Overviews
Blog นี้จะเป็นการแชร์ประสบการณ์การเตรียมสอบ CREST Practitioner Security Analyst (CPSA) และวิธีใช้ OSCP คู่กับ CPSA ยื่นขอ CREST Registered Penetration Tester (CRT) นะครับ
บทความโดย
Pongsathon Sirithanyakul และ Warunyou Sunpachit
Cybersecurity Consultant
Background
จบ Computer Engineering ที่พระจอมเกล้าลาดกระบัง หลังจากนั้นมาทาง ทำงานเป็น Network Engineer ได้ CCNA มา 1 ใบ และได้ตัดสินใจย้ายสายงานมาทาง Security ทำ Pentest และได้ OSCP มา1ใบ ที่ Big Firm แห่งหนึ่ง
Introduction
หลังจากที่ผมสอบ OSCP สำเร็จแล้ว ก็ได้มองหา Certification ของค่ายอื่นๆในการสอบเพิ่ม ซึ่งที่มองไว้ก็มีหลายตัว ไม่ว่าจะเป็น CEH ของ EC-Council หรือ GPEN ของ GIAC และอื่นๆ แต่ไหนๆแล้ว เราพึ่งสอบ OSCP ได้มา อยากจะใช้ประโยชน์ทั้งจากตัวใบเซอร์ และความรู้จากที่ได้จาก OSCP ให้มากที่สุด เพราะถ้าเรามี OSCP แล้ว หากสอบ CREST CPSA ผ่าน เราจะสามารถใช้ยื่นขอ CREST CRT ได้เลย (สอบ1ได้ถึง2 สุดยอดดด) รอบนี้ผมจึงขอเลือกที่สอบของค่าย CREST ซึ่งในไทยอาจจะยังไม่ค่อยมีคนสอบและมารีวิว ว่ามันมีข้อดี ข้อเสียอย่างไรบ้าง และหากมีอาวุธเป็นความรู้ที่ได้จาก OSCP อยู่แล้ว จะต้องเตรียมอะไรเพิ่มอีก เพื่อไปพิชิต Certification ตัวนี้
What is CREST ?
CREST เป็นองค์กรที่ไม่แสวงหากำไรที่ช่วยตอบสนองความต้องการของตลาด Technical Information Security และมอบการรับรองที่เป็นที่ยอมรับในระดับสากลสำหรับองค์กรและบุคคลที่ให้บริการ Penetration Testing, Cyber Incident Response และ Threat Intelligence
Why CREST ?
- ชื่อเสียงที่ดี
เป็นที่ยอมรับและมีชื่อเสียงที่ดี โดยเฉพาะหากจะเป็น Pentester ใน UK บอกเลยว่า CREST Registered Tester (CRT) ใบเซอร์นี้มีความสำคัญเป็นอันดับแรกๆ (แต่การจะได้ CRT ก็ต้องสอบ CPSA ก่อน) สำหรับในไทย หลายคนอาจจะยังไม่ค่อยคุ้นชินกับชื่อมันมากนักถ้าเทียบกับตัวอื่นๆ เช่น CEH, OSCP, GPEN แต่ CREST CRT ก็เป็นหนึ่งในใบเซอร์ที่อยู่ใน เกณฑ์การคัดเลือกผู้ทดสอบเจาะระบบของธนาคารแห่งประเทศไทย (BOT) เหมือนกัน เรียกได้ว่า Pentester ที่จะทดสอบเจาะระบบของธนาคาร ขั้นต่ำต้องมีใบเซอร์หรือเทียบเคียงกับที่กำหนด
- ความรู้
สอบทั้งที ในข้อดีจะไม่มีความรู้ได้อย่างไร ถึงแม้ว่าการสอบนั้นอาจจะไม่ได้ลงลึกในเชิงเทคนิคคอลเหมือนกับ OSCP ที่ได้ปฏิบัติลงมือทำจริงๆ แต่ CREST CPSA หากอ่านตาม Syllabus แล้ว รับรองได้ว่าได้ความรู้พื้นฐานเกี่ยวกับ Security ไปค่อนข้างเยอะ โดยเฉพาะงานที่เป็นConsultด้วย บางครั้งแค่เราเจาะระบบได้ผลลัพท์อย่างเดียวอาจจะไม่พอ อาจจะต้องใช้ความรู้ที่เป็นเชิงทฤษฏีไว้อธิบาย, ตอบคำถามลูกค้า หรือไปประยุกต์ใช้อย่างอื่นได้ เรียกได้ว่าช่วยให้เสริมพื้นฐานของSecurityให้แน่นมากขึ้น
- ราคาน่าร้ากกก
ถ้าเทียบกับใบเซอร์ตัวอื่นๆในสาย Security แล้ว ใบเซอร์ตัวนี้ถือว่าราคาไม่แพงมาก CREST CPSA อยู่ที่ 400USD เท่านั้น ซึ่งหากต้องการทำเรื่องใช้ OSCP+CPSA เพื่อขอ CREST CRT จะมีค่าใช้จ่ายเพิ่มอีก 150USD เพราะฉะนั้นรวม2ตัวยังไม่ถึง20000
ข้อเสีย
- อายุใบเซอร์ : สำหรับ CREST CPSA มีอายุ 3 ปี ซึ่งหากขอ CRT ด้วย ก็จะมีอายุเท่ากับ CPSA ของเราที่เรามี
- การต่ออายุใบเซอร์ : การต่ออายุใบเซอร์ค่อนข้างยาก เพราะมันเหมือนการสอบใหม่นั้นแหละ โดยหลังจากหมดอายุเราจะต้องไปสอบ CREST CPSA ใหม่ และต้องสอบ OSCP ใหม่อีกรอบ เพื่อขอ CRT ใหม่ โดยจ่ายค่าสอบ OSCP เท่ากับค่าRetestของ OSCP (ไม่ต้องไปเสียค่าแลปใหม่ทั้งหมด) แต่ก็ถือว่าเป็นการต่อที่ยาก เหมือนการสอบใหม่เลย
- เน้นความจำ : อันนี้ไม่แน่ใจว่าจะเรียกว่าเป็นข้อเสียไหม แต่ข้อสอบเป็นข้อกา และอาจจะต้องใช้ความจำค่อนข้างเยอะ ไม่ว่าจะเป็นพวกชื่อเต็มของตัวย่อต่างๆ, เลขPort หรือกฏหมายที่เกี่ยวกับการเจาะระบบ ซึ่งหลายๆคนที่ถนัดเชิงเทคนิคคอลอาจจะไม่ค่อยถนัดที่มาจำสิ่งที่เราอาจจะไม่ค่อยได้ใช้
CPSA vs CRT
มาถึงตรงนี้แล้ว หลายคนอาจจะยัง งง ว่าสรุปแล้ว CREST มันคืออะไรกันแน่ จริงๆแล้ว CREST ตัวที่เราต้องการเพื่อไปใช้ในการทดสอบเจาะระบบ คือ CREST CREST Registered Tester (CRT) ซึ่งทางที่จะคว้า CRT มาได้ มี 2วิธี คือ
- สอบ CREST CPSA + ไปสอบ CREST CRT ต่อ
- สอบ CREST CPSA + ไปสอบ OSCP เพื่อใช้ OSCPในการขอ CRT
สรุปแล้ว ยังไงๆก็ต้องสอบ CREST CPSA เพราะมันถือว่าเป็นตัวพื้นฐาน แต่ที่ผมใช้วิธีใน OSCP ขอ CRT เพราะผมมี OSCP อยู่แล้ว และ การไปสอบ CREST CRT โดยตรงค่อนข้างลำบาก เพราะ CRT ไม่มีศูนย์ในประเทศไทย ที่ใกล้ที่สุด คือ สิงคโปร์
แต่ CREST CPSA สามารถสอบผ่าน Pearson VUE ในไทยได้ ผมจึงคิดว่าทางที่จะได้ CREST CRT ที่สะดวกที่สุดโดยเฉพาะในยุคโควิดที่บินไปต่างประเทศยากมาก คือ การสอบ OSCP + CPSA และขอ CRT ครับ
Study Materials
จริงๆแล้ว CREST ไม่ได้มี Material ที่เป็น Official ให้อ่าน แต่จะมีเป็นหนังสือกับคอร์สเรียน(ไม่มีในไทย) ที่แนะนำให้ เท่านั้น
Reading Material:
Network Security Assessment (by O’Reilly, 2nd edition)
Hacking Exposed Linux
Red Team Field Manual (RTFM) (by Ben Clarke)
Nmap Network Scanning: The Official Nmap Project (by Gordon Lyon)
Guide to Network Discovery and Security Scanning
Grey Hat Hacking (by Allen Harper, Shon Harris & Jonathan Ness)
Ref: https://www.crest-approved.org/examination/practitioner-security-analyst/index.html
ซึ่งบอกเลยว่า ถ้าอ่านทั้งหมดนี้ที่เขาแนะนำ ถ้าอ่านจบน่าจะแน่นเป็นเทพพร้อมจุติเลย แต่ด้วยสมองและความจำอันน่ารักของผมแล้ว น่าจะไม่ไหว อ่านจบน่าจะแก่ก่อนได้สอบ
ถ้าจะเลือกอ่าน ขอแนะนำเป็น Network Security Assessment แต่ผมอ่านที่เป็น 3rd Edition เป็นเล่มที่คิดว่า Cover เนื้อหาในการสอบมากกว่า 50–60%
อีกวิธีในการเตรียมสอบ คือ อ่านตาม Syllabus ของ CPSA examination
ในไฟล์ก็จะมีตารางที่บอก Skill และ Details ของเนื้อหาที่ออกสอบ เราก็เลือกอ่านตามตารางในแต่ละเรื่องได้เลย เรื่องไหนที่มีความรู้อยู่แล้วอาจจะอ่านผ่านๆไม่ต้องเน้นมาก ส่วนเรื่องไหนที่ไม่ถนัดก็อาจจะใช้เวลาในการอ่านมากหน่อย
(เว็บที่ผมใช้เรียนเพิ่มเติม จะใส่ไว้ใน Helpful Resources ด้านล่างนะครับ)
Tip & Technic
- จำชื่อเต็มและตัวย่อเยอะๆ เช่นพวกชื่อ Protocol ต่างๆ
- จำเลขPortดีๆว่า Portหมายเลขนี้ เป็นServiceอะไร ทำหน้าที่อะไร
- ในเรื่อง Cryptography พยายามทำความเข้าใจให้มาก เช่นความแตกต่างของ encryptionและencoding, symmetric/asymmetric, encryption algorithms (DES, 3DES, AES, RSA, RC4, hashes SHA1, MD5, HMAC) หรือพวก SSL, IPSec, SSH, PGP, Wireless encryption (WEP,WPA, TKIP)
- ที่เหลือก็คืออ่านตาม Syllabus บวกกับความรู้เทคนิคคอลที่สอบOSCPผ่านมา น่าจะสามารถผ่านได้ไม่ยาก เย้ ^^
CPSA EXAM
ข้อสอบจะมีทั้งหมด 120 ข้อ ให้เวลา 120 นาที (2ชม.) เฉลี่ยข้อละ1นาที
ข้อไหนที่ไม่แน่ใจหรือไม่ตรงกับที่อ่านมา สามารถทำ Flag เอาไว้ที่ข้อนั้น แล้วกลับมารีวิวที่หลังได้
Tip: ข้อไหนที่ไม่ได้ แนะนำให้เลือกๆไปก่อนแล้ว Flag ไว้ หรือ Flag ไว้แล้วข้ามไปก่อน เพราะ ถ้ามัวแต่ลังเลอาจจะทำให้ทำข้ออื่นไม่ทัน
โดยเมื่อเวลาเหลือ 10–15 นาทีสุดท้าย ให้รีบกลับไปตอบข้อที่ยังไม่ได้ตอบด้วย เพราะถ้าหมดเวลาแล้ว หากยังไม่ได้ตอบข้อไหนมันจะตัดเป็นเราไม่ได้ตอบไปเลย
Registration
การสมัครสอบ สามารถสมัครผ่าน Person VUE ในเว็บนี้ https://home.pearsonvue.com/crest
ถ้ายังไม่มีaccount ก็สมัครaccountก่อน แล้วเลือก CPSA
ทำตาม Process กรอกรายละเอียดไปเรื่อยๆ จนถึงหน้าเลือก ศูนย์สอบ ซึ่งในไทย ตอนที่ผมเลือกจะมีอยู่ 2 ที่ คือ Pearson Professional Centers-Bangkok และ The Enterprise Resources Training Co.Ltd. สามารถ Check ศูนย์สอบได้ ที่นี่
หลังจากที่เลือกศูนย์สอบเสร็จ ก็จะมีให้เลือกวันและเวลาที่ต้องการสอบ หลังจากนั้นก็จ่ายเงินผ่านบัตรเครดิต และรอวันสอบ อิอิ วันสอบ ไปก่อนเวลาประมาณ15นาที และห้ามสายเกิน15นาที
Applying for CRT
- หลังจากที่สอบ OSCP และ CREST CPSA ผ่าน และต้องการที่จะขอ CREST CRT
- ให้เราส่งหลักฐาน OSCP exam pass หรือใบเซอร์ของ OSCP ไปที่ exambookings@crest-approved.org
- หลังจากนั้น CREST จะตอบกลับและส่งLinkให้เราทำการ Apply ตามขั้นตอนของเขาได้เลย ไม่ยากๆ
- หลังจากกรอกข้อมูลอะไรเสร็จ Submit เรียบร้อย รอเขาตรวจสอบข้อมูลว่าเราผ่านคุณสมบัติที่สอบผ่าน OSCP และ CPSA จริงๆรึป่าว เขาจะตอบกลับมาเป็น Linkให้เราทำการจ่ายเงิน หลังจากจ่ายเงิน
- หลังจากจ่ายเงิน 150 USD เสร็จ รอสักพักเขาจะตอบเมลล์กลับว่า เราได้ CREST CRT และบอกวันที่หมดอายุ (ซึ่งตรงกับของCPSA) โดยที่เขาจะส่ง ใบเซอร์มาให้ตามที่อยู่ ที่เราคอนเฟิร์ม
อ้างอิงจาก
Some Helpful Resources
Software Skills and Assessment Management
Core Technical Skills
Section 1 — Networking Concepts, Section 6 — Cryptography and PKI, Linux File Permissions and Windows File Permissions
Background Information Gathering & Open Source ,
Web Technologies, Web Testing Methodologies and Web Testing Techniques
Networking Equipment
IPsec from Professor Messer, Management Protocols, Networking Protocols Application Protocols
Microsoft Windows Security Assessment
A Little Guide to SMB Enumeration from Hacking Articles, Windows Command List, NT LAN Manager , Security Account Manager
Unix Security Assessment
4 ways to SMTP Enumeration, FTP Penetration Testing on Ubuntu, Linux Privilege Escalation using Misconfigured NFS, R* services , Penetration Testing on X11 Server
Databases
Pentesters Guide to Oracle Hacking , MSSQL Penetration Testing with Metasploit
อ้างอิง