什么是 CREST 认证，你需要它吗？

如果你打算在英国从事渗透测试工作，或者为任何与英国政府或金融机构有业务往来的公司工作，迟早会遇到 CREST。它不是一项单一考试，而是一个完整的认证体系，有多个等级，理解哪个等级对你的职业路径重要能省去大量浪费的学习时间。

CREST 是什么

CREST（注册伦理安全测试人员委员会）是一个总部位于英国的非营利认证机构，认证个人和他们所在的公司。第二部分比 OSCP 那样的东西重要得多。英国公司若要竞标某些政府或 NHS 相关的安全测试合同，必须拥有 CREST 公司认证，而该认证取决于雇用最少数量的 CREST 认证人员。所以这个认证不只是个人凭证——它直接关系到你的雇主能赢得哪些合同。

主要的个人认证

CREST 提供的是一个阶梯式考试体系而非万能型考试：

• CPSA（CREST 从业安全分析师） — 入门级，选择题，涵盖网络基础、常见漏洞和方法论。适合从事安全工作一两年的人。
• CRT（CREST 注册测试员） — 大多数工作中的渗透测试员首先争取的认证。混合理论和实际动手测试基础设施的成分。
• CCT（CREST 认证测试员） — 分为基础设施和应用两个方向。这是高级认证，难度和声誉大致相当于 OSCE 或 GXPN，通常是主导业务或签署认证报告所需的。

还有专业方向：用于模拟攻击工作的 CCSAS（用于针对英国金融机构的 CBEST 式业务），以及专门针对web应用测试的认证。

考试如何进行

CPSA 是在 Pearson VUE 考点进行的计算机选择题。CRT 和 CCT 涉及实际操作部分，你会获得一个网络或应用在固定时间窗口内进行评估，必须提交符合 CREST 技术标准的发现——不只是