SANS en GIAC: het verschil, de bekendste certificeringen en de examens

Wat is het verschil tussen SANS en GIAC?

SANS is een organisatie voor cybersecurity-training, certificering en onderzoek. Volgens de eigen site is SANS in 1989 opgericht. Het runt onder meer het Internet Storm Center, een wereldwijd waarschuwingsnetwerk voor dreigingen, en via het SANS Technology Institute diploma- en certificaatprogramma's.

GIAC staat voor Global Information Assurance Certification. SANS schrijft dat GIAC in 1999 is opgericht om de vaardigheden van praktijkmensen voor werkgevers te valideren. GIAC is volgens zijn eigen site een actief geaccrediteerde Personnel Certification Body volgens ISO/IEC 17024, via ANAB.

De twee organisaties hangen samen. SANS schrijft zelf dat het de voorkeursaanbieder van training is voor de voorbereiding op GIAC-examens. GIAC noemt het SANS Institute, het Internet Storm Center en het SANS Technology Institute als aangesloten sites, en schrijft dat een deel van zijn certificeringen aansluit op SANS-training.

Training en examen zijn twee losse stappen. SANS geeft de cursussen, GIAC neemt het examen af en geeft de certificering. Je kunt de cursus en het examen dus apart bekijken en apart beslissen. Bij een vacature of een opleidingsbudget gaat het over beide, en de cursus is een andere kostenpost dan het examen.

Welke GIAC-certificeringen bestaan er?

GIAC groepeert zijn certificeringen op de overzichtspagina in een reeks vakgebieden: Cyber Defense, Digital Forensics and Incident Response, Offensive Operations, Artificial Intelligence, Cloud Security, Cybersecurity Leadership, Cybersecurity and IT Essentials en Industrial Control Systems Security.

GIAC onderscheidt binnen die vakgebieden de volgende soorten credentials:

• Practitioner-certificeringen toetsen praktische vaardigheden voor kernfuncties.
• Micro Credentials beoordelen op basis van prestaties.
• Applied Knowledge-certificeringen gaan over geavanceerde expertise in één specialistisch domein.
• Portfolio-certificeringen zijn live, praktijkgerichte examenomgevingen.

Het zwaartepunt is praktisch. De Practitioner-certificeringen toetsen vaardigheden voor kernfuncties en niet alleen definities. De vier certificeringen in dit artikel zijn alle vier Practitioner-certificeringen, en elk heeft een SANS-cursus die aan die certificering is gekoppeld.

GIAC omschrijft CyberLive als een hands-on examenvorm met virtuele machines. Performance-based opdrachten in labomgevingen nemen daarbij de plaats in van traditionele meerkeuzevragen. Welke examens CyberLive gebruiken, staat op de pagina van de betreffende certificering.

Meer over verdedigende en aanvallende rollen staat in het overzicht van blue team, red team en purple team.

Hoe ziet een GIAC-examen eruit?

GIAC-examens zijn webgebaseerd en moeten worden gesurveilleerd (proctored). Dat kan op afstand via ProctorU of op locatie via PearsonVUE. Na activering heb je 120 dagen om je certificeringspoging af te ronden.

Het aantal vragen, de tijdslimiet en de minimale slagingsscore verschillen per examen. De slagingsscore hangt ook af van de examenversie en kan per versie wijzigen.

Kijk in je GIAC-account welke examenversie en welke slagingsscore voor jouw poging gelden. GIAC raadt dat zelf aan.

GIAC-examens zijn gericht op toepassing. Je voorbereiding bestaat daarom uit het materiaal doorwerken en oefenen met vragen over de stof. GIAC vermeldt oefentoetsen die de stijl van het examen nabootsen, zonder echte examenvragen.

Wat is de GIAC Security Essentials (GSEC)?

GSEC is een Practitioner-certificering. GIAC schrijft dat hij de vaardigheid en het begrip van een praktijkmens op het gebied van informatiebeveiliging valideert, verder dan eenvoudige termen en begrippen. Het examen is één gesurveilleerd examen met 106 vragen en een tijdslimiet van 4 uur.

De bijbehorende cursus is SEC401 Security Essentials. Die duurt 6 dagen onder begeleiding, of 46 uur als zelfstudie met 4 maanden toegang.

GSEC is breed. Hij past bij security-analisten, security engineers en beheerders die breder willen worden. Wie in IT-beveiliging werkt of ernaartoe wil, kan hem overwegen als eerste GIAC.

Wat is de GIAC Certified Incident Handler (GCIH)?

GCIH is een Practitioner-certificering die volgens GIAC het vermogen valideert om beveiligingsincidenten op computers te detecteren, erop te reageren en ze op te lossen. Genoemde onderwerpen zijn incident handling en onderzoek naar computercriminaliteit, aanvalstechnieken op computers en netwerken, en tools als Nmap, Metasploit en Netcat. Het examen is één gesurveilleerd, webgebaseerd examen met 106 vragen en een tijdslimiet van 4 uur.

De bijbehorende cursus is SEC504 Hacker Tools, Techniques, and Incident Handling. Die duurt 6 dagen onder begeleiding, of 38 uur als zelfstudie.

GCIH gaat over het herkennen, indammen en afhandelen van een aanval. Daarvoor moet je de aanvalstechnieken begrijpen, en de cursustitel noemt dan ook hacker tools en techniques. De certificering past bij incident responders, SOC-analisten en threat hunters. Het past binnen security operations. Voor de rolbeschrijving lees je werken als incident responder. Op de werkgeverspagina voor incident responders zie je welke werkgevers deze functie hebben.

Wat is de GIAC Certified Forensic Analyst (GCFA)?

GCFA is een Practitioner-certificering die volgens GIAC de beheersing van kernvaardigheden in digitale forensica valideert, om gegevens in computersystemen te verzamelen en te analyseren. Het examen is één gesurveilleerd examen met 82 vragen en een tijdslimiet van 3 uur.

De bijbehorende cursus is FOR508 Advanced Incident Response, Threat Hunting, and Digital Forensics. Die duurt 6 dagen onder begeleiding, of 36 uur als zelfstudie met 4 maanden toegang.

GCFA gaat over het onderzoek na een incident: welke gegevens verzamel je, hoe maak je bewijs veilig en wat zeggen die gegevens over wat er is gebeurd. GCIH en GCFA liggen dus na elkaar in dezelfde keten. GCIH richt zich op het herkennen en afhandelen van de aanval, GCFA op het onderzoek daarna. De certificering past bij digitaal forensisch specialisten en bij incident responders. Vacatures met de skill digital forensics staan op de skillpagina, en de rol beschrijft werken als digital forensics specialist.

Wat is de GIAC Penetration Tester (GPEN)?

GPEN is een Practitioner-certificering die volgens GIAC het vermogen valideert om een penetratietest uit te voeren met effectieve technieken en methodologieën. Genoemd worden onder meer exploits, uitgebreide verkenning van de omgeving en een procesgerichte aanpak. Het examen is één gesurveilleerd examen met 82 vragen en een tijdslimiet van 3 uur, en het gebruikt CyberLive: performance-based opdrachten in labomgevingen.

De bijbehorende cursus is SEC560 Enterprise Penetration Testing. Die duurt 6 dagen onder begeleiding, of 36 uur als zelfstudie met 4 maanden toegang.

GPEN past bij penetratietesters en bij red team specialisten. Het werk bestaat uit verkennen, misbruiken en rapporteren. Een penetratietest voer je alleen uit met toestemming en binnen de afgesproken scope. Die toestemming komt van de eigenaar van het systeem, niet van een certificering. Op de werkgeverspagina voor penetratietesters zie je welke werkgevers deze functie hebben.

Hoe volg je SANS-training?

SANS-cursussen worden live ter plaatse, live online en als zelfstudie (OnDemand) aangeboden. Voor de vier certificeringen in dit artikel zijn dit de gekoppelde cursussen:

Voor SEC401, FOR508 en SEC560 noemt SANS bij de zelfstudie 4 maanden toegang.

Live en zelfstudie verschillen vooral in planning en begeleiding. Een live cursus geeft een vaste planning en de kans om vragen te stellen. Zelfstudie geeft flexibiliteit, maar vraagt discipline en een geblokkeerde periode in je agenda. Wat het beste past, hangt af van je werkgever, je budget en je leerstijl.

Hoe verleng je een GIAC-certificering?

GIAC schrijft dat je 36 credits over vier jaar verzamelt om je certificering actief te houden. CPE's haal je onder meer via SANS-training, conferenties en goedgekeurde evenementen. Het verlengen doe je via de verlengingspagina van GIAC.

Plan je CPE's verspreid over de cyclus. Wie ze opspaart tot het laatste jaar, loopt tegen de vervaldatum aan.

Welke GIAC-certificering past bij welke functie?

De tabel koppelt functies aan de GIAC-certificering waarvan de inhoud het dichtst bij het werk ligt.

Wie nog aan het begin staat, kan eerst een basiscertificering overwegen, zoals CompTIA Security+ of de ISC2 Certified in Cybersecurity, en daarna kiezen voor een specialistische GIAC. Dat advies geldt met voorbehoud, want het hangt af van je ervaring en je doel. Voor een andere praktijkgerichte route lees je het artikel over de OSCP. Ook CompTIA CySA+ en PenTest+ hebben een eigen artikel. GIAC-certificeringen en OSCP, CEH of CISSP komen van verschillende uitgevers. Over elk daarvan lees je wat in het eigen artikel staat.

Bij de keuze tussen meerdere certificeringen helpt het artikel welke certificering past bij welke functie. Meer over de functies vind je in de kennisbank. Kijk in de vacatures voor je doelfunctie welke certificeringen genoemd worden.