HTB CJCA. Все, что я хотел бы знать до экзамена

В сентябре 2026 я получил сертификат HTB Certified Junior Cybersecurity Associate (CJCA).

Я не так давно начал менять профессию и уходить в информационную безопасность. CJCA я выбрал как первую сертификацию начального уровня. Меня подкупили две вещи. Она полностью построена на практике, в отличие, например, от Security+, и на текущий момент ее можно сдать из России.

Когда я впервые открыл задание, я был уверен, что не сдам. Эта статья то, что я хотел бы прочитать до того момента)

Что такое CJCA на самом деле​

CJCA называют сертификацией начального уровня. Отчасти это правда, но когда открываешь экзамен впервые, понимаешь, что это совсем не то, к чему привык по учебным заданиям, CTF и отдельным машинам. По ощущениям я бы отнес его ближе к Pro Labs.
Начальный не значит легкий. Экзамен требует погружения и ресерча прямо по ходу работы. Какие-то вещи в учебных модулях просто не разбираются, и их приходится искать самому.

Здесь нет тестов с вариантами ответов. Тебе дают лабораторную среду и задачи, и ты решаешь их так, как это делает специалист в реальной работе. Потом оформляешь все в отчет. Экзамен проверяет обе стороны, и атакующую, и защитную. Для меня это и было главной особенностью CJCA. Недостаточно уметь взламывать, нужно еще уметь разбирать события глазами защитника.
На экзамен дается 5 дней. Чтобы сдать, нужно набрать проходной балл отдельно по красной и по синей части. Сильная атакующая часть не вытянет слабую защитную, и наоборот.

С чем я пришел на экзамен​

Курс HTB Academy. Перед экзаменом я полностью прошел официальный курс подготовки к CJCA в HTB Academy, путь Junior Cybersecurity Analyst.
Практика на машинах. Параллельно я решал базовые машины уровня Easy и Medium на разных площадках.
LetsDefend. Еще до экзамена я начал SOC Analyst Path на LetsDefend. Хотел увидеть, как атаки в целом выглядят в логах и как с этими логами работать. Материалы HTB, на мой взгляд, достаточно глубокие. Они покрывают тему шире и подробнее, и чтобы хорошо их понимать, нужна какая-то база. Ее удобно получить в других местах, и LetsDefend для этого хорошо подошел.

Как прошел экзамен​

Первый день уйдет на то, чтобы понять задание, и это нормально. Когда я открыл задание, мне показалось, что я ничего не знаю. Я не стал сразу запускать сканеры, а потратил день на то, чтобы внимательно прочитать условия, разобрать структуру и составить план. После этого стало понятно, что большая часть задач мне знакома, просто выглядит иначе, чем в учебных модулях.

Работайте короткими сессиями. Я отводил по 4-5 часов в день. Свежая голова на следующий день решает больше, чем лишние часы, проведенные за одной задачей.

Если застряли, переключитесь. Это моя главная ошибка на экзамене. Я часто цеплялся за какую-то мысль или подход и добивал его до конца, но пользы это почти не приносило. Лучше чаще переключаться, а синюю часть делать параллельно с красной, а не оставлять на потом.

Сложнее всего была вторая фаза. Это было для меня главным открытием экзамена. Красную часть я делал привычно. Во второй фазе нужно разбирать события, принимать решение по каждому и обосновывать его. Это другой тип мышления, и он требует отдельной подготовки.

Заметки и как я их вел​

Хорошие заметки это половина отчета.

CJCA/
├── main.md точка входа, статус, план, ссылки
├── 00_scope.md границы работ, что разрешено
├── 01_recon/
│ └── <хост>.md отдельная заметка на каждый хост
├── 02_findings.md все находки в одном месте
├── 03_walkthrough.md цепочка действий по шагам
├── 04_creds.md найденные учетные данные
├── 05_flags.md флаги и где они получены
├── 06_alerts_phase2.md разбор второй фазы
├── <хост>_итоги.md сводка по хосту после завершения
└── screenshots/


Почему это работает.

• Одна заметка на хост. Не путаешься, что где нашел.
• Учетные данные отдельно. То, что нашел на одном хосте, часто пригождается на другом. Когда все креды в одном файле, это видно сразу.
• Walkthrough пишется по ходу. Из него потом почти без переделок собирается раздел отчета с цепочкой атаки.
• Итоги по хосту сразу после завершения. Пока все свежее в памяти.

Не оставляйте отчет на конец​

Отчет это не приложение к экзамену, а его полноценная часть.
Подготовьте инструмент заранее. Отчет для HTB пишется в SysReptor. Я сначала писал текст в Markdown, а потом переносил его в SysReptor. Разберитесь с ним до экзамена, как импортировать находки, как работают шаблоны, как вставлять скриншоты. Я это изучал посреди экзамена и потратил много времени.
Скриншоты делайте сразу. На каждом важном шаге. Воссоздавать их потом намного дольше, а иногда уже невозможно.

Каждая находка по одной и той же схеме. Что это, где, насколько критично, как обнаружено, что это дает атакующему, как исправить. Читатель должен находить одну и ту же информацию в одном и том же месте.

Пишите для двух читателей. Технический специалист хочет воспроизвести и исправить. Руководитель хочет понять риск, не читая команды. Поэтому сначала идет краткое резюме, потом детали.

Добавьте то, что связывает две фазы. В свой отчет я добавил разметку по MITRE ATT&CK, индикаторы компрометации и рекомендации по обнаружению.

Что сказал экзаменатор​

Вместе с результатом HTB присылает разбор отчета. Красную часть я закрыл на 100 баллов. По синей прошел порог, но без большого запаса.
Отчет оценили как очень хорошо составленный. Отдельно отметили, что я описал влияние каждой находки и дал практические рекомендации.
Но самое полезное в фидбеке это конструктивная критика. По сути, готовый чек-лист для всех, кто будет писать отчет:

Подписывайте вывод команд. Каждый блок вывода терминала должен сопровождаться пояснением, что на нем показано. Отчет читают технические специалисты, которые будут по нему воспроизводить проблему и проверять исправление. Им нужно сразу понимать, на что смотреть.

Давайте достаточно доказательств для воспроизведения. Лучше лишний скриншот или вывод команды, чем недостающий. И если вы используете специфичный инструмент, полезно указать эквивалент, который знаком разработчикам. Это не обязательно, но облегчает жизнь проверяющему.

Документируйте хосты, где ничего не нашли. Пустой результат тоже результат. Опишите, что проверяли и какие действия предприняли. Клиент увидит, что тестирование было, и поймет, от каких атак среда защищена.

Объясняйте конкретно, а не шаблонно. Название CWE или текст CVE это не описание уязвимости. Нужно объяснить, что именно уязвимо в этой среде, как это проявляется и к чему реально приводит, чтобы разработчик или администратор понял первопричину.

Что реально помогло в подготовке​

Путь Junior Cybersecurity Analyst в Academy целиком. Не выборочно. Модули, которые кажутся скучными, потом встречаются в неожиданных местах.
Модули по разведке. Footprinting и Network Enumeration with Nmap это основа всего остального.
Модули по процессу. Introduction to Penetration Testing и Pentest in a Nutshell показывают, как выглядит работа целиком, а не отдельная техника.
Блю-тим модули. Security Monitoring & SIEM Fundamentals, Windows Event Logs & Finding Evil, Incident Handling Process. Если бы я начал заново, я бы уделил им больше времени.

Одна вещь, которую я бы сказал себе до экзамена​

Готовьтесь дольше, особенно к блю-тим части.
Я сдал, но если бы начинал заново, потратил бы больше времени на подготовку, и в первую очередь на разбор событий и триаж алертов. Атакующие навыки на этом уровне чаще всего уже есть у тех, кто идет на экзамен. А защитных часто нет, и экзамен это проверяет.

Что дальше​

CJCA это этап, а не финиш.

• LetsDefend SOC Analyst Path, пройден в сентябре 2026.
• CDSA (HTB Certified Defensive Security Analyst), моя текущая цель.

Если вы готовитесь к CJCA и у вас есть вопросы, пишите)

---

Мой профиль HTB · GitHub AlbedoGown