Đánh giá BTL1: Liệu Blue Team Level 1 có đáng học?

Câu trả lời ngắn: có, nếu bạn muốn chứng minh bạn thực sự có thể làm công việc

BTL1 — Blue Team Level 1, từ Security Blue Team — đáng học nếu mục tiêu của bạn là chứng minh, không chỉ khẳng định, rằng bạn có thể làm công việc phòng thủ bảo mật. Đó là một chứng chỉ thực hành, thực tế dựa trên các tình huống thực tế: phân tích log, pháp y kỹ thuật số, phản ứng sự cố, phân tích phishing, đặc điểm trí tuệ. Không có bài tập chọn nhiều lựa chọn và ghi nhớ để ẩn sau. Bạn được cấp dữ liệu và yêu cầu làm việc qua nó theo cách một nhà phân tích SOC thực tế sẽ làm. Định dạng thực hành đó chính là lý do tại sao các nhà tuyển dụng và nhà tuyển dụng hiểu biết về chứng chỉ này đánh giá nó cao cho các vị trí blue team và SOC ở cấp nhập môn đến cấp trung.

Nếu bạn đang chọn giữa các chứng chỉ chủ yếu kiểm tra xem bạn đã ghi nhớ định nghĩa hay một chứng chỉ kiểm tra xem bạn có thể thực sự điều tra một sự cố, BTL1 là cái gần giống công việc bạn đang ứng tuyển nhất.

BTL1 thực sự là gì

BTL1 bao gồm bốn mô-đun cốt lõi, đại loại: nền tảng bảo mật, phân tích phishing, pháp y kỹ thuật số, và phân tích SIEM/log với thành phần phản ứng sự cố. Nó được đánh giá thông qua một kỳ thi thực hành nơi bạn làm việc qua các tình huống điều tra thực tế thay vì trả lời các câu hỏi trừu tượng. Nó do Security Blue Team sản xuất, một nhà cung cấp đào tạo đã xây dựng một danh tiếng vững chắc cụ thể trong không gian phòng thủ/blue team, khác biệt với các chứng chỉ tấn công/red team thống trị nhiều cuộc trò chuyện về chứng chỉ bảo mật mạng.

Định dạng quan trọng hơn danh sách mô-đun gợi ý. Thay vì đánh dấu vào một ô "pháp y kỹ thuật số: có/không," bạn được trao một cái gì đó gần hơn với một trường hợp thực tế — một disk image, một tập hợp log, một email đáng ngờ — và yêu cầu tìm ra điều gì đã xảy ra và giải thích lý do của bạn. Đó là một kỹ năng thực sự khác với việc nhớ lại một định nghĩa, và đó là phần các nhà tuyển dụng cho tôi biết họ đánh giá cao nhất khi một ứng viên có thể nói chuyện chi tiết về nó trong một cuộc phỏng vấn.

Điều gì làm cho nó khác với Security+

Security+ kiểm tra xem bạn có hiểu các khái niệm bảo mật rộng rãi hay không, trên một chương trình học trải dài quản trị, mật mã hóa, kiến trúc và nhiều thứ khác. BTL1 kiểm tra xem bạn có thực sự có thể làm công việc phân tích phòng thủ với dữ liệu thực, mô phỏng hay không. Chúng không cạnh tranh cho cùng một vị trí — tôi thường đề xuất cả hai, với Security+ trước tiên cho từ vựng và BTL1 thứ hai cho bằng chứng thực hành. Nếu bạn muốn đánh giá đầy đủ nơi mỗi tùy chọn nhập môn phù hợp, tôi đã đề cập trực tiếp: chứng chỉ bảo mật mạng nhập môn tốt nhất.

Điều tôi nói với các học sinh của tôi yêu cầu "BTL1 hay Security+ trước?"

Lời khuyên trung thực của tôi: Security+ trước nếu bạn không có nền tảng bảo mật, vì các tình huống của BTL1 giả định bạn đã hiểu các khái niệm bạn sẽ áp dụng. Nhưng nếu bạn đã có một số nền tảng — từ Security+, từ kinh nghiệm IT, từ tự học — và khoảng trống chính của bạn là "tôi không có gì thực hành để hiển thị," BTL1 đóng khoảng trống đó nhanh hơn hầu hết bất cứ thứ gì khác ở cấp nhập môn. Tôi đã có những học sinh hạ cánh phỏng vấn nhà phân tích SOC hoàn toàn dựa trên sức mạnh của việc có thể đi bộ qua các tình huống thực hành BTL1 của họ chi tiết, theo cách mà một chứng chỉ chọn nhiều lựa chọn đơn giản không cho phép bạn làm.

Danh sách kiểm tra chuẩn bị thực tế

• [ ] Kiến thức vững chắc về các nguyên tắc cơ bản về mạng (TCP/IP, các cổng thông thường, phân tích gói cơ bản)
• [ ] Thoải mái đọc log — Windows Event Logs, log tường lửa/proxy cơ bản
• [ ] Quen thuộc cơ bản với một khái niệm SIEM, ngay cả từ các công cụ miễn phí hoặc lab tại nhà
• [ ] Hiểu các chỉ báo phishing và phân tích tiêu đề email
• [ ] Các khái niệm pháp y kỹ thuật số cơ bản — hệ thống tệp, tạo tác, chuỗi lưu giữ
• [ ] Thực hành viết lên các phát hiện rõ ràng — kỳ thi thực hành thưởng báo cáo rõ ràng, có cấu trúc, không chỉ câu trả lời đúng

Không điều gì trong số này cần phải ở cấp độ chuyên gia trước khi bạn bắt đầu. Nó cần phải có mặt. Học sinh đi vào với kiến thức làm việc sơ bộ của cả sáu lĩnh vực làm tốt hơn nhiều so với học sinh xuất sắc ở lĩnh vực này và không bao giờ chạm vào những lĩnh vực khác — các tình huống trộn lẫn các ngành theo cách một sự cố thực tế.

Nếu bạn đang xây dựng nền tảng này từ đầu, ghép nó với đường dẫn rộng hơn trong lộ trình chứng chỉ bảo mật mạng sẽ giúp bạn sắp xếp nó đúng cách thay vì nhảy vào một cách lạnh lùng.

Câu hỏi thường gặp

BTL1 được các nhà tuyển dụng Anh Quốc công nhận không?

Nó được công nhận ngày càng nhiều, đặc biệt là giữa các nhà tuyển dụng và những người quản lý tuyển dụng hiểu biết không gian SOC/blue team cụ thể. Nó ít được biết đến phổ biến hơn các thông tin xác thực CompTIA hoặc ISC2 bên ngoài các vòng chuyên gia bảo mật, nhưng giữa những người thực sự tuyển dụng cho các vị trí này, nó mang lại trọng lượng thực sự vì định dạng thực hành của nó.

Tôi có cần Security+ trước BTL1 không?

Như vậy không thực sự, nhưng nó có trợ giúp. BTL1 giả định nền tảng khái niệm mà Security+, hoặc kinh nghiệm tương đương, cung cấp — mà không có nó, bạn sẽ học các khái niệm và ứng dụng thực hành cùng lúc, điều này khó hơn.

BTL1 mất bao lâu để chuẩn bị?

Nó thay đổi nhiều hơn Security+ vì nó dựa trên kỹ năng chứ không phải kiến thức. Học sinh có một số hiểu biết thực hành sẵn có thường cần bốn đến tám tuần thực hành tập trung; những người mới hoàn toàn với các khái niệm phân tích log và pháp y nên mong đợi thời gian dài hơn.

BTL1 có khó hơn Security+ không?

Khác loại khó. Security+ rộng hơn và nặng kiến thức; BTL1 hẹp hơn nhưng yêu cầu bạn thực sự áp dụng các kỹ năng dưới áp lực thời gian trong các tình huống thực tế, điều này một số học sinh thấy khó hơn chính xác vì không có nơi để ẩn đằng sau ghi nhớ.

Bạn muốn trợ giúp xây dựng các kỹ năng thực hành BTL1 thực sự kiểm tra, thay vì chỉ đọc về chúng? Đặt một bài học dùng thử và chúng ta sẽ làm việc qua các tình huống thực tế cùng nhau.