OSCE3 roadmap OffSec: jak wybrać OSEP, OSWE i OSED

OSCE3 nie jest osobnym egzaminem. OffSec przyznaje wyróżnienie automatycznie osobom, które zdobędą trzy certyfikacje: OSEP po PEN-300, OSWE po WEB-300 oraz OSED po EXP-301. Każda rozwija inną specjalizację ofensywną i każda ma obecnie 48-godzinny, nadzorowany egzamin praktyczny.

Wybór kolejności powinien wynikać z codziennej pracy, a nie z domniemanej hierarchii trudności.

OSEP: operacje w dojrzałej sieci

PEN-300 koncentruje się na łamaniu warstw obrony: client-side code execution, process injection, omijanie antywirusa i application whitelisting, post-exploitation, poświadczenia Windows, lateral movement, MSSQL oraz Active Directory.

OSEP pasuje osobie prowadzącej internal pentest lub red team. Najważniejszą kompetencją jest łączenie technik w wieloetapową operację, gdy gotowe narzędzie zostaje wykryte albo filtr sieciowy odcina prostą drogę.

Przed startem warto swobodnie poruszać się w Windows, Active Directory, PowerShell i C#. OSCP+ zapewnia bazę, ale PEN-300 oczekuje większej samodzielności w modyfikacji narzędzi.

OSWE: white-box i analiza kodu

WEB-300 uczy wyszukiwania złożonych błędów w kodzie aplikacji oraz budowy exploitów. Zakres obejmuje m.in. obejścia uploadu i regexów, PHP type juggling, magic hashes, PostgreSQL UDF, SSTI, XXE, tokeny o słabej losowości i RCE przez funkcje bazy.

OSWE jest naturalnym wyborem dla pentestera aplikacji lub AppSec. Kluczowa jest zdolność przejścia od wejścia HTTP przez przepływ danych w kodzie do niebezpiecznego sinka, a potem automatyzacji exploita.

Sam Burp Suite nie wystarczy. Trzeba czytać obce projekty, poruszać się po debuggerze i szybko rozumieć framework.

OSED: exploit development w Windows

EXP-301 skupia się na Windows user-mode exploit development. Kandydat pracuje z debuggerem, architekturą x86, pamięcią procesu, obejściami ochrony i tworzeniem niezawodnych exploitów.

OSED jest najbardziej odległy od typowego network pentestu. Najlepiej pasuje osobom zainteresowanym vulnerability research, reverse engineeringiem i rozwojem exploitów. Wymaga cierpliwego debugowania oraz komfortu w asemblerze i Pythonie.

Jak ustalić kolejność

Dla network pentestera rozsądny porządek to OSEP → OSWE → OSED. AppSec engineer może zacząć od OSWE, potem wybrać OSEP i zakończyć OSED. Vulnerability researcher prawdopodobnie wybierze OSED jako pierwszy, ale pozostałe egzaminy nadal wymagają szerokich kompetencji.

Nie rozpoczynaj trzech kursów równolegle. Każdy ma inną metodologię notatek i sposób myślenia. Zdobądź certyfikat, zastosuj umiejętności w legalnych laboratoriach lub pracy i dopiero potem przejdź dalej.

Wspólne wymagania egzaminacyjne

OffSec podaje 47 godzin i 45 minut na część techniczną OSWE; zestawienie proctoringu opisuje OSWE, OSEP i OSED jako 48-godzinne egzaminy nadzorowane. Po zakończeniu jest kolejne 24 godziny na dokumentację.

Raport musi umożliwić reprodukcję. Nawyk bieżącego zbierania komend, kodu i dowodów z raportu OSCP+ skaluje się na wszystkie trzy certyfikacje.

OSCE3 bez dodatkowego testu

Po uzyskaniu OSEP, OSWE i OSED OffSec przyznaje OSCE3 bez czwartego egzaminu. Według FAQ dostępny jest cyfrowy certyfikat i badge, a także drukowany certyfikat, karta oraz challenge coin.

OSCE3 ma wartość jako potwierdzenie szerokości: operacje sieciowe, web exploitation i rozwój exploitów. Nie zastępuje jednak portfolio. W rekrutacji nadal warto pokazać zanonimizowane raporty, narzędzia, badania i sposób dochodzenia do podatności.

Decyzja praktyczna

Wybierz pierwszy kurs na podstawie problemów, które chcesz rozwiązywać przez kolejne 12 miesięcy. Jeśli celem jest zaawansowany red team — OSEP. Jeśli audyt kodu i web — OSWE. Jeśli analiza pamięci oraz exploity — OSED. OSCE3 jest rezultatem trzech specjalizacji, a nie celem, który usprawiedliwia uczenie się wszystkiego powierzchownie.

Jak wybrać kolejność

OSEP, OSWE i OSED sprawdzają różne kompetencje, więc kolejność powinna wynikać z pracy, nie z rzekomej drabiny trudności. Zmapuj aktualne zadania: operacje w środowisku przedsiębiorstwa, code review aplikacji webowych albo exploit development. Następnie porównaj je z najnowszym sylabusem i wykonaj tygodniową próbkę ćwiczeń z każdej ścieżki.

Plan obejmuje czas laboratoriów, dokumentowania i powtórek, nie tylko oglądanie materiału. Prowadź dziennik hipotez, nieudanych prób i dowodów. OffSec może aktualizować syllabus, zasady proctoringu oraz przewodniki egzaminacyjne; sprawdź oficjalne dokumenty przed zakupem i ponownie przed egzaminem. OSCE3 jest nadawany po spełnieniu aktualnych wymagań OffSec opisanych w FAQ.

Źródła: OffSec OSCE3 FAQ, PEN-300 Syllabus, WEB-300 Syllabus, OffSec proctored exams.