เปรียบเทียบใบรับรอง Pentest: OSCP, CEH, eCPPT, GPEN
บทความนี้ขอพูดถึง Certificate ยอดนิยมที่เกี่ยวข้องกับการทดสอบเจาะระบบ (Pentest) เพื่อ
- ให้คนที่สนใจจะเรียนมีข้อมูลเพิ่มขึ้นเพื่อใช้ในการตัดสินใจ
- สำหรับ HR ที่กำลังต้องการหาคนด้านนี้อยู่ก็คงจะมีประโยชน์เพิ่มมากขึ้นไม่ใช่หาแต่ CEH
- หน่วยงานหรือองค์กรต่าง ๆ ที่ขาดความเข้าใจในเรื่องของ Certificate เข้าใจว่า Certificate ด้าน Pentest เหมือนกันเอามาทดแทนกันได้ แต่ Certificate บางอันนั้นไม่ควรเอามาเปรียบเทียบกัน เพราะ level มันต่างชั้นกันมากครับ
เราจะพูดถึง 4 Certificates จาก 4 สถาบัน
- GIAC GPEN จาก SANS
- eCPPT จาก eLearnSecurity
- OSCP จาก Offensive-Security
- CEH จาก EC-Council
ทั้ง 4 Certificate นี้มีข้อดีข้อเสียแตกต่างกันไป โดยจะเปรียบเทียบตามตารางด้านล่าง
Comparing Pentest Certificates
ข้อมูลราคาและรูปแบบการสอบในตาราง ณ เดือนมีนาคม 2564 ควรตรวจสอบกับเว็บไซต์ผู้ออกใบรับรองอีกครั้ง
| Certificate | GPEN | eCPPT | OSCP | CEH |
|---|---|---|---|---|
| รูปแบบการสอน | มีการสอน 3 รูปแบบให้เลือก ได้แก่ 1.Live training (สอน 5 วัน, วันที่ 6 เป็น CTF) 2.Live training แบบ Online (Simulcast) 3.Online training (มีเวลาให้ 4 เดือน) | Online Training | Online Training | Live Training |
| ระยะเวลาในการเรียน | 6 วันรวม CTF | เรียนด้วยตนเองไปเรื่อย ๆ แต่จะมีระยะเวลาที่จำกัดของ Lab ถ้าต้องการต่อเวลาการใช้ Lab สามารถซื้อเพิ่มได้ | เรียนด้วยตนเองไปเรื่อย ๆ แต่จะมีระยะเวลาที่จำกัดของ Lab ถ้าต้องการต่อเวลาการใช้ Lab สามารถซื้อเพิ่มได้ | 5 วัน |
| Material ที่ได้รับ | 1.แจกเอกสารในรูปแบบ Hardcopy โดยแต่ละหน้าจะเป็น Slide ที่ใช้สอน พร้อมคำบรรยายแบบละเอียด 2.Image สำหรับทำ Lab 3.MP3 file ที่เป็นเสียงตอนสอน | 1.PDF file แยกตามบทเป็น Slide ไม่มีคำบรรยายใต้ภาพ 2.Video training 3.Online lab | 1.PDF file ลักษณะเหมือนเอกสาร Word มีการอธิบายถึงเรื่องต่าง ๆ และ Lab 2.Video training 3.Customized image ของ Kali ให้เหมาะสำหรับหลักสูตรมากขึ้น 4.Online lab | เอกสาร Hardcopy เป็น Slide ที่ใช้ในการสอน สีสันสวยงาม เนื้อหาเป็นการอธิบายเทคนิคพื้นฐานต่าง ๆ ประกอบกับการสอนใช้โปรแกรม |
| หัวข้อในการสอน | เน้นเรื่อง Network Pentest เป็นหลัก (ซึ่งเป็นปกติของ SANS ที่จะแยกแต่ละ Area ออกเป็นแต่ละวิชา ถ้าสนใจ Web App Pentest ก็จะมีอีกหลักสูตรเป็นต้น) มีหัวข้ออื่น ๆ ที่เป็นพื้นฐานในอาชีพ pentester เช่น การลดความเสี่ยงในการทดสอบ, การเขียน report เป็นต้น | เน้นเรื่องพื้นฐานทั่วไปใกล้เคียงกันทั้งในเรื่องของ Network, Web application, System รวมถึงวิธีการเขียน pentest report | มีสอนทั้ง Network, Web application, System โดยส่วนตัวคิดว่าเน้นไปที่ System และ Network มากกว่า Web | หัวข้อกว้างมาก มีทุกเรื่อง |
| คุณภาพ และ คนสอน | Ed Skoudis ชื่อนี้ดังมากในวงการ Pentest เขียนหนังสือ Counter hack reloaded เนื้อหาในหลักสูตรของ SANS แบ่ง Structure เนื้อหาชัดเจน สอนพื้นฐานและการประยุกต์นำไปใช้ได้ดีมาก รวมถึงมีการ Share เทคนิคต่าง ๆ จากประสบการณ์จริง | Armando Romeo เนื้อหาแบ่งเป็นบทชัดเจน คุณภาพดี สอนพื้นฐานและการประยุกต์นำไปใช้ได้ดี Lab ที่ใช้เป็น dedicated lab สำหรับ account เราเท่านั้น | คุณภาพขึ้นอยู่กับตัวของผู้เรียนเป็นหลัก ซึ่งเอกสารที่ได้รับแจกมานั้นออกแบบให้เป็นลักษณะเรียนด้วยตนเอง ทดลองด้วยตนเองเป็นหลัก บางหัวข้อไม่ได้อธิบายรายละเอียดมากนัก เน้นให้ผู้เรียนไปหาอ่านต่อยอดเอาเอง ถ้าเป็นคนที่ขยันอ่านหาความรู้เพิ่มเติมเองได้จะได้รับความรู้เพิ่มเยอะ Lab ที่ใช้เรียนจะเป็น Share environment | เนื้อหาในการสอนเป็น Material มาตรฐานจาก EC-Council คุณภาพในการสอนขึ้นกับคนสอนแล้วแต่สถาบัน/บริษัทที่เปิด course Step ของการทำ Lab เป็นการสอนใช้โปรแกรมสำเร็จรูปที่มีมาให้ มีขั้นตอนชัดเจน ภาพรวมของคุณภาพของคอร์สขึ้นอยู่กับคนสอนเป็นหลัก แนะนำว่าถ้าจะเรียนควรจะต้องตรวจสอบ Profile ของคนสอนก่อน |
| การสอบ | สอบข้อสอบ Choice 115 ข้อ คะแนนผ่านที่ 74% ให้เวลา 3 ชั่วโมง สอบผ่านแล้วจะได้เป็น Silver level ถ้าอยากได้ Gold level จะต้องเขียน paper เพิ่มเติม | สอบ Lab Online โดยให้เวลา 7 วันและทำการส่ง pentest report โดยมีแยกเป็น Silver level และ Gold level ซึ่ง Scenario ในการทดสอบไม่เหมือนกัน การโจมตีเครื่องต่าง ๆ อาจจะต้องใช้การทำ Pivoting บ้าง | สอบ Lab Online โดยให้เวลาทำ Lab 23 ชั่วโมง 45 นาที จากนั้นให้เวลาต่ออีก 1 วันในการส่ง Report ซึ่งทาง Offsec มี Template report มาให้ Lab นั้นเป็นลักษณะ CTF ให้โจทย์มา 5 ข้อแต่ละข้อมีคะแนนแตกต่างกัน คะแนนผ่านอยู่ที่ 70 คะแนนจาก 100 โดยโจทย์แต่ละข้อไม่ได้เกี่ยวข้องกันเลย ถ้าส่ง Exercise กับ Lab จะมีคะแนนเพิ่มให้ด้วย | ข้อสอบเป็น Multiple choice |
| ราคา | ประมาณ 2 แสนบาท | ประมาณ 3-4 หมื่นบาท | ประมาณ 3-4 หมื่นบาท | ประมาณ 4-5 หมื่นบาท |
| ส่วนลดพิเศษ | SANS บางช่วงจะแจก special discount code ให้ราว ๆ 500-1000 USD | มักจะมี discount code พิเศษให้คนที่เคยสมัครเรียน บางครั้งแจก voucher course free ให้ | ไม่ทราบ | ถ้าเป็นนักเรียน นักศึกษา แนะนำให้หาบริษัทที่เป็น Academic partner กับ EC-Council ราคาจะลดไปประมาณ 50% โดยส่วนที่แตกต่างกันคือจะไม่ได้รับ Hardcopy แต่จะได้ Softfile แทน |
| ความนิยม | High-end เป็นที่รู้จักดีในวงการ Security คนทั่ว ๆ ไป HR อาจจะไม่รู้จัก เพราะว่าราคาสูง และไม่เน้นแข่งราคา | ตลาดในไทยไม่ค่อยรู้จักมากนัก | ได้รับความนิยมสำหรับคนที่อยู่ในวงการ | น่าจะเป็นที่รู้จักของคนทั่วไปมากที่สุด เนื่องด้วยชื่อ Certificate และ ราคาที่เอื้อมถึง ในวงการ Security ไม่ได้นิยมนัก แต่พบได้เยอะเพราะว่ามีความร่วมมือระหว่าง EC-Council กับ สถาบันการศึกษา เนื่องจากมีส่วนลดพิเศษ |
| การต่ออายุ Certificate | หมดอายุทุก 4 ปี จะต่ออายุต้องสอบใหม่หรือเก็บ CPE ค่าต่อประมาณ 399 USD ต่อ 4 ปี | ไม่ต้องต่ออายุ | ไม่ต้องต่ออายุ | 3 ปี |
| Benefits | แข่ง CTF ในวันที่ 6 ชนะจะได้ Coin (Coin ด้านหลังจะมีข้อความซ่อนอยู่ ถ้าเก็บ Coin ครบจะพบกับความลับบางอย่าง ยังกะเล่น Quest เกม) ถ้าสอบผ่านเกิน 90% มีสิทธิ์เข้า SANS Advisory Board ลักษณะเป็น Mailing list มีผู้เชี่ยวชาญ Security ส่งข้อมูลหากันทุกวัน Certificate หมดอายุทุก 4 ปี โดยการต่ออายุนั้นก็จะได้ Material ชุดใหม่ที่ update แล้ว | ถ้ามี version ใหม่ออกมา นักเรียนเก่าจะมีส่วนลดพิเศษ | ถ้ามี version ใหม่ออกมา นักเรียนเก่าจะจ่ายส่วนต่างของราคา (แต่เท่าที่เห็นมานั้น material ไม่ค่อยมีการ update) | ไม่มี |
สรุป
- SANS สอนดีมาก ๆ Certificate เป็นที่ยอมรับในระดับโลก แน่นอนว่าของดีราคาต้องสูง
- eLearnSecurity สอนดีเช่นกัน Lab ที่ให้ใช้ก็เป็น Dedicated สอนใน Topic ที่สำคัญ ๆ ได้ดี แต่ Certificate อาจไม่เป็นที่รู้จักในไทยมากนัก ราคาสมเหตุสมผล
- Offensive Security เนื้อหาออกแบบมาให้อ่านเอง ทำความเข้าใจ ศึกษาเพิ่มเติมเองเป็นหลัก ถ้าไม่สามารถศึกษาเพิ่มเติมเองได้ หรือไม่มีคนคอยชี้แนะ อย่าเลือกจะดีกว่า Lab ที่ให้ใช้เป็นแบบ Share กัน การสอบท้าทาย ทำให้คนส่วนใหญ่คิดว่ายาก ราคาพอประมาณ
- EC-Council ชื่อเสียงดีเป็นที่รู้จัก แต่ความรู้ที่ได้รับขึ้นอยู่กับผู้สอนล้วน ๆ ที่เป็นที่รู้จักอาจเป็นเพราะหลักสูตรอื่น ๆ สอนเป็นภาษาอังกฤษทั้งหมด คนไทยจึงเลี่ยงมาเลือก Cert นี้เป็นหลัก ราคาถือว่าแพงถ้าไม่ได้ส่วนลดนักศึกษา
- ถ้าไม่มีพื้นฐาน Security ภาษาอังกฤษไม่แข็งแรง มีงบจำกัด -> CEH
- ถ้าไม่มีพื้นฐาน Security ภาษาอังกฤษพอใช้ได้ มีงบจำกัด -> eCPPT (คุณภาพดี)
- ถ้ามีพื้นฐาน Security ภาษาอังกฤษพอใช้ได้ คำเตือน "ศึกษาหาความรู้เพิ่มเติมเองได้" มีงบจำกัด -> OSCP (คุณภาพขึ้นอยู่กับคนเรียนเป็นหลัก)
- ถ้าตั้งใจจะลุยในสาย Security อย่างจริงจัง ภาษาอังกฤษดี มีงบ -> GPEN (คุณภาพดีมาก)
- ถ้าคุณเป็น HR ควรเรียงลำดับความสำคัญตามนี้ GPEN -> eCPPT หรือ OSCP -> CEH
เพิ่มเติม
จากประสบการณ์ที่เคยได้สัมผัสมาทุกรูปแบบคิดว่า
- GPEN ดีที่สุดเพราะ Structure ในการสอนของ SANS นั้นถูกออกแบบมาอย่างดี เนื้อหาดี เรียกได้ว่ารวมเอาความรู้มารวมไว้ในคอร์สได้ดีมาก ถ้าหาอ่านสะเปะสะปะเอาเองอาจใช้เวลาหลายเดือนหรือเป็นปี
- eCPPT ดีในเรื่องของ Structure ของคอร์สที่ออกแบบมา รวมถึงราคาที่สามารถเข้าถึงได้ [แนะนำสำหรับผู้เริ่มต้น]
- OSCP คนเรียนต้องสามารถเรียนรู้ได้ด้วยตัวเองถึงจะได้ประโยชน์จากหลักสูตรอย่างเต็มที่ มีการสอนเทคนิค หรือ ทริคต่าง ๆ พอสมควร แต่บางหัวข้ออาจจะใช้ได้เฉพาะบางสถานการณ์มากเกินไป
- CEH ส่วนใหญ่จะสอนใช้ Tool เป็นหลัก พื้นฐานอาจจะได้ไม่มากนัก ขึ้นอยู่กับว่าใครเป็นคนสอน
ถ้าสนใจใบรับรองของ CREST ซึ่งเป็นอีกเส้นทางหนึ่ง อ่านรีวิวการสอบได้ที่ รีวิวการสอบ ECSA Practical + CPSA เส้นทางไปสู่ CRT
หวังว่าบทความนี้จะเป็นประโยชน์ต่อทุกคนนะครับ
คำถามที่พบบ่อย
นอกจากรูปแบบการสอบ OSCP กับ CEH ต่างกันเรื่องค่าใช้จ่ายและการต่ออายุอย่างไร
ตามตารางที่ระบุ ณ เดือนมีนาคม 2564 OSCP ราคาประมาณ 3-4 หมื่นบาท ต่ำกว่า CEH ที่ประมาณ 4-5 หมื่นบาท และ OSCP ไม่ต้องต่ออายุ ส่วน CEH ต้องต่ออายุทุก 3 ปี ทั้งนี้ CEH มีส่วนลดราว 50 เปอร์เซ็นต์สำหรับนักเรียนนักศึกษาผ่านสถาบันที่เป็น Academic partner ของ EC-Council แต่จะได้เอกสารเป็น Softfile แทน Hardcopy
ทำไมผู้เขียนแนะนำ eCPPT สำหรับผู้เริ่มต้น เมื่อเทียบกับ GPEN
ตามตาราง eCPPT ราวสามถึงสี่หมื่นบาท เป็นราว 1 ใน 5 ถึง 1 ใน 7 ของ GPEN ที่ประมาณ 2 แสนบาท ขณะที่ Lab เป็น dedicated สำหรับ account ของผู้เรียนเอง และสอบแบบ Lab Online ให้เวลา 7 วันพร้อมส่ง pentest report ตัวเลขนี้เป็นข้อมูล ณ มีนาคม 2564 ควรตรวจสอบราคาล่าสุดกับผู้ออกใบรับรองอีกครั้ง
การต่ออายุใบรับรองสาย Pentest มีค่าใช้จ่ายหรือสิทธิ์อะไรเพิ่มเติมบ้าง
ตามตารางที่ระบุ ณ เดือนมีนาคม 2564 การต่ออายุ GPEN ค่าต่อประมาณ 399 USD ต่อ 4 ปี และจะได้ Material ชุดใหม่ที่ update แล้ว ส่วน eCPPT และ OSCP ไม่ต้องต่ออายุ แต่ถ้ามี version ใหม่ออกมา eCPPT ให้นักเรียนเก่ามีส่วนลดพิเศษ ขณะที่ OSCP ให้จ่ายส่วนต่างของราคา
PENETRATION TEST
With our high-ethical, professional certified team and methodology based on NIST SP800-115, we offer a full range of cost-effective services to identify your cyber risks in application, infrastructure, and mobile platforms to meet the requirements of your organisation.
Up Next
ARTICLES/22 Jan 2021
รีวิวการสอบ ECSA Practical + CPSA เส้นทางไปสู่ CRT
CREST มีโครงการเทียบใบรับรองจาก EC-Council และ Offensive Security รีวิวการสอบ ECSA Practical และ CPSA ในฐานะเส้นทางไปสู่ CREST CRT
ARTICLES/29 Oct 2020
Step into cybersecurity career
เตรียมตัวสมัครงานสาย cybersecurity อย่างไร และคนสัมภาษณ์มองหาอะไรใน candidate มุมมองจากทั้งสองฝั่งโต๊ะ
ARTICLES/1 Oct 2020
Beating Cybersecurity Certificate
ไม่มีเทคนิคลัดสำหรับสอบ cert แต่มีประสบการณ์จริง บันทึกเส้นทางสอบตั้งแต่ CISSP, CISA, ITIL ไปจนถึง ISO 27001 และ ISO 22301 ว่าแต่ละใบเตรียมตัวอย่างไร
