SSCP: Systems Security Certified Practitioner – Центр Тестирования – Статьи

Что такое cpe и как работает система?

Кредиты на непрерывное профессиональное образование, именуемые CPE, присуждаются за обучение и профессиональную подготовку в вашей области. Они необходимы для поддержания вашей сертификации CISSP. Вы должны зарабатывать 40 CPE каждый год в общей сложности 120 в течение вашего трехлетнего цикла сертификации.

Вы можете зарабатывать CPE, готовясь к экзамену CISSP, в том числе, принимая вышеуказанные учебные программы. К сожалению, (ISC) 2 не очень подходит, когда дело доходит до информации об особенностях зарабатывания CPE посредством экзаменационного обучения.

Похоже, что вы можете потребовать дополнительные CPE для завершения учебных программ, таких как перечисленные выше в верхней части программы самообучения. Однако это не совсем ясно, поэтому мы предлагаем вам связаться с (ISC) 2 для получения дополнительной информации о вашем конкретном случае.

Что выбрать?

На этот вопрос вам никто не ответит кроме вас самих. Ваша будущая сертификация зависит от того, в какую фирму вы планируете и по какому профилю. Например, если вы пойдете в российскую фирму-разработчика средств защиты, то вам ни один из перечисленных ваше сертификатов не потребуется.

Если ваша цель –  компании большой четверки, то без CISA (а для Ernst&Young еще и CISSP) вам не обойтись. Если вы стремитесь управлять процессами информационной безопасности у своего работодателя, то здесь вам понадобится CISSP или CISM. И, наконец, если вы просто хотите быть хорошим администратором безопасности или входить в группу реагирования на инциденты, то лучше сконцентрироваться на получении «вендорских» сертификатов, SSCP или GIAc .

Если же вы юрист и хотите заниматься расследованиями компьютерных преступлений, то вам понадобятся сертификаты, о которых выше не говорилось: CCCI (Certified Computer Crime Investigator), CCFT (Certified Computer Forensic Technician), CCCP (Certified Computer Crime Prosecutor)

Не стоит забывать, что сертификат только подтверждает ваши знания, а не наоборот. В конце концов, может статься, что если вы сотрудник первого отдела или специалист по борьбе с мошенничеством, то вам скорее подойдет сертификат CCO (Certified Confidentiality Officer) от частного агентства BECCA (Business Espionage Controls Countermeasures Association)

или CFE (Certified Fraud Examiner) от ACFE (Association of Certified Fraud Examiners) соответственно. Эти сертификаты не являются общепризнанными и вряд ли знакомы большинству HR-менеджеров, но зато подготовка к их получению даст вам действительно полезные и нужные на вашей позиции знания.

Стоит ли так стремиться к сертификату? Некоторые готовы построить свой профессиональный и карьерный рост только через призму своего таланта – им не нужны никакие сертификации. Да и многие консультанты по карьере рекомендуют получать не сертификаты, а опыт работы в какой-либо крупной и «серьезной» компании, что гораздо больше влияет на карьеру и рост зарплаты, чем наличие какого-либо статуса.

Но и сертификат не является совсем уж бесполезной вещью. Если у вас нет опыта работы в Cisco, IBM, Ernst&Young и вы не уверены в силе своего таланта, то «бумага с печатью» лишней не будет. Надо помнить, что когда резюме смотрит сотрудник отдела кадров, то у него перед глазами только 4-х и 5-ти буквенные аббревиатуры – опыт по информационной безопасности в резюме не покажешь.

Поэтому при наличии сертификата шансы на первое интервью возрастают. А вот на первом и последующих интервью сертификат уже не будет играть столь важную роль. Хороший менеджер по персоналу будет обращать внимание на немного другие характеристики кандидата – умение работать в команде, мотивация, понимание корпоративных ценностей, готовность к обучению и т.д.

StationX: полный комплект CISSP

Полный комплект CISSP от StationX – наша главная рекомендация. Он предлагает все необходимое для успешной сдачи экзамена, и все это по чрезвычайно низкой цене. Курс был обновлен, чтобы охватить версию сертификации CISSP 2021 года, что означает, что материал актуален до 2021 года (когда должно появиться следующее обновление).

Этот комплект включает в себя:

• Введение в сертификацию CISSP
• Более 17 часов обучения
• Почти 600 загружаемых слайдов
• Учебный план
• 1000 практических вопросов
• Советы о том, где найти тысячи бесплатных CPE

Помимо обучения тому, что вам нужно знать, этот курс содержит бесценные советы о том, как эффективно учиться, и правильный подход к ответам на вопросы. Вы также найдете следующие шаги после сдачи экзамена и советы, которые помогут вам в случае неудачи в первый раз. Этот курс может рассчитывать на CPE, но вам может потребоваться проверить с (ISC) ², чтобы точно узнать, сколько.

ЛУЧШИЙ КУРС ДЛЯ CISSP ЭКЗАМЕН: StationX – наш выбор № 1 Этот курс обычно продается по цене 400 долларов, но вы можете получить его по невероятно низкая цена 52 $.

Официальный (ISC) ² CISSP Самостоятельное обучение

Это официальный курс, предлагаемый самой (ISC) 2. Очевидно, что главный бонус этой программы заключается в том, что вы можете быть уверены, что она полностью соответствует обновленному сертификационному экзамену CISSP. У этого нет огромного ценника (по сравнению с другими курсами), но может быть вне бюджета многих экзаменаторов.

Одним из недостатков является то, что материал доступен только в течение ограниченного времени после оплаты, поэтому, несмотря на то, что он называется «тренинг с самостоятельным обучением», вы не можете идти слишком медленными темпами. Если вы планируете потратить более 120 дней (около четырех месяцев) на подготовку к экзамену, вам может потребоваться снова переложить плату..

Вот что вы можете ожидать от этой учебной программы:

• Официальное (ISC) 2 Учебное пособие для студентов
• 30 часов видеоинструкции, включающей более 300 записей
• Заработать 40 CPE
• Интерактивные флеш-карты
• Мероприятия для самостоятельного чтения
• Реальные примеры сценариев и тематические исследования
• Проверяет знания после завершения каждого домена
• Вопросы для оценки, как только вы закончите курс

Цена: Этот курс стоит $ 849, что разумно по сравнению со многими другими в списке.

Кибер-версия: CISSP

Курс Cybrary CISSP включает в себя 19 часов видео-инструкций, охватывающих все домены CISSP. Видеоконтент для этого курса бесплатный (вам необходимо зарегистрировать бесплатный аккаунт), но если вы хотите разблокировать дополнительные функции службы Cybrary, вам необходимо приобрести подписку.

Дополнительные функции, доступные для подписчиков, включают виртуальные лаборатории, которые помогут вам применить полученные знания и получить практический опыт в своей области, а также практические тесты, которые помогут вам подготовиться к экзамену..

Этот курс объявляет, что он стоит! 5 CPE, хотя вы можете проверить с помощью (ISC) 2, чтобы узнать, можете ли вы потребовать 19 CPE (по одному в час). Мы обсудим CPE более подробно ниже.

Цена: Подписка Cybrary дает вам доступ к любому количеству курсов, и вы платите 49 долларов в месяц в месяц или 25 долларов в месяц, когда вы платите ежегодно..

SANS: MGT414: Программа обучения SANS для сертификации CISSP®

Институт SANS предлагает курс CISSP в нескольких форматах, в том числе в режиме реального времени в классе или по запросу в режиме онлайн. Это самый дорогой вариант в списке, поэтому он не является хорошим решением, если у вас ограниченный бюджет. Тем не менее, если вы ищете надежный и всеобъемлющий курс и, возможно, у вас есть работодатель, готовый оплатить счет, этот курс вам поможет.

Курс насчитывает 46 CPE и помимо уроков включает в себя:

• Учебник для каждого домена
• Более 300 вопросов тестирования и подготовки знаний для каждой области
• Аудио файлы с содержанием курса

MGT414 разделяет каждый из восьми доменов CISSP на свои основные компоненты и объясняет, как они связаны друг с другом и другими аспектами кибербезопасности. Если вы обнаружите, что содержание CISSP сухое (что делают многие люди), то это может быть хорошим вариантом для вас.

Цена: Это дорогой курс в $ 7,020.

Глобальные знания: подготовительный курс к сертификации CISSP

Global Knowledge предоставляет вам два варианта прохождения подготовительного курса к сертификации CISSP: в режиме реального времени в классе или в виртуальном классе. Оба курса длятся пять дней подряд и дают исчерпывающий обзор контента CISSP с акцентом на восемь основных областей..

Этот вариант не подходит, если вы предпочитаете работать в Интернете в своем собственном темпе. Обратите внимание, что на главной странице продукта указано, что доступна версия по запросу, но она недоступна на момент написания статьи..

По словам представителя компании, вы можете претендовать на 40 CPE для этого курса.

Цена: И живые и виртуальные курсы имеют одинаковую цену: $ 3595.

Infosec: сертификационный учебный лагерь CISSP

Курсы Infosec приветствуются за их содержание и качество инструкторов. Это еще один курс, который вы можете пройти лично или в виртуальном классе. Опция Flex Classroom включает в себя живое обучение в физическом месте, которое включает в себя материалы курса, готовые обеды и доступ к форуму сообщества..

Flex Pro – это захватывающий курс для онлайн-студентов. К сожалению, невозможно пройти этот курс в своем собственном темпе, хотя материалы предоставляются для ознакомления, если вы решите воспользоваться онлайн-опцией.

Возможно, вам придется подтвердить с помощью (ISC) ² сколько CPE вы можете получить за этот курс, но вы должны иметь возможность подать заявку по одному в час обучения.

Цена: Вам нужно связаться с Infosec для уточнения цены, но мы получили около $ 4500.

Cissp экзамен часто задаваемые вопросы

Вы почти готовы учиться и сдать сертификационный экзамен CISSP. Но сначала, вот ответы на несколько распространенных вопросов:

Sscp: systems security certified practitioner

Каковы предпосылки для сдачи экзамена cissp?

Чтобы получить сертификат CISSP, кандидаты должны иметь опыт работы не менее пяти лет в нескольких (двух или более) доменах CISSP. Платные и неоплачиваемые стажировки являются приемлемыми формами опыта работы. Соответствующее образование может заменить максимум один год опыта, но есть ограничения.

Четырехлетнее высшее образование или эквивалент может считаться одним годом опыта работы. Кроме того, соответствующие (ISC) 2 утвержденные учетные данные, такие как сертифицированный тестер проникновения (GPEN) или сертифицированная Cisco Associate Security (CCNA Security), могут считаться одним годом опыта работы.

Если вам интересно, на какие сертификаты вы должны стремиться до CISSP, на самом деле есть много путей, которые вы можете выбрать. Тем не менее, один популярный маршрут – это получить CompTIA Network и CompTIA Security , прежде чем следовать (ISC)

Какой формат экзамена cissp??

В конце 2021 года формат экзамена CISSP был изменен. В последней версии используется компьютеризированное адаптивное тестирование (CAT). С CAT экзамен адаптируется к уровню способностей экзаменуемого во время теста. Каждый последующий вопрос или набор вопросов выбирается в зависимости от того, как вы выполнили предыдущие вопросы..

Бонусом этого стиля тестирования является то, что вы можете доказать свою способность за меньшее время. В то время как экзамен CISSP в старом стиле занял шесть часов и включал 250 вопросов, новая версия длится всего три часа, и вы можете рассчитывать на 100-150 вопросов..

Лучшие курсы к экзамену cissp

Шпаргалки и учебные пособия выше могут помочь вам в подготовке к экзамену. Но вам могут понадобиться более углубленные курсы, которые научат вас всему содержанию сертификации CISSP. В зависимости от того, где вы находитесь, вам может быть доступно обучение в классе. Тем не менее, эти программы не доступны для всех, и часто могут стоить тысячи долларов за место.

Другой вариант – пройти онлайн-курс, и, хотя многие из них также дороги, некоторые вообще не обанкротят банк. С таким количеством доступных может быть трудно выбрать правильный вариант для вас. Вот наши главные рекомендации для курсов, которые имеют полностью онлайн варианты:

1. StationX: полный комплект CISSP
2. Официальный (ISC) ² CISSP Самостоятельное обучение
3. Simplilearn: Сертификация CISSP
4. Кибернетика: CISSP
5. SANS: MGT414: Программа обучения SANS для сертификации CISSP®
6. Global Knowledge: подготовительный курс к сертификации CISSP
7. Infosec: сертификационный учебный лагерь CISSP

Давайте подробнее рассмотрим каждый из них и что они могут предложить.

О курсе

Как можно понять из названия, курс сугубо практический и собирает в себе базовые техники, используемые при проведении тестирований защищенности. После регистрации студент получает видео-лекции, pdf-файл c материалами (в моем случае, это 360 страниц и несколько часов видео) и, самое главное, VPN доступ к онлайн лаборатории.

Стоимость курса в существенной степени зависит от количества дней доступа к лабораторную сеть. На момент публикации, это:

Получается несколько дороговато, особенно с учетом текущего курса.

Документация содержит достаточно широкий список тем, которые соответствуют общепринятой методологии: сбор информации, перечисление, фаззинг, эксплуатация бинарных уязвимостей, использование готовых эксплойтов и написание своих, повышение привилегий, туннелирование соединений, базовые атаки на веб-приложения, автоматизация через написание python и bash-скриптов и т.п.

Вообще, по ходу прохождения курса, многие проблемы решаются лишь после многочасового изучения вопроса, сбора информации с других ресурсов и попыток использовать самые различные подходы. Простого изучения предложенной документации, просмотра видео-материалов и перепечатывания примеров команд, скорее всего, будет недостаточно для взлома и половины хостов в лаборатории, не говоря уже об экзамене.

С другой стороны, начальных знаний курс требует минимальных, так что во всем можно постепенно разобраться. Стоит также сказать, что в рамках обучения вы не получите специфичных навыков вроде написания ROP-цепочек или поиска race condition в веб-приложении.

Например, как это все еще бывает в реальных системах, в лабах встретился хост, уязвимый к пресловутой MS08-067. Вроде бы все банально, можно использовать известный модуль из Metasploit и переходить к следующей цели. Но тут возникает проблема, на экзамене использовать фрэймворк практически запрещено, т.е. если возникнет такая ситуация, автоматическая эксплуатация не пройдет.

Из тех эксплойтов, что были найдены в интернете, ни один работать не захотел, что послужило к дальнейшему исследованию самой уязвимости, изучению механизма работы DEP в разных системах с разными сервис-паками, написанию ROP-цепочек и т.д. Как итог – некоторое количество потраченного времени, море фана и готовый эксплойт для всех целей от WinXP SP0 до Windows Server 2003 SP2, использовать который, правда, так и не пришлось.

Об offensive security

Наверное, невозможно встретить человека, который бы целенаправленно занимался практической безопасностью и не слышал бы об этой компании. Backtrack, Kali Linux, Exploit-Database, Google Hacking Database – наиболее известные из продвигаемых ими проектов.

Ребята также занимаются пентестами и профессиональным обучением в онлайн режиме или вживую на площадках конференций. На текущий момент для обучения предлагаются следующие направления:

Есть курсы, обучиться которым можно лишь физически присутствуя площадке конференции Black Hat USA:

Я обучался на PWK, так что далее речь будет идти именно о нем.

Подготовка к сдаче sscp

Учебные пособия cissp и практические тесты, которые помогут вам подготовиться к экзамену

Если у вас есть базовые знания, но вы не совсем на том уровне, где все, что вам нужно, это шпаргалка, есть несколько удобных учебных пособий, которые помогут вам в подготовке.

Для начала, есть официальные учебные материалы из (ISC) 2. К ним относятся Официальное (ISC) ² Учебное пособие CISSP ², Официальные (ISC) ² Практические тесты CISSP, CISSP для чайников, Официальные приложения для изучения и практики CISSP, а также Официальные флэш-карты CISSP.

Однако, если вы ищете альтернативы, есть несколько отличных ресурсов. Обратите внимание, что многие издатели книг, представленных ниже, предоставляют мобильные приложения для учебных пособий, поэтому вы можете подготовиться к экзамену, находясь в пути..

Учебное пособие:

• CISSP All-in-One Руководство по экзаменам, восьмое издание
• CISSP Учебное пособие 3-е издание
• Одиннадцатый час CISSP®: Учебное пособие, 3-е издание
• Справочник по CISSP (3-е издание) (Руководство по сертификации) 3-е издание
• CISSP для чайников (для чайников (компьютерные технологии)) 6-е издание

Многие из приведенных выше учебных пособий и курсов ниже включают практические тесты и вопросы. Однако, если вы хотите немного дополнительного обучения, вот несколько наборов практических тестов, которые вы можете получить в свои руки.

Дополнительные вопросы практики:

• CISSP Официальный (ISC) 2 практических тестов 2-е издание
• CISSP Практические экзамены, пятое издание, 5-е издание
• CISSP Подготовка к экзамену Вопросы, ответы & Пояснения
• CCCure Quiz Engine

Другие ресурсы, которые вы можете найти полезными при подготовке к экзамену, – это Reddit-сообщество CISSP и подкаст CISSP..

Шпаргалки для обучения к экзамену cissp

Мы создали лучшие шпаргалки, чтобы помочь вам сдать экзамен. Перейдите по ссылкам ниже, чтобы просмотреть подробные и удобные для навигации листы для каждого из восьми доменов CISSP..

• Домен 1: Безопасность и управление рисками
• Домен 2: Безопасность активов
• Область 3: Архитектура безопасности и проектирование
• Домен 4: Связь и сетевая безопасность
• Домен 5: Управление идентификацией и доступом
• Домен 6: Оценка безопасности и тестирование
• Домен 7: Операции безопасности
• Домен 8: Безопасность разработки программного обеспечения

Экзамен

Сдача экзамена – это тоже отличительная фишка курса. Студенту предоставляют VPN-доступ в закрытую сеть, на взлом которой дается 24 часа и еще 24 часа дается на написание итогового отчета, в который рекомендуется включить вводную часть, информацию для руководства, весь ход тестирования и технические детали, а также рекомендации по устранению.

На экзамене действуют строгие требования: нельзя пользоваться сканерами уязвимостей (Nessus, Acutenix и т.п.) или автоматическими средствами эксплуатации (например, sqlmap). Как я писал выше, использование Metasploit в некоторых случаях допустимо, но жестко ограничено списком модулей.

В зависимости от уровня полученного доступа за взлом каждого хоста дается определенное количество баллов. Судя по отзывам, многие «валятся» именно на задаче повышения привилегий, так что при подготовке стоит уделить этому повышенное внимание. Цели также различаются по уровню сложности.

В моем случае, в сети оказалось 5 хостов от 10 до 25 баллов за каждый. Первые три часа были потрачены на сбор информации, сканирование портов и всевозможные перечисления. После этого, уже были более-менее определены варианты атак. Получен первый root за 20 очков, часа через 3 еще один.

Еще через час удалось разобраться с хостом за 25. Дальше все пошло сложней, т.к. начала сказываться усталость, и часа 2 я перепрыгивал с одного хоста на другой, не зная за что зацепиться. Помог перерыв на прием пищи и небольшую прогулку, после чего удалось найти способ получить минимальные права на хосте за 25, а затем и поднять привилегии. Забавно, но последним поддался хост за 10.

Итого, на все ушло около 12-14 часов с учетом перерывов. На следюущий день итоговый отчет (экзамен лабораторные) был отправлен организаторам. А через два дня я получил письмо об успешной сдаче и присвоении квалификации Offensive Security Certified Professional.

Что касается советов:

В качестве заключения

Практическая направленность во многом делает курс исключительным. Особенно радует нацеленность на получение реальных навыков, а не на заучиваниезазубривание правильных вариантов проставления крестиков в тестах. Две недели фана и погружения в любимое дело прошли незаметно и даже немного жалко, что все закончилось.

Всем, кто начинает свой путь в области практической ИБ, крайне рекомендую присмотреться. А тем, кто уже обучался на курсах, предлагаю поделиться впечатлениями в комментах, особенно интересует OSCE и AWAE.

Ну и приятное дополнение в завешении — «Offensive Security – Try Harder» Song