[閒聊] AWS Certified Security 心得分享- 看板NetSecurity

剛好公司有需求需要這張認證，有開班一起去上課，就跟著報名了。

這張認證的相關介紹可以參考下方官網的連結AWS Certified Security – Specialty ... PTT數位生活區menu 即時熱門文章 24小時內熱門文章 最新文章 熱門看板 看板列表 我的收藏 最近瀏覽 批踢踢PTT搜尋引擎 PTT數位生活區/ NetSecurity(資安資訊安全) [閒聊]AWSCertifiedSecurity心得分享＋收藏分享看板NetSecurity(資安資訊安全)作者wavek(壞貓咪)時間1年前發表(2020/08/2321:38),1年前編輯推噓3(3推0噓1→)留言4則,4人參與,1年前最新討論串1/1 本來想發在SoftJob版的 想想這邊可能比較適合 網誌圖文完整版： https://hackercat.org/aws/aws-certified-security-specialty-experience AWSCertifiedSecurity–Specialty準備心得分享 近年來，雲端應用服務的需求不斷提升， 並且政府與企業的資安意識也逐漸增長， 所以對於雲端服務的資安固然是相當被重視的， 實際上許多企業在打算將資源轉移至雲端環境中， 都會顧慮到雲端服務中資安的議題。

目前主要的三大雲端服務平台， GoogleCloudPlatform(GCP)、 AmazonWebService(AWS)、 MicrosoftAzure(Azure), 三者其實都有推出各自的資訊安全相關認證， 本文介紹的就是筆者考取AWSCertifiedSecurity的準備歷程與心得分享。

好啦，以上比較客套的話講完了， 以下就開始隨興的介紹。

XD 為何是AWS? 關於為何是AWSCertifiedSecurity–Speciality? 其實沒甚麼特別原因，我對雲端也不是特別有興趣， 雖然沒興趣，但是不可否認雲端的重要性， 目前趨勢也是有許多服務都在雲端上，所以應該是要了解一下。

剛好公司有需求需要這張認證，有開班一起去上課，就跟著報名了。

這張認證的相關介紹可以參考下方官網的連結 AWSCertifiedSecurity–Specialty https://aws.amazon.com/tw/certification/certified-security-specialty/ 官方的考試指南 https://d1.awsstatic.com/training-and-certification/docs-security-spec/AWS-Certified-Security-Specialty_Exam-Guide.pdf 官方的考題範例 https://d1.awsstatic.com/training-and-certification/docs-security-spec/AWS-Certified-Security-Speciality_Sample-Questions.pdf.pdf 準備歷程與資源 2019/8/15參與AWSSecurity的實體課程， 之後因為由於種種因素， 算是從9月底才開始有辦法認真準備AWSSecurity， 考試時間則是12/26，幸運地一次通過考試。

準備時間約三個月，但是因為上班時間不能準備， 工作內容幾乎也跟AWS毫無關聯。

(那要幹嘛要考XD，好啦，這個問題不重要) 所以準備的時間約三個月的… 上下班通勤時間，下班時間，假日的時間， 雖然只有下班跟假日，但是幾乎是每天下班都花很多時間， 假日沒特別有約的話，也是整天都在準備AWS，所以總準備時間算是滿多。

還有順便說一下，在8月之前， 其實我本身對於AWS的經驗是0。

並且是七月份才從傳產機械跨領域到資安領域， 實際的準備過程， 算是先準備Practitioner完才準備Security (但是我沒有去考基本認證)， 同時學習網路與資安的相關知識。

下面說說我自己的的準備方法與資源。

因為有參與恆逸的實體課程， 8月中去上課的,三天的課程， 上課老師講得很清楚，我覺得講得很好。

可是呢，有一點可能需要注意， 因為我們上課的人，多數都是沒有上過其他AWS課程， 也沒有考過其他AWS認證，所以其實也花了不少時間在介紹AWS各項服務， 包括了許多基礎的服務與其內容， 而上課的老師其實也有提到，建議考AWSSecurity之前， 先考其他的Certificate，對於AWS有基本的了解與認識再考Security， 而我也是秉持著同樣的想法， 雖然我自己是第一張就考AWSSecurity， 但我也會建議不要第一張就考這張。

AWS官方的考試指南也是建議要有5年ITSecurity與2年的AWS實作經驗。

三天的實體課程包含一個電子書PPT還有一些LAB， LAB老實說我只有跟過三天課程中的那幾個(不多)， 而之後的時間，我就沒有實作過其他的LAB (實際上之後好像也沒辦法做，LAB好像會關閉)， 我後來只有自己架了EC2跟S3來玩看看， 當然我絕對不會說LAB不重要， 如果是實務取向，我相信LAB非常重要， 但以考取認證來說，個人認為LAB不會是最優先考量要熟悉的項目， 並且如同我前面提到，我的工作內容幾乎與AWS無關， 所以一些服務的使用與設定，其實我不熟悉實作， 對於考認證與工作並無太大影響，只要觀念與原理了解即可。

(不過這其實也是一個盲點啦，有時候沒碰LAB要了解觀念很難， 或是要做了LAB你才會知道自己觀念哪裡有問題或需要加強。

) 那雖然我沒有作LAB也沒有玩其他服務， 我有開啟AWS的官網，把每個Security中提到的服務， 都有點進去看過，看看dashbord有哪些選項，哪些功能之類的， 總之就是到處亂點亂看，沒有真的把服務運行起來(因為怕被收費QQ)。

我自己的學習歷程如下， AWS官方的網路課程看過一遍， 主要就是針對Practitioner、Security的主題， 或是一些比較核心服務IAM、VPC、S3相關的內容。

AWSTraining的網站連結如下 https://www.aws.training/ 上課的PPT我看了兩遍，有作筆記， 第一次可以算是完整詳細閱讀， 第二遍是看完下面兩個網站的課程之後才看得, 算是針對不太了解的地方再仔細看一次而已。

以下兩個網站的AWSSecurity課程都有上完一遍， 這兩個網站其實都有提供免費試看期間， 我都是在試用期間看完的，所以沒有花到錢。

ACLOUDGURU https://acloud.guru/learn/aws-certified-security-specialty O’REILLY https://www.oreilly.com/library/view/aws-certified-security/9780135771990/ 接著是AWS中跟資安相關的白皮書跟BestPractices看一看， 上下班的通勤時間會看看「常見問答集」。

針對比較不熟悉的一些觀念都會再多花時間搞懂。

接著就是看看網路上免費的題庫，大概是這樣。

推薦「網路上免費的題庫」一定要看熟， 我大概於考前一個星期開始看，看了3~4遍。

不過考試相信是..絕對不能只依賴題庫， 因為考題真的滿活也滿難的， 個人認為AWS考試是有鑑別度的。

考試題型與範圍 考試的內容與題型的部分呢， 考題的形式「全部」都是選擇題， 相信對不少人來說已經是鬆了口氣， 不然如果要像OSCP實作真的是太硬了。

(至少對我來說是XD) 題目的領域可以參考AWS官方ExamGuide 考試時間180分數，考試題數共65題，有單選與多選題。

滿分是1000分，通過分數是750分，但是我不知道分數是怎麼算的。

比較特別的是，這種類型的考試， 每個題目的解答其實並不是唯一解，而是最佳解， 也就是說要選擇答案中最適合最接近題意的解答。

所以…真的是很難XDDDD 我自己雖然是考了一次就過了，分數也不算低， 我拿到的分數是956分， 但還是覺得是有些僥倖心虛，滿意外的。

考試因為可以往回作答，所以我的作法是， 考試一開始就先從第一題開始直接刷到最後一題， 看到馬上能答題或能夠確定答案的就填，有猶豫或是不確定就跳過， 等寫到最後一題再回頭一題一題看。

接著來提一下考試範圍，一點點的技術內容， 因為範圍真的是也非常廣的，彼此之間又相互關聯， 考試內容也很隨機，靈活，或是組合不同服務。

下面提一些我覺得需要注意的事情。

1.了解所有服務，熟悉重要服務 這個可以算是最花費時間也最重要的， 就是要知道每個服務的用途與目的， 有些重要的項目像是EC2、IAM、VPC、S3要盡可能熟悉內容。

在Security課程中提到的所有服務， 都要知道其用途，知道在甚麼場合適合使用， 不需要每項都深入熟悉，但能夠了解每個服務的目的， 都清楚了解的話，許多簡單的題目可以很快速作答， 譬如像是WAF、Shield、CloudFront，要能夠清楚區分彼此的區別， 如果要阻擋DDOS，要採用哪個服務比較好？ 還有像是CloudTrail、CloudWatch、AWSConfig、Inspector這種， 如果沒有很了解服務內容的區別，其實會很容易混淆。

2.搞懂IAM跟policy 關於IAM和ACL相關的內容一定要熟悉 像是User,Group,Role,Policy之間關係 Policy的三種Type AWS-managed/customer-managed/inline Permissions兩種type User-BasedPermissions/Resource-BasedPermissions (其實還會加上SCP) 優先順序explicitdeny/explicitallow/implicitdeny 這些必須要很熟悉，一定是要真的搞懂， 應該是沒有辦法硬背背起來的。

https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_identity-vs-resource.html https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html 3.KMS 關於KMS，symmetric跟asymmetric的CMK， 不同Key的用途還有保存位置與Keyrotate的內容， 這些算是容易搞混的一個服務。

https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#master_keys 4.DataSecurity 這部分可以參考白皮書像是EncryptingDataatRest 關於DataSecurity，要能區分SSE-KMS,SSE-C,SSE-S3。

5.VPC相關 譬如像是如何從地端連接到VPC 可以參考白皮書 aws-amazon-vpc-connectivity-options 還有VPC中的ACL，這個部分很複雜。

6.DedicatedInstances/DedicatedHosts 這個其實滿簡單的。

一個是運行你的instances上的Server不會有別人的Instances， 可是每次運行時，你有可能會換到不同的server主機。

DedicatedHosts就是這台主機就是你的，只會運行你的instance 每次開機都在同個主機，主要是有些合規需求需要。

以上簡短的只提了幾個項目與方向， 畢竟這篇主要目的在於心得分享而已，不是技術文章， 未來有機會可能會整理自己的AWS筆記放上來。

以上純粹是我個人的一些想法跟心得， 當然也不表示是最佳的準備方法，更不代表提到的東西就是會考的東西喔XD -- ※發信站:批踢踢實業坊(ptt.cc),來自:123.194.180.53(臺灣) ※文章網址:https://www.ptt.cc/bbs/NetSecurity/M.1598189917.A.72B.html 推isaacc08/2322:10, 1年前 ,1F謝謝分享。

不過感覺跟security有關的部分不是很多?08/2322:10,1F內文的話，可能因為不是技術性看起來還好。

不過這張證照是跟security還滿有關的，畢竟就是security認證阿XDDD 就全部都是在講securtiyu相關的，只是因為是AWS是自家的， 其實很多東西也是到AWS之後改了個名字。

※編輯:wavek(123.194.180.53臺灣),08/23/202022:30:23 推nini20008/2600:26, 1年前 ,2F謝謝分享08/2600:26,2F推aleswell09/0318:12, 1年前 ,3F謝謝分享09/0318:12,3F→a960126878710/0217:11, 1年前 ,4F推10/0217:11,4F‣返回看板[NetSecurity]系統‣更多wavek的文章文章代碼(AID):#1VGd5TSh(NetSecurity)更多分享選項網址： 分享至： facebookplurktwitter關閉廣告方便截圖NetSecurity近期熱門文章 1 1 Re:[問題]CISSPCISMCISA[NetSecurity] RuriRuri1天前,12/23 2 13 [問題]數位簽章可以在一個兩端模型中確保檔案[NetSecurity] skycat22161月前,11/17 1 7 [情報]全額補助54小時資安防護技術課程[NetSecurity] ssvni1月前,10/28 2 2 [閒聊]CVSS(CommonVulnerabilityScoringSystem)[NetSecurity] CMJ01212月前,10/26 2 2 Re:[問題]wifi問題請教已刪文[NetSecurity] ACE5202月前,10/25 2 5 [閒聊]給新手的OSCP小分享[NetSecurity] restog2月前,10/24 2 5 [問題]csrf問題[NetSecurity] cys01162月前,10/13 2 2 [問題]資安入門[NetSecurity] mchik3月前,09/17更多近期熱門文章>>PTT數位生活區即時熱門文章 3 19 [請益]君主Air100側面的2.5"SSD怎麼裝?[PC_Shopping] urbeautiful2小時前,12/25 14 15 Re:[情報]大哥G6海韻版金牌全系列PCHOME開賣[PC_Shopping] wolflsi3小時前,12/25 4 16 Re:[討論]MagSafe電池評價反轉的關鍵[iOS] Shimotsukin3小時前,12/25 2 7 [心得]ReppDivinity入手心得[Headphone] pot12343小時前,12/25 10 24 [新聞]全球首波「PCIe5.0」SSD亮相！讀取速度狂飆14GB/s[PC_Shopping] CREA3小時前,12/25 4 8 [開箱]AntecHighCurrentGamerHCG1000W金牌[PC_Shopping] wolflsi4小時前,12/25 7 30 [菜單]65K遊戲機[PC_Shopping] haru94小時前,12/25 6 11 [麥書]m1購入前的疑問[MAC] juchii4小時前,12/25更多即時熱門文章>>‣返回看板[NetSecurity]系統‣更多wavek的文章文章代碼(AID):#1VGd5TSh(NetSecurity)關閉廣告方便截圖