OSCP certificering: zo werkt het 24-uurs praktijkexamen

Wat is de OSCP-certificering?

OSCP is de certificering van OffSec die bij de cursus PEN-200 hoort, Penetration Testing with Kali Linux. Je bewijst wat je kunt door systemen daadwerkelijk binnen te dringen, en niet door er een theorietoets over af te leggen. OffSec noemt de certificering op de cursuspagina OSCP+. Het plusdeel gaat over geldigheid: OSCP+ is 3 jaar geldig vanaf de uitgifte, terwijl de basis-OSCP geen vervaldatum heeft. Op vacaturepagina's kan zowel OSCP als OSCP+ voorkomen.

Er zijn geen meerkeuzevragen. Je krijgt machines die je zelf moet binnendringen en beschrijft daarna wat je deed. Dat maakt het examen zwaar op doorzettingsvermogen, structuur en het bijhouden van notities, en minder op uit het hoofd leren.

Penetratietesten, of pentesten, is het gemachtigd testen van systemen op zwakke plekken. Je werkt met een afgesproken scope en rapporteert wat je vindt, zodat het gemeld en opgelost kan worden in plaats van misbruikt. Omdat pentesten praktijkwerk is, past een praktijkexamen daar goed bij. Of een werkgever de certificering zoekt, verschilt per vacature; lees dat in de vacaturetekst. Meer over het vakgebied vind je bij cybersecurity.

Wat leer je in PEN-200?

PEN-200 is een cursus van niveau 200 met 321 uur aan content. De cursus bestaat uit meer dan 20 modules, de meeste met begeleidende video's en praktijklabs, plus 9 challenge labs. Drie van die challenge labs zijn ontworpen om de OSCP+-examenomgeving zo goed mogelijk na te bootsen, zodat je vooraf oefent in een vergelijkbare opzet.

De cursuspagina noemt onder meer deze onderwerpen:

• enumeratie, informatievergaring, kwetsbaarheidsscans en -beoordeling
• versleuteling en cryptografie
• web- en clientside-aanvallen, zoals XSS, command injection, directory traversal, bestandsuploads en SQL injection
• wachtwoordaanvallen en het omzeilen van antivirus
• privilege escalation op Windows en Linux, lateral movement, pivoting en tunneling
• Active Directory-authenticatieaanvallen en lateral movement
• AWS cloud enumeration en aanvallen

De lijst laat zien dat de cursus verder gaat dan één type systeem: webapplicaties, Windows en Linux, Active Directory en AWS komen allemaal aan bod.

De tools die de cursus noemt zijn Nmap, Metasploit, Burp Suite, Hydra, Nessus, sqlmap en Shellter. Vacatures waarin Nmap, Burp Suite of Metasploit voorkomen, staan op de skillpagina's.

Enkele begrippen uit de lijst in gewone taal. Enumeratie is het systematisch in kaart brengen van wat er draait en wat je kunt bereiken, en veel pentestwerk bestaat eigenlijk uit dit werk. Privilege escalation is van een gewone gebruiker naar beheerrechten komen. Lateral movement en pivoting zijn van het ene systeem naar het andere bewegen om dieper in een netwerk te komen. Tunneling is verkeer door een tussenliggend systeem leiden. Vacatures waarin de OWASP Top 10 voorkomt, staan op de skillpagina.

In de praktijk begint enumeratie met een vraag: wat draait er op dit systeem, en welke diensten zijn bereikbaar? Pas als je dat beeld hebt, kies je wat je probeert. Noteer wat je vindt, zodat je de weg terugvindt als een poging mislukt.

Hoe ziet het OSCP-examen eruit?

Het examen duurt 24 uur. Een OffSec-medewerker begeleidt het examen in een privé-VPN, en het is volledig hands-on: je compromitteert live systemen en beantwoordt geen vragen. Daarna heb je 24 uur om het rapport in te dienen.

De examenopzet bestaat uit drie onderdelen:

Active Directory komt bij veel organisaties voor, en dat is een reden dat het in een examen over bedrijfsnetwerken thuishoort. Het scenario met een gegeven account simuleert een situatie waarin een aanvaller al een voet tussen de deur heeft.

Het rapport is geen formaliteit. In het beroep van pentester is het rapport het product dat de klant ontvangt: wat is gevonden, hoe is het aangetoond, hoe ernstig is het en wat moet eraan gebeuren. Wie dat helder opschrijft, levert het product dat de klant nodig heeft.

Hoe wordt het examen beoordeeld?

Voor examens tot en met 30 november 2026 is de slaagscore 70 van de 100 punten. Voor examens op of na 1 december 2026 geldt geschaalde scoring. Dan is er niet langer één ruwe slaagscore die voor alle examensets gelijk is. OffSec legt uit dat OSCP+ meerdere examensets gebruikt die dezelfde vaardigheden op dezelfde certificeringsnorm toetsen, en dat geschaalde scoring de uitslagen van die sets op een gemeenschappelijke schaal rapporteert.

Een examen dat vóór 1 december 2026 gepland stond maar naar die datum of later wordt verzet, valt onder de geschaalde scoring. Wie het examen nu plant, controleert dus op de pagina van OffSec welke beoordeling geldt op de examendatum.

OffSec zegt dat de inhoud, doelen, eisen, vorm, duur en proctoring van het examen niet veranderen. De opzet blijft dus zoals hierboven beschreven: 24 uur onder begeleiding, drie losstaande machines en een Active Directory-set, met daarna een rapport. Met geschaalde scoring verandert vooral hoe de uitslag wordt berekend, niet wat je moet kunnen. Een kandidaat hoeft zich dus niet te richten op een bepaald aantal ruwe punten, maar op het aantonen van de vaardigheden die het examen toetst. Voor de details zie de scoringsupdate van OffSec.

Wat moet je kunnen voordat je begint?

Er zijn geen formele vooropleidingseisen. OffSec raadt wel aan dat je TCP/IP goed begrijpt, redelijke ervaring hebt met Windows- en Linux-beheer en vertrouwd bent met basis-Bash en/of Python-scripting. Voor de Linux-basis zie ook de skillpagina voor Linux.

In gewone taal: TCP/IP begrijpen is weten hoe systemen met elkaar praten, via adressen en poorten. Windows- en Linux-beheer is weten hoe gebruikers, rechten en diensten op die besturingssystemen werken, en dat helpt bij onderwerpen als privilege escalation. Basis-Bash of Python is een kleine taak kunnen automatiseren of een stuk uitvoer kunnen bewerken. Het gaat om de basis, niet om programmeerwerk.

Wie nog weinig weet van netwerken en besturingssystemen, bouwt die basis beter eerst op. Een toets: kun je uitleggen hoe verkeer tussen twee systemen loopt, of wat een gebruiker met beheerrechten anders mag dan een gewone gebruiker? Zo niet, begin dan daar. Een route daarvoor is de CompTIA Security+ als basiscertificering. Voor een overzicht van het aanvalsrepertoire kun je ook het CEH-artikel lezen.

Hoe lang is OSCP+ geldig?

OSCP+ is 3 jaar geldig vanaf de uitgifte. De basis-OSCP heeft geen vervaldatum. Op de productpagina van OffSec staat dat je OSCP+ elke 3 jaar vernieuwt om de erkenning te behouden.

Om de plus te behouden zijn er drie wegen:

• een hercertificeringsexamen halen binnen 6 maanden na afloop
• een ander kwalificerend OffSec-examen halen: OSEP, OSWA, OSED of OSEE
• het CPE-programma (continuing professional education) van OffSec doorlopen

Welke weg past, hangt af van wat je verder doet. Wie al verdere OffSec-trajecten volgt, kan een van de andere kwalificerende examens meenemen. Wie dat niet doet, kiest tussen het hercertificeringsexamen en het CPE-programma. Het hercertificeringsexamen moet binnen 6 maanden na afloop, dus plan het op tijd in.

Wat kost de OSCP-route?

Volgens de site van OffSec op 5 november 2026 kost een los OSCP+-examen 1.699 dollar, eenmalig. De Course + Cert Bundle kost 1.749 dollar, eenmalig, en bevat 90 dagen toegang tot één cursus van niveau 200 of 300, de labs en één examenpoging. Learn One kost 2.749 dollar (lijstprijs) en geeft een jaar toegang tot één cursus van niveau 200 of 300, de labs en twee examenpogingen. De bedragen staan in dollars, zoals de site ze toont. De drie opties verschillen in wat erbij zit: alleen het examen, het examen met cursus en labs, of een jaar toegang met twee examenpogingen.

Prijzen kunnen veranderen. Kijk voor de actuele prijs op de cursuspagina van OffSec.

Voor welke functies is OSCP bedoeld?

OSCP past bij wie technisch hands-on offensief werk doet. Een praktijkexamen toont dat je technisch kunt handelen, maar het is niet het hele beroep: communiceren, de scope afbakenen, ethiek en samenwerken met verdedigers horen er ook bij. Bekijk de vacatures met OSCP om te zien in welke functies de certificering terugkomt. Per functie:

• Penetration tester: je test systemen op zwakke plekken en rapporteert wat je vindt. Je ziet op de werkgeverspagina voor penetration testers welke werkgevers pentesters zoeken.
• Ethical hacker: je gebruikt aanvalstechnieken binnen een opdracht die vooraf is afgesproken, en je levert een rapport op.
• Red team specialist: je bootst een aanvaller na om te testen of de verdediging en de detectie werken. Dat heet red teaming. Lateral movement en pivoting uit PEN-200 gaan over bewegen door een netwerk, wat daarbij past.
• Application security engineer: je zoekt en verhelpt zwakke plekken in webapplicaties, zoals SQL injection en XSS. De webaanvallen uit PEN-200 sluiten daarop aan. Je werkt daarbij samen met ontwikkelaars.

Ook defensieve functies hebben baat bij begrip van de aanvallerskant, ook als je zelf niet pentest. Een detection engineer bouwt regels die aanvallen herkennen, en een threat hunter zoekt actief naar sporen van aanvallers die nog niet zijn opgemerkt. Wie weet hoe privilege escalation of lateral movement eruitziet, kan die sporen sneller herkennen in logs.

OSCP of CEH?

OSCP is volledig praktijkgericht. CEH is breder en kent een kennisexamen met een optioneel praktijkexamen. De twee beantwoorden daarom verschillende vragen. CEH geeft overzicht van het aanvalsrepertoire, terwijl OSCP laat zien dat je de technieken met de hand kunt uitvoeren.

Stel dat je in een SOC werkt en wilt begrijpen welke aanvalstechnieken je in logs kunt tegenkomen: een breed overzicht van het repertoire past daar goed. Wil je zelf systemen testen en het rapport schrijven, dan past een praktijkexamen daarbij. Wie breed wil oriënteren, kan met het CEH-artikel beginnen. Wie al technisch sterk is, kiest soms direct voor OSCP. Twee vragen helpen bij het kiezen: wil je eerst een breed overzicht of meteen handvaardigheid aantonen, en heb je de voorkennis die OffSec aanraadt al? Het antwoord op de tweede vraag kan betekenen dat je eerst de basis opbouwt. De twee sluiten elkaar niet uit. Voor de managementkant van het vakgebied bestaan andere certificeringen, zoals beschreven in CISSP, CISM of CISA: welke certificering past.