未経験おじさんがeJPTv2に合格した話

Contents

1. 受験者のスペック
2. eJPTv2の概要
3. コンテンツの概要
4. 試験の概要
5. 実際の流れ(一例)
6. おすすめの方法

1. 受験者のスペック

公務員,IT,セキュリティと無縁な業務をしています.

応用情報技術者試験合格(2023.3),情報処理安全確保支援士試験合格(2024.10)

GWの休暇を首尾よく獲得したので,これを期に受験してみることにしました.

2. eJPTv2の概要

INE Security社が提供する資格で,ジュニアペネトレーションテスターとして基本的な知識･技能を持つことを保証するものという立ち位置.以下公式サイトから引用します.

INE Security’s eJPT is for entry-level Penetration testers that validates that the individual has the knowledge, skills, and abilities required to fulfill a role as a junior penetration tester.

This certification exam covers Assessment Methodologies, Host and Network Auditing, Host and Network Penetration Testing, and Web Application Penetration Testing.

This exam is designed to be the first milestone certification for someone with little to no experience in cybersecurity, simulating the skills utilized during a real-world engagement. This exam truly shows that the candidate has what it takes to be part of a high-performing penetration testing team.

eJPT Certification

Pual Jerimy氏のサイトではCEH(認定ホワイトハッカー)の一段上とされています.コース及び試験の感想は以下で述べますが,ペネトレーションテスターの実技試験としては非常に基礎的だったと感じました.(基礎的≠簡単,初歩的. 私は特にペネトレ実技については初心者であったため勉強になったし,試験も決して簡単ではなかった.)

Security Certification Roadmap - Paul Jerimy Media

3.コンテンツの概要

基本的な流れは動画での座学→Labでの実技でした. ブラウザ上で仮想マシンにアクセスしアタックします.基本的にLabでやるべきことは動画で説明されますが,WriteUpがついているのでそれを見てやってもいいです.

4. 試験の内容

試験は48時間ぶっ続けです.特に監視されることもなく,自由に休憩できます.調べ物ももちろん自由です.

5. 実際の流れ(一例)

5.1. コンテンツで学ぶ

私はペネトレーションについては全くの初心者だったため,とりあえず最初から動画コンテンツを見て,Notionでノートを取りつつ学びました.内容はネットワークやセキュリティの基本的事項からポートスキャン,Exploit-DBなどを用いた情報収集,NmapスクリプトやHydra,Metasploit Frameworkを用いたエクスプロイト,権限昇格やハッシュダンプなどのポストエクスプロイトまで一通りあります.中にはターゲット端末を踏み台にするPivotもあって割合網羅的だと感じました.

基本的にはMetasploit Frameworkを使用するかHydraなどでBrute Forceをするかといったところで,複雑な攻撃手法を要するLabは見られません.内容のレベルとしてはIPUSIRON氏の『ハッキング･ラボのつくりかた』とかなり重複すると思います.

5.2. 試験を受ける

私は2023年のBlack Fridayで安くなったときにサブスクライブしました.eJPTv2を一回受けられるバウチャー付きのについては1年間利用できるコース,｢Fundamental Annual Subscription｣でしたが,実はeJPTの受験バウチャーは半年ほどしか有効期限がないようで,｢5月◯◯日にExpireするよ!｣と書いてあることにあとから気づきました.GW中に受験するしかないと思い,4月に入ってからはかなり急いでコンテンツを消費していたと思います.

GWになって焦ってコンテンツを消費した.

そんな感じでコンテンツをすべて消費したあと,GWの休みを利用してすべてのLabをもう一度攻略しました.内容自体は大したことはないはずですが,やはり初めの方のLabなどは内容を忘れているところもあったため,覚えていなかったLabの名前を控えて翌日以降再チャレンジなどしていました.また,簡単なCheat Sheetを作成して試験に備えました.

GWも終盤に差し掛かる頃には復習も一通り終わったので,意を決してStart Examのボタンを押し,試験を開始しました.

Lab環境は一つだけ立ち上げます.私の環境だと最初のデスクトップには特に何もなく,まずアクセスできるホストを探すところからでした.

攻略対象マシンは探すと複数出てきたので,とりあえずNmapで基本的なスキャンをしていきました.コースのLabにあった通りのやり方で行けたものもあれば,全くわからなかったためにインターネットで色々調べ物をして,どこぞの誰かがGithubにあげていたPoCを使ってエクスプロイトをしたものもあります.全く攻略しなかったマシンもありました.(本当なら攻略できたかもしれないが詳細は不明)

出題形式

問題の形式は基本的に選択式です.選択肢がヒントになっているものもあります.記述式のものもあり,中には一度答えを登録すると変更できないものもあります.｢動的ハッシュ値｣というものらしく,おそらくその時走っているLabと連動して回答を見るようになっているのだと思われます.

最初の半日では一つも攻略できなかったので,結構焦りました.｢300ドルもかけたし半年弱もこれに時間使ったのにな･･･｣と弱気になってしまったので,気分転換に散歩に行ったりしていました.改めて戻ってみるとやってない情報収集があることに気づいたので,色々試して夜中近くになってやっと1台攻略できたのを覚えています.それからもじわじわ攻略をすすめていきました.

ところでこの試験はOSCPにあるようなツールの制限がありません.Metasploit Framework使い放題なので,前提知識をしっかり持っている人はうまく使って時間短縮を図るとよいと思います.

というわけで2日目の夕方に差し掛かる頃になると,｢できること全部やったな･･･｣となりました.問題は全部で35問あり,そのうち5問ほどは分からないままでした.動的なハッシュ値を入れる問題など当てずっぽうが聞かないものもあったので,選択式はとりあえずすべて埋めてSubmit Examを押しました.

合格&試験結果の発表画面

緑色のCongratulations!を見た瞬間ガッツポーズでした.ペネトレーション実技としては入門にあたる試験とはいえ,高い金と長い時間が報われた気がして嬉しかったです.

合格するとPDFのサーティフィケーションとeJPTのバッジがもらえます.色んなところに使って自慢しましょう.

6. おすすめの方法

今から振り返ると,合格したとはいえかなり無駄な時間の使い方をしてしまったと反省する部分もあります.最短の時間で効率的にeJPTがほしい方に,私の経験から考えられる最もコスパ･タイパの良い方法を提案しておきます.

基本･応用情報レベルの知識がない方

とりあえずネットワークなどの知識,Linuxの基本的なコマンドは必要です.他にもBurp Suiteの使用法や基本的なWebアプリケーションの攻撃手法を知っておく必要があります.必要な知識はすべて動画コンテンツで示されているので,ガツガツ見ていきましょう.その後LabのWriteUPを見て,見様見真似でマシンを攻略します.全部終わったらもう一度Labを解き直して.知識の整理をしましょう.ここまでくれば受験できるくらいには知識があるはずなので,自分を信じてExam Startです.

基本･応用レベルの知識がある方

動画コンテンツは無理に全部見る必要はないです.特に知識を仕入れるだけの座学動画については,全部すっ飛ばしてもいいと思います.それよりLabのWriteUPを読みましょう.WriteUPで攻略手法を一瞥したあとはマシンを攻略する実技を通して,あなたがすでに持っているセキュリティの知識を手を動かしながら学び直しましょう.2週ほどすれば大体ペネトレの基本的な流れを手が覚えるので,自分で調べる方法さえ知っていれば受験できるレベルになっているはずです.

取る価値があるか?について

OSCPやHacktheBox AcademyのCPTSのような知名度はないですが,セキュリティ分野の実践的な知識を得る上で超基本的なところからスタートしているという点が良いと思いました.将来的にセキュリティ分野に進むかどうか,進んだとしてマネジメント系か開発系かなど,様々な進路があると思います.どんな方面に進むにしても,セキュリティエンジニアとして生きていくために最低限必要な技能を習得できる資格だと感じました.

一つ残念なことは,ペネトレーション一般のコースであるにもかかわらずWebアプリケーションの攻略手法解説が非常に少ないことです.SQLインジェクションやBurp Suiteを用いたブルートフォース,簡単なCSRFなど基本的なところは抑えていますが,本当にそれだけです.

一番下がWebアプリケーションの攻略手法解説コース.他のコースに比べて時間が短い.ラボの解説内容もベーシックな攻略に限られる.

もちろんコースの内容から進んだことは自分で学ぶべきですしWebアプリケーション攻撃はこのコースの主眼ではありませんが,内容として貧弱な感は否めません.

現実に脆弱性が気になる場面の多くはWebアプリケーションの作り方が重要になっています.Webアプリケーションの攻撃手法について知識を深めたい方は,同社のeWPT(Web Penetration Tester) や定番の『徳丸本』で改めて勉強する必要があると思います.