แชร์ประสบการณ์สอบ TCM PJPT – เข้าสู่สาย “เจาะระบบ” ครั้งแรกของคนไม่มีประสบการณ์

ห่างหายจากการสอบเซอร์ไปนาน วันนี้ผมกลับมาพร้อมกับใบเซอร์ PJPT (Practical Junior Penetration Tester) จากค่าย TCM Security ที่ผมเคยสอบ PMRP (Malware Analysis) ไปแล้ว อ่านบทความที่นี่ รอบนี้เรามาสายเจาะระบบ ไปดูรีวิวกันเล้ย

ทำไมถึงมาสอบเซอร์ด้าน Pentest

หลังจากซบค่ายฟ้ามานาน รอบนี้ขอหันมาซบค่ายแดงกันบ้าง แต่เดี๋ยวก่อน !! ไม่ใช่ Intel – AMD นะครับ เพราะค่ายฟ้าและค่ายแดงในที่นี้หมายถึง Blue Team คือสายที่เน้นการวางแผนระบบป้องกันการโจมตีด้าน Cybersecurity ส่วน Red Team คือสายที่เน้นการเจาะระบบเพื่อหาช่องโหว่ต่าง ๆ นำไปพัฒนาระบบให้แข็งแกร่งขึ้น ซึ่งสายแดงเขาจะมีความเป็น Hacker หน่อย ๆ แต่เป็นด้านดีนะครับ

ซึ่งสาย Red Team ไม่ใช่ทางที่ผมถนัดเอาเสียเลย เพราะเคยลองทำแล้วรู้สึกเครียด ไม่ค่อยสนุกเท่าไร ผิดกับสาย Blue Team ที่ผมค่อนข้างถนัดกว่า แม้กระทั่งตอนทำ Malware Analysis ตอนสอบ PMRP ยังรู้สึกเครียดน้อยกว่า (นิดนึง)

แต่มีเหตุผลบางอย่างที่ทำให้ผม (ต้อง) ลองมาศึกษาสาย Red Team และเริ่มต้นสอบเซอร์ระดับ Entry พอดีกับที่ช่วงนี้ TCM Security เขาทำโปรลดราคาเซอร์พร้อมคอร์สเรียน เหลือ 199 ดอลลาร์ จาก 294 ดอลลาร์ครับ ผมก็ไม่รอช้ารีบซื้อมาทันที อย่างน้อยมีเซอร์สาย Red Team ติดไว้สักหน่อยได้เอาไว้ประดับ CV ครับ

คอร์สเรียน Practical Ethical Hacking

คอร์สเรียนที่แถมมาจากเป็นคอร์สที่ชื่อว่า Practical Ethical Hacking หรือ PEH ซึ่งจริง ๆ มันเป็นคอร์สที่ใช้เตรียมสอบ PNPT เซอร์ที่ Advanced ขึ้นมาจาก PJPT แต่มันมีพาร์ทส่วนหนึ่งที่ใช้ในการสอบ PJPT ได้ด้วย ผมก็ศึกษาจากในคอร์สนั้น และหาเรียนเพิ่มเติมจาก YouTube และ LinkedIn ครับ

ซึ่งพาร์ทที่จะออกสอบใน PJPT คือส่วนของ Active Directory หรือ AD เนื่องจากผมไม่มีประสบการณ์ในการทำงานในสายนี้มาก่อนเลย (เอาจริง ๆ ผมก็ไม่เคยทำงาน Cybersecurity หรอกนะ 5555) จึงไม่แน่ใจว่าเนื้อหา AD ใน PEH ครอบคลุมการทำ Pentest ในความเป็นจริงแค่ไหน ฝากคนที่ทำงานด้านนี้และเคยเรียน PEH มารีวิวอีกทีนะครับ

อย่างไรก็ตาม เนื้อหาใน AD ที่สอนถือว่าครบถ้วนครับ มีสอนการเซตอัปแลปและพาเจาะช่องโหว่อย่างเป็นระบบ และโดยเฉพาะอย่างยิ่งกับคนที่เพิ่งได้เข้ามาลองเรียน Pentest อย่างผม ผมว่ามันน่าตื่นตาตื่นใจมากที่ได้ลองเจาะระบบ

*บางคนอาจจะไม่ชอบการเซตอัปแลปในช่วงแรกนะครับ ผมก็เป็นหนึ่งในนั้นที่รู้สึกว่าทำไมมันยุ่งยากจัง แต่จริง ๆ แล้วถ้าเราได้เซตด้วยตัวเอง มันทำให้เราได้เห็นมุมมองในจุดของคนตั้งระบบด้วย ว่าจุดไหนที่ทำให้ระบบมีช่องโหว่

การสอบ PJPT

ในการสอบของค่าย TCM Security จะเป็นการสอบปฏิบัติ 100% เราจะต้องติดตั้ง Kali linux ให้เรียบร้อย (ซึ่งเราต้องติดตั้งไว้แล้วล่ะเพราะเราเรียน PEH กันไปแล้ว) และเขาจะระบบให้เราเชื่อมต่อผ่าน VPN

การสอบจะมีเวลาให้ 4 วัน แบ่งเป็น 2 วันแรกให้เจาะระบบ AD ให้หนำใจ เมื่อครบเวลา 48 ชั่วโมง ไม่ว่าเราจะเจาะเสร็จแล้วหรือไม่ ระบบจะปิดลงทันที เราจะต้องแคปภาพทุกขั้นตอนการเจาะระบบไว้ให้ครบถ้วนด้วย ผมเห็นหลายคนใน Reddit ตกม้าตายเพราะไม่แคปหน้าจอให้ครบ พอต้องเขียนรายงานเลยไม่มีรูปภาพยืนยัน

จากนั้นจะถึงช่วงของ 2 วันหลังที่เป็นเวลาของการเขียนรายงานครับ ทาง TCM จะมีเทมเพลตมาให้ ผมแนะนำอย่างยิ่งว่าให้ยึดเทมเพลตของเขาเป็นหลัก และต้องอ่านเอกสาร ROE ให้ครบถ้วนด้วยนะครับว่าในการสอบครั้งนี้เขาต้องการอะไรบ้าง ไม่งั้นอาจจะทำรายงานผิดวัตถุประสงค์ได้ครับ

เมื่อส่งรายงานแล้วก็รออีกไม่เกิน 3 วัน จะได้รับผลการสอบในครั้งนี้ อ้อ!! ที่สำคัญคือ TCM ใจดีให้เราสอบได้ 2 ครั้งครับ ถ้าครั้งแรกเราไม่ผ่านเขาจะให้คำแนะนำเรามานิดนึง ก่อนที่เราจะเตรียมตัวอีกครั้งเพื่อรอสอบรอบถัดไป โดยการจะได้คำแนะนำมานั้น เราจะต้องส่งรายงานด้วยนะครับ ถ้าใครไม่กดส่งรายงานเขาก็จะไม่ให้คำแนะนำอะไรเลย

ประสบการณ์สอบของคนไม่มีประสบการณ์ทำงาน

ผมใช้เวลาเรียน PEH ในส่วน AD อยู่ประมาณ 10 วัน เนื้อหามันไม่ได้เยอะมากครับ นั่งเรียนช่วงเย็นหลังเลิกงานได้สบาย ๆ เมื่อพร้อมสอบผมก็กด Start ทันที

หลักการของการเจาะระบบ AD คือทำให้เราสามารถเข้าไปในส่วนของ Domain Controller และสร้าง Persistent strategy ให้ได้ ซึ่งในช่วงแรกผมเจาะได้ไหลลื่นมากครับ แต่พอต้องมาเข้าสู่ DC ผมกลับสะดุด ไปต่อไม่ได้ ทำยังไงมันก็เข้าไม่ได้สักที

ประกอบกับช่วงนั้นงานผมก็ยุ่ง ๆ ทำให้เวลาของการเจาะระบบ 2 วันแรกมันจบลงไป โดยที่ผมไม่ได้เต็มที่กับมัน ผมได้แต่เขียนรายงานที่ไม่ครบถ้วนส่งไป และใช่ครับผมไม่ผ่านการสอบรอบแรก….

หลังจากนั้นไม่นานผมก็ได้รับคำแนะนำกลับมาจากทาง TCM ซึ่งเขาก็ไม่ถึงกับใบ้ให้เรารู้วิธีการหรอกนะ แต่ไม่รู้ด้วยเหตุผลกลใดคำแนะนำของ TCM มันไปกระตุกต่อมตรัสรู้ของผม เท่านั้นล่ะผมรู้แล้วว่าผมพลาดจุดไหน ผมจึงรีบกลับไปเริ่มทำข้อสอบรอบ 2 ทันที

หลังจากนั้นตอนที่ผมทำข้อสอบรอบ 2 ผมเริ่มทำตั้งแต่ตอน 14.00 น. ของวันนั้น และเจาะระบบเสร็จเมื่อช่วง 16.00 น. พอผมเจาะได้ครบหมดแล้ว ผมก็พักสายตาและเตรียมตัวไปทำงานต่อที่คลินิกตอนช่วง 17.00 น. จากนั้นจึงค่อยกลับมานั่งเขียนรายงานต่อ ตั้งแต่ 21.00 น.ที่กลับมาถึงบ้าน จนถึง 1.20 น. รายงานผมก็เสร็จเรียบร้อย โดยไม่ตรวจทานใด ๆ ผมกดส่งรายงานในทันที (เพราะง่วงนอนแล้ว)

เท่ากับว่าผมใช้เวลาทำข้อสอบครั้งนี้ราว ๆ 6 ชั่วโมงเท่านั้น ในวันถัดมาผมนั่งรอผลสอบมาเรื่อย ๆ จนกระทั่งได้ทราบผลในช่วง 18.00 น. ครับ สรุปคือ สอบผ่านแล้ว !!

PJPT: แนะนำให้สอบไหม?

สำหรับเซอร์ PJPT จะเป็นเซอร์กลุ่ม Associate ถ้าเป็นปริญญาก็จะฟีลอนุปริญญาครับ ถือเป็นการบทตนเองเข้าสู่ด้านนี้ ดังนั้น ถ้าใครอยากลองมีประสบการณ์เซอร์ในกลุ่ม Associate ถือเป็นการเริ่มต้นที่ดี

อย่างไรก็ตาม ในแง่ของการนำไปใช้หางาน ผมมองว่าค่อนข้างยากหน่อย ยกเว้นเอาไว้ใช้ประดับ CV ด้วยความที่เนื้อหาเน้นที่ AD pentest ในขณะที่การเจาะระบบมันมีทั้ง Web app และ Network เพราะฉะนั้นถ้าสอบ PJPT ไปแล้ว เป็นหลักประกันว่าเราพร้อมทำงานไหม ก็ค่อนข้างเป็นไปได้ยาก นอกจากนี้ผมยังไม่เห็นเซอร์นี้ในลิสต์ของ HR ครับ

แต่ถ้าอยากลองเรียนและสอบ เพื่อ Challenge ตัวเองดูว่าเหมาะกับงานด้าน Pentest หรือเปล่า ผมว่า PJPT คือตัวเลือกที่ดีมาก ๆ ข้อสอบจริง ๆ ไม่ได้ยากขนาดนั้นเลยครับ เป็นการฝึกสร้าง Pentester mindset ที่ดี และค่าย TCM เองเขาก็เน้นสอบแบบได้ปฏิบัติเองจริง ๆ พร้อมเขียนรายงานด้วย ยิ่งแนะนำให้ไปลองกันครับ

ส่วนตัวผมสถานีถัดไปน่าจะได้เตรียมสอบ PWPA เป็นเซอร์ด้าน Web pentest ระดับเริ่มต้น แต่เดี๋ยวคงหาเวลาว่าง ๆ นั่งเรียนก่อนครับ อิอิ