Expertになりましたセキュリティこんにちは、セキュリティチームのwonda-tea-coffeeです。最近さらば青春の光が好きすぎて五反田への引っ越しを検討しています。Expert(以下、OSWE)について紹介します。これからチャレンジしようと考えている方、もしくは既に試験に向けて頑張っている方に向けて少しでも有益な情報になれば嬉しい限りです。Practitionerについても良ければご覧ください。Security社が提供する、ペネトレーションテストの認定試験です。以下、簡単に特徴を記します。Exploitation(以下、AWAE)コースを受講することになります。シラバスについてはこちらをご覧ください。シラバスを見て何となく雰囲気を察することができる方は恐らく前提知識を持っているように思います。Academyでシラバスと重複するトピックのみ学習すると良いかもしれません。AWAEコースでは10時間のビデオ、410ページ以上のPDF、プライベートラボが教材として提供されます。私はこのPDFを計3周しながら、Notionにコマンドや調査観点等をまとめていきました。大部分はPDFとビデオの内容は同一でしたが、一部ビデオの方が詳細な解説やコマンドが紹介されていました。私は英語力が乏しいので基本的にPDFを翻訳しながら学習を進めましたが、先の事実に気づいてから一度全てのビデオを1.5倍速くらいで流し見しました。私はコース受講前に前述のWebSecurityAcademyを一通り学習していたため、AWAEコースの大部分の内容はすんなり頭に入ってきました。脆弱性そのものの理解がやや弱い方はWebSecurityAcademyに取り組むのがお勧めです。本番を模した環境で練習したい方は以下をお勧めします。いずれも解きましたがTUDOは特に本番に近かったです。レポートを入れると3日間必要になります。社会人は特に時間の捻出に苦労されると思いますので、試験の予約段階から前もって業務や私用の調整をすると良いでしょう。11/11の2日間を業務時間として受験することができました。試験の予約可能日は場合によってはかなり先になってしまうかもしれないため、気持ちが萎えないようにPDFを1周して勝機が見えたら予約してしまうと良いかもしれません。私の場合はかなり日にちを選びやすかったです。OSCPよりは受験者が少ないのかもしれませんね。2日目共に合格点に達しないまま床に就くくらいには苦戦しました。途中何度か完全に詰まってしまうことがありましたが、その都度開き直って休憩するように努めました。休憩中は不思議とアイディアが湧いてくるので休憩は積極的に取ることをお勧めします。残念なことに満点を取ることは叶いませんでした。合格ラインの85点です。休憩や睡眠を取りたいときは監視員にチャットでそのむね伝えました。back」の2つしか使いませんでした。TPOに合った表現かは自信がありませんが、少なくとも話は通じているようでした。レポートレポートの要件は試験ガイドに書いてあるものの、具体例が無いため大変不安でした。レポート不備は減点があるため、マシンで100点を取れなかった私はレポートで点を落とすわけにはいきません。そのため相当神経を使いながらレポートを作成しましたが、結果としてレポートに減点は無く合格することができました。作成にはこれを使いました。markdownからPDFに変換してくれる便利なツールです。実行環境を整えるのに少々時間がかかるため前もってやっておくと良いでしょう。作成はおおむね以下の流れで進めました。reader.とあるように目標ファイル発見までの手順を一定の知識を持った読者が再現できるようにしなければなりません。私が書いたのは以下の通りです。機能○○には○○という脆弱性がある。実際、○○を○○すると確かめることができる。13時頃に合格メールが届きました。合格証はAccredibleで発行ができるので、やっておくと対外的なアピールをしやすいのでお勧めです。私の合格証はこれです。