Esame di certificazione CompTIA PenTest+ (PT0-002): panoramica dei domini
Per quanto riguarda il percorso di sicurezza informatica CompTIA, PenTest+ è una delle certificazioni avanzate per i test di penetrazione.
Il corso di esame PenTest+ è progettato per testare la conoscenza del candidato del processo, degli strumenti e delle tecniche richieste per i test di penetrazione.
CompTIA consiglia ai candidati di avere 3-4 anni di esperienza pratica in penetrazioni, valutazioni delle vulnerabilità e analisi del codice.
CompTIA PenTest+ è una certificazione entry-level per i test di penetrazione progettata per i professionisti della sicurezza informatica responsabili dei test di penetrazione e della valutazione e gestione delle vulnerabilità.
CompTIA PenTest+ è una delle certificazioni eccellenti per i test di penetrazione della sicurezza informatica, focalizzata sulle capacità offensive attraverso test di penetrazione e valutazione della vulnerabilità.
Un professionista della sicurezza informatica certificato CompTIA PenTest+ di successo avrà le seguenti conoscenze e competenze:
Numero di domande - Massimo 85
Tipi di domande - A scelta multipla e basate sulle prestazioni
Durata del test - 165 minuti
Esperienza consigliata - 3-4 anni di esperienza pratica nell'esecuzione di penetration test, valutazioni delle vulnerabilità e analisi del codice
Punteggio di superamento - 750 (su una scala da 100 a 900)
L'esame PenTest+ dura 165 minuti. Nel tempo stabilito, dovrai rispondere a un massimo di 85 domande a scelta multipla e basate sulle prestazioni.
Il punteggio di superamento è 750 (su una scala da 100 a 900).
Il corso di certificazione sulla sicurezza informatica CompTIA PenTest+ è suddiviso nei seguenti cinque domini o argomenti.
1.0 Pianificazione e definizione dell'ambito - 14% 2.0 Raccolta di informazioni e scansione delle vulnerabilità - 22% 3.0 Attacchi ed exploit 30% 4.0 Segnalazione e comunicazione - 18% 5.0 Strumenti e analisi del codice - 16%
Il primo dominio dell'esame PenTest+ riguarda la pianificazione e la definizione dell'ambito di un impegno di penetration testing. Se parliamo del punteggio complessivo dell'esame, il dominio di pianificazione e definizione dell'ambito costituisce il 14% del punteggio del candidato.
Inoltre, il dominio uno è suddiviso nelle tre sezioni seguenti:
1.1 Confrontare e contrapporre i concetti di governance, rischio e conformità.
• Considerazioni sulla conformità normativa • Restrizioni di posizione • Concetti legali • Autorizzazione ad attaccare
1.2 Spiegare l'importanza dell'ambito e dei requisiti organizzativi/clienti.
• Standard e metodologie • Regole di ingaggio • Considerazioni ambientali • Elenco di obiettivi/asset nell'ambito • Convalidare l'ambito di ingaggio
1.3 Dato uno scenario, dimostrare una mentalità di hacking etico mantenendo professionalità e integrità.
• Controlli dei precedenti del team di test di penetrazione • Aderire all'ambito specifico di ingaggio • Identificare l'attività criminale • Segnalare immediatamente violazioni/attività criminale • Limitare l'uso di strumenti a un ingaggio particolare • Limitare l'invasività in base all'ambito • Mantenere la riservatezza di dati/informazioni • Rischi per il professionista
Riconoscimento aggiunge un valore significativo al processo di penetration testing, fornendo informazioni preziose per valutare i punti deboli della sicurezza e progettare un piano di attacco. La raccolta di informazioni e la scansione delle vulnerabilità rappresentano il 22% delle domande dell'esame di certificazione PenTest+, che è suddiviso in tre parti principali:
2.1 Dato uno scenario, esegui una ricognizione passiva.
• Ricerche DNS • Identifica i contatti tecnici • Contatti dell'amministratore • Cloud vs. self-hosted • Scraping dei social media • Difetti crittografici • Reputazione aziendale/posizione di sicurezza • Dati • Intelligence open source (OSINT)
2.2 Dato uno scenario, esegui una ricognizione attiva.
• Enumerazione • Ricognizione del sito Web • Creazione di pacchetti • Rilevamento della difesa • Wardriving • Traffico di rete • Token • Rilevamento delle risorse cloud • Servizi ospitati da terze parti • Elusione del rilevamento
2.3 Dato uno scenario, analizza i risultati di un esercizio di ricognizione.
• Fingerprinting • Analizza l'output da
2.4 Dato uno scenario, esegui scansione delle vulnerabilità.
• Considerazioni sulla scansione delle vulnerabilità • Nmap • Esegui la scansione degli obiettivi identificati per le vulnerabilità • Imposta le impostazioni di scansione per evitare il rilevamento • Metodi di scansione • Strumenti di test delle vulnerabilità che facilitano l'automazione
Attacchi ed exploit, che è il dominio numero tre, aggiungono il valore più considerevole all'esame di certificazione PenTest+, rappresentando il 30% delle domande dell'esame. Gli argomenti inclusi in questo dominio sono di vasta portata e coprono potenziali attacchi contro qualsiasi sistema che i professionisti della penetrazione potrebbero incontrare nel loro percorso di penetrazione. Il dominio degli attacchi e degli exploit è suddiviso in sette sezioni:
3.1 Dato uno scenario, ricerca vettori di attacco ed esecuzione di attacchi di rete.
• Stress test per la disponibilità • Risorse di exploit • Attacchi • Strumenti
3.2 Dato uno scenario, ricerca vettori di attacco ed esecuzione di attacchi wireless.
• Metodi di attacco • Strumenti • Attacchi
3.3 Dato uno scenario, ricerca vettori di attacco ed esecuzione di attacchi basati sulle applicazioni.
• OWASP Top 10 • Falsificazione di richieste lato server • Difetti della logica aziendale • Attacchi di iniezione • Vulnerabilità delle applicazioni • Vulnerabilità delle applicazioni • Attraversamento directory • Strumenti • Risorse
3.4 Dato uno scenario, ricerca vettori di attacco ed esecuzione di attacchi sulle tecnologie cloud.
• Attacchi • Strumenti
3.5 Spiegazione di attacchi e vulnerabilità comuni contro sistemi specializzati.
• Dispositivi mobili • Dispositivi Internet of Things (IoT) • Dati vulnerabilità del sistema di storage • Vulnerabilità dell'interfaccia di gestione • Vulnerabilità correlate al controllo di supervisione e all'acquisizione dati (SCADA)/Internet of Things industriale (IIoT)/sistema di controllo industriale (ICS) • Vulnerabilità correlate agli ambienti virtuali • Vulnerabilità correlate ai carichi di lavoro containerizzati
3.6 Dato uno scenario, eseguire un attacco di ingegneria sociale o fisico.
• Pretesto per un approccio • Attacchi di ingegneria sociale • Attacchi fisici • Impersonificazione • Strumenti • Metodi di influenza
3.7 Dato uno scenario, eseguire tecniche di post-sfruttamento.
• Strumenti di post-sfruttamento • Movimento laterale • Test di segmentazione della rete • Escalation dei privilegi • Creazione di un punto d'appoggio/persistenza • Aggiornamento di una shell restrittiva • Evitamento del rilevamento • Enumerazione
La segnalazione e la comunicazione sono una delle parti essenziali del processo di penetration testing. Il reporting e la comunicazione, dominio 4 dell'esame di certificazione PenTest+, sono responsabili del 18% del punteggio PenTest+. La sezione è divisa in quattro sezioni:
4.1 Confrontare e mettere a contrasto i componenti importanti dei report scritti.
• Destinatari del report • Contenuto del report (** non in un ordine particolare) • Tempo di archiviazione del report • Distribuzione sicura • Prendere appunti • Temi comuni/cause principali
4.2 Dato uno scenario, analizzare i risultati e raccomandare la correzione appropriata all'interno di un report.
• Controlli tecnici • Controlli amministrativi • Controlli operativi • Controlli fisici
4.3 Spiegare l'importanza della comunicazione durante il processo di penetration testing.
• Percorso di comunicazione • Trigger di comunicazione • Motivi della comunicazione • Riorganizzazione delle priorità degli obiettivi • Presentazione dei risultati
4.4 Spiegare le attività di consegna post-report.
• Pulizia post-engagement • Accettazione del cliente • Lezioni apprese • Azioni di follow-up/nuovi test • Attestazione dei risultati • Processo di distruzione dei dati
Per eseguire il processo di penetration testing, è necessaria la padronanza della scrittura e della lettura del codice per identificare le vulnerabilità e sviluppare strumenti. Strumenti e analisi del codice, dominio 5 dell'esame di certificazione PenTest+, è responsabile del 16% delle domande dell'esame. Il dominio ha tre sezioni che sono menzionate di seguito:
5.1 Spiega i concetti di base di scripting e sviluppo software.
• Costrutti logici • Strutture dati • Librerie • Classi • Procedure • Funzioni
5.2 Dato uno scenario, analizza uno script o un esempio di codice da utilizzare in un test di penetrazione.
• Shell • Linguaggi di programmazione • Analizza il codice exploit per • Opportunità di automazione
5.3 Spiega i casi d'uso dei seguenti strumenti durante le fasi di un test di penetrazione.
• Scanner • Strumenti di test delle credenziali • OSINT • Debugger • Wireless • Strumenti per applicazioni Web • Strumenti di ingegneria sociale • Strumenti di accesso remoto • Strumenti di rete • Varie • Strumenti di steganografia • Strumenti cloud
Siamo un noto centro di esami proxy, che offre un gran numero di certificazioni IT ai professionisti dell'informatica in tutto il mondo.
Se vuoi sostenere l'esame di certificazione CompTIA PenTest+, possiamo aiutarti.
Contattaci per saperne di più su di noi e sul nostro modello di esame proxy, e uno dei nostri consulenti ti verrà assegnato per assisterti di conseguenza.
Copyright © 2024 - Tutti i diritti riservati.
