Včera jsem složil zkoušku CEHv7 - Certified Ethical Hacker and Countermeasures. No, nevím co si o tom mám myslet. Nebylo to těžké. V podstatě to testovalo jenom znalost seznamu různých penetračních nástrojů a skenerů, obranu proti ARP poisoningu, MAC floodingu, jaké jsou typy port scanů a jak fungují, čísla portů různých aplikací, a potom moooc :-) důležitou terminologii hackerů - black hat, white hat, gray hat a suicide hacker :-)
Na druhé straně bych věřil, že člověk, který tu zkoušku úspěšně udělal, má celkový přehled o hekovacích možnostech externistů a případně jak se proti nim bránit.
Rozhodně se zkouška vůbec nezabývala útoky vnitřních útočníků. Kromě jedné otázky, která chtěla vědět, že proti krádeži se soubory dají šifrovat EFS, ale o BitLockeru, TrueCryptu, ani jiných diskových šifrováních ani slovo. A prakticky ani zmínka o best-practice na správu a ochranu vnitřku sítě proti zlým zaměstnancům, dodavatelům, pracantům ani uklízečkám.
A přitom tohle je ta největší hrozba. Ne nějaký anonymní blbeček se skriptíky, které si někde stáhne. Těch já se nebojím. Všichni máme v sítích firewally, antispamy a antiviry. Ne že by to bylo stoprocentní, ale tohle nepředstavuje skoro žádné riziko. Zato sem se v posledních třech letech setkal aspoň 6x s případem "zlého" zaměstnance, který se buď chtěl pomstít, nebo se jen pobavit, a nedopadlo to dobře.
Budu to tu muset trošku zpropagovat. Už jsem snad začal. Ale možná bude lepší popsat nějaké zajímavé útoky z rukou člověka, který má fyzický přístup do vnitřní sítě.
Největší nedostatek zkoušky
Další problém na zkoušce bylo zadání otázek. S kvalitou zadání otázek na zkouškách Micorosoft a jejich certifikacích, se to nedá srovnávat. Plno otázek netestovalo ve skutečnosti znalost a porozumění nějakému principu. Ale spíš porozumění otázce. Nebo lépe řečeno, porozumění myšlení autora otázky.
Prostě výběr možných odpovědí byl takový, že jste nevěděli, kterou ze dvou až tří skutečně správných odpovědí zvolit. Jasně, ten kdo to vymýšlel, měl určitě důvody, proč ty ostatní odpovědi nejsou správně. Ale pokud jde o slovíčkaření tak to neberu. A co hůř, já jsem byl u všech schopen vymyslet důvody, proč by se daly všechny odpovědi považovat za nesprávné. Pak už jde jenom o to, co autor považoval za důležitější. A to není fér otázkování.
Naštěstí tam bylo 150 otázek na 4 hodiny, takže byla slušná šance, že se člověk vejde do potřebného skóre.
Takže závěr
No zkouška je pěkná. Ale bez toho, abyste se zašli podívat na dva kurzy do GOPASu, to nemá smysl. Běžte určitě na GOC3 a CEHv7. Učí to William Ischanoe (nebojte, není to žádný ruský hacker, je to normální čech, co má jen malajského taťku :-)). Willi vám to dá všechno vyzkoušet.
Udělat zkoušku nic neznamená. Pokud to hekování chcete skutečně zažít na vlastní kůži, běžte k Willimu. Mnoho lidí umí možná nějaké nástroje používat. Ale neznám člověka, který by to dokázal tak dokonale předvézt a naučit, jako je Willi. A budete vědět, co vám ti hekeři mohou udělat, ale taky co nemohou, a jak se proti tomu bránit.
Pro mě znamená mít certifikát o absolvování GOC3 a CEHv7 v GOPASu je mnohem hodnotnější, než jen mít CEHv7 zkoušku. To je už pak jen papír jako důkaz.