BTL1 vs Security+: Którą zdać najpierw?

Oba certyfikaty pojawiają się w wątkach dotyczących kariery w niebieskim zespole, ale testują zupełnie różne rzeczy. Security+ to egzamin obejmujący szerokie podstawy bezpieczeństwa IT. BTL1 (Blue Team Level 1 firmy Blackpoint Cyber) to praktyczny, oparty na scenariuszach certyfikat zbudowany wokół rzeczywistych zadań analityka SOC: analizy dzienników zdarzeń, reagowania na incydenty, śledztwa cyfrowego i korzystania z narzędzi takich jak Wireshark, Autopsy i Velociraptor. Decyzja, którą zdać najpierw, zależy od tego, z czego zaczynasz.

Co każdy certyfikat rzeczywiście testuje

Security+ (SY0-701 w bieżącej wersji) obejmuje szeroki zakres koncepcji bezpieczeństwa: ogólne koncepcje bezpieczeństwa, zagrożenia i luki w zabezpieczeniach, architekturę bezpieczeństwa, operacje bezpieczeństwa oraz zarządzanie programem i nadzór. To pytania wielokrotnego wyboru plus kilka pytań oparte na zadaniach praktycznych. Możesz go zdać, zapamiętując koncepcje z podręcznika przygotowawczego bez kiedykolwiek dotykania prawdziwego SIEM-a czy zapisu pakietów.

BTL1 różni się strukturą i celem. To egzamin praktyczny dostępny całą informację, trwający 24 godziny, podzielony na cztery domeny: Security Fundamentals, Incident Response, Digital Forensics i Security Information and Event Management (SIEM). Otrzymujesz scenariusz, rzeczywiste artefakty i piszesz raport incydentu na podstawie tego, co znajdziesz. Nie ma sekcji wielokrotnego wyboru, która pozwalałaby na zgadywanie. Jeśli nie potrafisz faktycznie przeanalizować zainfekowanego hosta czy przeczytać zrzutu pamięci, nie zdasz.

Dlaczego kolejność ma znaczenie dla początkujących

Jeśli nie masz żadnego doświadczenia w sieci, wewnętrznej budowie systemów operacyjnych czy podstawowej terminologii bezpieczeństwa, pójście prosto do BTL1 będzie ciężkie. Egzamin zakłada, że już wiesz, czym jest pięciokrotka (five-tuple), jak działają TCP handshakes i jak odczytywać Windows Event Logs na podstawowym poziomie. Security+ nie sprawia, że będziesz gotów do pracy, ale daje ci wspólny język: triada CIA, typowe rodzaje ataków, podstawy PKI, modele kontroli dostępu. Ten słownik sprawia, że materiał BTL1 jest przyswajany szybciej zamiast uczucia, że uczysz się dwóch rzeczy jednocześnie — podstaw bezpieczeństwa i jak zdać egzamin praktyczny.

Security+ jest też tańszy (około 404 USD w momencie pisania tego tekstu) i bardziej powszechnie rozpoznawany przez filtry HR-owe i wymagania umów rządowych (znajduje się na liście referencyjnej DoD 8570). Jeśli potrzebujesz certyfikatu, aby przejść przez system śledzenia kandydatów dla stanowiska analityka na początkującym poziomie, Security+ często sprawdza się lepiej niż sam BTL1.

Dlaczego niektórzy pomijają Security+ i idą prosto do BTL1

Jeśli już masz doświadczenie w sieci lub sysadmin — powiedzmy, że pracowałeś na help desk czy NOC, albo przeszedłeś przez coś takiego jak Network+ czy kombinację CompTIA A+/Network+ — Security+ może się wydawać powtórzeniem rzeczy, które już znasz. W takim przypadku przejście do BTL1 daje ci certyfikat, który kierownicy ds. zatrudniania w rolach specyficznych dla niebieskiego zespołu ważą bardziej, ponieważ udowadnia, że faktycznie potrafisz robić pracę analityka, a nie tylko ją definiować.

BTL1 to również lepsze przygotowanie, jeśli twoim celem jest rola analityka SOC lub reagowania na incydenty w szczególności, a nie pozycja generalisty w bezpieczeństwie. Umiejętności nakładają się bezpośrednio: przetwarzanie dzienników w narzędziach w stylu Splunk, rozumienie drzew procesów, rozpoznawanie wzorców ruchu bocznego. Security+ porusza te tematy na powierzchni; BTL1 sprawia, że je demonstrujesz.

Rozsądna ścieżka domyślna

Dla kogoś bez doświadczenia w bezpieczeństwie: najpierw Security+, potem BTL1. Daj sobie 2-3 miesiące na przygotowanie do Security+ w zależności od twojej podstawowej wiedzy IT, a następnie kolejne 2-3 miesiące na budowanie umiejętności praktycznych (ścieżka SOC Level 1 serwisu TryHackMe, Blue Team Labs Online i scenariusze CyberDefenders) przed podejściem do BTL1.

Dla kogoś przychodzącego z IT support, sieci lub kierunku informatyka: możesz rozsądnie pójść prosto do BTL1, zwłaszcza jeśli ogłoszenie o pracę lub twój docelowy pracodawca konkretnie to preferuje przed Security+. Niektóre zespoły SOC teraz wymieniają BTL1 jako równy lub preferowany nad Security+ dla nowych analityków tier-1, ponieważ jest lepszym predyktorem wydajności w pracy.

Kompromis kosztów i czasu

BTL1 jest droższy niż Security+ i wymaga rzeczywistego wkładu czasu w praktyczną pracę laboratoryjną wcześniej — nie ma skrótu przez zapamiętane karty pracy. Jeśli budżet jest ograniczony, Security+ daje ci uznany certyfikat szybciej i taniej, a umiejętności istotne dla BTL1 możesz budować za darmo, korzystając z CyberDefenders i Blue Team Labs Online, zanim zobowiążesz się do opłaty za egzamin.

Żaden z certyfikatów sam nie sprawi, że zostaniesz zatrudniony. Połącz ten, który wybierzesz, z home lab, udokumentowanymi CTF-ami czy dwiema i notatkami, które możesz omówić podczas rozmowy kwalifikacyjnej.

Aby dowiedzieć się więcej o budowaniu umiejętności praktycznych, które oba certyfikaty zakładają, że już posiadasz, sprawdź segmenty Blue Team i Digital Forensics w Korra Studio.