OSCP+ 시험이란? 시험 구조와 준비 방법 정리

보안 공부를 하다 보면 한 번쯤 들어보게 되는 자격증이 OSCP다. 이름은 익숙했지만 막상 시험을 준비하면서 찾아보니 예전에 작성된 후기와 현재 시험 방식이 조금씩 달랐다.

현재 시험의 공식 명칭은 OSCP+다. 정확히는 OffSec Certified Professional Plus로, OffSec에서 운영하는 실기형 보안 자격 시험이다.

이 글에서는 시험 문제나 구체적인 풀이 방법은 다루지 않고, OffSec이 공개한 공식 정보를 기준으로 OSCP+가 어떤 시험인지 가볍게 정리해보려고 한다.

OSCP+는 어떤 시험일까?

일반적인 자격시험은 문제를 읽고 정답을 고르는 방식이 많다. OSCP+는 조금 다르다.

시험에서 실제 시스템 환경이 제공되고, 응시자가 직접 시스템을 조사하고 취약한 지점을 찾아 목표를 달성하는 방식으로 진행된다. 시험이 끝난 뒤에는 자신이 수행한 과정을 정리한 보고서도 제출해야 한다.

얼마나 많이 외웠는지를 보는 시험보다는, 주어진 환경에서 실제로 문제를 분석하고 해결할 수 있는지를 보는 시험에 가깝다.

그래서 OSCP+를 흔히 실기형 침투 테스트 자격시험이라고 설명한다.

OSCP와 OSCP+의 차이

기존에 OSCP라는 이름을 알고 있었다면 OSCP+가 별도의 완전히 다른 자격증인지 궁금할 수 있다.

OffSec은 2024년 11월 1일부터 업데이트된 시험을 합격한 사람에게 OSCP와 OSCP+를 함께 부여하고 있다.

구분	유효기간
OSCP	만료 없음
OSCP+	3년

OSCP+의 ‘+’는 최근의 기술 수준을 유지하고 있다는 의미가 추가된 형태로 이해하면 쉽다. OSCP+가 만료되더라도 이미 취득한 OSCP 자체가 사라지는 것은 아니다.

현재는 재시험이나 다른 OffSec 자격 취득, CPE 프로그램 등을 통해 OSCP+를 유지할 수 있다. 이 부분은 정책이 바뀔 수 있으니 실제 갱신 시점에는 공식 문서를 다시 확인하는 것이 좋다.

현재 OSCP+ 시험 구성

현재 OSCP+는 크게 Standalone 시스템과 Active Directory 환경으로 나뉜다.

구분	구성	점수
Standalone	독립 시스템 3대	60점
Active Directory	AD 환경 3대	40점
합계	총 6대	100점

합격 기준은 100점 만점에 70점 이상이다.

Standalone은 서로 독립된 시스템 3대로 구성되고 각 시스템은 최대 20점이다. Active Directory 부분은 하나의 AD 환경 안에 있는 3대의 시스템을 대상으로 하며 총 40점이다.

AD 부분은 일반 사용자 계정 하나가 이미 노출된 상황을 가정해서 시작한다. 현실에서 계정 하나가 침해된 뒤 공격이 내부에서 어디까지 확대될 수 있는지를 보는 형태에 가깝다.

과거 OSCP 후기에서 종종 볼 수 있던 Bonus Point 제도는 현재는 없다. 오래된 합격 후기를 볼 때는 이 부분을 구분해서 보는 것이 좋다.

23시간 45분 동안 진행되는 실기 시험

OSCP+에서 가장 눈에 띄는 부분은 역시 시험 시간이다.

실기 시험 시간은 23시간 45분이다. 시험이 끝난 뒤에는 별도로 24시간 동안 보고서를 작성해 제출할 수 있다.

시험 시작부터 실기, 보고서 작성과 제출까지 이어지는 OSCP+ 시험 진행 흐름 삽화

거의 하루 동안 시험이 진행된다고 해서 23시간 45분 내내 컴퓨터 앞에 앉아 있어야 한다는 의미는 아니다. 식사와 휴식, 수면까지 포함해서 스스로 시간을 관리해야 한다.

기술적인 실력뿐 아니라 한 문제에 너무 오래 매달리지 않는 판단, 휴식 시간, 컨디션 관리도 생각보다 중요한 시험이라는 이야기가 나오는 이유다.

문제를 풀고 끝나는 시험은 아니다

OSCP+에서 개인적으로 흥미로운 부분은 보고서 작성까지 시험의 일부라는 점이다.

목표 시스템에서 원하는 결과를 얻었다고 바로 끝나는 것이 아니다. 어떤 과정을 거쳐 문제를 발견했고, 어떤 방식으로 접근했으며, 최종 결과를 어떻게 확인했는지를 다른 사람이 다시 따라 할 수 있을 정도로 정리해야 한다.

실제 보안 업무에서도 취약점을 찾는 것만큼 중요한 것이 결과를 설명하고 문서화하는 일이다. 그런 점에서는 꽤 실무적인 시험 방식이라고 생각한다.

그래서 공부할 때도 단순히 문제를 풀었다는 결과만 남기기보다 무엇을 확인했고 왜 다음 단계로 넘어갔는지를 함께 기록하는 습관이 도움이 될 것 같다.

오픈북이지만 AI는 사용할 수 없다

OSCP+는 오픈북 시험이다. 자신이 작성한 노트와 온라인 자료, OffSec 학습 자료 등을 참고할 수 있다.

다만 현재 OffSec 정책상 시험과 보고서 작성 과정에서 ChatGPT, Gemini, DeepSeek 같은 LLM 및 AI 챗봇을 사용하는 것은 금지되어 있다.

공부할 때 AI를 활용하는 것과 실제 시험에서 AI를 사용하는 것은 완전히 다른 이야기다.

나도 준비 과정에서는 개념을 확인하거나 공부 내용을 정리할 때 AI를 적극적으로 활용하고 있지만, 결국 시험 전에는 AI 없이 내 노트와 공식 문서만 가지고도 스스로 판단할 수 있는 상태를 만들어야 한다.

무엇을 공부해야 할까?

세부적인 시험 문제를 제외하고 보면 준비해야 할 큰 영역은 비교적 명확하다.

Linux와 Windows 기본 구조
네트워크와 서비스 정보 수집
웹과 일반적인 서비스 취약점의 이해
권한 상승의 기본 개념
Active Directory 구조와 보안
결과를 재현할 수 있는 문서 작성

특정 명령어나 취약점 하나를 외우는 것보다 현재 상황에서 다음에 무엇을 확인해야 하는지 판단하는 능력이 더 중요해 보인다.

요즘 문제를 풀면서도 정답 순서를 그대로 외우기보다는 비슷한 상황을 만났을 때 다시 사용할 수 있는 체크리스트를 만드는 방식으로 노트를 정리하고 있다.

현재는 Linux와 Windows Standalone을 먼저 충분히 연습하고, 이후 Active Directory를 집중적으로 공부한 뒤 마지막에는 시간을 정해 놓고 모의시험처럼 연습해볼 생각이다.

OSCP+를 공부하는 이유

OSCP+가 쉬운 시험이라고 생각하지는 않는다. 거의 하루 동안 실기 시험을 진행하고, 다시 보고서까지 작성해야 한다.

그럼에도 준비해보고 싶은 이유는 자격증 자체보다 공부 과정에서 얻을 수 있는 것이 많아 보이기 때문이다.

Linux, Windows, 네트워크, 웹, Active Directory처럼 각각 따로 공부했던 내용들을 실제 문제 해결 과정 안에서 연결해볼 수 있다. 특히 보안 업무를 하면서 방어자의 관점으로 많이 봤던 시스템을 공격자의 관점에서 다시 바라보는 것도 좋은 공부가 될 것 같다.