En fin d’année dernière, mon employeur m’a proposé de préparer la certification Blue Team Level 1 (BTL1) organisée par la société Centri.
Ce n’est pas forcément celle que j’aurai choisi spontanément, mais il ne faut jamais refuser l’opportunité d’obtenir une nouvelle certification à ajouter sur son CV 🙂
Pour que vous ayez une idée de mon niveau, j’ai fait une reconversion pour devenir analyste SOC et j’ai 18 mois d’expérience dans un SOC au moment où je passe cette certification.
Voici mon retour d’expérience.
Qu’est-ce que la BTL1 ?
La BTL1 est une certification qui s’adresse à des analystes blue team juniors, elle couvre six domaines :
- Security Fundamentals
- Phishing analysis
- Threat Intelligence
- Digital Forensic
- Security information and event monitoring
- Incident Response
Elle coûte 399 GBP (environ 470 €). Ce qui vous donne accès au matériel pédagogique, à 100 heures de machines virtuelles pour des travaux pratiques (labs) et à deux tentatives pour réussir l’examen.
À partir du moment où vous démarrez la certification, vous avez accès pendant 4 mois au matériel pédagogique et vous avez 12 mois pour passer l’examen. Je vous conseille de tenter l’examen dès que vous avez terminé le matériel pédagogique pour profiter que c’est encore chaud dans votre tête.
Selon Centri, il faut prévoir approximativement 30 heures pour tout faire. Je n’ai pas mesuré précisément combien de temps j’y ai consacré, mais l’ordre de grandeur me semble correct.
Le matériel pédagogique
Le matériel pédagogique est composé de :
- Cours théoriques avec des textes et des images
- Des vidéos de démonstration d’outils
- Des quiz
- Des labs
- Des corrections des labs
Ce qui est très appréciable, c’est de pouvoir tout de suite passer à la mise en pratique des cours théoriques à travers les labs. Centri vous met à disposition des machines virtuelles avec les logiciels étudiés déjà installés avec des scénarios et des questions. Vous avez droit à 100 heures de machines virtuelles ce qui est très largement suffisant (j’ai consommé à peine 9 heures en faisant 17 labs sur les 24 disponibles). Vous y accédez directement depuis votre navigateur.
A travers les labs, vous aurez l’occasion d’utiliser de nombreux outils différents. Une attention particulière est portée à Splunk, Autopsy et Wireshark que vous aurez de grandes chances d’avoir à utiliser pendant l’examen.
Certains modules sont principalement théoriques (Security Fundamentals et Threat Intelligence). Si vous avez déjà un petit peu d’expérience en cybersécurité ou déjà obtenu une certification comme la Comptia Security+, vous pouvez passer rapidement dessus.
L’examen
Le format de l’examen est assez original, ce n’est pas un QCM comme pour la majorité des certifications.
L’examen de la certification BTL1 consiste en un scénario concret avec 20 questions auquel vous devez répondre. Une machine virtuelle est à votre disposition avec les outils nécessaires installés (exactement sous le même format que les labs). Vous avez 24 heures pour compléter l’examen et vous gérez votre temps comme vous le souhaitez.
Il s’agit d’un examen open book, c’est-à-dire que vous pouvez utiliser les notes que vous avez prises pendant la préparation, faire des recherches Google, … La seule interdiction est de vous faire aider par quelqu’un d’autre.
Dès que vous avez soumis votre réponse, vous obtenez le résultat instantanément. Il faut un score minimum de 70%. Si vous échouez, vous avez droit à une deuxième tentative. Si vous obtenez un score d’au moins 90% lors de votre première tentative, vous gagnez en bonus le gold coin. Ca ne sert à rien, mais ça fait plaisir.
J’ai trouvé ce format d’examen très appréciable, car vous devez mener une investigation dans des conditions proches de celles que vous rencontrez dans la vie réelle.
J’ai lancé l’examen un samedi matin vers 8h. J’ai été un petit peu hésitant au départ le temps de me rôder, puis tout s’est bien enchaîné. A midi, j’avais déjà complété 19 questions sur 20. J’ai pris une longue pause pour déjeuner et faire une petite sieste. J’ai repris vers 14h pour finaliser la dernière question et prendre le temps de me relire avant de valider vers 15h30. J’ai donc consacré 7h30 à l’examen, dont environ 5h30 de travail effectif.
Les 24 heures prévues sont donc très très larges. Je vous conseille vivement de prendre tout le temps nécessaire pour bien lire les instructions (et même les lire deux fois), cela vous évitera de perdre du temps et de stresser pour rien.
Pour illustrer, sans rien dévoiler de l’examen : depuis la machine virtuelle de l’examen, je devais me connecter en RDP à un contrôleur de domaine et utiliser un script sur celui-ci. Je ne trouvais pas le script en question et la machine n’étant pas connectée à internet, impossible de le télécharger. C’est en relisant les instructions que j’ai compris que le script était présent sur la machine virtuelle et qu’il suffisait de le copier-coller via RDP.
Je vous conseille également de prendre des notes pour avoir sous les yeux en permanence les heures auxquelles se sont produits les évènements importants. Si un utilisateur a cliqué sur un lien de phishing à 14h24, il est probable que d’autres évènements vont se produire dans les minutes qui suivent.
Je suis très content du résultat puisque j’ai validé la BTL1 avec un score de 95%, je valide donc le symbolique gold coin !
Mon avis
Je pense que la BTL1 est une superbe certification pour les analystes débutants et les profils qui sont en cours de reconversion. C’est probablement la certification qui colle le plus avec les compétences nécessaires au métier d’analyste SOC.
Le fait de mettre rapidement en pratique les connaissances théoriques acquises est un immense plus. Cet aspect ludique manque à la plupart des certifications. Lorsque j’ai préparé la Comptia Security+, j’ai passé des dizaines d’heures à lire le bouquin de 1000 pages sans la moindre mise en pratique. J’ai répondu à des questions sur des logiciels que je n’avais jamais utilisés. J’ai appris énormément de choses, mais ça manque de mise en pratique.
Pour les profils comme moi qui ont déjà un petit peu d’expérience, vous apprendrez sans doute des choses, mais vous trouverez peut-être que le niveau de l’examen est un petit peu faible. Tenter la BTL2 (niveau 2) aurait certainement été plus challengeant, mais mon employeur ne me l’a pas proposé, et elle coûte cinq fois plus cher que la BTL1…
Si les labs sont cools à faire, je passe cependant un coup de gueule sur la puissance des machines virtuelles. Elles sont sous-dimensionnées et globalement, ça rame beaucoup ! J’espérais que la machine de l’examen soit plus puissante, mais ce n’était pas le cas. En comparaison, les machines que l’on nous met à disposition sur la plateforme TryHackMe (sur lequel j’ai passé beaucoup de temps pendant la préparation de ma reconversion) sont beaucoup plus agréables à utiliser.
Bon courage pour votre préparation et si vous avez des questions, n’hésitez pas !
