Certificazioni Blue Team: Cosa Conta Davvero

Le certificazioni blue team sono un campo affollato e molte si sovrappongono abbastanza da rendere inutile prenderne tre o quattro di fila, sprecando tempo e soldi. Ecco come distinguere quelle che meritano la tua attenzione da quelle che esistono principalmente per vendere un corso.

Inizia con quello che stai effettivamente difendendo

Prima di scegliere una certificazione, stabilisci che tipo di lavoro blue team vuoi fare. Il lavoro di SOC analyst (triage, investigazione alert, code ticket) è diverso dall'ingegneria della detection (scrivere regole Sigma, ottimizzare la logica SIEM) che è diversa dalla risposta agli incidenti (forensica della memoria, ricostruzione timeline, contenimento). Molte persone prendono GCIH o CySA+ senza chiedersi quale direzione stanno seguendo, poi si chiedono perché la certificazione non ha aperto la porta che volevano.

Entry-level: CompTIA Security+ e CySA+

Security+ è ancora il trampolino di lancio per una ragione: HR filtra le ricerche su di essa, e la conformità DoD 8570 la richiede per molti ruoli governativi e contractor. Non è approfondita, ma prova che conosci il vocabolario — triade CIA, crittografia di base, fondamentali di rete, tipi di attacco comuni.

CySA+ è il passo naturale successivo e testa effettivamente competenze analitiche: analisi log, gestione vulnerabilità, workflow risposta agli incidenti. Se puntate a un ruolo SOC Tier 1 o Tier 2, CySA+ si correla strettamente ai compiti quotidiani — leggere un log firewall, fare triage di un report phishing, correlare eventi da multiple fonti.

Mid-tier: GCIH, GCFA e BTL1

GIAC's GCIH (Certified Incident Handler) è dove molti blue teamers seri iniziano. Copre il ciclo di vita della gestione incidenti da capo a fondo: preparazione, identificazione, contenimento, eradicazione, recupero, lezioni apprese. L'esame è proctored e open-book (porti il tuo indice), che ti dice che sta testando l'applicazione, non la memorizzazione.

GCFA (Forensic Analyst) approfondisce la forensica disco e memoria — parsing NTFS artifacts, analisi Windows event log, lavoro con strumenti come KAPE e Volatility. Se il tuo ruolo target tocca DFIR, GCFA ha peso reale con hiring manager che hanno fatto il lavoro loro stessi.

Security Blue Team's BTL1 (Blue Team Level 1) merita più attenzione di quanta ne riceva. È più economica di GIAC (poche centinaia di dollari vs. diverse migliaia), interamente pratica, e copre fondamentali SOC, analisi phishing, forensica digitale, e threat intel in formato laboratorio hands-on. Per chi autofinanzia è spesso il miglior rapporto valore per dollaro nell'intero spazio blue team.

Advanced: GCFE, GNFA e OSDA

Una volta superato lo stage generalista, le certificazioni diventano più specializzate. GCFE si concentra sull'esame forensico Windows in più profondità di GCFA. GNFA (Network Forensic Analyst) copre analisi packet capture, NetFlow, e analisi traffico crittografato — utile se la tua organizzazione si affida sulla detection basata su rete piuttosto che telemetria endpoint.

Offensive Security's OSDA (Defense Analyst) è più recente e si concentra pesantemente sull'ingegneria della detection con Security Onion ed Elastic — scrivere e ottimizzare detection, non solo leggere alert che qualcun altro ha costruito. È una buona scelta se vuoi passare da