Junior Penetration Tester (IHK)

Script Kiddies, Kali Linux, Metasploit, Zero day Exploit und Co. sind Begriffe, die sich immer mehr im medialen Mainstream etabliert haben. Überall tauchen Sie auf, Sicherheitslücken mit globalen Auswirkungen. Täglich entwickeln „Black Hat Hackers“ tausende neue Exploits und decken neue Sicherheitslücken auf.

Vieles wird schon getan, aber Cyberkriminelle werden immer kreativer und rigoroser. Umso wichtiger ist es, dass IT-Netzwerke ausreichend geschützt sind. Mit sogenannten Penetration Tests werden Rechner oder Netzwerke einer umfangreichen Untersuchung auf ihre Sicherheit unterzogen. Ziel ist es hierbei Schwachstellen zu identifizieren, Fehlerquellen aufzudecken und schließlich die Sicherheit auf der technischen und organisatorischen Ebene zu erhöhen.

Als Absolvent des Zertifikatslehrgangs „Junior Penetration Tester (IHK)“ wird eine spezielle Qualifizierung im Bereich der IT-Sicherheit vermittelt: Die praktische Befähigung, Ermittlungen von IT-infrastrukturellen Schwachstellen innerhalb eines Unternehmens aufzunehmen. Beim Junior Penetration Tester (IHK) können unterstützende Tätigkeiten innerhalb eines Penetration-Tests aufgenommen werden.Dies wird durch eine praxisorientierte Vermittlung und dem selbstständigen Anwenden der Lerninhalte realisiert.

Er ist in der Lage, eigenständig oberflächliche Reconnaissance durchzuführen, und offensichtliche Schwachstellen zu erkennen. Weiterhin werden dem Teilnehmer die Grundlagen der Ausnutzung von Schwachstellen zum Erlangen eines Footholds vermittelt.

Unterschiede von Exploit-Frameworks zu manuellem Vorgehen, deren Vor- und Nachteile, sowie das Toubleshooting nicht funktionsfähiger Exploits sind dem Teilnehmer bekannt.

Der Teilnehmer lernt unterschiedliche Arten der Privilege-Escalation, sowie Lateral-Movement kennen und kann diese unter Anleitung anwenden. Er kann gefundene Schwachstellen angemessen und zielgruppengerecht aufbereiten und dokumentieren.

Die Teilnehmer erhalten während der Veranstaltung und der Prüfung Zugang zu einem eigens hierfür entwickelten, virtuellen E-LAB, mit dem die Kursinhalte vermittelt und geprüft werden, wobei die praktische Umsetzung der unterschiedlichsten Angriffstechniken im Vordergrund steht. Hierbei müssen Systeme und Dienste enumeriert, Schwachstellen identifiziert, kontrolliert ausgenutzt und diese gefundenen Sicherheitslücken dokumentiert werden.

1. Grundlagen und Rahmenbedingungen

• Schutzziele, Säulen der IT-Sicherheit
• Arten von Hackern
• Gesetze und Richtlinien, KRITIS
• Standards und Methoden
• Karrierepfade & IT-Security Berufe
• Einschlägige Zertifizierungen, Weiterbildungsmöglichkeiten, Trainingslabs
• Projektmanagement (Wasserfall vs. Agile)
• RedTeaming vs Pentesting vs Schwachstellenanalyse
• CTF vs Pentesting
• Phasen eines Angriffes / Kill Chains, Lockheed Martin, PTES, MITRE etc.

2. Aufbau und Ablauf eines Penetrationstestes

• Phasen/Ablauf eines Penetrationstests
• Ziel und Ergebnis eines Penetrationstests
• Dokumentation von Schwachstellen
• Planung / Initiierung eines Pentests)
• Risiken und common-mistakes (aus der Praxis für die Praxis) Scoping
• Ergebnispräsentationen für IT & Management

3. Durchführung eines Penetrationtestes

• KickOff
• Information Gathering / Active / Passive Reconnaissance
• Grundlagen Gegenmaßnahmen (FW, IDS, IPS, WAF, EPP, Logging, SIEM) & Security Operations (SOC, CERT, Blue Team etc.)
• Vulnerability Analysis und Schwachstellen Klassifizierung (CVE, CVSS, Ausnutzbarkeit und Kritikalität)
• Umgang mit 0-Day’s Disclosure Arten (Responsible, Full)
• Exploitation / Low Hanging Fruits (Common Attack Paths,wie SQL/Command Injection, Basic Buffer-Overflow, Misconfigurations, etc.)
• Post Exploitation Basic Privilege Escalation Looting, Persistence and Lateral-Movement / Low Hanging Fruits
• Unterschiede On-Premise vs Cloud

Die Teilnehmer erhalten während der Veranstaltung und der Prüfung Zugang zu einem eigens hierfür entwickelten realitätsnahen, virtuellen E-LAB, mit dem die Kursinhalte vermittelt und geprüft werden, wobei die praktische Umsetzung der unterschiedlichsten Angriffstechniken im Vordergrund steht.

Video-Introduction des Lehrgangs: https://youtu.be/VoEt4msIjC0

Kurskonzeption in Kooperation mit Tim Schughart, einem der führenden Sicherheitsexperten im IT-Security Umfeld.

Er ist Founder und CEO des IT-Security Unternehmens ProSec GmbH 

Das Unternehmen bietet Premium IT-Sicherheitsdienstleistungen, Penetrationtests, sowie Security Consulting und betreibt aktiv Zero-Day Research.

Dieser Lehrgang richtet sich an ausgebildetes IT-Personal, das sich im Bereich Penetrationstesting etablieren möchte sowie für Systemadministratoren oder Personen, die sich mit IT-Sicherheit in einem Unternehmen beschäftigen (z.B. CISO, ITSB), um das erlernte Wissen auf die eigene IT-Infrastruktur anzuwenden.

Es empfiehlt sich eine abgeschlossene Ausbildung oder Studium im Bereich der Informatik und Erfahrung im Gebiet der Systemadministration. Um die Kursinhalte anwenden zu können sind Linux Kenntnisse, Netzwerkverständnis sowie die Verwendung eines Systems ohne grafische Oberfläche (durch Nutzung von Shell, oder CMD) Voraussetzung.