Mon retex de la certification HackTheBox CPTS

Après 3 mois de préparation et un 10 jours d'examen, j'ai obtenu la CPTS 🎉.

La CPTS

CPTS.png

La CPTS est une certification de pentest, couvrant globalement les prérequis d’un pentester.
28 modules de cours sont à suivre, comprenant chacun de nombreux chapitres.
Chaque chapitre ou presque comprend quelques questions, avec parfois une mini VM en guise de skill assessment.

La durée estimée est de 3 mois, à raccourcir si vous avez déjà fait certains modules.
L’estimation est plutôt correcte, personnellement j’ai pris 2 mois et demi intensifs (j’avais déjà validé certains modules).

La certification, sur le papier, approche techniquement le niveau OSCP, sur une durée différente:

La principale différence réside dans le prix, la CPTS est à ~300 euros, contre ~1700$ pour l’OSCP.
Aussi, le learning path fonctionne par abonnement, rendant l’ensemble très accessible.

L’examen

Les cours

Les cours sont verbeux, ce qui peut paraître rébarbatif, mais on s’y habitue, il y a suffisamment de schémas pour tout comprendre.

Il y a également beaucoup de commandes données, idéalement notez les toutes, récupérez aussi toutes les cheatsheets qui sont généralement suffisantes, mais toutes les commandes n’y sont pas.

Les skills assessment valident juste que vous suivez un peu le cours, inutile de se bloquer dessus, ils sont parfois difficiles, mais jamais introuvable, le forum aide beaucoup à explorer les bonnes pistes en cas de blocage.

Pour ma part j’ai bloqué jusqu’à la fin de la certif sur le skill assessment Nmap, y revenir plusieurs fois aide toujours à progresser.

Le Lab

L’examen est dur, aucun doute, et les 10 jours sont nécessaires.

Vous aurez plusieurs “grosses” phases d’énumération mais l’ensemble reste cohérent et il n’y a pas de mot de passe aléatoire dans un fichier caché au hasard sur le système ou un port hasardeux ultra protégé.

Pendant l’énumération, tout noter, pas seulement pour le rapport mais aussi pour la machine qu’on verra dans 3 jours avec un password reuse.

Après exploitation, et c’est répété plusieurs fois dans le cours: Stabilisez vos connexions.

On perd toujours plusieurs heures à établir, réparer et débugger des tunnels et pivots réseaux, en utilisant les bons outils en fonction de chaque situation, on gagne vraiment du temps.

Enfin, ne pas oublier le but de l’audit: Aider le client à sécuriser. Plusieurs vulns ne nous intéressent pas mais sont importantes quand même (à défaut d’avoir des flags vous gagnez des points sur le rapport.)

Le rapport

Je dois avouer que j’ai raté le premier try (on a 2 try par voucher) à cause du rapport.
Proche d’abandonner sur le 12ème flag (dernier requis), j’ai trouvé la solution à 1h du matin, après 12h de travail, 12h avant l’heure butoire.
Comme prévu le rapport était loin d’être au niveau et j’ai eu droit à un retour complet du jury pour être sûr de tout valider sans recommencer l’audit sur le 2ème try.

Le rapport est probablement le plus gros piège, il faut prévoir 2 jours pour avoir le minimum.
Pour moi, c’était finalement la partie la plus “nouvelle”, on nous demande une réflexion extrêmement complète sur les solutions de remédiation à proposer.

Les sections les plus importantes du rapport sont la timeline, important pour comprendre ce qu’il s’est passé, ainsi que les findings, ce pour quoi on est payés.

Dans la timeline d’audit, il faut 3 niveaux de détail:

La timeline représente donc dans mon cas 40 pages (~1⁄2 rapport).

Le reste est consacré aux findings, tous les findings doivent être détaillés, avec explication, reproduction et remédiation.

Environ 60 pages pour moi…

Conclusion

Avec un peu d’énergie, la certification est largement atteignable si vous avez quelques connaissances en sécu, et une bonne culture Windows et Linux.

En revanche, la partie purement réseau est selon moi finalement minoritaire et plutôt limitée à l’énumération / pivoting.
La seule vuln à ce niveau n’était d’ailleurs pas applicable à mon path (mais critique quand même).

Etant dépeinte comme “pour pentester”, la CPTS couvre à mes yeux un plus grand spectre de métiers, surtout dans un milieu de la sécu hyper spécialisé.
Plusieurs chapitres de cours sont clairement enrichissants pour une purple team.

Mes conseils, en bref

Quelques références