Mi experiencia sobre el eJPTv2 ¿Es tan sencilla como dicen?
Después de adquirir el voucher del exámen en INE que contenía el nuevo curso de preparación Penetration Testing Student y 2 intentos para dar dar el exámen, logré aprobar el eJPTv2, aquí les cuento mi experiencia…
Preparación previa
Empecé en el mundo de la ciberseguridad hace un año y pocos meses. Como la mayoría, empecé googleando: “¿Como empezar en el campo…?” hasta llegar a videos de YouTuBe sobre como usar Linux y montar un entorno virtualizado para empezar en el pentesting/hacking. Luego inicié resolviendo máquinas de la plataforma HackTheBox y algunas de TryHackMe, despues en paralelo entré un poco al campo de Redes haciendo parte de un curso del CCNA. Poco a poco fui aprendiendo cosas nuevas y a sentirme más cómodo, y para almacenar mis conocimientos creé este blog con diversos writeups y mucho python 🐍.
Me decidí a inicio de año comprar el voucher y use como excusa el plazo de 6 meses que dan para dar el exámen. Además, el voucher tenía 3 meses de suscripción para acceder a los cursos de INE, el cuál lo use para completar el Penetration Testing Student que me sirvió para fortalecer y aprender nuevos conceptos.
PTS (Penetration Testing Student)
El curso tiene un total de 140 horas aproximadamente, se divide en 4 secciones correspondientes al exámen (todo esto ya lo analizan con calma en la página oficial). Con respecto al contenido:
- Me gustaron los conceptos, pero los dividian en muchas diapositivas y videos lo cuál lo hacia tedioso para repasarlo.
- Por parte de los exponentes del curso, hubo uno que no me contagiaba esa energía de aprender y explicaba sin ganas.
- También lo vi muy innecesario una sección de muchas horas sobre como aprender a usar el framework Metasploit, ya que claramente puedes explicarlo en un video y algunas diapositivas.
- La repetición de ciertos temas, un arma de doble filo. Estaba bueno para reforzar pero los repetian en distintas secciones y llegaba a confundir.
- Sobre los laboratorios para practicar, lo de siempre, son poco comodos y accesibles. Lo bueno es que los laboratorios de práctica se asimilan muy bien a la prueba.
En general sí recomandaría el curso a personas que tengan algunos conceptos sobre linux y sepan usarlo de manera básica pero sin mucha experiencia en la parte del pentesting. Si ya hicieron máquinas de HTB o THM no se molesten en cursarlo, les irá bien!.
Preparación Post PTS
Con los 3 meses que me quedaban decidí buscar mas recursos sobre el exámen y los que más destacaría serían estos dos:
Wreath TryHackMe: Un laboratorio en una red con 3 dispositivos donde deberás explotarlas y realizar pivoting. Solo ignoraría la sección de Command and Control.
Entorno propio de máquinas simulando el eJPT: En el video realiza metodologías útiles para el proceso del exámen y explotación de máquinas pero por separado. Por ello te recomiendo montarlas en un entorno en VirtualBox/VMWare muy parecido el laboratorio “Wreath” (no temas que configurarlas es cosa de algunos clicks). Aquí te dejo el blog con las máquinas que usa https://systemweakness.com/ejptv2-review-280ff93d90a2.
Día del exámen
El exámen consta de 35 preguntas y 48 horas, por ello es recomendable empezar al medio dia para así tener toda esa tarde, todo el proximo día y la mañana del siguiente, diría que es la mejor estratégia. En mi caso me tomé aproximadamente unas 6 a 7 horas en terminar el exámen. Estaba bastante entusiasmado y con ganas de ya acabar todo, lo cuál no recomiendo para nada apurarse tanto. Ni bien termines sabrás si aprobaste.
Recomendaciones
La mejor recomendación que te voy a dar es que ni bien inicies el exámen ignores las preguntas y empieces a escanear tu red y explotar todas las máquinas. Tomalo como si estuvieras en una auditoría, y no preocupes por el tiempo que irás de sobra y al final las preguntas se resolverán solas. Además, estoy muy seguro que mas importante es explotar todo primero de manera correcta y con tu reporte final en mano lograrás el puntaje máximo.
Elige una buena aplicación para tomar notas de manera ordenada y organizada. Yo use SublimeText por temas de simplicidad y que estaba en Windows. Notion y CherryTree tambien son buenas alternativas.
Es normal que tengas nervios y no te sientas seguro, confia sin miedo y juegatela. El exámen es mas sencillo de lo que crees.
Prioriza una buena conexión a internet. No olvides que te proporcionarán un entorno con todas las herramientas necesarias via la página web.
No tengamos la idea que usa Metasploit es malo. La mejor estrategia es saber juntar tu metodología manual con cualquier herramienta que automatiza algunos procesos.
No olvidemos que lo mas importante es la experiencia de estar en una auditoria real, disfrutalo!