Review singkat sertifikasi OSCE

Sudah sejak satu bulan (lebih) yang lalu gw memutuskan untuk mengambil satu lagi kursus dari offsec, yaitu kursus Offensive Security Certified Expert (OSCE) dan baru pagi ini mendapatkan info kalo gw lulus. Tujuan gw ikut kursus sebenarnya bukan untuk menyiksa diri :P, mengingat pengalaman terakhir gw saat ber-OSCP dan karena tipe2 kursus dan ujian yang umum didapatkan dari offsec, tetapi lebih dikarenakan "curiosity" ;).

Karena sudah banyak sekali review mengenai seberapa menantang dan menariknya kursus "Cracking The Perimeter (CTP)" dan ujian OSCE ini :), maka kali ini gw coba review dalam bahasa Indonesia (karena yang berbahasa Inggris sudah banyak), walau tetap tidak akan bisa menginfokan hal-hal terkait materi kursus dan ujiannya :).

Seperti yang tertera diweb-nya serta terdapat pada silabusnya, pada kursus ini hampir 3/4 dari materinya adalah mengenai windows exploitation, mulai dari menemukan celah dan (teknik) melakukan fuzzing, merakit payload+shellcode (manual, dengan encoder), sampai membuat 'working' exploit, sisanya adalah mengenai antivirus evasion, advanced web application hacking, serta sedikit network hacking.

Khusus untuk gw pribadi yang sebelumnya lebih banyak berkecimpung pada ekploitasi di ranah web, network, dan jikapun OS dan aplikasi itu di ranah GNU/Linux, maka kursus ini agak sedikit banyak membuka mata gw dan bermanfaat sekali dalam jumlah ilmu yang gw dapat, walau pada kursus OSCP sudah terdapat porsi mengenai windows exploitation juga, tetapi kali ini setiap hari (selama 1 bulan) yang sudah pasti gw sentuh hanya windows OS (xp,2003,vista, windows7), debugger (Ollydbg/ImmunityDebugger), hexa editor (hexedit/xv123), dan calculator :P.

Untuk kursus ini gw mengambil paket kursus 30 hari+ujian dan ternyata berbeda dengan OSCP yang memerlukan penggunaan lab yang lebih maksimal, maka untuk OSCE, penggunaan lab yang gw lakukan sangat tidak maksimal, gw cuma beberapa hari saja mempergunakan lab, dan itupun untuk melakukan debug/exploitasi ke beberapa aplikasi yang propietary dan untuk modul cisco/network exploitation karena gw tidak punya perangkat cisco :D, selebihnya gw membangun lab sendiri dengan virtualisasi.

Untuk ujian sertifikasi, waktu yang di sediakan adalah 2x24 jam, dan 1x24 jam untuk mengumpulkan laporan. Gw memberi jarak 2 minggu setelah kursus selesai, baru kemudian mengambil ujian yang diberikan, dan seperti tipikal ujian yang diberikan oleh offsec di setiap sertifikasinya (setidaknya untuk oscp yang pernah gw lewati), maka ujian ini adalah menjadi/memberi pelajaran baru (jika memahami maksud gw) :D. Untuk pengumuman lulus atau tidak diinfokan maksimal 3 hari kerja, tetapi untuk kasus gw itu hampir 1 minggu, karena sabtu&minggu libur dan adanya perbedaan waktu, jadi cukup menyiksa juga saat menunggu :P

Kursus ini sangat gw rekomendasikan, bukan karena gw dibayar sama offsec buat mengatakan begitu :P, tetapi karena kursus ini (seperti juga oscp) mengajarkan sesuatu hal yang baru khususnya saat ujian dan kita dipaksa untuk meningkatkan secara pesat "kungfu" kita jika ingin lulus ujian. Tetapi gw sarankan untuk mencoba OSCP terlebih dahulu sebelum mencoba OSCE jika berminat, setelah mencoba oscp dan anda sudah merasakan sedikit bersinggungan dengan windows exploitation maka kalikan rasa suka/beban yang anda terima saat belajar chapter itu dengan 10x (atau lebih?) dan itu yang akan anda dapatkan saat kursus apalagi ujian OSCE (setidaknya itu yang gw rasakan).

Satu lagi, jika pada OSCP anda dihadapkan dengan celah keamanan atau teknik intrusi yang sudah terpublikasikan (ada public exploit dan CVE) secara luas, maka di OSCE anda tidak akan mendapat info mengenai celah keamanan (0day perspektif) dan yang bisa anda lakukan adalah "Try Harder" :).

Bagi yang mau mengambil, gw ucapkan Good Luck ;)