OSEP（OffSec Experienced Penetration Tester）の受験記
こんにちは、株式会社レオンテクノロジー セキュリティ診断部の林（リン）です。
普段はWebアプリケーション診断、ペネトレーションテスト、スマホアプリ診断やセキュリティレビューなどを担当しています。
これまでOSCP、CPENT、LPT (Master)、今年5月にはHTB CPTSに合格してきました。
そして今回、OffSec社の上位認定資格であるOSEP（PEN-300: Evasion Techniques and Breaching Defenses）を受験し、一発合格しました。
本記事では、学習プロセス、約140時間のPEN-300 Challenge Labの振り返り、試験本番の流れ、そしてOSCPやCPTSとの比較について解説します。これからOSEPに挑戦される方の参考になれば幸いです。
whoami
台湾出身。
今年（2026年）で来日7年目を迎えます。エンジニア歴は9年。
OSCPやCPTSなど多数のセキュリティ実践資格を保有し、普段の業務では脆弱性診断やペネトレーションテスト、セキュリティレビューなどを行なっています。
学習前のスキルレベル
OSEP受験時点の前提スキルを共有します。
保有資格
– OffSec: OSCP, OSWP
– Hack The Box: CPTS
– EC-Council: CPENT, LPT (Master), CEH
– CREST: CRT
技術と経験
- ペネトレーションテスト実務: Webアプリケーション・ネットワーク診断の実務経験あり。
- Active Directory / ネットワーク侵入: CPTSやOSCPにより、AD環境の列挙、Kerberos攻撃、多段Pivotingの基礎は習得済み。
- プログラミング: Bash、PowerShell、Pythonは日常的に使用。C#やC/C++によるWin32 APIプログラミングは基礎知識レベルからのスタート。
インフラ侵入やAD横展開のスキルは備わっていたものの、「AV回避のカスタムペイロード自作」や「AppLocker/CLMのバイパス」はこれから学ぶ領域でした。
OffSec OSEP（PEN-300）とは
概要
OSEPは、OffSec社の「PEN-300: Evasion Techniques and Breaching Defenses」に対応する実技試験です。
OSCE3を構成する3認定の1つであり、OSCPの上位資格に位置づけられています。
OSCPが基本的なペネトレーションテスト手法を扱うのに対し、OSEPはAV検知回避、AppLocker・PowerShell CLMのバイパス、ADにおけるドメイン間・フォレスト間の横展開など、より高度な防衛回避テクニックを学ぶ内容です。
コース内容（PEN-300）
- クライアントサイド攻撃 & ペイロード開発: マクロ難読化、C#/C++による独自ローダー作成
- 防御機構のバイパス: AV、AppLocker、PowerShell CLMの回避技術
- Active Directory & データベース悪用: Kerberos委任攻撃、MSSQLリンク経由の横展開など
- Post-Exploitation & Pivoting: 内部管理基盤の攻略と多段トンネリング
試験ルールと合格基準
- 実技試験: 48時間（プロクター監視付き）
- レポート提出: 実技終了後24時間以内
- 合格基準: 以下のいずれかを達成
- 100ポイント以上を獲得（各フラグ10ポイント）
- 最終目標フラグ（
secret.txt）を奪取（ポイント数に関係なく合格）
※ 試験の詳細なルールや注意点については、公式のOSEP Exam Guideをご参照ください。
OSEPを受験したきっかけ
- 「回避と潜伏」を伴うRed Teamスキルへの進化
OSCPやCPTSで侵入・横展開のワークフローを習得したが、実際の現場ではEDRやAppLockerが標準配備されている。検知を回避しながら目的を達成するペイロード開発力を体系的に強化したかった。 - 多層防御の突破力強化
Kerberos委任、MSSQLリンク、Linuxインフラ管理（Ansible）などを複合的に連鎖させ、多重の境界防御を突破する総合力を身につけたかった。 - OSCE3に向けたマイルストーン
OffSec最上位称号であるOSCE3を目指す上で、OSEPは避けて通れないステップだった。
学習プロセスと学習スケジュール
本格的なOSEP対策は、2026年5月のHTB CPTS合格直後に開始しました。
CPTSでADの内部構造や多段Pivotingの基礎が固まっていたため、PEN-300では「防御回避（Defense Evasion）」と「カスタムペイロード開発」に焦点を絞って学習を進めました。
| 時期 | 内容 |
|---|---|
| 2026年4月 | CPTS合格 & PEN-300学習開始。コーステキスト読解と基礎モジュールの実践に着手。 |
| 2026年6月 | Evasion手法の研究 & テンプレート開発。VBAマクロ難読化、C# Shellcode Loader作成、AMSI/ETWパッチ、AppLocker/CLM回避の検証など。 |
| 2026年6月〜 2026年7月 | PEN-300公式LAB練習（Challenge 1〜8）。約140時間で全8シナリオを攻略。自作スクリプトとチートシートを整備。 |
| 2026年8月上旬 | OSEP実技試験。朝9:00開始、約5時間で最終目標奪取、21:00頃に実技完了。翌日レポート提出。一発合格。 |
各モジュール（VBA、Process Injection、AMSI Bypass、AppLocker、MSSQL Linksなど）のコードを手元でビルド・検証し、チートシートとスクリプト集を整備しました。
約140時間の実践：PEN-300 LABの真価
OSEPの合格において最大の鍵となるのが、PEN-300付属の公式LAB環境（Challenge Labs）です。です。
単体マシンの攻略にとどまらず、複数ドメイン、ファイアウォール、AV/EDR、AppLockerなどのセキュリティ機構が配備されたリアルな企業ネットワーク環境をシミュレートしています。
私はこのLABに約140時間を投じ、全8つのChallenge Labを徹底的に攻略・検証しました。
なぜLAB練習が重要か
全8つのChallenge Labは以下のように段階的に難易度が上がる設計です。
- Challenge 1〜4: 各基礎モジュール（マクロ、CLMバイパス、ローダー、Process Injection）の定着。
- Challenge 5〜6: Linuxインフラ、DBリンク、多段Pivotingが絡む応用フェーズ。
- Challenge 7〜8: 複数ドメイン・信頼関係・多層防御が組み合わさった、本番試験さながらの大規模エンタープライズ総合シナリオ。
この8シナリオを自力で解き、各手法の手順・コマンド・フォールバック策をMarkdownに体系化して蓄積したことが、本番試験での迅速な判断と対応力に直結しました。
定番ツールと主要な回避テクニック
試験で活躍した主要ツールと技術スタックを紹介します。
トンネリング & Pivoting
Ligolo-ng
攻撃機のルーティングテーブルに直接ルートを追加できるトンネリングツール。SOCKSプロキシと異なりnmapやImpacketがネイティブに動作し、多重Pivoting環境でも安定。（リンク）
Sliver C2とシームレスに連携できる拡張版（sliver-ligolo-ng）も非常に便利です。
C2フレームワーク & ペイロード
Sliver C2
mTLS/HTTPSビーコンに対応したオープンソースC2。execute-assembly、sharpsh、mimikatz、rubeusコマンドでPost-Exploitの大半を処理していた。（リンク）
※ なお、Kali Linux標準のQTerminalではSliver対話時に文字の表示崩れや入力処理のバグが発生しやすいため、ターミナルエミュレータにはTerminatorの利用を推奨します。
事前に用意した自作ツール
- Shellcodeコンバータ: シェルコードをVBAマクロ・C#・PowerShell・ASPX WebShell形式へ即座に変換するPythonスクリプト群
- C#/VBA Shellcode Loader: サンドボックス検知・XOR暗号化・AMSI/ETWパッチ・インメモリ実行を組み込んだ自作ローダー
Active Directory & 認証情報攻撃
BloodHound CE
AD環境の最短攻撃パス可視化に必須。CE対応のbloodhound-ce-pythonを使用。
Impacket
getST.py、secretsdump.py、psexec.py、wmiexec.py等、AD侵入に不可欠（リンク）。
NetExec (nxc)
SMB/LDAPの認証情報スプレーや共有フォルダ探索に重宝（リンク）。
Mimikatz / Rubeus
LSA Secrets、平文パスワード・Kerberosチケット抽出。SliverのビルトインコマンドからもInvoke可能。（Mimikatz）（Rubeus）
SharpCollection
Seatbelt、SharpUp、Certifyなど、.NET系の攻撃ツールをビルド済みで一括配布しているリポジトリ。execute-assemblyで即座に利用でき便利（リンク）。
実技試験本番：スケジュールと手応え
OSEPの試験は、外部からのブラックボックス・ペネトレーションテストとして実施されます。
48時間の実技枠が与えられますが、私は朝9:00に開始し、同日21:00頃（約12時間）にすべての実技試験を完了しました。
タイムライン
| 時間帯 | 進捗 |
|---|---|
| 09:00 | 試験開始 |
| 09:00〜14:00 | Kerberos委任やLigolo-ngによる多段Pivotingを連鎖させ、約5時間で最終目標secret.txtを奪取合格要件達成 |
| 14:00〜15:00 | 一時間ほど休憩を取る |
| 15:00〜21:00 | 残存フラグの探索・回収 別ルートの local.txtやproof.txtを追加取得し、スコアを積み上げ |
| 21:00 | 試験環境にやや不安定な挙動が見られたため、証跡が十分揃った段階で実技を終了 翌日レポート作成に集中 |
初日約12時間で実技を余裕をもって完結できたため、2日目は万全の体調でレポート作成に専念できました。
試験難易度の体感：なぜ「難しくない」と感じたか
「OSEPはOSCPの上位資格で難関」と言われがちですが、実際の感想は「試験の難易度自体は高くない」というものでした。
1. 理不尽なパズル要素がない
試験環境は、企業インフラの構成ミスや仕様（委任、DBリンク、アクセス制御不備、信頼関係など）に基づいて設計されている。コーステキストとLABで学んだテクニックを論理的に適用すれば道が開ける素直な構成。
2. Challenge Labが完璧な練習になっている
Labを攻略していたため、本番でどのような防御機能が現れても「あのLabで検証したパターンだ」と即座に判断でき、迷う時間がなかった。
3. CPTSで培ったAD & Pivotingの土台
BloodHound/PowerViewによる権限探索や多段Pivoting感覚が身についていたため、ドメイン間横展開で詰まることがなかった。
結論: コーステキストを理解し、公式LABを自力で解けるまで練習すれば、本番でパニックになる要素はほとんどない。
合否を分けるレポート作成
実技でフラグを取って終わりではなく、24時間以内に詳細なレポートを提出する必要があります。
レポート作成のポイント
- 完全な再現性: 審査員がコマンドを実行して同じ結果が得られるよう、すべてのコマンド・スクリプト・設定変更を省略せず記載。
- 証跡の厳密さ: 各ターゲットで
hostname、whoami、ipconfig（またはip a）、type proof.txt（またはcat）を同一画面で実行したスクリーンショットを漏れなく掲載。 - 修正策の提示: 脆弱性の根本原因と修正策を、経営層・管理者が理解できる形で記載。
最終的に提出したレポートはちょうど100ページの大作となりました。
secret.txtの奪取に至る完全な侵入経路をはじめ、各ホストで取得した証跡スクリーンショット、そして検知回避のためにカスタマイズ・変更した各種ペイロードのコードや難読化手順を余すことなく記載しました。
実技中にこまめにスクリーンショットとログを残していたため、レポート作成も余裕を持って進められました。普段の脆弱性診断業務でレポート作成に慣れていたことも大きかったです。
レポート作成ツールと提出手順
レポート作成にはSysReptorを使用しました。Markdownベースで構造化でき、PDF出力もスムーズです。公式テンプレートのほか、GitHubにも多くのコミュニティ製テンプレートがあるので、事前に自分に合ったものを選んでおくと執筆スピードが格段に上がります。
提出時の注意点：
- レポートはPDF形式で作成し、
.7zでアーカイブしてOffSecのアップロードサイトから提出 - アップロード後に表示されるMD5ハッシュがローカルファイルと一致することを必ず確認
- ファイルサイズは200MB以内に収める必要あり
レポート作成の詳細なノウハウについては、以前のOSCP受験記でも解説していますので、併せてご参照ください。
→ OSCP受験記 – レポート作成のポイント
合格通知
レポート提出から約5日後に合格通知メールが届きました。約140時間のLab練習の努力が報われた瞬間でした。
公式認定証（Digital Badge）: OffSec Certified Security Professional (OSEP)
比較：OSCP vs CPTS vs OSEP
| 項目 | OSCP (PEN-200) | HTB CPTS | OSEP (PEN-300) |
|---|---|---|---|
| 試験時間 | 24h実技 + 24hレポート | 10日間 （実技+レポート） | 48h実技 + 24hレポート |
| フォーカス | 基礎ペンテスト、単体ホスト、基本AD | 実践的AD侵害、大規模企業インフラ | 防御回避、ペイロード開発、多層防御突破 |
| AV/EDR | 基本的な難読化で十分 | 意識する必要は少なめ | AMSI/AppLocker/AV回避などが必須 |
| レポート比重 | フォーマット通りの提出 | 総合成績の50%（厳格） | 完全な再現性重視 |
| 難易度の質 | 時間制限のプレッシャー | ボリュームとリアルさ | 技術的深さ（開発能力・回避能力・多重Pivotingなど） |
推奨ロードマップ
- OSCP → ペネトレーションテストの基礎と思考プロセスの土台。
- CPTS → エンタープライズAD環境の偵察・横展開・レポート作成力。
- OSEP → AV/AppLocker回避のペイロード開発能力、高度なPivoting技術。
この順序なら、知識の重複を活かしつつ無理なくRed Teamレベルの実践力を身につけられます。
過去の受験記・関連記事
各資格の詳細な学習アプローチや試験当日のタイムラインについては、過去の受験記でも詳しく解説しています。それぞれの段階に合わせて参考にしていただければ幸いです。
- OSCP受験記: OSCP（Offensive Security Certified Professional）の受験記 | 株式会社レオンテクノロジー
ペネトレーションテストの基礎固め、単体ホスト攻略からActive Directory基礎までの合格プロセスを解説しています。 - HTB CPTS: HTB CPTS（Certified Penetration Testing Specialist）の受験記 | 株式会社レオンテクノロジー
10日間に及ぶ実践的なエンタープライズAD侵害と、プロフェッショナルな報告書作成力を鍛え上げた記録。
受験のアドバイス
- Challenge Labをすべて完走（最重要）
テキストを読むだけでなく、全Challengeを自力でクリアする。ここでのトラブルシューティング経験が本番で最大の武器になる。 - コードテンプレート集を事前に用意する
C# Process Injectionローダー、AMSIバイパス、VBA難読化マクロ、AppLockerバイパス用コードなど、動作確認済みのテンプレートを整備しておく。本番でゼロから書く時間を大幅に短縮できる。 - Ligolo-ngの多段Pivotingをマスターする
単一セグメントだけでなく、Double Pivotの手順を手元で完全に再現できるようにしておく。 - 「Write as you go」を徹底する
1ホスト攻略ごとにコマンドとスクリーンショットを即座に記録する。実技後に記憶頼りでレポートを書くと手順の抜け漏れが発生し、致命的なタイムロスを招く。 - 時間配分とメンタルコントロール
48時間の猶予がある。事前準備が万全であれば焦る必要はない。行き詰まったら休憩や睡眠を挟み、頭をリセットすること。
最後に
OSEP（PEN-300）の受講・受験費用は決して安価ではありません。
ただし、OffSecは毎年年末（11月下旬〜12月頃）に大規模なブラックフライデーセールを開催しており、受講プランが20%前後割引されます。私自身も昨年のブラックフライデーセールを活用して購入しました。購入時期を調整できる場合は、年末のセールを狙うのが非常におすすめです。
また、私の所属する株式会社レオンテクノロジーには手厚い資格取得支援制度があり、今回の受講・受験費用も会社に全面的にバックアップしていただきました。経済的な負担を心配することなく、最新技術の検証とスキル研鑽に集中できる環境には心から感謝しています。
当社では、実務に直結するハイエンドなセキュリティ資格の取得や、最新の攻撃・防衛手法の技術検証を積極的に推進しています。高度なセキュリティ専門性を磨き、実戦的なフィールドで活躍したいと考えているエンジニアにとって、非常に刺激的で成長できる環境です。
本記事が今後OSEPに挑戦される皆様の一助となれば幸いです。最後までお読みいただきありがとうございました。
