Mi experiencia con la certificación eJPT (PTS)

En esta entrada explicaré mi experiencia con la certificación “Junior Penetration Testing” (eJPT) o conocida también como “Penetration Testing Student” (PTS). Esta certificación tiene, en el momento de escribir este artículo, un precio de $200 que, al cambio sale por 164€. En los siguientes apartados trataré de explicar como funciona la certificación además de expresar mi opinión.

Curso

Como el nombre indica, esta certificación es una introducción al mundo del pentesting de sistemas y como tal el curso también es bastante básico. Anteriormente el curso de esta certificación era de pago, pero actualmente se encuentra completamente gratuito en la web de INE. Esta web incluye presentaciones, vídeos e incluso laboratorios gratuitamente. El curso se compone de 3 grandes temas:

• Prerequisites: En este tema se hace una introducción al mundo de la ciberseguridad como también conceptos básicos de la informática.
• Preliminary Skills & Programming: En este segundo tema, se realiza a una introducción a la programación y a lenguajes como C++, Python o Bash. Este temario, no entra per se en el examen, pero te ayuda a comprender las herramientas que utilizas y a saber desenvolverte mejor.
• Penetration Testing Basics: Este último tema, es en el que realmente se explica como realizar un pentesting de un sistema de una red. En él se explica desde un simple escaneo de puertos hasta diversos tipos de vulnerabilidades web.

Finalmente, en el último curso comentado se incluyen 3 Black-Box laboratory en los que tienes que aplicar lo que has ido aprendiendo. Obviamente estos laboratorios están resueltos paso a paso, por si en alguna parte te has quedado atascado o no has sido capaz de progresar.

Examen

El examen lo puedes comenzar en el momento que desees y consiste básicamente en un cuestionario de 20 preguntas. Estas preguntas, son tipo test, NO restan y pueden ser de 4 opciones, de 2 o de respuesta múltiple. Por otro lado, se deben de responder correctamente 15 preguntas de un total de 20. La duración del examen es de 3 días desde que das comienzo al mismo. Normalmente, el examen se suele realizar en un rango de 8 a 12 horas, por lo que no es necesario apresurarse a la hora de realizarlo. Otro aspecto, es que no te monitorizan mientras lo realizas, como puede ser en otras certificaciones (OSCP).

Cuando comienzas el examen te proveen de un rar y una VPN. Dentro del rar, en mi caso, tienes un pdf explicando en qué consiste el examen, una captura PCAP y luego otra información, como pueden ser una lista de usuarios y otra de contraseñas. La idea del examen, es que mediante la conexión VPN y el PCAP obtengas la máxima información para poder resolver el cuestionario. Esto implica que aunque mediante la VPN accedas a una red, desde ahí deberas de acceder a otras redes para poder llegar a otros sistemas.

Mi opinión

En mi opinión es una certificación bastante divertida y de un nivel muy asequible. En mi caso, la elegí debido al poco dinero que costaba comparada con otras y que me iba permitir mostrar que tengo conocimientos en el ámbito sin requerir dedicarle excesivo tiempo. Aún teniendo experiencia previa (HTB/THM) reviśe el curso y los laboratorias antes de presentarme. Sobretodo la parte en la que tenía un poco más de carencias y miedo era en la parte de pivoting entre redes, porque normalmente en otras plataformas (HTB o THM) te centras en un solo sistema.

Respecto al curso, creo que está bastante bien y que incluso gente que no viene de la informática puede ser capaz de entender lo que se explica. Respecto a los laboratorios que se encuentran al final del curso creo que alguna parte se necesita un poco de truquillo o teniendo una idea feliz del momento, y es por lo que creo que el examen es mucho más sencillo que estos.

El examen creo que es bastante divertido y sencillo, aunque en primera instancia cuando ví el PCAP que te dan, pensé que era algo totalmente a parte de la red que debes vulnerar haciendo que me volviese loco. Como dato gracioso, no me dí cuenta hasta pasada una hora que en el rar se incluía un pdf con las normas/objetivos del examen. Otro dato chistoso es que, aunque el aprobado (teórico) lo tenía en alrededor de 8-9 horas, hubo una pregunta que no supe encontrar la respuesta, por ello al día siguiente, opté por responderla de forma totalmente aleatoria. Para ello, le pregunté a mi compañero de piso que respuesta le parecía más bonita, dando la casualidad de que la acertó. Finalmente y gracias a mi compañero de piso, conseguí el 100% en el examen.

Conclusión

Esta certificación, aún siendo básica, te permite adquirir unos conocimientos bastante indispensables para ser capaz de realizar un pentesting de distintas redes. Un punto muy a favor, es que el curso sea totalmente gratuito y la certificación cueste relativamente poco. Por todo ello, la recomiendo bastante como certificación inicial en el mundo del Pentesting.