CompTIA PenTest+ — Questions d'entraînement et examen blanc

CompTIA PenTest+ (PT0-003) valide les compétences nécessaires pour planifier, cadrer et mener des tests d'intrusion, analyser les résultats et communiquer efficacement ces résultats aux parties prenantes. La certification couvre l'ensemble du cycle de vie d'un test d'intrusion : reconnaissance, énumération, découverte de vulnérabilités, exploitation, post-exploitation et déplacement latéral, dans des environnements traditionnels, cloud, hybrides, ainsi que sur les applications web, les API et l'IoT.

La version PT0-003, sortie le 17 décembre 2024, ajoute une couverture des attaques basées sur l'IA, une exploitation cloud et API élargie, des techniques de post-exploitation modernes et un outillage mis à jour. C'est la seule certification axée spécifiquement sur les tests d'intrusion avec une approche pratique et fondée sur la performance.

PenTest+ est considérée comme une certification de niveau intermédiaire, au-dessus de Security+ et complémentaire de CySA+ (qui se concentre sur la sécurité défensive). Elle est recommandée aux professionnels ayant 3 à 4 ans d'expérience pratique en tests d'intrusion.

L'examen comporte au maximum 90 questions à traiter en 165 minutes. On y trouve à la fois des questions à choix multiple et des questions basées sur la performance (simulation). Ces dernières demandent aux candidats de résoudre des problèmes dans des environnements simulés : exécuter des commandes, analyser la sortie d'un outil ou configurer des exploits.

Les questions à choix multiple existent en deux formats : réponse unique et réponses multiples. Certaines questions présentent des scénarios qui exigent d'analyser des schémas réseau, des sorties de logs ou des résultats d'outils. Les questions de type glisser-déposer évaluent ta capacité à ordonner les phases d'une attaque ou à associer des techniques à des scénarios.

Le score de réussite est de 750 sur une échelle de 100 à 900. Les questions n'ont pas toutes le même poids : celles basées sur la performance comptent généralement davantage que les questions à choix multiple classiques.

Voici les pièges les plus fréquents pour les candidats au PenTest+ :

1. Négliger la gestion de la mission : beaucoup de candidats se concentrent surtout sur l'exploitation technique et sous-estiment l'importance du cadrage, des règles d'engagement, des considérations juridiques et des exigences de conformité. Le domaine 1 (gestion de la mission) et le reporting sont souvent sous-estimés.

2. Connaître les outils sans les comprendre : savoir nommer les outils (Nmap, Burp Suite, Metasploit) sans comprendre ce que signifie leur sortie ni quand utiliser chacun. L'examen évalue des connaissances appliquées, pas de la simple reconnaissance de noms.

3. Sauter la méthodologie : passer directement à l'exploitation sans reconnaissance ni énumération correctes. L'examen suit une méthodologie structurée de test d'intrusion et attend des candidats qu'ils comprennent pourquoi chaque phase compte.

4. Confondre scan de vulnérabilités et test d'intrusion : il est crucial de saisir la différence entre une évaluation automatisée des vulnérabilités et un test d'intrusion manuel.

5. Des compétences de reporting insuffisantes : l'examen évalue ta capacité à communiquer les résultats, à rédiger des synthèses pour la direction et à recommander des mesures de remédiation. Les compétences techniques seules ne suffisent pas.

6. Négliger le test du cloud et des API : la version PT0-003 a élargi la couverture des environnements cloud, du test des API et des surfaces d'attaque modernes. Les candidats qui se préparent uniquement au pentest réseau traditionnel auront du mal.

CompTIA PenTest+ PT0-003 se passe dans les centres d'examen Pearson VUE partout dans le monde, ou en ligne sous surveillance depuis chez toi ou au bureau. L'examen est disponible en anglais, français, japonais et portugais.

Le bon d'examen coûte environ 404 USD (le tarif peut varier selon la région). Chaque tentative doit être payée au tarif plein. CompTIA ne propose ni repassage gratuit ni réduction sur les reprises.

Aucun prérequis formel n'est exigé, mais CompTIA recommande les certifications Network+ et Security+ ou des connaissances équivalentes, ainsi que 3 à 4 ans d'expérience pratique en tests d'intrusion.

La certification est valable trois ans à partir de la date d'obtention. Le renouvellement nécessite d'obtenir 60 unités de formation continue (CEU) au cours du cycle de trois ans, en plus du paiement de la cotisation annuelle de formation continue. On peut obtenir des CEU via des formations, des conférences du secteur, l'enseignement, la publication et d'autres activités approuvées. Autre option : réussir une certification CompTIA de niveau supérieur renouvelle automatiquement le PenTest+.