21 de Diciembre del 2017
En esta entrada hago una pequeña introducción sobre cosas que aprendí y saqué en limpio del curso y certificación de eLearnsecurity, Junior Penetration Tester orientado a ser una introducción profesional al ethical hacking.
Hace algún tiempo que no publicaba nada. La verdad es que a veces el día a día te consume y a pesar de que tengo algunos videos grabados de la serie que estaba haciendo sobre web pentest, la ardua labor de editar, ajustar y entregar contenido de valor me ha hecho dejarlos en stand by. He preferido enfocarme en el estudio y mejora de mis “hacking skills”. También he estado participando en la plataforma Vulnscope que tiene algunos programas de Bug Bounty.
Estudiando y practicando, logré por fin terminar una de las 2 certificaciones que tenía pendiente. Específicamente la eJPT con la cual he aprendido y repasado bastante algunos temas y que me dejan en mejor “forma” para enfrentar la eCPPT. Si no sabes cuál es esta última certificación, es porque no has leído mi bitácora. Pero, puedes revisar alguno de mis posts anteriores donde hablo de ella:
Si bien esta certificación tiene un carácter inicial y su temario de evaluación no trata temas avanzados de seguridad, me parece que logra abarcar lo indispensable para moverte con soltura en un proceso de pentest y poder enfrentarte a tus primeros desafíos reales. El curso que la acompaña es el PTSv3 (Penetration Testing Student versión 3) y trata en términos generales de:
Cuenta además con 12 laboratorios donde puedes probar las técnicas y herramientas aprendidas y que te ayudan mucho cuando después te enfrentas al examen de certificación (si tomas las notas correctas, como comentaré más adelante).
Paso a revisar un poco más en detalle cada uno de los temas, con lo que considero importante recalcar y lo que puede servir también pensando en la prestación de un servicio profesional.
Antes de pasar a describir cada uno de los módulos, los temas que tratan y sus aspectos importantes, me parece importante destacar algunas cosas que me ayudaron en el proceso.
No basta con leer cientos de libros, entradas de blog y seguir a todos los hackers que existen en twitter. Es fundamental ensuciarse las manos, probar lo que te están enseñando y sobre todo bien enfocado en las competencias que estás adquiriendo. En este sentido, los laboratorios del PTSv3 cumplen con su propósito y como mencionaba más arriba estos 12 entornos de red están orientados a la práctica. Mi apreciación acerca de los laboratorios del curso:
Puntos a favor:
Puntos en contra:
Como alguien dijo alguna vez “Es mejor un lápiz pequeño que una memoria grande” tomar notas de todas las cosas, hacer resúmenes de lo que entiendes, notas acerca de las dudas que te surgen, en fin, hacer el aprendizaje interactivo te ayudará mucho más que tratar de recordar directamente protocolos, puertos, comandos y opciones de las herramientas. Si esa información la tienes digitalizada (en mi caso utilizo exhaustivamente evernote) aún mejor. Puedes pegar pantallazos, poner listas de tareas y otras cosas más, todo jerarquizado en libretas con notas. Y si bien existen excelentes herramientas offline, creo que tener todo en la nube hace todo más fácil. La app para android de evernote es muy buena con lo que también puedes revisar la info desde el teléfono. Lo fundamental es tomar notas de calidad.
Un poco en la tónica de lo que hablaba en el punto anterior. El contenido del curso es bueno y completo, pero sólo rasca la superficie de lo que es necesario aprender y entender. Vas a tener que leer un poco más, tomar más notas y en esto evernote también ayuda mucho si tienes instalado el plugin “Evernote Web Clipper”, el cual te permite capturar un artículo, lo que tienes seleccionado o incluso almacenar un marcador a la página. Excelente para después poder revisar y repasar algunos temas.
Aprender algo nuevo toma tiempo. Tienes que asimilarlo, tu cerebro tiene que cruzarlo con los datos que ya tiene y obtener información relevante.
Desde mi punto de vista esto es una de las cosas que hace tan apasionante al ethical hacking, el hecho de tener que aprender de diversos tópicos, ver cómo todo se junta y encontrar que mientras más aprendes, más te das cuenta que en realidad no sabes prácticamente nada.
Cuando te enfrentas a una red a la que tienes que hacer un pentest, tienes que tener claro todo en tu cabeza, cada movimiento es como jugar al ajedrez: técnica, experiencia, improvisación, observar tu entorno, tener confianza e incluso filosofando, dejar que las cosas fluyan. Bueno, esto se gana con la experiencia y en ese sentido vale el esfuerzo de estar estudiando, practicando en los laboratorios del curso, otras plataformas de hacking o con máquinas virtuales. Practicar y practicar; siempre sobre los fundamentos por supuesto, que no es tirar comandos y herramientas porque si.
Hasta un próximo registro en la bitácora!
