La mia opinione sulla certificazione Centri BTL1

Alla fine dello scorso anno, il mio datore di lavoro mi ha proposto di preparare la certificazione Blue Team Level 1 (BTL1) organizzata dalla società Centri.

Non è quella che avrei scelto spontaneamente, ma non bisogna mai rifiutare l’opportunità di ottenere una nuova certificazione da aggiungere al proprio CV 🙂

Per darvi un’idea del mio livello, ho fatto una riconversione per diventare analista SOC e ho 18 mesi di esperienza in un SOC al momento in cui sostengo questa certificazione.

Ecco il mio feedback.

Cos’è la BTL1?

La BTL1 è una certificazione rivolta ad analisti blue team junior, copre sei aree:

• Security Fundamentals
• Phishing analysis
• Threat Intelligence
• Digital Forensic
• Security information and event monitoring
• Incident Response

Costa 399 GBP (circa 470 €). Questo ti dà accesso al materiale didattico, a 100 ore di macchine virtuali per esercitazioni pratiche (lab) e a due tentativi per superare l’esame.

Dal momento in cui inizi la certificazione, hai accesso per 4 mesi al materiale didattico e hai 12 mesi per sostenere l’esame. Ti consiglio di provare l’esame appena finito il materiale didattico per approfittare del fatto che è ancora fresco nella tua mente.

Secondo Centri, bisogna prevedere circa 30 ore per completare tutto. Non ho misurato esattamente quanto tempo ci ho impiegato, ma l’ordine di grandezza mi sembra corretto.

Il materiale didattico

Il materiale didattico è composto da:

• Corsi teorici con testi e immagini
• Video dimostrativi di strumenti
• Quiz
• Lab
• Correzioni dei lab

Ciò che è molto apprezzabile è poter passare subito alla pratica dei corsi teorici attraverso i lab. Centri mette a disposizione macchine virtuali con i software studiati già installati, con scenari e domande. Hai diritto a 100 ore di macchine virtuali, che sono più che sufficienti (ho consumato appena 9 ore facendo 17 lab sui 24 disponibili). Vi accedi direttamente dal tuo browser.

Attraverso i lab, avrai l’occasione di utilizzare molti strumenti diversi. Particolare attenzione è data a Splunk, Autopsy e Wireshark, che avrai alte probabilità di dover usare durante l’esame.

Alcuni moduli sono principalmente teorici (Security Fundamentals e Threat Intelligence). Se hai già un po’ di esperienza in cybersecurity o hai già ottenuto una certificazione come la Comptia Security+, puoi passare sopra rapidamente.

L’esame

Il formato dell’esame è piuttosto originale, non è un test a scelta multipla come per la maggior parte delle certificazioni.

L’esame della certificazione BTL1 consiste in uno scenario concreto con 20 domande a cui rispondere. Una macchina virtuale è a disposizione con gli strumenti necessari installati (esattamente lo stesso formato dei lab). Hai 24 ore per completare l’esame e gestisci il tempo come preferisci.

Si tratta di un esame open book, cioè puoi usare gli appunti presi durante la preparazione, fare ricerche su Google, … L’unico divieto è farti aiutare da qualcun altro.

Non appena hai inviato la risposta, ottieni il risultato istantaneamente. È necessario un punteggio minimo del 70%. Se fallisci, hai diritto a un secondo tentativo. Se ottieni un punteggio di almeno il 90% al primo tentativo, vinci in bonus il gold coin. Non serve a nulla, ma fa piacere.

Ho trovato questo formato d’esame molto apprezzabile, perché devi condurre un’indagine in condizioni simili a quelle che incontri nella vita reale.

Ho iniziato l’esame un sabato mattina verso le 8:00. All’inizio ero un po’ titubante per prendere confidenza, poi tutto è andato liscio. A mezzogiorno avevo già completato 19 domande su 20. Ho fatto una lunga pausa per pranzare e fare un pisolino. Ho ripreso verso le 14:00 per completare l’ultima domanda e prendermi il tempo di rileggere prima di validare verso le 15:30. Ho quindi dedicato 7 ore e 30 minuti all’esame, di cui circa 5 ore e 30 minuti di lavoro effettivo.

Le 24 ore previste sono quindi molto molto ampie. Vi consiglio vivamente di prendere tutto il tempo necessario per leggere bene le istruzioni (e anche leggerle due volte), questo vi eviterà di perdere tempo e stressarvi inutilmente.

Per illustrare, senza rivelare nulla dell’esame: dalla macchina virtuale dell’esame, dovevo connettermi in RDP a un controller di dominio e utilizzare uno script su di esso. Non trovavo lo script in questione e, non essendo la macchina connessa a internet, impossibile scaricarlo. È rileggendo le istruzioni che ho capito che lo script era presente sulla macchina virtuale e bastava copiarlo-incollarlo tramite RDP.

Vi consiglio anche di prendere appunti per avere sempre sott’occhio gli orari in cui si sono verificati gli eventi importanti. Se un utente ha cliccato su un link di phishing alle 14:24, è probabile che altri eventi si verifichino nei minuti successivi.

Sono molto contento del risultato poiché ho superato la BTL1 con un punteggio del 95%, quindi supero il simbolico gold coin !

Il mio parere

Penso che la BTL1 sia una superba certificazione per gli analisti principianti e per i profili in fase di riqualificazione. È probabilmente la certificazione che più si allinea alle competenze necessarie per il mestiere di analista SOC.

Il fatto di mettere rapidamente in pratica le conoscenze teoriche acquisite è un enorme vantaggio. Questo aspetto ludico manca alla maggior parte delle certificazioni. Quando ho preparato la CompTIA Security+, ho passato decine di ore a leggere il libro di 1000 pagine senza alcuna pratica. Ho risposto a domande su software che non avevo mai usato. Ho imparato moltissimo, ma manca di applicazione pratica.

Per i profili come me che hanno già un po’ di esperienza, imparerete sicuramente delle cose, ma forse troverete che il livello dell’esame è un po’ basso. Tentare la BTL2 (livello 2) sarebbe stato sicuramente più stimolante, ma il mio datore di lavoro non me l’ha proposta, e costa cinque volte di più della BTL1…

Se i lab sono belli da fare, mi lamento però della potenza delle macchine virtuali. Sono sottodimensionate e in generale, rallentano molto! Speravo che la macchina dell’esame fosse più potente, ma non è stato così. In confronto, le macchine che ci mettono a disposizione sulla piattaforma TryHackMe (su cui ho passato molto tempo durante la preparazione della mia riqualificazione) sono molto più piacevoli da usare.

Buona fortuna per la vostra preparazione e se avete domande, non esitate!