Blue Team Certificeringen: Wat telt eigenlijk

Blue team certs zijn een druk veld, en veel ervan overlappen genoeg dat drie of vier achter elkaar pakken geld en tijd verspilt. Hier kun je zien welke aandacht waard zijn en welke vooral bestaan om een cursus te verkopen.

Begin met wat je eigenlijk verdedigt

Voordat je een cert kiest, bepaal je wat voor blue team werk je wilt. SOC analyst werk (triage, alert onderzoek, ticket queues) verschilt van detection engineering (Sigma rules schrijven, SIEM logica tunen) wat verschilt van incident response (memory forensics, timeline reconstructie, containment). Veel mensen pakken GCIH of CySA+ zonder te vragen in welke richting ze gaan, en wunderen zich af waarom de cert de deur niet opende die ze wilden.

Entry-level: CompTIA Security+ en CySA+

Security+ is nog steeds de deuropener om een reden: HR filters zoeken ernaar, en DoD 8570 compliance vereist het voor veel overheids- en contractorrollen. Het is niet diep, maar het bewijst dat je de termen kent — CIA triad, basis crypto, network fundamentals, veelvoorkomende attack types.

CySA+ is de natuurlijke volgende stap en test eigenlijk analytische vaardigheid: log analyse, vulnerability management, incident response workflow. Als je aiming op een SOC Tier 1 of Tier 2 rol, CySA+ sluit nauw aan op dagelijkse taken — een firewall log lezen, een phishing rapport triageren, events over bronnen correleren.

Mid-tier: GCIH, GCFA, en BTL1

GIAC's GCIH (Certified Incident Handler) is waar veel serieuze blue teamers beginnen. Het bestrijkt de incident handling lifecycle van begin tot eind: preparation, identification, containment, eradication, recovery, lessons learned. Het examen is geproctored en open-book (je brengt je index mee), wat zegt dat het application test, niet memorisatie.

GCFA (Forensic Analyst) gaat dieper in disk en memory forensics — NTFS artifacts parsen, Windows event logs analyseren, werken met tools zoals KAPE en Volatility. Als je doelrol DFIR raakt, draagt GCFA echt gewicht bij hiring managers die het werk zelf hebben gedaan.

Security Blue Team's BTL1 (Blue Team Level 1) verdient meer aandacht dan het krijgt. Het is goedkoper dan GIAC (een paar honderd dollar versus enkele duizenden), volledig praktisch, en bestrijkt SOC fundamentals, phishing analyse, digital forensics, en threat intel in een hands-on lab format. Voor zelfgefinancierde leerders is het vaak de beste waarde per dollar in de hele blue team ruimte.

Advanced: GCFE, GNFA, en OSDA

Zodra je voorbij het generalist stadium bent, worden certs smaller. GCFE richt zich op Windows forensic examination in meer diepte dan GCFA. GNFA (Network Forensic Analyst) bestrijkt packet capture analyse, NetFlow, en encrypted traffic analyse — nuttig als je org op network-based detection leunt boven endpoint telemetry.

Offensive Security's OSDA (Defense Analyst) is nieuwer en leunt zwaar op detection engineering met Security Onion en Elastic — detections schrijven en tunen, niet zomaar alerts lezen die iemand anders heeft gebouwd. Het's een goed keuze als je wilt bewegen van