■ 概要
先日受験したCompTIA PenTest+（PT0-002）に関するメモ。受験までを振り返るとともに、今後受験を検討している方への参考記事として内容をまとめる。受験結果はスコア788/900で合格（750が合格スコア）。
■ 受験者の情報
ICT業界3年ほどのエンジニアで、情報セキュリティやペネトレーションテストに関連する業務の経験はありません。1年ほど前からペネトレーションテストの勉強を始めており、知識の定着具合を確認するために受験しました。受験時の保有資格は次のとおりですが、これらを保有していなくても十分合格可能な試験だと思います。
- 応用情報技術者
- CompTIA Network+
- eJPTv2
■ 学習教材
学習に使用した主なプラットフォーム／教材は次のとおりです。
- TryHackMe（おすすめのRoomは後述）
- Udemyにて販売されている問題集（CompTIA PenTest+ (PT0-002) Practice Certification Exams）
- TACによる通信講座（CompTIA PenTest+（PT0-002）Web模擬試験）
先述のとおり、1年ほど前からペネトレーションテストの勉強を始めており、その際に用いたものがTryHackMeでした。様々なRoomを攻略していく過程で、ペネトレーションテストで用いられる著名なツールの使い方などを学ぶことができました。試験に合格する ことが目的であれば、TryHackMeで学習する必要はなく、TACによる通信講座だけで十分だと思います。ただ、関連分野での業務経験がない場合は、TryHackMeなどによる基礎知識の習得はすべきだとも思います。暗記だけでなく実際に各種ツールを使えるようになったという感覚が、学習のモチベーションを高めることにつながります。
CompTIA PenTest+の受験に際しては、Udemyで購入した問題集（英語）も利用しました。購入当時はPT0-002が日本語対応していなかったため、英語版を受験するつもりでした。ただ、しばらくして日本語対応版が登場し、それに伴ってTACの通信講座も開講された ため、最終的にはTACのWeb模擬試験で仕上げました。Udemyの問題集を使う機会は多くなかったですが、問題数が豊富で質の高い教材であったことは言っておきます。
https://www.udemy.com/course/comptia-pentest-exams-002/
TACのWeb模擬試験について説明すると、模擬試験集に加え、パフォーマンスベーステスト用の問題や、隙間時間を活用した学習が行える問題セットが用意されています。問題の傾向も実際の試験に近いと感じたため、取り組んでおくことを強く推奨します。
※ TACのWeb模擬試験は、申し込み後すぐに利用できるわけではありません。
受験までに余裕を持ったスケジュールを組んだうえで申し込むとよいと思います。
この他としては、eLearnSecurity社のeJPTv2のラーニングパスも間接的に役に立ちました（CompTIA PenTest+の受験前に、eJPTv2を取得しています）。
■ 学習期間
知識0からのスタートで合格までの水準に至る期間の見積もりは難しいです。ただ、基礎知識がついていれば、1ヶ月の学習で十分です。私の場合はTryHackMeのRoomやeJPTv2試験の学習を通して基礎知識をつけ（1年ほど）、TACのWeb模擬試験にて資格を意識した学習を行いました（毎日1時間ほどを2週間）。
■ TryHackMeにおけるおすすめのRoom
基本的にはCompTIA PenTest+用のラーニングパス内のRoomに取り組めばよいと思います。現時点でラーニングパスに含まれていないRoomだと、以下がおすすめです。
- Crack the hash
→ hashcatやJohnを使ったハッシュクラックを学習できます - Google Dorking
→ Google検索時の特殊なクエリの使い方を学習できます - Linux: Local Enumaraton
→ Linuxマシンにおける内部探索について学習できます - What the Shell?
→ リバースシェル／バインドシェルの使い方を学習できます
■ 感想など
元々は知識の定着具合を確認するための受験でしたが、CompTIA PenTest+合格のための学習を進めるなかで、知らないツールや法令制度などの存在を認識することができ、結果としてペネトレーションテストに係る知識を増やすことができました。次はOSCPといきたいところですが、eJPTv2やCompTIA PenTest+とはかなりギャップがあるため、苦労しそうです。
