ETIC Solutions S.A.S

A) El hacking ético NO ES Pentest

Lo escuchamos en internet; ‘La certificación XXX es mejor que una de CEH porque en en la XXX se hace una prueba de penetración real y se envía un informe’. La comparación no solo es inexacta; aquellos que lo hacen malinterpretan la naturaleza y el contenido del curso de CEH y el examen de certificación. Existe una razón por la que el CEH no tiene un componente de informe de penetración; eso es porque el este no es una certificación de pruebas de penetración .

El curso y el certificado de CEH proporcionan una base amplia a todos los profesionales de la ciberseguridad, no solo a los pentester. Las pruebas de penetración representan un porcentaje pequeño de todos los trabajos de ciberseguridad, aunque sin duda, estos atraen la mayor atención en ciberseguridad, pero está lejos del mayor número de ofertas de trabajo.

Por ejemplo: uno o dos pentester pueden realizar una prueba de manera efectiva en toda una empresa, pero para defender esa misma empresa las 24 horas del día, los 7 días de la semana, se requiere de 3 a 5 empleados por cada dependencia que necesite cobertura . Dicho de otra manera, si un SOC necesita un staff de 8 personas para cada turno, entonces el SOC debe contratar entre 24 y 40 empleados para que esté completamente operativo 24/7/365, esto significa que por cada trabajo de prueba de penetración, hay aproximadamente 20 veces más trabajos de defensa.

CEH es un curso fundamental y lo califica para una amplia gama de carreras dentro de la ciberseguridad, basta con echar un vistazo a la 8570 mapping. Una persona certificada en CEH es requerida para 4 trabajos diferentes, incluyendo un respondedor de incidentes y auditor, por eso, al criticar el certificado de CEH por ser algo que no es, no solo se está demostrando falta de comprensión del curso, sino también el mercado laboral.

B) ANSI es muy importante

Cualquiera puede hacer y enseñar un curso, hacer una prueba e imprimir un certificado, es decir, el hecho de que pueda construir un laboratorio y ejecutar algunas máquinas virtuales no significa que su curso, examen y laboratorios sigan principios educativos sólidos. Cualquiera puede escribir una prueba que nadie puede pasar, del mismo modo, cualquiera puede escribir una prueba que cualquiera puede pasar, significando que no todas las certificaciones son iguales. Por lo anterior, una de las preguntas más importantes que debe hacer acerca de la ruta de certificación que tome es: ¿tiene la certificación ANSI?

ANSI es un organismo de certificación que utiliza estándares internacionales para garantizar que su certificación cumpla con los criterios adecuados, este proceso requiere mucho tiempo y es riguroso, pero su propósito es claro: Proporcionar la verificación de terceros que su programa de certificación cumple con los más altos estándares, está diseñado con principios de aprendizaje sólidos y puede mover una fuerza laboral impulsada por la competencia. Para verificar lo anterior se puede dirigir al sitio web de ANSI y observe quién reconoce la certificación ANSI afirmando que “proporciona confianza en los resultados de un programa acreditado”: el DoD de los EE. UU, adicional ANSI es el único programa de acreditación reconocido por 8570. No inviertas en un curso de certificación porque algún blog dijo que era un buen certificado, tómese el tiempo, investigue e invierta en una certificación acreditada por un tercero y reconocida en toda la industria. Cualquiera puede hacer un laboratorio y ofrecer una certificación cualquiera puede publicar en Internet, pero, NO cualquier persona puede lograr la certificación ANSI.

C) Asegúrese que su certificado sea reconocido en todo el mundo, especialmente en DoD 8570

Si quiere conseguir un trabajo en ciberseguridad. ¿Has oído hablar de DoD 8570? Si no es así, aquí está el resumen rápido: cualquier persona que quiera trabajar en una red del gobierno de EE. UU necesita un certificado listado en 8570. Es así de simple, esto aplica para redes gubernamentales y militares, personas o contratistas que trabajan directamente para el gobierno, no es una opción, no es negociable. A 8570 no le importa cómo se siente sobre el tema o si cree que su impresionante certificado, el cual no está en la lista, debería tenerse en cuenta.

Está bien si no está de acuerdo con 8570, si piensa mal de las certificaciones que se enumeran allí, sin embargo, tenga en cuenta que el gobierno de los EE. UU (Incluido el DoD) y los contratistas que los apoyan, representan la mayor bolsa de trabajo de ciberseguridad en el mundo,por eso, haga su investigación, tome el control de su carrera y sea dueño de su éxito.

D) Consideraciones de costo

¿Cuánto vale su futuro? Invertir en su futuro requiere reflexión. Algunos programas de certificados cuestan un par de cientos de dólares, otros más de $ 5,000 (más hotel, tarifa aérea y comida), entonces, ¿cómo elegir cuál? ¿Cuánto dinero quieres gastar? Si está obteniendo esta certificación para su primer trabajo, debe comprender algo, no recuperará su dinero, su empleador no se lo reembolsará, esta es su inversión en usted y su futuro.

Una cosa a tener en cuenta: El costo del certificado incorrecto no es solo el dinero que gastó en los materiales y el examen, sino también el tiempo que pasó estudiando y el tiempo y el dinero que deberá gastar nuevamente para obtener el certificado correcto. Por ejemplo, elige ahorrar dinero e ir con un certificado más barato, el cual cuesta $349 y 60 días de estudio. Obtienes el certificado, pero aún no puedes conseguir un trabajo, en las pocas entrevistas que recibe, todas vuelven a lo mismo, necesita un certificado diferente, por eso, ahora decide ir a buscar el otro certificado. Ya el costo de ese certificado no es de $ 1899 más los 60 días de estudio, el costo real en dólares ahora es de $ 349 + $ 1899 + ingresos perdidos. El costo del tiempo real es de 60 días + 60 días + el tiempo entre búsquedas de trabajo.

Por eso se debe ser inteligente a la hora de tomar la decisión. Decidirse por el precio ahora, puede costarle más tarde.

E) Plataforma de laboratorio práctica

Todo el mundo tiene una plataforma de laboratorio práctica, quédese en este campo y verá cualquier número de laboratorios, todos ofrecen cosas similares: ‘Podemos construir una red de 1,000 máquinas en una hora’ y ‘probar sus habilidades aquí’. Todos ellos también fallan en la misma cosa: comentarios útiles, los laboratorios de seguridad cibernética son casi inútiles sin una evaluación y retroalimentación integrada, es decir, esto es como ir a un campo de tiro y disparar solo, no hay comentarios más allá de si golpea o no el objetivo donde lo desea. Nadie está ahí para proporcionar ayuda sobre cómo mejorar, ayudándolo criticando su técnica, su equipamiento, cualquier cosa, solo está practicando con la esperanza que si lo hace lo suficiente, mejorará. La buena noticia, mejorara y la mala noticia es que, sin comentarios y evaluaciones, aprenderá por prueba y error (solo si mantiene registros muy detallados y los revisa antes y después todos los dias).

Hasta que aparezca un mejor sistema de laboratorio, querrá saber cuál es la pregunta número uno le debe hacer a cualquiera que se acerque para brindarle un consejo profesional: “¿Me puede describir su laboratorio de practicas?”. Con esa pregunta, se puede saber si esa persona no está comprometida ni apasionada por la ciberseguridad. Cada ejercicio en el aula y en el laboratorio ya está hecho, tome posesión de sus habilidades, construya su propio laboratorio y comience a aprender.

F) Trabajos

Visite monster.com y elija una ciudad, puede ser donde esta viviendo o quiera vivir, ingrese CEH y observe la cantidad de empleos.

Aquí tiene gran ejemplo. Vaya a monster.com e ingrese OSCP en la búsqueda y Filadelfia para la ciudad, cada uno de los trabajos enumerados requiere al menos 6-8 años de experiencia y algunos también requieren una licenciatura adicional, estos no son trabajos para alguien que recién empieza. Si no tiene experiencia y está buscando obtener su primer trabajo en el negocio, OSCP no es el camino a seguir. Ahora, cambia la ciudad, mire Nueva York, NY, sucede lo mismo, licenciatura, 5-9 años de experiencia. Si usted es nuevo en esta profesión, no elija certificaciones que exigen trabajos para los cuales no califica, los recursos humanos recibirán cientos de solicitudes y están buscando cualquier razón para revisar la lista rápidamente y no cumplir con los requisitos mínimos, es una forma rápida de hacerlo.

G) Disponibilidad del instructor

Se esta a favor de los profesionales motivados y autodidactas. En la ciberseguridad, debe adoptar un enfoque proactivo para mantener sus habilidades actualizadas y mientras eso funciona para algunas personas y algunos contenidos, a veces realmente necesitas un instructor, especialmente para quienes recién comienzan o para quienes adquieren habilidades fuera de su zona de confort, realmente necesitas un instructor. Pienselo. ¿Cuántos atletas profesionales se ejercitan solos, sin un entrenador personal? No muchos y la ciberseguridad, al igual que la condición física, se compone de una amplia categoría de habilidades. ¿Estás entrenando para la carrera de 100 metros o una ultra maratón? Ambos involucran correr, ambos involucran programas de entrenamiento muy diferentes, ambos requieren que el atleta pueda establecer claramente sus metas, acepte los comentarios de un entrenador o programa de capacitación y capacitarse para la tarea en cuestión. La ciberseguridad no es diferente.

Identifique sus objetivos profesionales, encuentre la ruta de certificación para llegar a estos y luego encuentre un instructor.

La ciberseguridad es solo otro conjunto de habilidades, al igual que el estado físico. Mire a su alrededor, hagase las siguientes preguntas: ¿Cuáles son mis opciones de capacitación? ¿En línea, dirigido por un instructor? ¿Qué pasa con el aula o la tutoría? Si resulta que solo hay un instructor, o solo una clase ofrecida cada tres meses es posible que desee considerar otra ruta. No se esta diciendo que esas clases no son valiosas, sin embargo, si está comenzando en esta carrera, es posible que desee elegir un punto de partida que esté ampliamente disponible y accesible.

H) Tiempo para lograr

“El tiempo es esencial”: es el lema de todo profesional que trabaja. Con 24 horas en un día, de las cuales 8-9 horas se pasan detrás de un escritorio y 8 horas para descansar (suponiendo que obtenga un descanso adecuado), es importante encontrar un programa que se pueda acomodar dentro de su apretada agenda.

Es aquí donde los programas de certificación juegan un papel importante, la sesión de entrenamiento de CEH se extiende a lo largo de 5 días, con 20 módulos (que incluyen sniffing, session hacking, SQL Injection, hacking web applications, IoT hacking, cloud computing y mucho más), 340 técnicas de ataque, 140 laboratorios y aproximadamente 2285 ¡herramientas!

¡En solo cinco días, puede aprender las diferentes habilidades necesarias para convertirse en un hacker ético certificado!

I) Disponibilidad del examen

¡Dónde y cuándo debe presentarse para asistir a un examen y cómo lo hace es muy importante! EC-Council Certified Ethical Hacker (CEH) posee varios centros de prueba autorizados ubicados en diversas áreas del mundo, o para la conveniencia de aquellos que prefieren intentar el examen virtualmente, EC-Council brinda la opción presentar el examen mientras está siendo supervisado virtualmente a través de ProctorU.

J) Relevancia para su perfil de trabajo

Siempre es importante tener en cuenta qué tipo de reconocimiento puede otorgarle una certificación. Algunas certificaciones se crean solo con el fin de crear una, mientras que otras poseen un beneficio mas profundo. Saber cómo esta puede ser un beneficio adicional para su crecimiento profesional, debe estar entre sus razones para elegir una certificación.

Si bien el CEH agrega credibilidad ya que está acreditado por ANSI y es un GCT reconocido, uno de los puntos muy importantes a tener en cuenta es que esta certificación se crea y actualiza teniendo en cuenta el framework NICE. El framework  NICE abarca la combinación más detallada de trabajos de ciberseguridad que se componen de habilidades precisas y conocimientos necesarios para realizar ciertas tareas en un rol de trabajo. Al asignar el programa al área de especialidad Proteger y Defender del framework  NICE 2.0, EC-Council garantiza que su programa lo asigne directamente a una amplia variedad de roles laborales.

K) Apelación internacional

Buscar mejores oportunidades de trabajo a menudo significa reubicarse, incluso cuando se trata de requisitos básicos de trabajo como un título, no es una tarea fácil para todos obtener una de una universidad reconocida mundialmente y lo mismo se aplica a las certificaciones.

El Certified Ethical Hacker es reconocido en casi todo el mundo, especialmente porque está acreditado por ANSI y reconocido por DoD 8570 y GCT.

Fuente: EC-Council

CONTACTENOS