CompTIA PenTest+

CompTIA PenTest+ (PT0-003) valide les compétences requises pour planifier, cadrer et réaliser des tests d'intrusion, analyser les résultats et communiquer efficacement ces résultats aux parties prenantes. Elle couvre l'intégralité du cycle de vie d'un test d'intrusion, notamment la reconnaissance, l'énumération, la découverte de vulnérabilités, l'exploitation, la post-exploitation et le mouvement latéral à travers des environnements traditionnels, cloud, hybrides, d'applications web, d'API et d'IoT.

La version PT0-003, lancée le 17 décembre 2024, ajoute une couverture des attaques basées sur l'IA, une exploitation cloud et API élargie, des techniques modernes de post-exploitation ainsi qu'un outillage mis à jour. Il s'agit de la seule certification spécifiquement dédiée aux tests d'intrusion avec une approche pratique basée sur les performances.

PenTest+ est considérée comme de niveau intermédiaire, positionnée au-dessus de Security+ et complémentaire à CySA+ (qui se concentre sur la sécurité défensive). Elle est recommandée pour les professionnels disposant de 3 à 4 ans d'expérience pratique en tests d'intrusion.

L'examen comporte au maximum 90 questions à compléter en 165 minutes. Les questions incluent à la fois des items à choix multiples et des items basés sur les performances (simulation). Les questions basées sur les performances exigent des candidats qu'ils résolvent des problèmes dans des environnements simulés, comme exécuter des commandes, analyser la sortie d'un outil ou configurer des exploits.

Les questions à choix multiples incluent à la fois des formats à réponse unique et à réponses multiples. Certaines questions peuvent présenter des scénarios exigeant l'analyse de schémas réseau, de sorties de journaux ou de résultats d'outils. Les questions de glisser-déposer évaluent la capacité à ordonner les phases d'attaque ou à associer des techniques à des scénarios.

Le score de réussite est de 750 sur une échelle de 100 à 900. Les questions sont pondérées différemment, les questions basées sur les performances ayant généralement un poids plus important que les items standards à choix multiples.

Les pièges courants pour les candidats PenTest+ comprennent :

1. Négliger la gestion de mission : de nombreux candidats se concentrent fortement sur l'exploitation technique tout en sous-estimant l'importance du cadrage, des règles d'engagement, des considérations juridiques et des exigences de conformité. Le Domaine 1 (Gestion de mission) et la rédaction de rapports sont fréquemment sous-estimés.

2. Familiarité avec les outils sans compréhension : connaître les noms des outils (Nmap, Burp Suite, Metasploit) sans comprendre ce que signifie leur sortie ou quand utiliser chacun d'eux. L'examen teste les connaissances appliquées, pas seulement la reconnaissance.

3. Sauter la méthodologie : passer directement à l'exploitation sans reconnaissance ni énumération appropriées. L'examen suit une méthodologie structurée de test d'intrusion et attend des candidats qu'ils comprennent pourquoi chaque phase est importante.

4. Confondre le scan de vulnérabilités avec le test d'intrusion : comprendre la différence entre l'évaluation automatisée des vulnérabilités et le test d'intrusion manuel est essentiel.

5. Compétences de rédaction faibles : l'examen évalue votre capacité à communiquer les résultats, rédiger des résumés exécutifs et recommander des mesures correctives. Les compétences techniques seules sont insuffisantes.

6. Négliger les tests cloud et API : PT0-003 a élargi la couverture des environnements cloud, des tests d'API et des surfaces d'attaque modernes. Les candidats qui ne se préparent qu'aux tests d'intrusion réseau traditionnels auront des difficultés.

CompTIA PenTest+ PT0-003 est proposée via les centres de test Pearson VUE dans le monde entier ou via une surveillance en ligne depuis le domicile ou le bureau. L'examen est disponible en anglais, français, japonais et portugais.

Le bon d'examen coûte environ 404 USD (les tarifs peuvent varier selon la région). Les candidats doivent payer l'intégralité des frais d'examen pour chaque tentative. CompTIA ne propose pas de repassage gratuit ni de remise sur les nouvelles tentatives.

Aucun prérequis officiel n'est exigé, mais CompTIA recommande les certifications Network+ et Security+ ou des connaissances équivalentes, ainsi que 3 à 4 ans d'expérience pratique en tests d'intrusion.

La certification est valable trois ans à compter de la date d'obtention. Le renouvellement nécessite l'obtention de 60 unités de formation continue (CEU) au cours du cycle de trois ans, ainsi que le paiement des frais annuels de formation continue. Les CEU peuvent être obtenus via des formations, des conférences sectorielles, l'enseignement, la publication et d'autres activités approuvées. Alternativement, la réussite d'une certification CompTIA de niveau supérieur renouvelle automatiquement PenTest+.