Retour aux certifications
Certification CompTIA
CompTIA PenTest+
Validez votre capacité à identifier, atténuer et signaler les vulnérabilités des systèmes.CompTIA PenTest+ valide votre capacité à identifier, atténuer et signaler les vulnérabilités des systèmes. Couvrant toutes les étapes des tests d'intrusion sur des surfaces d'attaque comme le cloud, les applications web, les API et l'IoT, elle met l'accent sur des compétences pratiques telles que la gestion des vulnérabilités et le mouvement latéral. Cette certification vous donne l'expertise nécessaire pour faire progresser votre carrière de pentesteur ou de consultant en sécurité.
Version de l'examen: V3
Métier viséTesteur d'intrusion et analyste de vulnérabilités
Compétences
acquises
Planifier et cadrer des tests d'intrusion dans le respect des exigences légales et éthiques, et rédiger des rapports détaillés avec des recommandations de remédiation pour piloter la mission.
Mener des reconnaissances actives et passives, collecter des informations et énumérer les systèmes pour découvrir efficacement les vulnérabilités.
Réaliser des analyses de vulnérabilités, interpréter les résultats et valider les constats afin d'identifier et de corriger les faiblesses de sécurité.
Exécuter des attaques réseau, sur les hôtes, sur les applications web et dans le cloud à l'aide d'outils et de techniques adaptés pour tester les défenses des systèmes.
Maintenir la persistance, effectuer des mouvements latéraux et documenter les constats pour soutenir la remédiation lors des activités de post-exploitation.
Détails de
l'examen
Version de l'examenV3
Code de l'examenPT0-003
Date de lancement17 décembre 2024
Nombre de questions90 questions maximum
Types de questionsQuestions à choix multiples et questions pratiques (performance-based)
Durée165 minutes
Score de réussite750 (sur une échelle de 100 à 900)
LanguesAnglais, français, japonais et portugais
Expérience recommandée3 à 4 ans dans un poste de pentesteur, avec Network+ et Security+ ou des connaissances équivalentes
RetraitGénéralement trois ans après le lancement (estimé en 2027)
Retrait de l'examen précédent17 juin 2025
Objectifs de
l'examen
1
Gestion de la mission
13%- Planification et cadrage : définir les règles d'engagement, les fenêtres de test et la sélection des cibles.
- Conformité légale et éthique : garantir les lettres d'autorisation, les signalements obligatoires et le respect des réglementations.
- Collaboration et communication : s'aligner avec les parties prenantes grâce aux revues par les pairs, aux circuits d'escalade et à la formulation des risques.
- Rapports de tests d'intrusion : rédiger des rapports comprenant une synthèse pour la direction, les constats et des recommandations de remédiation.
2
Reconnaissance et énumération
21%- Reconnaissance active et passive : collecter des informations via le renseignement en sources ouvertes (OSINT), l'écoute du réseau et l'analyse des protocoles.
- Techniques d'énumération : réaliser l'énumération DNS, la découverte de services et l'énumération de répertoires.
- Outils de reconnaissance : utiliser des outils comme Nmap, Wireshark et Shodan pour la collecte d'informations.
- Modification de scripts : adapter des scripts Python, PowerShell et Bash pour la reconnaissance et l'énumération.
3
Découverte et analyse des vulnérabilités
17%- Analyses de vulnérabilités : mener des analyses authentifiées et non authentifiées, des tests statiques de sécurité applicative (SAST) et des tests dynamiques de sécurité applicative (DAST).
- Analyse des résultats : valider les constats, corriger les configurations et identifier les faux positifs.
- Outils de découverte : utiliser des outils comme Nessus, Nikto et OpenVAS pour découvrir les vulnérabilités.
4
Attaques et exploits
35%- Attaques réseau : réaliser du saut de VLAN, des attaques de l'intercepteur (on-path) et l'exploitation de services.
- Attaques sur l'authentification : mener des attaques par force brute, pass-the-hash et credential stuffing.
- Attaques sur les hôtes : réaliser des élévations de privilèges, des injections de processus et l'extraction d'identifiants.
- Attaques sur les applications web : réaliser des injections SQL, du cross-site scripting (XSS) et des traversées de répertoires.
- Attaques dans le cloud : exploiter les évasions de conteneurs, les attaques sur les services de métadonnées et les erreurs de configuration de la gestion des identités et des accès (IAM).
- Attaques contre l'IA : expliquer l'injection de prompts et la manipulation de modèles visant les systèmes d'intelligence artificielle.
5
Post-exploitation et mouvement latéral
14%- Activités de post-exploitation : établir la persistance, effectuer des mouvements latéraux et nettoyer les traces.
- Documentation : rédiger le récit des attaques et formuler des recommandations de remédiation.
Les informations sur l'examen sont publiées par CompTIA et peuvent évoluer. Contactez-nous pour connaître la version actuelle et les sessions disponibles.
Passez CompTIA PenTest+ chez NEXERA Institute
Centre de formation et de certification à Sfax : formations professionnelles, examens Certiport et VTest, et espace coworking.