eJPT Review [2023]. Mi experiencia con la certificación

Introducción. ¿Por qué certificarse?

Es muy complicado medir los conocimientos y capacidades de un individuo en materia de Ciberseguridad. La ciberseguridad es una materia extensa y, por regla general, los reclutadores de las empresas tienen conocimientos muy básicos o nulos de esta rama. Aquí es donde entran en juego las certificaciones como la eJPT.

Para las personas que no conocen el grado de profundidad con el que controlas una materia, las certificaciones que puedas ostentar en ese campo actúan como carta de presentación. Es por eso que en las ramas técnicas, sobre todo de la informática, son más valoradas las certificaciones que estar en posesión de unos estudios reglados de grado universitario.

Si no sabes todavía lo que es el Red Team, quizás te interese leer antes esta entrada: ¿Qué es Red Team? ¡Los malos buenos!

eJPT. La certificación

La certificación eJPT o «Junior Penetration Tester» es una certificación desarrollada por INE (antes conocida como ElearnSecurity) que, como su nombre indica, se dirige a personas que se están introduciendo en el mundo de la ciberseguridad y, más exactamente, en el Pentesting.

Precio

En materia económica que, aunque no nos guste, suele ser un limitante para muchos de nosotros; podemos decir que la certificación eJPT es bastante económica. Más si cabe si la comparamos con el precio de la certificación más popular en la actualidad, la OSCP, que ronda los 1600€.

El derecho a examen de la certificación eJPT se ofrece en la página web de INE por 200$. Este incluye dos oportunidades para aprobar el examen con hasta 180 días de diferencia entre los dos.

INE también ofrece un curso de preparación para el examen conocido como PTS o «Penetration Tester Student«. El curso está incluido en el Fundamental Pass, es decir, la suscripción estándar de su escuela online de INE. La suscripción mensual cuesta 39$ al mes y la anual 299$.

Yo me decanté por la suscripción anual, ya que aprovechando un descuento temporal (los suelen poner de vez en cuando) pude pagar 260$ por la suscripción anual y con ella se incluían el acceso a examen de la eJPT y la ICCA (INE Certified Cloud Associate).

Dificultad

La eJPT es, como su propio nombre indica, una certificación de Pentesting básica. Esto significa que los contenidos que toca son básicos en lo que se refiere a Pentesting, no así a informática.

Es decir, tanto en el curso como durante el examen, se supone que el alumno posee conocimientos bien asentados sobre redes y sistemas operativos (tanto Linux como Windows).

Como podemos ver en este roadmap de certificaciones, la certificación eJPT se encuentra en la parte más alta de las orientadas a principiantes.

Si pinchas en las imágenes de esta entrada se abren en grande en una pestaña nueva.

Contenido

Como la propia empresa dice, se evalúan cuatro dominios diferentes:

• Metodologías de Evaluación (25%).
  • Encontrar Endpoints en una red.
  • Identificar puertos abiertos y servicios en un objetivo.
  • Identificar el sistema operativo de un objetivo.
  • Extraer información de una compañía utilizando OSINT.
  • Recolectar direcciones de email utilizando OSINT.
  • Recolectar información técnica utilizando OSINT.
• Auditoría de Hosts y Redes (25%).
  • Identificar vulnerabilidades en Servicios.
  • Evaluar información e identificar el impacto de una vulnerabilidad.
• Pentesting de Hosts y Redes (35%).
  • Compilar información de archivos en el objetivo.
  • Enumerar información de la red desde archivos en el objetivo.
  • Enumerar información del sistema en el objetivo.
  • Recolectar información de usuarios en el objetivo.
  • Transferir archivos desde o a el objetivo.
  • Recolectar Hashes y Contraseñas en texto plano en el objetivo.
  • Identificar y modificar exploits.
  • Llevar a cabo la fase de explotación de vulnerabilidades con Metasploit.
  • Realizar Pivoting añadiendo rutas y mediante port forwarding.
  • Llevar a cabo ataques de fuerza bruta para crackear hashes.
• Pentesting de Aplicaciones Web (15%).
  • Identificar vulnerabilidades en aplicaciones web.
  • Localizar archivos y directorios ocultos.
  • Llevar a cabo ataques de fuerza bruta a páginas de login.
  • Reconocimiento de aplicaciones web.

Público Objetivo

La certificación eJPT va dirigida a cualquiera que, con conocimientos previos de informática general o específicos de otros ámbitos, quiera iniciar su carrera en la ciberseguridad o ampliar sus conocimientos.

Esto engloba a profesionales como: administradores de sistema, managers de proyectos de IT, desarrolladores de software, proveedores de servicios, oficiales de seguridad de la información o ingenieros/analistas de seguridad.

De la misma manera, si te gusta la ciberseguridad y quieres aprender con una buena base, también va dirigida a ti.

eJPT. Mi experiencia

Ahora que ya hemos visto en profundidad en qué consiste la certificación eJPT, os voy a mostrar mi experiencia. Diré tanto las cosas buenas como las malas y al finalizar daré unos cuantos consejos de cara al examen, sin hacer spoiler.

Preparación

Para este apartado voy a tener en cuenta toda mi preparación en ciberseguridad para que nadie que lo lea se lleve una impresión equivocada.

En 2021 hice un estudio tipo Máster de la empresa Comunix Group llamado «Máster en Ciberseguridad y Hacking ético» que me permitió sentar las bases de informática necesarias para comenzar mi carrera en ciberseguridad.

Desde 2021 a 2023 seguí utilizando mi tiempo libre para estudiar ciberseguridad mientras trabajaba para la Fuerzas Armadas en un puesto nada relacionado con la informática. En este periodo llegué a conseguir el rango de «Hacker» en HackTheBox con 25 máquinas comprometidas y varios Challenges superados.

La preparación específica del examen la hice con el curso PTS de la escuela electrónica de INE. Como lo tuve que compaginar con el trabajo, además en un periodo muy exigente del año, tardé en torno a 4 meses en terminarlo.

Una vez terminado el curso, me lancé a hacer el examen sin ninguna preparación extra.

Penetration Testing Student

El curso, que es más un grupo de cursos, cuenta con aproximadamente 150 horas de clases grabadas repartidas en 12 cursos que a su vez se dividen en las cuatro secciones que se evaluan en la certificación.

Su contenido es muy amplio y está bastante bien estructurado con preguntas tipo test para comprobar que has entendido las clases y laboratorios prácticos que permiten poner en práctica lo que has estudiado. Las teóricas las dan dos profesores diferentes que se reparten por cursos, es decir, cada uno da un curso completo.

Yo decidí tomar apuntes por mi cuenta utilizando un CherryTree que luego utilicé también para tomar las notas del examen. Puedo decir, sin miedo a equivocarme, que esta práctica es la que ha hecho que realmente le saque partido al curso.

Sin embargo, he de decir que, aunque el curso es de gran utilidad, hay una serie de puntos que no me convencieron:

• Las preguntas tipo test son, en muchos casos, inútiles. Me explico, si acabo de ver una clase en la que me enseñan a utilizar el comando nmap y luego me preguntan cual es la flag para definir el puerto y me dan de opciones: -Pn, -sV, -o y -p… No creo que esa pregunta tenga ningún efecto de aprendizaje.
• Por otro lado, los laboratorios pueden hacerse bastante repetitivos. Soy consciente de que es muy complicado hacer tantos laboratorios diferentes pero también creo que hacer 121 laboratorios (que tiene el curso) reutilizando las mismas 5 vulnerabilidades hace que la experiencia sea repetitiva por definición.
• Los profesores (que son dos) tienen enfoques diferentes a la hora de dar sus clases. Esto no es malo en sí mismo pero si hace que al finalizar el curso te des cuenta de que un enfoque es mejor que otro (o te ha servido más a tí a título personal).

Para concluir, creo que el curso PTS es más que suficiente para ir preparado al examen eJPT, siempre y cuando hayas entendido e interiorizado todos los conceptos que se dan a lo largo del curso.

Examen eJPT

El examen de eJPT consta de 35 preguntas tipo test con 4 posibles respuestas y de un laboratorio al que te conectas a través del navegador y donde te dan acceso a una maquina Kali Linux que está conectada a la red objetivo. Tienes 48 horas para finalizar el examen, tiempo más que de sobra.

El objetivo es realizar un Penetration Test de tipo Black Box a la red objetivo y a todas las redes internas a las que tengamos acceso durante el proceso. Con la información que vayamos obteniendo durante el proceso podremos ir contestando a las preguntas del examen.

En mi caso, el examen lo empecé un viernes a las 15.00 horas, justo al volver del trabajo y pensando en poder exprimir al máximo las 48 horas que tenía de margen durante el fin de semana. Es importante elegir la hora que mejor te convenga para empezar y dejar dicho tanto en el trabajo como a tus seres queridos que esas horas no vas a estar disponible para ellos.

Había comido justo antes de comenzar el examen así que pude ponerme a trabajar de una sentada hasta la hora de la cena, que en mi caso fueron las 22.00. Cené una pizza mientras hablaba por teléfono con mi pareja (viene bien desconectar de vez en cuando durante el examen). Después de cenar seguí hasta la 01.00 del sábado, hora a la que me metí a la cama. Dormí 6 horas.

En este momento estaba sorprendido pues, sin ir acelerado, había conseguido contestar ya a 28 de las 30 preguntas del examen y había conseguido acceso de administrador a la mayoría de los objetivos. Así que me fui a la cama tranquilo y pensando que todavía quedaban muchas horas.

Al día siguiente me desperté a las 08.00 y al sentarme al ordenador me llevé la sorpresa de que no tenía servicio de internet. Ni en el móvil ni por wifi. Estaba tranquilo por que sabía que tenía tiempo de sobra así que llamé al proveedor y me dijeron «todo está bien, deberías tener acceso a internet». Sin embargo, a las 09.00 seguía sin acceso así que comencé a preocuparme. A las 09.30 volvía a tener servicio y todo había quedado en un susto.

Trabajé en el examen hasta las 14.00 del sábado, hora a la que tenía todas las preguntas respondidas y había comprobado las respuestas de todas ellas dos veces. Paré a comer y descansé hasta las 18.00.

A las 18.00, cuando quedaban 20 horas de examen, volví a comprobar las respuestas una vez más y envié el examen para su evaluación mientras hacía una videollamada con mi pareja (hay que estar juntos en estos momentos).

Unos segundos después recibí la pantalla de «Congratulations! You passed» con los resultados del examen: 88 sobre 100.

Consejos para el eJPT

Por último me gustaría daros unos consejos por si algún día os presentáis al examen y os pudieran ser de utilidad:

• Ten a mano tus apuntes del curso PTS o los que te hayas hecho para prepararte para el examen. La información que necesitas está ahí, aunque tengas que utilizar la imaginación.
• Las herramientas que necesitas están en la máquina. Si se te ha ocurrido una vía de explotación para la cual no tienes herramienta instalada, busca alternativas. Si no hay alternativas, esa no era la vía.
• Enumera todo lo posible. Enumera todos los servicios que encuentres en todos los host que encuentres en todas las redes que encuentres. No es un CTF, la vía de entrada puede estar en cualquier lugar, no solo en una explotación compleja (como suele ocurrir en HackTheBox).
• Toma notas de todo lo que hayas enumerado. Puede ser útil en el futuro y te puede permitir revisarlo mientras esperas a que otra tarea termine. Yo utilicé CherryTree.
• La Fuerza Bruta es una de las capacidades que se evalúan en este examen. Si no encuentras otra forma, no pierdes nada por probar con fuerza bruta.
• El uso de Metasploit Framework también es una de las capacidades que se evalúan en el examen. No te sientas mal por sacarle el máximo partido posible. Sin embargo, si no funciona, sigue existiendo la forma artesana.
• No te rindas. Sigue enumerando y probando cosas. Si no encuentras la solución, repite los pasos de Reconocimiento por si te has dejado algún puerto por analizar o alguna página oculta por descubrir.
• Y sobre todo: ¡Disfruta! no siempre tenemos acceso a una red empresarial que simula una real y encima nos premian con una certificación. Aprovecha la situación y no dejes que la presión te quite la diversión.

Conclusión

He disfrutado mucho preparando y enfrentándome al examen de la certificación eJPT. Es una experiencia muy valiosa que atesoraré en el recuerdo y que me va a permitir seguir avanzando hacia adelante en el mundo de la Ciberseguridad.

Si te estás planteando si hacerla o no, yo no puedo más que animarte a ello. Es una de las certificaciones más baratas del mercado y, en proporción, la calidad y el aprendizaje que aportan a un Junior no tienen precio.

Mi siguiente paso es seguir avanzando, aprender más de Web Application Hacking, de Active Directory, de Exploiting y, poco a poco, acercarme al día en que esté preparado para el OSCP.

¡Deseadme suerte!