Сертификаты Blue Team: что действительно имеет значение

Сертификаты blue team — переполненная область, и многие из них настолько перекрываются, что выбрать три или четыре подряд — это пустая трата денег и времени. Вот как отделить те, что стоят внимания, от тех, которые существуют в основном для продажи курса.

Начните с того, что вы на самом деле защищаете

Прежде чем выбирать сертификат, определитесь, какую работу в blue team вы хотите делать. Работа SOC аналитика (сортировка, расследование оповещений, очереди тикетов) отличается от detection engineering (написание правил Sigma, настройка логики SIEM), которая отличается от incident response (анализ памяти, восстановление временной шкалы, блокировка). Многие люди берут GCIH или CySA+ без вопроса о том, какой путь они выбирают, а потом удивляются, почему сертификат не открыл нужную дверь.

Начальный уровень: CompTIA Security+ и CySA+

Security+ остается пропуском не просто так: HR фильтрует по нему, и требование DoD 8570 предусматривает его для множества государственных и подрядных ролей. Это не глубоко, но доказывает, что вы знаете терминологию — триада CIA, базовая криптография, основы сетей, типичные атаки.

CySA+ — естественный следующий шаг и на самом деле тестирует аналитические навыки: анализ логов, управление уязвимостями, рабочий процесс incident response. Если вы нацелены на роль SOC Tier 1 или Tier 2, CySA+ близко соответствует ежедневным задачам — чтение логов брандмауэра, сортировка отчета о фишинге, корреляция событий из разных источников.

Средний уровень: GCIH, GCFA и BTL1

GIAC's GCIH (Certified Incident Handler) — это точка, с которой начинают многие серьёзные blue teamers. Это охватывает весь жизненный цикл обработки инцидентов: подготовка, идентификация, блокировка, искоренение, восстановление, извлечение уроков. Экзамен проводится с присмотром и разрешением использования материалов (вы приносите свой индекс), что говорит о том, что он тестирует применение, а не запоминание.

GCFA (Forensic Analyst) углубляется в forensics диска и памяти — разбор артефактов NTFS, анализ журналов событий Windows, работа с инструментами типа KAPE и Volatility. Если ваша целевая роль касается DFIR, GCFA имеет реальный вес у менеджеров по найму, которые сами выполняли эту работу.

Security Blue Team's BTL1 (Blue Team Level 1) заслуживает большего внимания, чем получает. Он дешевле, чем GIAC (несколько сотен долларов против нескольких тысяч), полностью практический, и охватывает основы SOC, анализ фишинга, forensics и threat intel в формате практических лабораторий. Для самофинансируемых учащихся это часто лучшее соотношение цены и качества во всём пространстве blue team.

Продвинутый уровень: GCFE, GNFA и OSDA

Онда вы прошли этап универсалиста, сертификаты становятся уже. GCFE сосредоточен на исследовании Windows forensics с большей глубиной, чем GCFA. GNFA (Network Forensic Analyst) охватывает анализ packet capture, NetFlow и анализ зашифрованного трафика — полезно, если ваша организация опирается на сетевое обнаружение больше, чем на endpoint телеметрию.

Offensive Security's OSDA (Defense Analyst) новее и сильно опирается на detection engineering с Security Onion и Elastic — написание и настройка обнаружений, а не просто чтение оповещений, которые кто-то другой создал. Это хороший выбор, если вы хотите перейти от