Qué demuestran realmente la OSCP, la OSEP y la CRTO
Las páginas de equipos de seguridad suelen mostrar una fila de siglas. La mayoría de los clientes asienten y continúan, porque las letras no dicen mucho a menos que ya conozca el sector. Sin embargo, estas certificaciones no son un adorno. Cada una representa un examen práctico exigente que demuestra un tipo específico de capacidad. Aquí tiene la explicación en lenguaje claro.
OSCP Puede comprometer sistemas manualmente
La OffSec Certified Professional es el estándar de referencia del sector para el trabajo ofensivo práctico. Es un examen práctico de 24 horas en el que se comprometen máquinas reales y se redacta un informe detallando el procedimiento. No se puede aprobar memorizando respuestas. Cuando alguien cuenta con la OSCP, se sabe que realmente puede encontrar y explotar vulnerabilidades, no solo hablar de ellas.
OSEP Puede evadir defensas que responden
La OffSec Experienced Penetration Tester retoma el camino donde lo deja la OSCP. Se centra en la evasión y la profundidad: eludir antivirus y defensas de endpoint, desplazarse por una red y mantener el sigilo durante el proceso. La OSEP demuestra que se puede operar en un entorno que intenta activamente detectar al atacante, que es a lo que se enfrenta un adversario real.
CRTO Puede ejecutar una operación real de red team
La Certified Red Team Operator abarca la campaña completa: desplegar infraestructura de ataque, obtener acceso inicial, escalar privilegios y avanzar hacia un objetivo tal como lo haría un adversario organizado. Si la OSCP demuestra que se puede comprometer una máquina, la CRTO demuestra que se puede dirigir la operación completa contra un entorno empresarial defendido.
Dos tipos de certificaciones y por qué importa la diferencia
No todas las certificaciones de seguridad evalúan lo mismo. Existen a grandes rasgos dos familias, y confundirlas suele llevar a engaño a los compradores.
Las certificaciones anteriores son prácticas. Se obtienen al realizar un examen práctico con límite de tiempo en el que se comprometen los objetivos o no. La OSCP consta de unas 24 horas frente al teclado contra máquinas reales, seguidas de un informe escrito. La OSEP, la OSWE y la OSED otorgan unas 48 horas contra objetivos reales más otras 24 para documentar lo realizado. La CRTO se desarrolla durante varios días contra una red multidominio defendida, utilizando las mismas herramientas de command-and-control que emplearía un operador real. No hay crédito parcial por conocer la teoría. Se consigue entrar o no.
La otra familia está basada en conocimientos. Certificaciones como CISSP, CompTIA Security+ y la CEH estándar se obtienen al aprobar un examen sobre conceptos de seguridad, en su mayoría de opción múltiple. Estas resultan verdaderamente útiles en su ámbito: CISSP demuestra una cobertura amplia de gobernanza, riesgo y arquitectura, y suele ser exactamente lo que debe poseer un perfil de gestión de seguridad o cumplimiento. Sin embargo, un examen teórico no evidencia que quien lo posee pueda encontrar y explotar una vulnerabilidad en un entorno real, ni pretende serlo.
Ninguna de las dos familias es mejor en abstracto; responden a preguntas distintas. Cuando se contratan servicios ofensivos, ya sea una prueba puntual o un servicio completo de red team, la cuestión determinante es si esa persona realmente puede acceder. Eso es precisamente lo que están diseñadas para demostrar las certificaciones prácticas.
Qué demuestra cada una, en una sola línea
Si solo va a recordar una cosa de cada sigla, recuerde esto:
- OSCP: puede encontrar y explotar vulnerabilidades en equipos de red activos, de forma manual.
- OSWE: puede leer el código fuente de una aplicación y convertir un fallo en un exploit funcional.
- OSEP: puede eludir defensas de red y endpoint y desplazarse por una red sin ser detectado.
- OSED: puede escribir un exploit funcional a nivel binario contra protecciones de memoria modernas.
- CRTO: puede planificar y ejecutar una operación completa de red team contra una empresa defendida.
- BSCP: puede evaluar y explotar aplicaciones web de manera sistemática, de principio a fin.
Por qué es importante para usted
Las certificaciones no lo son todo, y cualquiera que le diga lo contrario le está vendiendo algo. La experiencia y el criterio profesional importan más. Sin embargo, estas certificaciones en particular son prácticas: se obtienen comprometiendo sistemas reales en condiciones de examen, no aprobando un cuestionario. Cuando las ve, está ante profesionales que han demostrado su capacidad práctica, no solo que han estudiado la teoría.
Ese es el nivel de exigencia que mantenemos, y por eso un operador real participa en cada presentación de resultados que entregamos.
Lo que una certificación no puede decirle
Una certificación es un indicador sólido, no una garantía, y tratarla como tal es un error en sí mismo. Cuatro aspectos que no resuelve:
- Es una instantánea. Alguien aprobó un examen exigente en un día determinado. Las habilidades ofensivas solo se mantienen afiladas con el trabajo diario, y por esa razón algunas credenciales exigen renovación. Pregunte qué ha probado recientemente esa persona, no solo qué certificaciones posee.
- La capacidad técnica no es criterio. Comprometer un sistema en condiciones de examen es una habilidad distinta de definir el alcance de un proyecto real, mantenerse dentro de una autorización por escrito, y redactar un hallazgo de forma que un desarrollador realmente pueda solucionarlo.
- Un logotipo representa a un equipo, no a su evaluación. Una fila de siglas en la página de la empresa no indica quién estará asignado a su proyecto. Pregunte quién realiza el trabajo y quién lo revisa. El precio mínimo del mercado lo marcan las tarifas diarias de perfiles senior, lo cual conviene tener presente al analizar un presupuesto de pentest.
- Ninguna certificación lo cubre todo. El trabajo en redes, web, binario y campañas completas constituyen disciplinas distintas. El valor reside en la cobertura global de todas ellas, motivo por el cual la lista completa importa más que cualquier título individual.
Certificaciones de seguridad: respuestas rápidas
¿Cuál es la diferencia entre la OSCP y la CRTO?
La OSCP demuestra que se pueden encontrar y explotar vulnerabilidades en sistemas individuales de forma manual. La CRTO demuestra que se puede planificar y ejecutar una operación completa de red team: desplegar la infraestructura de ataque y avanzar hacia un objetivo en una red empresarial defendida. La OSCP se centra en comprometer una máquina; la CRTO, en dirigir la campaña completa.
¿Es la OSCP una buena certificación?
Sí, como prueba práctica de competencia técnica. Es un examen de aproximadamente 24 horas en el que se comprometen máquinas reales y se documenta el proceso, por lo que no se puede aprobar memorizando, y se considera ampliamente el estándar de referencia para el trabajo ofensivo. Como cualquier certificación individual, no demuestra por sí sola el criterio profesional ni la experiencia reciente.
¿Cuál es la diferencia entre una certificación práctica y una basada en conocimientos?
Una certificación práctica se obtiene mediante un examen práctico con límite de tiempo contra objetivos reales, sin crédito parcial por teoría. Una certificación basada en conocimientos, como la CISSP o la CEH estándar, se obtiene mediante un examen sobre conceptos de seguridad. Ambas tienen su utilidad, pero solo los exámenes prácticos demuestran que quien los aprueba puede comprometer realmente un sistema.
¿Garantizan las certificaciones una buena prueba de penetración?
No. Son una prueba sólida de capacidad, pero una certificación es una instantánea de la destreza el día del examen y no dice nada sobre quién estará asignado a su proyecto ni sobre la calidad del alcance o del informe. Pregunte quién ejecuta y revisa el trabajo, y solicite ver un informe de muestra anonimizado, no solo la lista de credenciales.
Lecturas relacionadas
Ponga a prueba esa capacidad en sus sistemas
Una revisión de $100 le permite obtener un análisis focalizado y una presentación de resultados con un operador certificado real.
Reserve una revisión por $100