Meine Meinung zur Centri BTL1-Zertifizierung

Ende letzten Jahres bot mir mein Arbeitgeber an, mich auf die Zertifizierung Blue Team Level 1 (BTL1) der Firma Centri vorzubereiten.

Das wäre nicht unbedingt meine spontane Wahl gewesen, aber man sollte niemals die Gelegenheit ablehnen, eine neue Zertifizierung für den Lebenslauf zu bekommen 🙂

Damit ihr eine Vorstellung von meinem Niveau habt: Ich habe eine Umschulung zum SOC-Analysten gemacht und habe zum Zeitpunkt der Zertifizierung 18 Monate Erfahrung in einem SOC.

Hier ist mein Erfahrungsbericht.

Was ist die BTL1?

Die BTL1 ist eine Zertifizierung für junge Blue-Team-Analysten. Sie umfasst sechs Bereiche:

• Security Fundamentals
• Phishing-Analyse
• Threat Intelligence
• Digital Forensik
• Security Information and Event Monitoring
• Incident Response

Sie kostet 399 GBP (ca. 470 €). Damit erhaltet ihr Zugang zum Schulungsmaterial, zu 100 Stunden virtueller Maschinen für praktische Übungen (Labs) und zu zwei Versuchen, die Prüfung zu bestehen.

Sobald ihr mit der Zertifizierung beginnt, habt ihr 4 Monate lang Zugriff auf das Schulungsmaterial und 12 Monate Zeit, um die Prüfung abzulegen. Ich empfehle euch, die Prüfung sofort nach Abschluss des Schulungsmaterials zu versuchen, solange der Stoff noch frisch im Kopf ist.

Laut Centri sollte man circa 30 Stunden einplanen, um alles zu schaffen. Ich habe nicht genau gemessen, wie viel Zeit ich investiert habe, aber die Größenordnung scheint mir realistisch.

Das Schulungsmaterial

Das Schulungsmaterial besteht aus:

• Theoriekursen mit Texten und Bildern
• Videos zur Demonstration von Tools
• Quizzen
• Labs
• Lösungen zu den Labs

Was sehr angenehm ist, ist die Möglichkeit, die Theorie direkt in den Labs praktisch anzuwenden. Centri stellt euch virtuelle Maschinen mit den bereits installierten Tools sowie Szenarien und Fragen zur Verfügung. Ihr habt Anspruch auf 100 Stunden virtuelle Maschinen, was völlig ausreicht (ich habe bei 17 von 24 verfügbaren Labs kaum 9 Stunden verbraucht). Ihr greift direkt über euren Browser darauf zu.

In den Labs habt ihr die Gelegenheit, viele verschiedene Tools zu nutzen. Ein besonderes Augenmerk liegt auf Splunk, Autopsy und Wireshark, die ihr mit hoher Wahrscheinlichkeit auch in der Prüfung verwenden müsst.

Einige Module sind hauptsächlich theoretisch (Security Fundamentals und Threat Intelligence). Wenn ihr bereits ein wenig Erfahrung in der Cybersicherheit habt oder bereits eine Zertifizierung wie die Comptia Security+besitzt, könnt ihr diese schnell durchgehen.

Die Prüfung

Das Format der Prüfung ist ziemlich ungewöhnlich, es ist kein Multiple-Choice-Test wie bei den meisten Zertifizierungen.

Die Prüfung zur BTL1-Zertifizierung besteht aus einem konkreten Szenario mit 20 Fragen, die ihr beantworten müsst. Eine virtuelle Maschine mit den benötigten Tools (genau wie in den Labs) steht euch zur Verfügung. Ihr habt 24 Stunden Zeit, um die Prüfung abzuschließen und könnt eure Zeit frei einteilen.

Es handelt sich um eine Open-Book-Prüfung, das heißt, ihr dürft eure während der Vorbereitung gemachten Notizen verwenden, Google-Recherchen durchführen, … Einzige Einschränkung: Ihr dürft euch nicht von jemand anderem helfen lassen.

Sobald ihr eure Antwort eingereicht habt, erhaltet ihr sofort das Ergebnis. Erforderlich ist eine Mindestpunktzahl von 70 %. Bei Nichtbestehen habt ihr Anspruch auf einen zweiten Versuch. Erreicht ihr beim ersten Versuch mindestens 90 %, gewinnt ihr als Bonus die gold coin. Sie ist nutzlos, aber sie freut einen.

Ich fand dieses Prüfungsformat sehr angenehm, weil man eine Untersuchung unter Bedingungen durchführt, die denen im echten Leben nahekommen.

Ich habe die Prüfung an einem Samstagmorgen um 8 Uhr gestartet. Ich war anfangs ein wenig zögerlich, bis ich mich eingearbeitet hatte, aber dann lief alles gut. Um 12 Uhr hatte ich bereits 19 von 20 Fragen bearbeitet. Ich machte eine lange Pause zum Mittagessen und ein kleines Nickerchen. Ich nahm die Arbeit gegen 14 Uhr wieder auf, um die letzte Frage zu beenden und mir Zeit zum Korrekturlesen zu nehmen, bevor ich gegen 15:30 Uhr abgab. Ich habe also 7,5 Stunden für die Prüfung aufgewendet, davon etwa 5,5 Stunden effektive Arbeit.

Die vorgesehenen 24 Stunden sind also sehr, sehr großzügig. Ich empfehle Ihnen dringend, sich die Zeit zu nehmen, die Anweisungen sorgfältig zu lesen (sogar zweimal), das erspart Ihnen Zeit und unnötigen Stress.

Um dies zu veranschaulichen, ohne etwas über die Prüfung zu verraten: Von der virtuellen Prüfungsmaschine aus musste ich mich per RDP mit einem Domänencontroller verbinden und ein Skript auf diesem verwenden. Ich fand das Skript nicht, und da die Maschine nicht mit dem Internet verbunden war, konnte ich es nicht herunterladen. Erst als ich die Anweisungen erneut las, verstand ich, dass das Skript auf der virtuellen Maschine vorhanden war und ich es nur per RDP kopieren und einfügen musste.

Ich empfehle Ihnen auch, Notizen zu machen, um die Zeiten wichtiger Ereignisse stets im Blick zu haben. Wenn ein Benutzer um 14:24 Uhr auf einen Phishing-Link geklickt hat, ist es wahrscheinlich, dass in den nächsten Minuten weitere Ereignisse eintreten.

Ich bin mit dem Ergebnis sehr zufrieden, da ich die BTL1 mit einer Punktzahl von 95 % bestanden habe, ich bestehe also den symbolischen gold coin !

Meine Meinung

Ich denke, dass die BTL1 eine hervorragende Zertifizierung für Einsteiger-Analysten und Personen in der Umschulung ist. Sie ist wahrscheinlich die Zertifizierung, die am ehesten den Fähigkeiten entspricht, die für den Beruf des SOC-Analysten erforderlich sind.

Die Möglichkeit, die erworbenen theoretischen Kenntnisse schnell in die Praxis umzusetzen, ist ein enormer Vorteil. Dieser spielerische Aspekt fehlt den meisten Zertifizierungen. Als ich mich auf die CompTIA Security+ vorbereitete, verbrachte ich Dutzende von Stunden damit, das 1000-seitige Buch zu lesen, ohne jede praktische Anwendung. Ich beantwortete Fragen zu Software, die ich nie benutzt hatte. Ich habe unheimlich viel gelernt, aber es fehlt an praktischer Anwendung.

Für Profile wie mich, die bereits ein wenig Erfahrung haben, werden Sie sicherlich das eine oder andere lernen, aber vielleicht finden Sie, dass das Niveau der Prüfung ein wenig niedrig ist. Die BTL2 (Stufe 2) zu versuchen, wäre sicherlich eine größere Herausforderung gewesen, aber mein Arbeitgeber hat es mir nicht angeboten, und sie kostet fünfmal so viel wie die BTL1…

Die Labs machen zwar Spaß, aber ich muss mich über die Leistungsfähigkeit der virtuellen Maschinen beschweren. Sie sind unterdimensioniert und insgesamt ruckelt es sehr! Ich hatte gehofft, dass die Prüfungsmaschine leistungsfähiger wäre, aber das war nicht der Fall. Im Vergleich dazu sind die Maschinen, die uns auf der Plattform TryHackMe zur Verfügung gestellt werden (auf der ich während der Vorbereitung meiner Umschulung viel Zeit verbracht habe), viel angenehmer zu bedienen.

Viel Erfolg bei Ihrer Vorbereitung, und wenn Sie Fragen haben, zögern Sie nicht!