BTL1 vs Security+：先考哪一个？

这两个认证在蓝队职业讨论中经常被提起，但它们测试的内容完全不同。Security+ 是一项广泛的 IT 安全基础考试。BTL1（Blackpoint Cyber 的蓝队第一级）是一项实操、基于场景的认证，围绕实际 SOC 分析师任务而构建：日志分析、事件响应、数字取证以及使用 Wireshark、Autopsy 和 Velociraptor 等工具。决定先考哪一个取决于你的起点在哪里。

每项认证实际测试的内容

Security+（当前版本为 SY0-701）涵盖广泛的安全概念：通用安全概念、威胁和漏洞、安全架构、安全运营以及项目管理/监督。考试形式包括单项选择题和几道基于性能的题目。你可以通过记住学习指南中的概念而不接触真正的 SIEM 或数据包捕获来通过考试。

BTL1 在结构和意图上都不同。这是一项开卷、24 小时的实操考试，分为四个领域：安全基础、事件响应、数字取证和安全信息和事件管理（SIEM）。你会获得一个场景、真实的取证物品，然后根据发现的内容撰写事件报告。没有单项选择部分让你侥幸通过。如果你无法对受损主机进行真正的分类或读取内存转储，你就不会通过。

为什么顺序对初学者很重要

如果你在网络、操作系统内部结构或基本安全术语方面完全没有背景，直接进入 BTL1 会很困难。该考试假设你已经知道什么是五元组、TCP 握手如何工作，以及如何在基本级别上读取 Windows 事件日志。Security+ 不会让你做好工作准备，但它给你提供了共同语言：CIA 三角、常见攻击类型、PKI 基础知识、访问控制模型。这些词汇使 BTL1 的内容更容易理解，而不是让你同时学习两件事——安全基础和如何参加实操考试。

Security+ 也更便宜（截至目前约为 404 美元），在 HR 筛选和政府合同要求中获得更广泛的认可（它在 DoDoD 8570 基线列表上）。如果你需要一个认证来通过初级分析师职位的申请人追踪系统，Security+ 通常能更好地完成这项工作。

为什么有些人直接跳到 BTL1

如果你已经有网络或系统管理员背景——比如你做过帮助台或 NOC 工作，或者你参加过 Network+ 或 CompTIA A+/Network+ 组合类的课程——Security+ 可能看起来像是你已经了解的内容的重复。在这种情况下，跳到 BTL1 会给你一个蓝队特定角色的招聘经理往往更看重的认证，因为它证明你实际上可以做分析师工作，而不仅仅是定义它。

如果你的目标是 SOC 分析师或事件响应职位，BTL1 也是更好的准备，而不是通用安全职位。技能直接重叠：在 Splunk 风格工具中解析日志、理解进程树、识别横向移动模式。Security+ 在表面层面涉及这些主题；BTL1 让你展示它们。

合理的默认路径

对于没有安全背景的人：先考 Security+，然后考 BTL1。根据你的基础 IT 知识，给自己 2-3 个月的 Security+ 准备时间，然后再用 2-3 个月建立实操技能（TryHackMe 的 SOC Level 1 路径、Blue Team Labs Online 和 CyberDefenders 场景），然后尝试 BTL1。

对于来自 IT 支持、网络或计算机科学背景的人：你可以合理地直接跳到 BTL1，特别是如果工作发布或你的目标雇主明确看重它而不是 Security+。一些 SOC 团队现在将 BTL1 列为与 Security+ 相等或优于 Security+ 的选择，用于第一级分析师招聘，因为它对工作表现的预测能力更强。

成本和时间权衡

BTL1 比 Security+ 成本更高，并且需要在考试前进行真实的实操实验室练习投入——没有快速通过记忆闪卡的捷径。如果预算紧张，Security+ 能以更快、更便宜的方式让你获得认可的认证，你可以在提交考试费用前使用 CyberDefenders 和 Blue Team Labs Online 免费构建与 BTL1 相关的技能。

单独任何一个认证都不会让你被录用。无论你选择哪一个，都要将其与家庭实验室、一两个已记录的 CTF 以及你能在面试中讨论的笔记配对。

有关构建两项认证假设你已经拥有的实操技能的更多信息，请查看 Korra Studio 的蓝队和数字取证部分。