O que a OSCP, a OSEP e a CRTO realmente provam
Páginas de equipes de segurança adoram uma fileira de siglas. A maioria dos compradores balança a cabeça e segue em frente, porque as letras não significam muito a menos que você já conheça a área. Mas essas certificações não são decoração. Cada uma é um exame específico e difícil que prova um tipo específico de habilidade. Aqui está a tradução em linguagem clara.
OSCP Você consegue invadir sistemas manualmente
A OffSec Certified Professional é a linha de base da área para o trabalho ofensivo prático. É um exame prático de 24 horas no qual você compromete máquinas reais e documenta como fez isso. Não é possível passar nele memorizando respostas. Quando alguém possui a OSCP, você sabe que essa pessoa realmente consegue encontrar e explorar vulnerabilidades, e não apenas falar sobre elas.
OSEP Você consegue superar defesas que reagem
O OffSec Experienced Penetration Tester continua de onde a OSCP para. O foco é evasão e profundidade: burlar antivírus e defesas de endpoint, mover-se pela rede e manter-se discreto ao fazer isso. A OSEP prova que a pessoa consegue operar contra um ambiente que está tentando ativamente capturá-la, exatamente o que um atacante real enfrenta.
CRTO Você consegue executar uma operação real de red team
O Certified Red Team Operator abrange toda a campanha: configurar a infraestrutura de ataque, obter acesso inicial, elevar privilégios e avançar rumo a um objetivo da mesma forma que um adversário organizado faria. Enquanto a OSCP prova que você consegue comprometer uma máquina, a CRTO prova que você consegue executar toda a operação contra uma empresa protegida.
Dois tipos de certificado e por que a diferença importa
Nem toda certificação de segurança testa a mesma coisa. Existem basicamente duas famílias, e confundi-las é onde os compradores são induzidos ao erro.
As certificações acima são práticas. Você as obtém realizando um exame prático com tempo delimitado, no qual você compromete os alvos ou não. A OSCP exige cerca de 24 horas no teclado contra máquinas ativas, seguidas por um relatório escrito. A OSEP, a OSWE e a OSED oferecem, cada uma, cerca de 48 horas contra alvos reais, além de mais 24 horas para documentar o que você fez. A CRTO ocorre em uma janela de vários dias contra uma rede de múltiplos domínios e protegida, utilizando as mesmas ferramentas de comando e controle que um operador real usaria. Não há crédito parcial por conhecer a teoria. Ou você conseguiu acesso ou não conseguiu.
A outra família é baseada em conhecimento. Certificações como CISSP, CompTIA Security+ e a CEH padrão são obtidas ao passar em um exame sobre segurança, em grande parte de múltipla escolha. Elas são genuinamente úteis em seu devido lugar: a CISSP sinaliza uma ampla cobertura de governança, risco e arquitetura, sendo frequentemente o que um profissional de gestão de segurança ou conformidade deve possuir. Mas um exame teórico não é prova de que o detentor consegue encontrar e explorar uma vulnerabilidade ativa, e nem se propõe a isso.
Nenhuma das famílias é melhor no abstrato; elas respondem a perguntas diferentes. Quando você contrata um serviço ofensivo, seja um teste direcionado ou um red team engagement completo, a pergunta que importa é se essa pessoa realmente consegue invadir o ambiente. É precisamente isso que as certificações práticas foram feitas para provar.
O que cada uma prova, em uma linha
Se você for se lembrar de apenas uma coisa por sigla, lembre-se disto:
- OSCP: consegue encontrar e explorar vulnerabilidades em hosts ativos de rede, manualmente.
- OSWE: consegue ler o código-fonte de uma aplicação e transformar uma falha em um exploit funcional.
- OSEP: consegue burlar defesas de endpoint e de rede e se mover pela rede sem ser pego.
- OSED: consegue escrever um exploit funcional em nível binário, contra proteções modernas de memória.
- CRTO: consegue planejar e executar uma operação completa de red team contra uma empresa protegida.
- BSCP: consegue testar e explorar aplicações web de forma sistemática, de ponta a ponta.
Por que isso importa para você
As certificações não contam a história toda, e qualquer pessoa que lhe diga o contrário está tentando lhe vender algo. Experiência e discernimento importam mais. Mas estas certificações específicas são práticas: elas são obtidas comprometendo sistemas reais em condições de exame, não passando em um questionário. Quando você as vê, está diante de pessoas que provaram a habilidade prática, não apenas estudaram a teoria.
Esse é o padrão que exigimos de nós mesmos, e é por isso que um operador real está presente em cada apresentação de resultados que entregamos.
O que um certificado não pode lhe dizer
Uma certificação é um forte sinal, não uma garantia, e tratá-la como garantia é um erro por si só. Quatro coisas que ela não resolve:
- É um retrato do momento. Alguém passou em um exame difícil em um determinado dia. A habilidade ofensiva só se mantém afiada com trabalho regular, e algumas credenciais agora exigem renovação exatamente por esse motivo. Pergunte o que a pessoa testou recentemente, não apenas quais certificações ela possui.
- Capacidade não é discernimento. Comprometer uma máquina em condições de exame é uma habilidade diferente de definir o escopo de um projeto real, manter-se dentro da autorização por escrito, e escrever um achado que um desenvolvedor consiga realmente corrigir.
- Um logotipo diz respeito à equipe, não ao seu teste. Uma fileira de siglas na página da empresa não informa quem estará no seu projeto. Pergunte quem executa o trabalho e quem o revisa. O piso de preço do mercado é definido pelas taxas diárias de profissionais sêniores, o que vale a pena manter em mente ao ler um orçamento de pentest.
- Nenhuma certificação cobre tudo. Trabalhos de rede, web, binário e campanhas completas são disciplinas diferentes. O valor está na cobertura de todas elas, razão pela qual a lista completa importa mais do que qualquer linha individual dela.
Certificações de segurança: respostas rápidas
Qual é a diferença entre a OSCP e a CRTO?
A OSCP prova que a pessoa consegue encontrar e explorar vulnerabilidades em sistemas individuais manualmente. A CRTO prova que ela consegue planejar e executar uma operação completa de red team: estruturando a infraestrutura de ataque e trabalhando rumo a um objetivo em uma rede corporativa protegida. A OSCP trata de comprometer uma máquina; a CRTO trata de executar toda a campanha.
A OSCP é uma boa certificação?
Sim, como prova prática de habilidade mão na massa. É um exame de aproximadamente 24 horas no qual você compromete máquinas ativas e documenta como fez isso, portanto não é possível passar por memorização, e é amplamente considerado a linha de base para o trabalho ofensivo. Como qualquer certificação isolada, ela não prova, por si só, discernimento ou experiência recente.
Qual é a diferença entre uma certificação prática e uma baseada em conhecimento?
Uma certificação prática é obtida por meio de um exame prático cronometrado contra alvos reais, sem crédito parcial por teoria. Uma certificação baseada em conhecimento, como a CISSP ou a CEH padrão, é obtida por um exame sobre conceitos de segurança. Ambas têm seu lugar, mas apenas os exames práticos demonstram que o detentor realmente consegue invadir um sistema.
As certificações garantem um bom teste de penetração?
Não. Elas são fortes evidências de capacidade, mas um certificado é um retrato da habilidade no dia do exame e não diz nada sobre quem foi alocado para o seu projeto ou sobre quão bem ele foi delimitado e relatado. Pergunte quem executa e revisa o trabalho, e peça para ver uma amostra de relatório higienizada, não apenas a lista de credenciais.
Leitura relacionada
Coloque essa habilidade para trabalhar em seus sistemas
Um check de $100 garante uma análise focada e uma apresentação de resultados com um operador real e certificado.
Agende um check de $100