Mijn mening over de Centri BTL1 certificering

Eind vorig jaar stelde mijn werkgever voor om de Blue Team Level 1 (BTL1) certificering van het bedrijf Centri te behalen.

Het is niet per se degene die ik spontaan zou hebben gekozen, maar je mag nooit de kans weigeren om een nieuwe certificering aan je cv toe te voegen 🙂

Om een idee te geven van mijn niveau: ik heb een carrièreswitch gemaakt naar SOC-analist en ik heb 18 maanden ervaring in een SOC op het moment dat ik deze certificering behaal.

Hier is mijn ervaringsverslag.

Wat is de BTL1?

De BTL1 is een certificering gericht op junior blue team-analisten en omvat zes domeinen:

• Security Fundamentals
• Phishing analysis
• Threat Intelligence
• Digital Forensic
• Security information and event monitoring
• Incident Response

Het kost 399 GBP (ongeveer 470 euro). Dit geeft je toegang tot het lesmateriaal, 100 uur aan virtuele machines voor praktijkoefeningen (labs) en twee pogingen om het examen te halen.

Vanaf het moment dat je met de certificering start, heb je 4 maanden toegang tot het lesmateriaal en heb je 12 maanden om het examen af te leggen. Ik raad je aan om het examen zo snel mogelijk te proberen nadat je het lesmateriaal hebt doorlopen, zodat de stof nog vers in je geheugen zit.

Volgens Centri moet je ongeveer 30 uur uittrekken om alles te doen. Ik heb niet precies gemeten hoeveel tijd ik eraan heb besteed, maar de orde van grootte lijkt me correct.

Het lesmateriaal

Het lesmateriaal bestaat uit:

• Theorielessen met teksten en afbeeldingen
• Video’s met demonstraties van tools
• Quizzen
• Labs
• Correcties van de labs

Wat heel prettig is, is dat je direct de theorie in de praktijk kunt brengen via de labs. Centri stelt virtuele machines ter beschikking met de bestudeerde software al geïnstalleerd, inclusief scenario’s en vragen. Je hebt recht op 100 uur aan virtuele machines, wat ruim voldoende is (ik heb slechts 9 uur verbruikt bij 17 labs van de 24 beschikbare). Je hebt er direct toegang toe via je browser.

Tijdens de labs krijg je de kans om veel verschillende tools te gebruiken. Er wordt speciale aandacht besteed aan Splunk, Autopsy en Wireshark, die je tijdens het examen grote kans hebt om te moeten gebruiken.

Sommige modules zijn voornamelijk theoretisch (Security Fundamentals en Threat Intelligence). Als je al wat ervaring hebt in cybersecurity of al een certificering zoals de Comptia Security+hebt behaald, kun je er snel doorheen gaan.

Het examen

Het examenformaat is vrij origineel; het is geen meerkeuzevragen zoals bij de meeste certificeringen.

Het BTL1-examen bestaat uit een concreet scenario met 20 vragen die je moet beantwoorden. Er is een virtuele machine beschikbaar met de benodigde tools geïnstalleerd (exact hetzelfde formaat als de labs). Je hebt 24 uur om het examen te voltooien en je kunt je tijd naar eigen inzicht indelen.

Het is een open book-examen, wat betekent dat je aantekeningen van de voorbereiding mag gebruiken, Google-zoekopdrachten mag doen, etc. De enige beperking is dat je geen hulp van anderen mag vragen.

Zodra je je antwoord hebt ingediend, krijg je direct het resultaat. Je moet minimaal 70% scoren. Als je faalt, heb je recht op een tweede poging. Als je bij de eerste poging minimaal 90% scoort, krijg je als bonus de gold coin. Het heeft geen nut, maar het is leuk.

Ik vond dit examenformaat erg prettig, omdat je een onderzoek moet uitvoeren in omstandigheden die dicht bij de praktijk liggen.

Ik startte het examen op een zaterdagochtend rond 8 uur. In het begin was ik een beetje aarzelend terwijl ik op gang kwam, daarna liep alles vlot. Tegen de middag had ik al 19 van de 20 vragen voltooid. Ik nam een lange pauze om te lunchen en een dutje te doen. Ik hervatte rond 14 uur om de laatste vraag af te ronden en nam de tijd om alles na te lezen voordat ik rond 15:30 uur bevestigde. Ik heb dus 7,5 uur aan het examen besteed, waarvan ongeveer 5,5 uur effectief werk.

De voorziene 24 uur zijn dus heel ruim. Ik raad je ten zeerste aan om alle tijd te nemen om de instructies goed te lezen (zelfs twee keer), zodat je geen tijd verliest en onnodige stress vermijdt.

Om te illustreren, zonder iets over het examen te onthullen: vanuit de virtuele machine van het examen moest ik via RDP verbinding maken met een domeincontroller en een script daarop gebruiken. Ik kon het script niet vinden en omdat de machine niet met internet was verbonden, kon ik het niet downloaden. Pas bij het herlezen van de instructies begreep ik dat het script op de virtuele machine aanwezig was en dat ik het via RDP kon kopiëren en plakken.

Ik raad je ook aan om aantekeningen te maken, zodat je altijd voor ogen hebt op welke tijdstippen belangrijke gebeurtenissen plaatsvonden. Als een gebruiker om 14:24 uur op een phishinglink klikte, is het waarschijnlijk dat er in de minuten daarna andere gebeurtenissen plaatsvinden.

Ik ben erg blij met het resultaat, want ik heb de BTL1 behaald met een score van 95%, dus ik behaal het symbolische gold coin !

Mijn mening

Ik denk dat de BTL1 een uitstekende certificering is voor beginnende analisten en profielen die in een omscholingsproces zitten. Het is waarschijnlijk de certificering die het beste aansluit bij de vaardigheden die nodig zijn voor het beroep van SOC-analist.

Het feit dat je de theoretische kennis snel in de praktijk kunt brengen, is een enorme plus. Dit speelse aspect ontbreekt bij de meeste certificeringen. Toen ik me voorbereidde op de Comptia Security+, spendeerde ik tientallen uren aan het lezen van het boek van 1000 pagina’s zonder enige praktische toepassing. Ik beantwoordde vragen over software die ik nog nooit had gebruikt. Ik heb enorm veel geleerd, maar er ontbreekt praktische toepassing.

Voor profielen zoals ik die al een beetje ervaring hebben, zul je ongetwijfeld dingen leren, maar je vindt misschien dat het examenniveau een beetje laag is. Het proberen van de BTL2 (niveau 2) zou zeker uitdagender zijn geweest, maar mijn werkgever bood het niet aan, en het kost vijf keer zoveel als de BTL1…

Hoewel de labs leuk zijn om te doen, wil ik toch klagen over de kracht van de virtuele machines. Ze zijn ondergedimensioneerd en over het algemeen loopt het heel traag! Ik hoopte dat het examenmachine krachtiger zou zijn, maar dat was niet het geval. Ter vergelijking: de machines die beschikbaar worden gesteld op het TryHackMe-platform (waar ik veel tijd heb doorgebracht tijdens de voorbereiding van mijn omscholing) zijn veel prettiger in gebruik.

Veel succes met je voorbereiding en als je vragen hebt, aarzel dan niet!