Blue Team Certifications: What Actually Matters

Blue team 인증은 포화된 분야이며, 많은 인증들이 충분히 겹쳐서 3개 또는 4개를 연속으로 따면 돈과 시간을 낭비하게 된다. 주의를 기울일 가치가 있는 인증과 주로 과정을 판매하기 위해 존재하는 인증을 구분하는 방법을 소개한다.

당신이 실제로 지키려는 것부터 시작하기

인증을 선택하기 전에 어떤 종류의 blue team 일을 원하는지 파악하라. SOC 분석가 업무(트리아지, 알림 조사, 티켓 큐)는 탐지 엔지니어링(Sigma 규칙 작성, SIEM 로직 튜닝)과 다르고, 이는 인시던트 응대(메모리 포렌식, 타임라인 재구성, 격리)와 다르다. 많은 사람들이 자신이 목표하는 분야를 묻지도 않은 채 GCIH나 CySA+를 따고는 그 인증이 원하는 문을 열어주지 못했다고 궁금해한다.

입문 단계: CompTIA Security+와 CySA+

Security+가 여전히 입문의 관문인 이유는 있다: HR이 검색에서 이를 필터링하고, DoD 8570 준수는 많은 정부 및 계약업체 역할에서 이를 요구한다. 깊이는 없지만 CIA triad, 기본 암호화, 네트워크 기초, 흔한 공격 유형 같은 용어를 안다는 것을 증명한다.

CySA+는 자연스러운 다음 단계이며 실제로 분석 기술을 테스트한다: 로그 분석, 취약점 관리, 인시던트 응대 워크플로우. SOC Tier 1 또는 Tier 2 역할을 목표로 한다면 CySA+는 일상 작업과 밀접하게 연결된다 - 방화벽 로그 읽기, 피싱 보고 트리아지, 소스 간 이벤트 연관성.

중급: GCIH, GCFA, 그리고 BTL1

GIAC의 GCIH(Certified Incident Handler)는 많은 진지한 blue team 사람들이 시작하는 곳이다. 인시던트 처리 수명 주기를 처음부터 끝까지 다룬다: 준비, 식별, 격리, 근절, 복구, 교훈. 시험은 감시 중이고 개방형 책(당신이 인덱스를 가져간다)이므로 이는 암기가 아니라 적용을 테스트한다는 것을 의미한다.

GCFA(포렌식 분석가)는 디스크 및 메모리 포렌식에 더 깊이 들어간다 - NTFS 아티팩트 파싱, Windows 이벤트 로그 분석, KAPE 및 Volatility 같은 도구 사용. 목표 역할이 DFIR을 건드린다면 GCFA는 자신들의 일을 해본 채용 담당자들과의 실질적인 무게를 지닌다.

Security Blue Team의 BTL1(Blue Team Level 1)은 받는 것보다 더 많은 관심을 받을 자격이 있다. GIAC보다 저렴하고(수백 달러 vs. 수천 달러), 완전히 실용적이며, SOC 기초, 피싱 분석, 디지털 포렌식, 그리고 위협 인텔을 실습 랩 형식으로 다룬다. 자비로 학습하는 사람들에게는 전체 blue team 공간에서 달러당 최고의 가치인 경우가 많다.

고급: GCFE, GNFA, 그리고 OSDA

일반가가 아닌 단계를 지나면 인증은 더 좁아진다. GCFE는 GCFA보다 더 깊이 있게 Windows 포렌식 검사에 초점을 맞춘다. GNFA(Network Forensic Analyst)는 패킷 캡처 분석, NetFlow, 그리고 암호화된 트래픽 분석을 다룬다 - 당신의 조직이 엔드포인트 텔레메트리보다 네트워크 기반 탐지에 의존한다면 유용하다.

Offensive Security의 OSDA(Defense Analyst)는 더 새로우며 Security Onion과 Elastic를 통한 탐지 엔지니어링에 많이 의존한다 - 누군가 다른 사람이 만든 알림을 읽는 것이 아니라 탐지를 작성하고 튜닝하는 것. 만약 당신이