Die Recherche

Ich habe sehr viel Zeit investiert, um entsprechende Einstiege in die Welt des "Hackings" zu finden und auch entsprechende Weiterbildungen gesucht. Es gab/gibt im deutschsprachigen Raum kaum bzw. wenige hilfreiche Ressourcen, mit denen man starten kann.

Klar, man kann sich Bücher kaufen und diese durcharbeiten und dann schauen wo die Reise hinführt. Für mich ist das allerdings nicht der passende Weg gewesen, da man schnell die Motivation verliert. Denn ganz wichtig, man kann in dem Themengebiet wirklich nur gut vorankommen, wenn man praktische Übungen bekommt und sich daran Wissen aneignet.

Die ersten "Gehversuche"

Über einige englische Foren bin ich zu "Hack the Box" gekommen. Schaut euch die Seite an und ihr werdet feststellen, dass man schon für die Registrierung eine kleine Hürde nehmen muss. Mir wurde schnell klar, dass HTB nicht der ideale Einstieg ist, wenn man zuvor noch wenig, bis keine Erfahrungen hat.

Nach der erfolgreichen Registrierung konnte man dann direkt starten und bekommt auch einen guten Einstieg mit ersten virtuellen Maschinen. Allerdings ist es ohne großes Hintergrundwissen nicht wirklich einfach und man muss viel recherchieren.

Naja, das habe ich dann auch schnell gelassen und einfach weiter recherchiert....

Über Projekte, in denen ich arbeitete konnte ich dann entsprechend Kontakte zu Menschen im IT Security bzw IT Pentesting Bereich knüpfen und habe diese befragt, wie man am besten "startet". Das war letztendlich der Gamechanger und ich bin zur Pentesting Academy gekommen. Der angebotene Content ist sehr umfassend. Das ist erstmal erschlagend und man braucht eine Weile, bis man eine Übersicht hat. Der große Vorteil an der Academy sind die vielen Online Labs. Man kann alles im Browser durchführen und benötigt keine eigene virtuelle Maschine oder muss sich per VPN einwählen. Das ist super entspannt. Ihr könnt direkt auf der Seite schauen, welche Videokurse zur Verfügung stehen. Hier eine kleine Übersicht (die ist allerdings nicht vollständig):

• Attacking and Defending Active Directory
• Linux Forensics
• Pentesting with Metasploit
• Wi-Fi Security and Pentesting
• USB Forensics and Pentesting
• Pentesting Challenges
• Web Application Pentesting
• Network Pentesting
• Powershell for Pentesters
• Windows Forensics
• Traffic Analysis: TSHARK Unleashed
• uvm....

Desweiteren gibt es noch die sogenannten "RED TEAM LABS". Hier bekommt man nach erfolgreicher Beendigung entsprechende Zertifikate. Ich habe mir bisher nur "Attacking Active Direcotry with Linux" angeschaut und erfolgreich abgeschlossen. Die Inhalte waren sehr gut aufbereitet und es macht total viel Spaß "Flag" für "Flag" zu finden und abzugeben. Die Videos und die entsprechenden PDF-Dateien kann man herunterladen und dann auch behalten. Mir hat das einen enormen Schubser in die richtige Richtung gegeben und letztendlich hat es mir aufgezeigt, wo ich noch Defizite bzw. gar kein Wissen besitze. Der einzige Nachteil an der Sache ist, dass man für die "RED TEAM LABS" separat zahlen muss und diese nicht in der Subscription enthalten sind.

Man kann mit der Academy sehr viel Zeit verbringen und sein Wissen enorm erweitern. In Foren liest man oftmals Vergleiche zu anderen Angeboten und die Academy wird nicht als "Einsteigerfreundlich" bezeichnet. Da kann ich zu einem gewissen Grad auch zustimmen, denn ohne meine Berufserfahrung wären einige Themen doch hart zu verstehen gewesen. Gerade das Thema "Netzwerk" ist nicht ohne und man muss schon eine solide Basis an Wissen mitbringen, damit man Fortschritte erzielen kann.

In der Academy bin ich immer noch aktiv und nutze diese auch regelmäßig. Ich habe trotzdem noch weiter recherhiert und bin auf die Seite TryHackMe gestoßen.

Ich nehme es gleich vorweg...die Seite ist mega! Es gibt Lernpfade und sog. Räume. Man bekommt Wissen von Level 0 bis Level Experte angeboten. Also habe ich mich angemeldet. Man kann TryHackMe kostenfrei nutzen, hat aber diverse Einschränkungen, mit denen man schnell die Lust verliert. Also habe ich auch hier eine Subscription geholt (10$ im Monat). Die Subscription ist jeden Dollar wert. Ich finde das Preis-/Leistungsverhältnis ist einmalig.

Eine ordentliche Einführung und entsprechende Erklärungen/Anleitungen wie man mit der Plattform interagiert und umgeht sind selbstverständlich und sehr gut aufgebaut. Auch bei THM hat man die Möglichkeit sich per VPN zu verbinden und mit seiner eigenen Maschine oder seinem Notebook die einzelnen Räume zu bestreiten. Ich finde allerdings die "AttackBox" am angenehmsten. Diese wird direkt im Browser bereitgestellt und bietet alles was man für die Räume benötigt. Man kann also jederzeit starten ohne große Vorbereitungen und kann somit auf unterschiedlichen Endgeräten die Seite nutzen. Für die Motivation gibt es für festgelegte Herausforderungen "Badges". Als kleines Belohnungssystem finde ich das sehr schön und man freut sich einfach, wenn man sich einen Badge geholt hat.

THM ist ein gelungenes Gesamtpaket und ich bin sehr begeistert! Ich kann euch diese Seite für den Einstieg sehr ans Herz legen.

Hier der Link zu meinem THM Profil: https://tryhackme.com/p/Crushi

Weitere Seiten zum Thema "Hacking" bzw. Pentesting

Ähnlich wie Udemy gibt es noch die ETH Academy: ETH Academy

Ich habe mir hier den Kurs "Certified Red Team Expert - A Complete Red Team Training With Real World Attacks" geholt. Ich kann diesen aber nicht so sehr empfehlen, der Kurs ist sehr trocken und man hat viele einzelne Videos ohne Interaktion.
Hier gilt -> ohne Übungen kann man das vermittelte Wissen nicht vertiefen.

Weitere Videokurse gibt es bei der TCM Security Academy: TCM Security Academy.

Ich habe mir hier die Kurse "Practical Ethical Hacking" ; "External Pentest Playbook"; "Windows Privilege Escalation for Beginners"; "Linux 101" und "Practical Malware Analysis & Triage" geholt und bin sehr zufrieden was den Inhalt angeht! Ich kann die beiden Kurse uneingeschränkt empfehlen und würde diese auch wieder kaufen!

Eine weitere Empfehlung ist die Seite iNE

Hier bin ich aktuell noch nicht aktiv. Ich finde es sehr interessant, denn in Zusammenhang mit dieser Seite stehen die Zertifikate von eLearn Security, welche sehr praxisorientiert und sehr anerkannt sind.
Hier möchte ich mit dem "eLearnSecurity Junior Penetration Tester" starten.

Zur Vorbereitung auf diverse Security Zertifikate: CertMike - Free Security Certificates

Hier habe ich mich für die "Free Study Group" für das Zertifikat von CompTIA PenTest+ registriert und erhalte regelmäßige E-Mails. In den Mails ist für jede Woche ein Lernplan enthalten, der so eine Art rote Faden vorgibt.

Ich bin mir sicher, dass ich dem ein oder anderem mit diesen Informationen entsprechend den Einstieg in die Welt des Pentesting erleichtern kann. Über so eine kurze Übersicht hätte ich mich zum damaligen Start sehr gefreut und das hätte mir sicher auch viel an Recherche erspart.

Schaut euch doch auch gerne meine andere Seite mit weiteren nützlichen/sinnvollen Ressourcen an. KLICK! :-)