▸ eJPT Certification Review and Guideline

ทักทายกันหน่อย #

สวัสดีครับทุกคน สำหรับในบล็อคนี้ผมก็จะมารีวิว eJPT Certificate ของค่าย INE รวมไปถึง Guideline แนะนำสำหรับผู้ที่สนใจ ที่จะเริ่มเก็บเซอร์ในสายงาน Cyber Security ในบทบาทของ Penetration Tester หรือ นักทดสอบเจาะระบบ ในระดับเริ่มต้นนั่นเองครับ

TIP

ในส่วนของการจัดอันดับ Security Certification Roadmap จะมีเว็บไซต์ pauljerimy.com ที่ได้ทำแผนภาพสรุปไว้ให้ดูเป็นอย่างดีเลยครับ

แนะนำตัวกันก่อน #

ขอเล่าประวัติในส่วนของผมก่อนนะครับว่า จริงๆแล้วผมก็เพิ่งจบการศึกษามาได้ไม่นาน จาก รร.นนก (โรงเรียนนายเรืออากาศนวมินทกษัตริยาธิราช) ผมเรียนจบสาขาวิศวกรรมไฟฟ้ามา ซึ่งไม่มีวิชาที่เกี่ยวกับไซเบอร์เลยในหลักสูตร แต่มีเพิ่มเติมวิชานอกสาขามาเกี่ยวกับไซเบอร์มาแค่ 1 รายวิชา ที่เสริมเข้ามาเพื่อตอบสนองกับโดเมนของกองทัพอากาศ ได้แก่ Air Domain, Cyber Domain และ Space Domain ครับ ซึ่งต้องบอกตรงๆว่า ผมไม่ได้จบตรงสาย และที่ผ่านมาคือ ศึกษาเรื่องของไซเบอร์ด้วยตนเองเป็นส่วนใหญ่ อีกส่วนก็คือ ชมรมไซเบอร์นายเรืออากาศ ที่จะมีอาจารย์น้อยท่าน ที่สามารถให้คำปรึกษาด้านนี้ได้ครับ และต้องบอกว่าผมได้รับประสบการณ์เกี่ยวกับไซเบอร์ จากงานการแข่งขัน CTF (Capture The Flag), การแข่งขันการปฏิบัติการทางไซเบอร์กองทัพอากาศ เป็นหลักครับ และคำแนะนำจากพี่ๆ ในวงการไซเบอร์ที่มีประสบการณ์ตรงในสายงานนี้โดยตรง ซึ่งผมต้องขอบคุณเป็นอย่างยิ่งครับ :)

Overview #

สำหรับ eJPT (Junior Penetration Tester) เป็น Certificate ระดับเริ่มต้นเลย เหมาะสำหรับคนที่ ZERO แล้วศึกษาจนพร้อมที่จะสอบวัดระดับความรู้ในเชิงปฏิบัติ ด้านการทดสอบเจาะระบบขั้นพื้นฐานครับ

ในส่วนของการทดสอบ ก็จะเป็นในรูปแบบของ Multiple Choice ผสม Capture The Flag จำนวนทั้งหมด 35 ข้อ โดยจะต้องกระทำการตอบคำถามตามที่โจทย์กำหนด ยกตัวอย่างเช่น หาจำนวน DMZ (Demilitarized Zone) ในเครือข่าย, หาพาสเวิร์ดของ User ที่กำหนด, Flag Root (ไฟล์คำตอบที่อ่านได้เฉพาะผู้ใช้สิทธ์ระดับสูงสุดในระบบ) ฯลฯ ระยะเวลาในการสอบ 48 ชั่วโมง หรือ 2 วัน ไม่มีผู้คุมสอบ ไม่ต้องเขียน Report ส่ง สอบเสร็จ Submit คำตอบเองรู้ผลเลย

การหาคำตอบจะมีเครื่อง Kali ของทางค่าย INE มาให้ ซึ่งในส่วนของเครื่องมือจะเซ็ตมาให้ทั้งหมด ไม่สามารถต่อเน็ตดาวน์โหลดเครื่องมือเพิ่มเติมจากภายนอกได้ ใช้เครื่องมือที่มีมาให้ได้แค่นั้น ใช้เวลาเปิดเครื่อง 1 นาที ในส่วนของ Lab จะมีการจำลองเครือข่ายขึ้นมา ประมาณกี่เครื่องแล้วแต่ผู้ที่รับการทดสอบ Deploy Lab ขึ้นมา ใช้เวลาประมาณ 5 นาที ของผมได้ทั้งหมด 6 เครื่อง ที่เป็น Windows 5 เครื่อง Linux 1 เครื่อง ซึ่งในการปฏิบัติจะต้องค้นหา IP Address ในเครือข่ายเอง จะไม่มีบอกว่ามีกี่เครื่องในเครือข่าย โดยในการสรุปผลคะแนนจะแบ่งเป็น domains ตามรูปภาพดังนี้ครับ

สรุปง่ายๆ ก็คือ

• เกณฑ์ผ่านจะต้องทำให้ได้ขั้นตํ่า 70%
• ระยะเวลาในการทดสอบ 48 ชั่วโมง / 2 วัน
• เครื่องมือมีให้ แต่ไม่สามารถดาวน์โหลดเพิ่มเติมได้
• ไม่มีผู้คุมสอบ
• ไม่ต้องเขียน Report

Purchase a certification exam voucher #

สำหรับผมซื้อ eJPT with Fundamentals Quarterly ในช่วงลดราคา ประกอบไปด้วย

• Fundamentals Quarterly ระยะเวลา 3 เดือน
• Exam Voucher

รายละเอียดหลักสูตร : Link

NOTE

ต้องบอกเลยว่าผมก็ยังเป็นนักเรียนอยู่เลยอาจจะมีทุนทรัพย์ไม่มาก ดังนั้นผมเลยหาทุนโดยไปลงแข่งงาน CTF ต่างๆ ที่ได้มามากที่สุดก็จะเป็นงานแข่งขันปฏิบัติการทางไซเบอร์กองทัพอากาศครับ ก็เก็บเล็กเก็บน้อยจนพอจะมีเงินจำนวนนึงไปสอบ Certificate แรกได้ครับ :)

Penetration Testing Student course #

ในส่วนของเนื้อหาที่เรียนก็จะแบ่งเป็นจำนวน 4 Section ตามที่เราต้องไปสอบ โดยแบ่งเป็น

• Section 1 : Assessment Methodologies
• Section 2 : Host and Networking Auditing
• Section 3 : Host and Network Penetration Testing
• Section 4 : Web Application Penetration Testing

ด้วยความที่ผมโชคดี (หรือโชคร้ายนะ ) ในช่วงปลายเดือนสิงหาคม 2024 บางเนื้อหาจะมีการ Retiring เนื้อหาเก่าออกเพื่อที่จะปรับปรุงหลักสูตรใหม่ ดังนั้นเลยทำให้ผมได้เรียนเนื้อหาไปแบบคูณสองไปเลย ซึ่งถ้าคนที่ซื้อคอสหลังจากเดือนนั้นก็ไม่สามารถเรียนเนื้อหา Retiring ได้อีกครับ แต่สำหรับคนที่เคยเรียนไปแล้วก็กดดูย้อนหลังได้ปกติครับ

ต้องยอมรับว่าส่วนตัวผมแล้วต้องยอมรับว่า Instructor บางคน สอนแบบอ่านตามสไลด์เลยซึ่งทำให้ผมรู้สึกว่าเวลาที่ผมเสียไปไม่คุ้มค่าเท่าไหร่ แต่ที่ผมประทับใจคือ Instructor Alexis Ahmed ที่สอนค่อนข้างถูกใจผมมาก เนื่องจากอธิบายให้เห็นภาพที่ชัดเจนดีนอกเหนือจากสไลด์ครับ ก็คือ ผมยกตัวอย่างในการสอน Section 1 เรื่อง Assessment Methodologies ว่ากันด้วยเรื่องของ Information Gathering, Footprinting & Scanning, Enumeration และ Vulnerability Assessment

สิ่งที่ Instructor เน้นยํ้าก็คือหัวใจหลักของการทดสอบเจาะระบบนั่นก็คือ การสืบค้นข้อมูลของเครื่องเป้าหมายให้ได้มากที่สุดนั้นเอง “Enumeration is the KEY” เนื่องจากที่ว่าในกระบวนการนี้ถ้าเราค้นหาไม่ครบถ้วน ก็อาจจะทำให้เราพลาดอะไรบางอย่างไปได้ครับ

ในการนำเสนอของเขานั้น ว่ากันด้วยเรื่องของการสาธิต การใช้เครื่องมืออย่าง Nmap เขาก็จะมีโปรแกรมอย่าง Wireshark ดักการรับส่งของข้อมูล ให้เห็นกันชัดๆเลยว่า option ของ Nmap แต่ละแบบมีจำนวน packet มากน้อยประมาณไหน รวมไปถึงการแนะนำเพื่อไปใช้งานในการปฏิบัติงานจริง ควรที่จะคำนึงถึงผลกระทบต่อ assets ของระบบถ้าเรากระหนำ scan แบบไม่สนใจถึงความสามารถของระบบก็อาจจะทำให้เกิดความเสียหายต่อระบบได้ครับ รวมไปถึง เวลาที่เราจะหลบหลีกการตรวจจับของ IDS (Intrusion Detection System) และ IPS (Intrusion Prevention System) ว่าควรที่จะสแกนแบบไหนถึงจะโดนตรวจจับว่ามีความผิดปกติได้น้อยทีสุดครับ

NOTE

ผมขอยอมรับว่า ในส่วนของเนื้อหาผมอาจจะข้ามๆและไปศึกษาเฉพาะที่ผมอาจจะยังไม่เคยได้เรียน เลยไม่ได้เก็บข้อมูลทุกวินาที แบบ 100% แต่เดียวผมจะ Guideline สำหรับผู้ที่อาจจะอยู่ในช่วงที่ยังเป็นนักเรียนแบบผม แล้วยังมีทุนซื้อแค่ Exam Voucher โดยผมจะไปเน้นเนื้อหาที่สามารถเรียนได้ฟรีและมีคุณภาพ ที่สามารถหาได้ตาม platform ต่างๆ ครับ

Guideline Skills for Guaranteed Success 100% #

ในส่วนของการแนะนำของผมสำหรับผู้ที่เริ่มต้นใหม่ จริงๆ มันก็จะมี เนื้อหาที่ให้ไปศึกษาได้ฟรีตาม platform ต่างๆ เริ่มแรกสำหรับคนที่ ZERO เลยจริงๆ แนะนำว่าควรมี Skill requirements ในระดับพื้นฐานก่อน ถ้าจะพูดถึงก็คือ Computer Science Basics ต่างๆ เช่น จำพวกเรื่องของ Computing systems, Internet and networks ๆลๆ

• Introduction to Computer Science: The Basics (Part One)
• Introduction to Computer Science: The Basics (Part Two Final)

บล็อคที่หามาให้แค่จะแนะนำหัวข้อกับเรื่องที่ต้องรู้ แล้วที่เหลือเป็นหน้าที่ของเราเองที่จะต้องไปศึกษาเพิ่มเติมเองครับ

Hello there #

Hi everyone, in this blog I’ll review INE’s eJPT Certificate plus a guideline for anyone interested in starting their cert collection in Cyber Security as a Penetration Tester at the entry level.

TIP

For the Security Certification Roadmap, check out pauljerimy.com. It has a great visual summary.

Quick intro #

Let me share my background first. I’m a recent graduate from RTAFA (Navaminda Kasatriyadhiraj Royal Air Force Academy), majored in Electrical Engineering, which had zero cyber-related courses in the core curriculum. There was only 1 elective on cyber that fit the Air Force’s three domains: Air, Cyber, and Space. So I’m not a direct-track cyber grad. Most of my learning was self-study, plus the cadet cyber club where a few instructors could mentor on this field. I picked up most of my cyber experience from CTF competitions and Air Force cyber operations competitions, and from advice from seniors in the industry. Thanks to all of them :)

Overview #

eJPT (Junior Penetration Tester) is an entry-level cert. Good for someone starting from ZERO who has studied enough to test basic practical pentesting knowledge.

The exam is Multiple Choice mixed with Capture The Flag format, 35 questions total. You answer per the prompt, for example: find the number of DMZs in the network, find a given user’s password, capture the root flag (file readable only by the highest-privileged user), etc. Exam time is 48 hours / 2 days. No proctor. No Report required. Submit answers and get results.

INE provides a Kali machine with all tools preinstalled. You cannot download extra tools. Boot takes 1 minute. The lab simulates a network. Number of machines depends on what your deploy gives you. Deploy takes about 5 minutes. I got 6 machines, 5 Windows and 1 Linux. You have to discover IP addresses yourself, no info on how many machines are in the network. Score is split into domains as shown:

Quick summary:

• Pass mark: minimum 70%
• Exam duration: 48 hours / 2 days
• Tools provided, no extras allowed
• No proctor
• No Report required

Purchase a certification exam voucher #

I bought the eJPT with Fundamentals Quarterly on sale, which includes:

• Fundamentals Quarterly · 3 months
• Exam Voucher

Course details: Link

NOTE

I’m still a student, so funds are limited. I built up money by joining CTF competitions, most of it from the Air Force cyber operations competition. Saved up bit by bit until I had enough for my first cert :)

Penetration Testing Student course #

The course content is split into 4 Sections aligned with the exam:

• Section 1 : Assessment Methodologies
• Section 2 : Host and Networking Auditing
• Section 3 : Host and Network Penetration Testing
• Section 4 : Web Application Penetration Testing

I got lucky (or unlucky ): late August 2024, some content was being retired for a curriculum refresh. So I got double the content. People who bought after that month can’t access the retiring material, but those who had bought before can rewatch.

Honestly, some instructors just read off slides, which felt like wasted time. The one I really enjoyed was Alexis Ahmed. He explained things vividly beyond the slides. For example in Section 1 on Assessment Methodologies, covering Information Gathering, Footprinting & Scanning, Enumeration, and Vulnerability Assessment.

What he emphasized was the heart of pentesting: gather as much info on the target as possible. “Enumeration is the KEY.” If you don’t enumerate fully, you’ll miss something.

In his demos, when teaching tools like Nmap, he had Wireshark capturing the traffic so you could see exactly how many packets each Nmap option generated. He also shared real-world advice: in production, consider impact on assets, aggressive scans can damage systems. And evasion tips for IDS/IPS, which scan modes are stealthier.

NOTE

I skipped some content and only studied things I hadn’t seen before, so I didn’t capture every second of the course. But I’ll provide a Guideline for those who are students like me with only enough budget for an Exam Voucher, focused on free quality content available on various platforms.

Guideline Skills for Guaranteed Success 100% #

For beginners, there is plenty of free content on various platforms. Starting from ZERO, you need basic Computer Science prerequisites: Computing systems, Internet and networks, etc.

• Introduction to Computer Science: The Basics (Part One)
• Introduction to Computer Science: The Basics (Part Two Final)

These blogs only point at the topics you need to know, the rest is up to you to dig in.