วันนี้เพิ่งสอบผ่าน Blue Team Level 1 (BTL1) certification เลยขอสรุปประสบการณ์เก็บไว้หน่อย

Overview

BTL1 เป็น certification ระดับเริ่มต้นสำหรับทีม SOC (Junior Security Operations Certification) มีเนื้อหาครอบคลุม 6 โดเมน ได้แก่

  • Security Fundamentals
  • Phishing Analysis
  • Threat Intelligence
  • Digital Forensics
  • SIEM
  • Incident Response

ลักษณะคอร์สจะเป็นแบบออนไลน์ มีทั้งส่วนที่เป็นเนื้อหาให้อ่าน วิดีโอประกอบ และ hands-on lab ให้ทดลองทำ เมื่อ activate คอร์สแล้วจะมีเวลาให้เรียน 4 เดือน และต้องสอบภายใน 12 เดือน โดยมีสิทธิ์สอบได้ 2 ครั้ง

การสอบจะเป็น practical exam แบบออนไลน์ โดยเป็นการจำลองการทำ incident response ตาม scenario ที่กำหนด ภายในเวลา 24 ชั่วโมง

Course Content

เนื้อหาในคอร์สค่อนข้างครอบคลุมสิ่งที่ทีม SOC Tier 1 ต้องรู้ สำหรับผมที่เป็นทีม OT security รู้สึกว่ามีสิ่งที่นำไปใช้ได้ประมาณ 70% ซึ่งก็ควรค่าแก่การเสียเวลาเรียน

โดยส่วนตัวคิดว่าแค่เนื้อหาในคอร์สก็เพียงพอต่อการสอบ certification แล้ว แต่ถ้าไปอ่านใน Security Blue Team Discord จะมีคนแนะนำให้ไปทำ lab ใน Blue Team Labs Online (BTLO) เสริมด้วย อันนี้น่าจะแล้วแต่ความขยันและเวลาที่มี 😙

สิ่งที่ชอบที่สุดในคอร์สคือ มีวิดีโอที่บรรยายโดย John Hammond ประกอบในหลายๆ หัวข้อ รู้สึกว่าเค้าอธิบายได้เข้าใจง่ายดี และเป็นหนึ่งในไอดอลที่ผมติดตาม 555+

ผมใช้เวลาเรียนทั้งหมดประมาณ 3 สัปดาห์ โดยเรียนช่วง 20:00–24:00 น. แล้วแต่เวลาว่างในแต่ละวัน เนื้อหาส่วนที่เป็นทฤษฎีนั้นผมพอมีความรู้เดิมอยู่บ้างจากการเตรียมตัวสอบ CompTIA CySA+ และ EC-Council CHFI เลยอาจจะช่วยให้เรียนได้เร็วขึ้น

 

Certification Exam

การลงทะเบียนสอบค่อนข้างตรงไปตรงมา ไม่ยุ่งยาก กดปุ่มเดียวแล้วรอระบบโหลดซักพัก ก็เข้าไปสอบได้ทันที รูปแบบการสอบจะเป็นไปตามที่เค้าแนะนำไว้ในโมดูล BTL1 Exam Preparation ที่เป็นโมดูลสุดท้ายในคอร์ส แนะนำให้อ่านโดยละเอียด จะช่วยได้มากครับ 🧐

ผมใช้เวลาสอบรวมประมาณ 4 ชั่วโมง โดยเริ่มตั้งแต่ 8 โมงเช้า และเสร็จก่อนเที่ยงแป๊บนึง ระหว่างสอบไม่รู้สึกตื่นเต้นเท่าไร แต่กดดันบ้างนิดหน่อย 😅

คำแนะนำในการสอบ: ถ้าไม่รู้จะเริ่มต้นยังไง ให้ลองอ่านคำถามแต่ละข้อ เค้าจะอธิบายค่อนข้างชัดเจนว่าต้องไปดูข้อมูล / ใช้เครื่องมืออะไร เพื่อหาคำตอบ บางข้อเหมือนแทบไม่ต้องคิด แค่ทำตามที่คำถามบอก แล้วเอาผลลัพธ์มาตอบดื้อๆ เลย

ลักษณะคำถามจะไม่ได้เรียงเหตุการณ์ตั้งแต่ต้นจนจบ โดยอาจจะถามข้ามไปข้ามมา ถ้าเราลองทำโนัต timeline ไว้ดูเอง น่าจะทำให้เข้าใจสถานการณ์ในภาพรวม และวิเคราะห์คำถาม หรือหาคำตอบได้ดีขึ้น

Additional Notes

ระหว่างการสอบ ผมรู้สึกว่าสกิลที่ใช้ส่วนใหญ่มาจากการที่เคยเล่น TryHackMe และ CTF หรือการแข่งขันทักษะทางไซเบอร์ต่างๆ เป็นหลัก ทำให้มั่นใจเพิ่มขึ้นว่าสิ่งที่เคยเรียนหรือฝึกมา มันสามารถเอามาใช้งานได้จริงๆ นะ

ปล. ถ้ามีโอกาสก็อยากลอง BTL2 ต่อ แต่จริงๆ ก็อยากไปทาง offensive บ้าง เพราะด้วยงานที่ทำ จำเป็นต้องรู้ทั้งสองฝั่ง ไม่งั้นไม่รอด 😫