf kan de invulling anders zijn, dat maakt het moeilijk om hier advies te geven.

Security+ is een beetje de kleine broer van CISSP. Eventueel kun je CISSP aanvullen met Comptia CASP, CISM of juist iets technisch maar om die keuze te maken moet je eerst ervaring in je functie en team leden opdoen denk ik.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


Acties:
  • +1Henk 'm!

  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
@Liegebeest
Mja, als je het ooit gehaald hebt en nog van plan bent een paar keer te switchen van werkgever dan zou ik inderdaad de contributie betalen. Heb je echter al leuke werkervaring en/of een reeks CVE's / presentaties of tools op je naam staan dan zou ik het laten verlopen. Als HR daar niet doorheen kan prikken dan moet je toch al gaan twijfelen aan het kennisniveau.

Afgelopen week RE & Exploit Dev op Udemy gevolgd. Dat was goed te doen en ondanks dat het redelijk basic is toch weer wat nieuws geleerd. Nu door Zen Garden - Windows Exploit Development aan het werken. Dit is iets vlotter en minder droog dan Corelan.

Loopt hier nog iemand rond met OSCE? Ik vind het lastig een inschatting te maken van benodigde kennis.

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.


  • sh4d0wman
  • Registratie: april 2002
  • Laatst online: 15:57

sh4d0wman

Long live the King!

Topicstarter
quote:
ShadowBumble schreef op maandag 6 augustus 2018 @ 10:44:
[...]
- Penetration Testing: a Hands on introduction to Hacking
- The Hacker playbook 2
- The Hacker playbook 3

Deze werden mij aangeraden om ook in die volgorde te lezen.
Ik heb recent THPv3 gelezen en wel weer wat wijzer geworden. Wil je specifiek voor OSCP kennis opdoen bekijk dan ook wat OSCP reviews op het web. Een groot deel lijkt te focussen op goede enumeratie en documentatie.

Bedenk ook hoe je in de praktijk wil oefenen voordat je het OSCP lab in kan. B.v. vulnhub VMs in VMWare/VirtualBox of gebruik van exploit-db vulnerable software.

Hier nog een paar vids met wat recentere web-app testing kennis maar ik geloof niet dat daar veel van terug komt in OSCP. Een nuttig trucje uit onderstaande voor OSCP is mindmapping van je target. Dan kun je bijhouden wat je wil testen/getest hebt en andere nuttige zaken (credentials....). Dit geeft iets betere structuur dan een gewone txt file:
YouTube: Bug Bounty Hunting Methodology v2 - Jason Haddix from Bugcrowd's...

YouTube: LevelUp 0x02 - Bug Bounty Hunter Methodology v3

Most of all: happy hacking & try harder >:) :P

sh4d0wman wijzigde deze reactie 21-08-2018 07:24 (8%)

Being a hacker does not say what side you are on. Being a hacker means you know how things actually work and can manipulate the way things actually work for good or for harm.
Come to the dark side. We've got cookies.

Pagina: 1


Apple iPhone 11 Nintendo Switch Lite LG OLED C9 Google Pixel 4 FIFA 20 Samsung Galaxy S10 Sony PlayStation 5 Smartphones

'14 '15 '16 '17 2018

Tweakers vormt samen met Hardware Info, AutoTrack, Gaspedaal.nl, Nationale Vacaturebank, Intermediair en Independer DPG Online Services B.V.
Alle rechten voorbehouden © 1998 - 2019 Hosting door True