OSCP (Offensive Security Certified Professional), OffSec firmasının verdiği, tamamen uygulamalı bir sızma testi (penetration testing) sertifikasıdır. Çoktan seçmeli soru sormaz; bunun yerine sizi gerçek hedef makineleri ele geçirmeye zorlayan 24 saatlik bir laboratuvar sınavıyla becerinizi ölçer. Bu "eller kirlensin" yaklaşımı, OSCP'nin sektörde kanıtlanmış pratik yetenek olarak görülmesinin başlıca nedenlerindendir.
Bu yazı yeni başlayanlar için: OSCP'nin ne olduğunu, sınavın nasıl işlediğini ve senin durumunda gerçekten değip değmeyeceğini abartısız, dürüst şekilde anlatıyoruz.
OSCP nedir ve kim veriyor?
OSCP, OffSec (eski adıyla Offensive Security) şirketinin sunduğu bir sertifikadır. Sertifikaya hazırlayan eğitim paketi PEN-200 (Penetration Testing with Kali Linux) adını taşır ve Kali Linux kullanarak ağ ile sistem güvenlik açıklarını yetkili şekilde bulup sömürmeyi öğretir. OffSec'in meşhur "Try Harder" (Daha Çok Uğraş) sloganı, bu eğitimin ezber değil problem çözme odaklı felsefesini özetler.
OSCP sınavı nasıl işliyor?
OSCP sınavı yaklaşık 24 saat süren uygulamalı bir laboratuvar sınavıdır. Sana uzaktan erişilen hedef makineler verilir; senin görevin bunları yetkili biçimde ele geçirip yönetici (root/SYSTEM) seviyesine ulaşmaktır. Sınav bittikten sonra da bulgularını anlatan profesyonel bir rapor yazıp teslim edersin. Geçmek için 100 puan üzerinden en az 70 puan toplaman gerekir. Güncel sınav; bağımsız hedef makineler ile bir Active Directory setinden oluşur, yani sadece tek makine değil bir ağ senaryosu çözmen beklenir.
OSCP gerçekten değer mi?
Kısa cevap: hedefin sızma testi / red team kariyeriyse büyük ihtimalle değer, ama bu senin ilk adımın olmamalı. OSCP'nin değeri, çoğu sertifikanın aksine çoktan seçmeli olmamasından gelir — geçtiysen makineyi gerçekten ele geçirdin demektir, bu da işverenler için güçlü bir sinyaldir. Öte yandan pahalıdır, ciddi zaman ister ve savunma (blue team), bulut ya da yapay zeka güvenliği gibi alanları kapsamaz. Aşağıdaki tablo, OSCP'yi popüler alternatiflerle karşılaştırıyor.
| Sertifika | Seviye | Sınav tipi | Kime uygun? |
|---|---|---|---|
| CompTIA Security+ | Giriş | Çoktan seçmeli | Genel güvenlik temeli isteyen herkes |
| eJPT | Başlangıç pentest | Uygulamalı (kolay) | Sızma testine ilk adım atanlar |
| CEH | Orta / teorik | Ağırlıklı çoktan seçmeli | Kavramları geniş öğrenmek isteyenler |
| OSCP | Orta-ileri pratik | 24 saat tamamen uygulamalı | Sızma testi / red team hedefleyenler |
Yani OSCP bir "başlangıç sertifikası" değildir. Hiç güvenlik geçmişin yoksa önce Security+ veya eJPT gibi bir basamakla temel atman, sonra OSCP'ye yürümen çok daha sağlıklı bir yoldur.
OSCP'ye başlamadan önce ne bilmeliyim?
OSCP'ye hazır sayılmak için birkaç temel yetkinliğe ihtiyacın var. Bunları eksik başlarsan eğitim seni boğar ve "Try Harder" bir motivasyon değil hayal kırıklığı hâline gelir. Asgari hazırlık listesi:
- Linux komut satırı: Dosya sistemi, izinler, temel komutlarda rahat olmak.
- Ağ temelleri: TCP/IP, portlar, HTTP, DNS'in nasıl çalıştığını bilmek.
- Basit betik yazımı: Bash ve biraz Python ile küçük araçlar/otomasyonlar yazabilmek.
- Web temelleri: Bir web isteğinin nasıl çalıştığını ve yaygın açık türlerinin ne olduğunu tanımak.
- Keşif (enumeration) alışkanlığı: "Önce bilgi topla, sonra saldır" disiplini OSCP'nin kalbidir.
OSCP'ye nasıl hazırlanırım?
En verimli yol, para harcamadan pratikle başlamaktır. Önce ücretsiz ve düşük maliyetli platformlarda bol bol makine çözerek refleks kazan, ancak ondan sonra ücretli PEN-200 paketine geç — böylece hem daha az deneme hakkı yakarsın hem de eğitimden çok daha fazla verim alırsın. Pratik için sık kullanılan kaynaklar: TryHackMe, Hack The Box, VulnHub ve OffSec'in kendi Proving Grounds ortamı.
Türkçe pratik yapmak istersen pratik.altaysec.com.tr üzerinde ücretsiz CTF görevleriyle enumeration ve exploit mantığını çalışabilir, labs.altaysec.com.tr üzerindeki tarayıcı-içi laboratuvarlarla web açıklarını kurulum derdi olmadan deneyimleyebilirsin. Bunlar OSCP yerine geçmez ama sana o refleksi kazandıran ısınma sahasıdır.
OSCP'nin bir süresi var mı?
Klasik OSCP rozeti tarihsel olarak süresizdir. Ancak OffSec, 2024 sonunda güncellenmiş içerikle birlikte OSCP+ adında yeni bir sürüm tanıttı; bu sürüm belirli bir süre (yaklaşık 3 yıl) sonra sürekli eğitimle yenilenmeyi gerektiriyor. Güncel sınavı geçenler OSCP ile birlikte OSCP+ da alıyor. Başvuru öncesinde geçerli koşulları ve ücretleri her zaman OffSec'in resmî sitesinden doğrula — fiyatlar ve sınav kapsamı zaman zaman değişir.
Yasal ve etik uyarı
OSCP eğitiminde öğretilen tüm teknikler yalnızca yetkili sızma testi, kendi laboratuvarın veya izinli eğitim ortamları içindir. İzniniz olmayan sistemlere sızma girişimi Türkiye'de ve pek çok ülkede suçtur. Saldırı becerisini öğrenmenin amacı, sistemleri daha iyi savunmak ve açıkları sorumlu şekilde raporlamaktır — saldırgan bakış açısı, güçlü bir savunmanın ön koşuludur.
Sık Sorulan Sorular
OSCP sınavı kaç saat sürer?
OSCP sınavı yaklaşık 24 saat süren uygulamalı bir laboratuvar sınavıdır. Bu sürede hedef makineleri ele geçirirsin, ardından bulgularını anlatan bir raporu teslim etmen için ek bir zaman dilimi verilir. Geçmek için 100 puan üzerinden en az 70 puana ihtiyacın vardır.
OSCP yeni başlayanlar için uygun mu?
Doğrudan giriş sertifikası değildir. Linux, ağ temelleri ve basit betik yazımı gibi ön bilgiler ister. Hiç geçmişin yoksa önce Security+ veya eJPT gibi bir basamakla temel atıp bol pratik yapman, sonra OSCP'ye yönelmen çok daha gerçekçi bir yoldur.
OSCP mi CEH mi?
Amacına bağlı. CEH kavramları geniş biçimde ve çoğunlukla çoktan seçmeli ölçer; OSCP ise tamamen uygulamalıdır ve gerçekten makine ele geçirebildiğini kanıtlar. Sızma testi veya red team kariyeri hedefliyorsan OSCP genellikle işe alımda daha güçlü bir pratik sinyaldir.
OSCP sertifikasının süresi doluyor mu?
Klasik OSCP rozeti tarihsel olarak süresizdi. OffSec'in 2024'te tanıttığı OSCP+ sürümü ise belirli bir süre sonra sürekli eğitimle yenilenmeyi gerektiriyor. Güncel koşulları ve ücretleri başvurudan önce OffSec'in resmî sayfasından teyit et.