คำเตือน: เนื้อหาต่อไปนี้ค่อนข้างไร้สาระ น้ำประมาณ 95% เนื้อ 3% ผัก 2%
สวัสดีครับท่านผู้อ่านทุกท่านคิดถึงกันไหมเอ่ย ช่วงนี้อะไร ๆ ก็ร้อนแรงไปหมด อากาศก็ร้อน, การเมืองก็ร้อนแรง, USAกับจีนก็ร้อนแรงไม่แพ้กัน ร้อนอย่างเดียวไม่พอ จู่ ๆ ก็มีฝนอีกด้วย อากาศช่างแปรปรวนเสียจริง เรามาพักเรื่องราวความวุ่นวายกันดีกว่า แล้วมาอ่านบทความของผมเพลิน ๆ กัน
What is GPEN?
G pen คือ ปากกาที่นักเขียนการ์ตูนชอบใช้กันครับ หน้าตาก็จะประมาณรูปด้านล่างครับ
ครับ แค่นั้นครับ ขอบคุณที่เสียเวลาอ่านครับ สวัสดีครับ…
ล้อเล่นครับ 555+
อันเมื่อกี้ก็คือ G pen ครับ แต่ไม่ใช่ GPEN ที่เราจะมาพูดกันในวันนี้นะครับ
GPEN (GIAC Penetration Tester) เป็นหนึ่งใน Cert ของ Pentester ที่ออกโดย GIAC นั่นเองครับ (ผู้ก่อตั้ง GIAC ก็คือ SANS นั่นเองครับ) ซึ่งเกณฑ์ในการผ่านขั้นต่ำอยู่ที่ 74% (Choice + LAB)
ข้อมูลเพิ่มเติม: https://www.giac.org/certification/penetration-tester-gpen
อ่านอะไรบ้าง?
แนะนำให้อ่านตาม SANS SEC560 เลยครับ มีดังนี้
- Comprehensive Pen Test Planning, Scoping, and Recon => เน้นภาพรวมของการทำ Pentest ตามด้วยการเก็บข้อมูล Target เบื้องต้น
- In-Depth Scanning => หัวข้อนี้จะเน้นถึงการทำ Scanning เช่น การ Scan Port เป็นต้น
- Exploitation => อธิบายการโจมตีเครื่องเป้าหมายด้วยเทคนิคต่าง ๆ
- Post-Exploitation and Merciless Pivoting => หลังจาก Exploit ได้แล้วเราจะทำอะไรต่อ เช่น Download ข้อมูลที่สำคัญ, Hack เครื่องอื่น ๆ ใน internal network เป็นต้น
- In-Depth Password Attacks and Web App Pen Testing => พูดถึงการโจมตี Password ด้วยเทคนิคต่าง ๆ และมีการพูดถึง Pentest WebApp อีกนิดหน่อย (น้อยมากกกก)
ข้อมูลเพิ่มเติม: https://www.sans.org/course/network-penetration-testing-ethical-hacking
อ่านแล้วอย่าลืมทำ Flag
จะยี่ห้อใดหรือรูปแบบใดก็ได้ แต่ผมไม่แนะนำให้ใช้แบบกระดาษนะครับ มันจะยุ่ยและขาดง่าย
สาเหตุที่ต้องทำ Flag เพราะว่าข้อสอบเป็นแบบ Openbook แต่ไม่ Open Internet เนื้อหาในแต่ละเล่มก็มีหัวข้อหลากหลาย ถ้าบังเอิญว่าเราลืม Command บางอันในระหว่างสอบ แต่เราจำได้ว่ามีในหนังสือ เราสามารถเปิดตาม Flag ได้ทันทีครับ จะได้ไม่เสียเวลา
ทำ LAB บ่อย ๆ
สิ่งที่ GPEN ต้องการไม่ใช่ให้เรารู้หลาย ๆ tools แต่อยากให้เรารู้ว่าแต่ละ tools ใช้หลักการอะไรในการทำ ทำไมผลลัพธ์ถึงได้แบบนี้ ทำไมถึงเกิด error แบบนี้ แล้วเราจะต้องทำอย่างไรถ้าลูกค้าให้ข้อจำกัด เช่น ห้ามทำเว็บล่ม, ห้ามแก้ไขข้อมูลในส่วนนี้ เป็นต้น
อย่าลืมลองทำ Practice Exam
หลังจากเราจ่ายตังค์ไปแล้ว ท่านจะมีสิทธิ์สอบ 1 ครั้ง และ Practice Exam 2 อัน
ให้เราจำลองว่าตอนนี้เราอยู่ที่ศูนย์สอบจริง ๆ โดยการทำ Practice Exam และก็มีหนังสือของเรา ลองดูว่าตัวเองจะได้ซักกี่คะแนน ทำทันไหม หลังจากทำเสร็จมันก็จะบอกว่าเราอ่อนเรื่องไหนอยู่ ให้เรากับไปทวนเรื่องนั้น ๆ อีกรอบ แล้วค่อยกลับมาทำให้ (แนะนำให้ทิ้งช่วงห่างประมาณ 1 สัปดาห์)
เหตุการณ์ที่เกิดขึ้น
ตอนทำ Practice Exam ครั้งแรกได้ 53%… ใช่ครับ แบบนี้คือตกครับ
ผ่านไป 1 สัปดาห์
ทำ Practice Exam ครั้งที่ 2 ได้ 64% ตกอยู่ดี… อันนี้ใจเริ่มแป้วละ
ทำไมใจแป้ว: ถ้าสอบผ่านที่บริษัทจะออกค่าสอบให้ครับ แต่ถ้าสอบไม่ผ่านต้องจ่ายเองครับ ซึ่งค่าสอบตีเป็นเงินไทยอยู่ที่ประมาณ 60,000 บาท (1 สอบจริง + 2 Practice Exam) แต่ถ้าเอา Course ด้วยจะอยู่ที่ประมาณ 210,000 บาท (โคตรแพงเลยครับ)
หลังจากนั้นก็กลับไปทบทวนให้มากขึ้น แล้วก็จองวันสอบช่วงกลางเดือนพฤษภาคม
วันสอบจริง
ผมได้ลงสมัครศูนย์สอบของ Pearson Vue ที่ พระจอมเกล้าพระนครเหนือ สอบตอนบ่ายโมง มาถึงตอนประมาณ 11 ครึ่ง วนหาที่จอดจนเกือบเที่ยง ใครลงสอบที่นี่ถ้าไม่จำเป็นไม่แนะนำให้รถส่วนตัวมานะครับที่จอดรถน้อยมากกกกก!!!
หาข้าวกินให้เรียบร้อยทำจิตใจให้ผ่อนคลายตั้งสติ
หลังจากนั้นก็เข้าไปที่ศูนย์สอบนำเอกสารไปให้ครบ เจ้าหน้าที่ก็จะทำการตรวจเช็คนู่นนี่นั่น พอถึงเวลาสอบก็เข้าห้องสอบ ตอนนั้นรู้สึกกดดันมากครับ ท่องในใจ 6 หมื่น ๆ ใช้เวลาในการทำเกือบ 3 ชม. เต็ม พอถึงข้อสุดท้ายใจมันเต้นแรงมาก ๆ เลยครับ ความรู้สึกกดดันอยู่เต็มหัวไปหมด พอกดตอบข้อสุดท้ายไปปั้บ!!!!
ผ่านนนนนนนนนนนนนนนนนนนนนน!!!!!
หลังจากนั้นก็จะมี Mail มาถามว่าต้องให้ส่ง Cert แบบใด แบบมีกรอบ กับแบบไม่มีกรอบ ซึ่งถ้าไม่มีกรอบจะส่งฟรีอันนี้แล้วแต่ท่านจะสะดวก
แล้วก็รออีกภายใน 24 ชม. ทาง GIAC ถึงจะบรรจุชื่อผู้มี Cert ของเขา ให้แบบนี้ครับ
GPEN เป็น Cert ที่แพงก็จริง แต่ก็ได้เรียนรู้อะไรหลาย ๆ อย่างเช่นกัน ไม่ว่าจะเป็นการทำ Report แบบไหนถึงจะดูแพง วิถีการรับมือข้อจำกัดต่าง ๆ ในการทำ Pentest และในระหว่างที่อ่านไม่ว่าเราจะอยู่หัวข้อไหนแล้วก็ตาม GPEN จะคอยตอกย้ำเราเสมอว่าเราเป็น Pentester นะ เราไม่ใช่ Hacker ผิดกฎหมาย อย่าลืม Scope ที่คุยกับลูกค้า อย่าลืมว่าในสัญญาเขียนอะไรไว้
ต่อจากนี้คาดว่าจะหาใบ Cert แปลก ๆ ราคาไม่แพงประดับไว้อีกซักตัวภายในปีนี้ ส่วนใครที่อยากจะสอบ GPEN อย่าลืมเตรียมตัวให้ดีนะครับ อ่านและทำ LAB บ่อย ๆ แล้วท่านจะผ่านแน่นอนครับ!!!
ปล. ผมยังไม่ลืมสัญญา Scapy ตอนที่ 2 นะครับบบบบ