CEH, OSCP+, GPEN e PenTest+ valutano aspetti diversi del penetration testing. Ecco come confrontarle con ruolo, esperienza e competenze da sviluppare. La prima domanda non è quale sigla sia "la migliore", ma quale prova di competenza ti serve. Un requisito di selezione, un percorso di apprendimento e la capacità di condurre un incarico sono obiettivi collegati, ma distinti. La guida al penetration testing aiuta a inquadrare il mestiere. Quali certificazioni sono necessarie? Non trattare queste credenziali come una licenza universale che autorizza i test. Un cliente, un bando o un datore di lavoro può richiedere attestazioni specifiche; tali requisiti vanno verificati nel contesto dell'incarico. L'accesso ai sistemi resta subordinato all'autorizzazione e alle regole d'ingaggio. Per una candidatura, separa requisiti obbligatori e preferenziali. Se una posizione richiede esplicitamente una credenziale, un laboratorio personale non la sostituisce. Se la selezione valuta soprattutto attività pratiche, accumulare sigle senza saper spiegare un rilievo può lasciarti impreparato. CEH: conoscenze e percorsi distinti EC-Council offre CEH e una prova CEH Practical distinta. Il loro rapporto e il livello Master sono spiegati nell'articolo sulla certificazione CEH. Prima di confrontare questa opzione con altre, identifica esattamente quale prova e quale formazione stai considerando. OSCP e OSCP+: prova pratica e documentazione La guida ufficiale all'esame OSCP+ di OffSec descrive una valutazione pratica in una rete di laboratorio e richiede documentazione delle attività. La guida indica 23 ore e 45 minuti per l'esame e ulteriori 24 ore per caricare la documentazione. Per pianificare il tentativo, consulta anche regole sugli strumenti e istruzioni di consegna. OSCP e OSCP+ non vanno confusi nella descrizione del percorso. Controlla con OffSec quale credenziale viene assegnata, quali condizioni di mantenimento si applicano e cosa include l'acquisto. La capacità di documentare il lavoro è parte della preparazione, non un'attività da improvvisare alla fine. GPEN: metodo e competenze di pentesting La pagina ufficiale GIAC Penetration Tester presenta GPEN come una certificazione su tecniche e metodologia, includendo pianificazione, ricognizione e attività di valutazione. GIAC descrive inoltre componenti pratiche CyberLive. Formato, punteggio e condizioni del tentativo vanno controllati nell'account del candidato. PenTest+: processo e comunicazione Gli obiettivi ufficiali CompTIA PenTest+ PT0-003 comprendono pianificazione, raccolta di informazioni, esecuzione delle fasi e comunicazione dei risultati. Il documento è utile per confrontare argomenti e preparazione senza affidarsi soltanto al nome della certificazione. Una griglia per scegliere Per ogni opzione annota: competenze valutate, formato della prova, ammissione, formazione inclusa, strumenti consentiti, costo complessivo e mantenimento. Distingui ciò che è verificato sul sito dell'ente da ciò che un corso promette commercialmente. Considera il tempo per laboratori e documentazione oltre alle ore di lezione. Esempio: vuoi passare dall'amministrazione di sistemi al pentesting. Se sai configurare una rete ma non interpretare evidenze o scrivere un report, dedica una parte del percorso a quelle attività. Se lavori già su applicazioni, individua le lacune negli ambiti infrastrutturali prima di scegliere un programma generalista. La scelta migliore è quella che risponde a un obiettivo dimostrabile e sostenibile. Prosegui con il percorso per diventare penetration tester e verifica le tue capacità attraverso report e retest: una credenziale ha più valore quando sai collegarla al lavoro che riesci a svolgere.