Certification · published
HTB - CJCA
Meine persönliche Erfahrung mit der CJCA: praktische Umgebung, Enumeration, Reporting und SIEM Alert Validation mit Elastic.
Am Anfang: kurz überfordert
Am Anfang war ich teilweise echt überfordert. Nicht, weil die Inhalte unfair waren, sondern weil die Prüfung sehr praktisch aufgebaut ist und man mehrere Themen sauber zusammenbringen muss: Enumeration, Exploitation, Linux, Windows, Privilege Escalation, Reporting und am Ende auch noch SIEM Alert Validation mit Elastic.
Also reines Blue-Teaming. (Gut, dass ich bei meinem letzten Arbeitgeber bereits erste Erfahrung mit dem ELK-Stack sammeln konnte – das hat mir hier tatsächlich weitergeholfen.)
Genau das hat mir aber auch gefallen.
Die CJCA ist keine Multiple-Choice-Prüfung, bei der man ein paar Antworten anklickt und hofft, dass es reicht. Man bekommt eine praktische Umgebung, mehrere Maschinen und muss zeigen, dass man methodisch arbeiten kann.
Was ich aus der Prüfung mitgenommen habe
Enumeration is Key!
TCP ist wichtig, UDP darf man aber nicht ignorieren. Ein übersehener Port kann schnell bedeuten, dass man sich stundenlang im Kreis dreht.
Gerade in einer praktischen Prüfung merkt man sehr schnell: Wenn die Enumeration unsauber ist, wird alles danach unnötig schwer.
Notizen sind kein Nice-to-have
Jedes Credential, jede IP, jeder Befehl und jeder Screenshot kann später wichtig werden. Ich habe wieder gemerkt: Verlass dich nicht auf dein Gedächtnis. Verlass dich auf gute Dokumentation.
Saubere Notizen helfen nicht nur beim Angriffspfad, sondern auch später beim Report. Was während der Prüfung wie „schreibe ich gleich auf“ wirkt, ist am Ende oft genau das Detail, das fehlt.
Der Blue-Team-Teil war nicht ohne
Die Arbeit mit Elastic und die Bewertung von Alerts als True Positive oder False Positive war für mich einer der spannendsten Teile.
Man muss nicht nur sagen: „Sieht verdächtig aus.“ Man muss es mit Log-Evidence belegen. Genau das macht den Teil wertvoll, weil man gezwungen ist, sauber zu argumentieren und nicht nur einem Bauchgefühl zu folgen.
Und dann kommt der Report
Der Report hat am Ende vermutlich die meiste Zeit gefressen. Hier zahlt es sich extrem aus, wenn man während der Prüfung sauber dokumentiert.
Für das Reporting habe ich SysReptor verwendet. Starkes Tool — und zusammen mit der CJCA-Template-Basis von HTB hat mir das am Ende wirklich geholfen. Ich bin mir sicher: Hätte ich vorher noch mehr Reporting trainiert, hätte ich hier einiges an Zeit gespart.
Ein bisschen wie beim Triathlon
Wenn du nur Radfahren trainierst, kackst du beim Schwimmen und Laufen ab. 😉
So hat sich die CJCA für mich angefühlt. Nur offensive Technik reicht nicht. Du brauchst Enumeration, Exploitation, Privilege Escalation, Blue-Team-Verständnis und Reporting. Wenn ein Bereich komplett fehlt, merkst du das spätestens in der Prüfung.
Mein Fazit
Die CJCA ist absolut machbar, aber man sollte sie nicht unterschätzen. Wer die Academy-Module wirklich durcharbeitet, sauber dokumentiert und sich nicht nur auf den offensiven Teil konzentriert, hat eine sehr gute Grundlage.
Für mich war es eine richtig gute Erfahrung und ein sinnvoller nächster Schritt auf dem Weg Richtung CPTS.
Let’s Connect
Noch Fragen? Hängst du in einem Modul fest? Oder möchtest du einfach darüber diskutieren, warum UDP-Enumeration manchmal so nervt?
Wenn du Fragen hast oder dich einfach über HTB, Pentesting oder die CJCA austauschen möchtest, vernetz dich gerne mit mir auf LinkedIn. Ich verspreche, ich beiße nicht — außer du bist ein Drucker.