A minha opinião sobre a certificação Centri BTL1

No final do ano passado, o meu empregador propôs-me preparar a certificação Blue Team Level 1 (BTL1) organizada pela empresa Centri.

Não é propriamente a que eu teria escolhido espontaneamente, mas nunca se deve recusar a oportunidade de obter uma nova certificação para adicionar ao CV 🙂

Para terem uma ideia do meu nível, fiz uma reconversão para analista SOC e tenho 18 meses de experiência num SOC no momento em que faço esta certificação.

Aqui está o meu relato de experiência.

O que é a BTL1?

A BTL1 é uma certificação dirigida a analistas blue team juniores, cobrindo seis domínios:

• Fundamentos de Segurança
• Análise de Phishing
• Threat Intelligence
• Perícia Digital (Digital Forensics)
• Monitorização de eventos e informações de segurança
• Resposta a Incidentes

Custa 399 GBP (cerca de 470 €). Isso dá acesso ao material pedagógico, a 100 horas de máquinas virtuais para trabalhos práticos (labs) e a duas tentativas para passar no exame.

A partir do momento em que começa a certificação, tem acesso durante 4 meses ao material pedagógico e tem 12 meses para fazer o exame. Aconselho a tentar o exame assim que terminar o material pedagógico para aproveitar que ainda está fresco na cabeça.

Segundo a Centri, é preciso prever aproximadamente 30 horas para fazer tudo. Não medi precisamente quanto tempo lhe dediquei, mas a ordem de grandeza parece-me correta.

O material pedagógico

O material pedagógico é composto por:

• Cursos teóricos com textos e imagens
• Vídeos de demonstração de ferramentas
• Quizzes
• Labs
• Correções dos labs

O que é muito apreciável é poder passar imediatamente à prática dos cursos teóricos através dos labs. A Centri disponibiliza máquinas virtuais com os softwares estudados já instalados, com cenários e perguntas. Tem direito a 100 horas de máquinas virtuais, o que é mais do que suficiente (consumi apenas 9 horas ao fazer 17 labs dos 24 disponíveis). Acede diretamente através do navegador.

Através dos labs, terá a oportunidade de usar muitas ferramentas diferentes. É dada especial atenção a Splunk, Autopsy e Wireshark, que terá grandes probabilidades de usar durante o exame.

Alguns módulos são principalmente teóricos (Security Fundamentals e Threat Intelligence). Se já tiver alguma experiência em cibersegurança ou já tiver obtido uma certificação como a Comptia Security+, pode passar rapidamente por eles.

O exame

O formato do exame é bastante original, não é um QCM como na maioria das certificações.

O exame da certificação BTL1 consiste num cenário concreto com 20 perguntas às quais deve responder. Uma máquina virtual está à sua disposição com as ferramentas necessárias instaladas (exatamente no mesmo formato que os labs). Tem 24 horas para completar o exame e gere o seu tempo como quiser.

É um exame open book, ou seja, pode usar as notas que tirou durante a preparação, fazer pesquisas no Google, … A única proibição é ser ajudado por outra pessoa.

Assim que submete a sua resposta, obtém o resultado instantaneamente. É necessária uma pontuação mínima de 70%. Se falhar, tem direito a uma segunda tentativa. Se obtiver uma pontuação de pelo menos 90% na primeira tentativa, ganha como bónus o gold coin. Não serve para nada, mas sabe bem.

Achei este formato de exame muito apreciável, porque temos de conduzir uma investigação em condições próximas das que encontramos na vida real.

Comecei o exame num sábado de manhã por volta das 8h. Fiquei um pouco hesitante no início enquanto me ambientava, depois tudo correu bem. Ao meio-dia, já tinha completado 19 perguntas de 20. Fiz uma longa pausa para almoçar e tirar uma soneca. Retomei por volta das 14h para finalizar a última pergunta e reservar tempo para reler antes de validar perto das 15h30. Portanto, dediquei 7h30 ao exame, sendo cerca de 5h30 de trabalho efetivo.

As 24 horas previstas são, portanto, muito amplas. Recomendo vivamente que reserve todo o tempo necessário para ler bem as instruções (e até lê-las duas vezes), isso evitará perder tempo e stressar à toa.

Para ilustrar, sem revelar nada do exame: a partir da máquina virtual do exame, tinha de me ligar via RDP a um controlador de domínio e usar um script nele. Não encontrava o script em questão e, como a máquina não estava ligada à internet, era impossível descarregá-lo. Foi ao reler as instruções que percebi que o script estava na máquina virtual e bastava copiá-lo e colá-lo via RDP.

Aconselho também a tirar notas para ter sempre à vista as horas em que ocorreram os eventos importantes. Se um utilizador clicou num link de phishing às 14h24, é provável que outros eventos ocorram nos minutos seguintes.

Estou muito contente com o resultado, pois validei a BTL1 com uma pontuação de 95%, validando assim o simbólico gold coin !

A minha opinião

Acho que a BTL1 é uma excelente certificação para analistas iniciantes e perfis em reconversão. É provavelmente a certificação que mais se aproxima das competências necessárias para a função de analista SOC.

O facto de pôr rapidamente em prática os conhecimentos teóricos adquiridos é uma enorme mais-valia. Este aspeto lúdico falta na maioria das certificações. Quando preparei a CompTIA Security+, passei dezenas de horas a ler o livro de 1000 páginas sem qualquer prática. Respondi a perguntas sobre software que nunca tinha usado. Aprendi imenso, mas falta prática.

Para perfis como o meu, que já têm alguma experiência, aprenderá certamente coisas, mas talvez ache o nível do exame um pouco fraco. Tentar a BTL2 (nível 2) teria sido certamente mais desafiante, mas o meu empregador não ma propôs, e ela custa cinco vezes mais do que a BTL1…

Embora os laboratórios sejam fixes de fazer, tenho uma crítica quanto à potência das máquinas virtuais. São subdimensionadas e, no geral, engasgam muito! Esperava que a máquina do exame fosse mais potente, mas não foi o caso. Em comparação, as máquinas disponibilizadas na plataforma TryHackMe (onde passei muito tempo durante a preparação da minha reconversão) são muito mais agradáveis de usar.

Boa sorte na preparação e se tiverem dúvidas, não hesitem!