[閒聊] AWS Certified Security 心得分享

看板NetSecurity (資安資訊安全)作者wavek (壞貓咪)時間4年前 (2020/08/23 21:38)推噓3(3推 0噓 1→)

留言4則, 4人參與討論串1/1

本來想發在Soft Job版的想想這邊可能比較適合網誌圖文完整版： https://hackercat.org/aws/aws-certified-security-specialty-experience AWS Certified Security – Specialty 準備心得分享近年來，雲端應用服務的需求不斷提升，並且政府與企業的資安意識也逐漸增長，所以對於雲端服務的資安固然是相當被重視的，實際上許多企業在打算將資源轉移至雲端環境中，都會顧慮到雲端服務中資安的議題。目前主要的三大雲端服務平台， Google Cloud Platform (GCP)、 Amazon Web Service (AWS)、 Microsoft Azure (Azure) , 三者其實都有推出各自的資訊安全相關認證，本文介紹的就是筆者考取 AWS Certified Security的準備歷程與心得分享。好啦，以上比較客套的話講完了，以下就開始隨興的介紹。XD 為何是AWS? 關於為何是AWS Certified Security – Speciality? 其實沒甚麼特別原因，我對雲端也不是特別有興趣，雖然沒興趣，但是不可否認雲端的重要性，目前趨勢也是有許多服務都在雲端上，所以應該是要了解一下。剛好公司有需求需要這張認證，有開班一起去上課，就跟著報名了。這張認證的相關介紹可以參考下方官網的連結 AWS Certified Security – Specialty https://aws.amazon.com/tw/certification/certified-security-specialty/ 官方的考試指南 https://d1.awsstatic.com/training-and-certification/docs-security-spec/AWS-Certified-Security-Specialty_Exam-Guide.pdf 官方的考題範例 https://d1.awsstatic.com/training-and-certification/docs-security-spec/AWS-Certified-Security-Speciality_Sample-Questions.pdf.pdf 準備歷程與資源 2019/8/15參與AWS Security的實體課程，之後因為由於種種因素，算是從9月底才開始有辦法認真準備AWS Security，考試時間則是12/26，幸運地一次通過考試。準備時間約三個月，但是因為上班時間不能準備，工作內容幾乎也跟AWS毫無關聯。 (那要幹嘛要考XD，好啦，這個問題不重要) 所以準備的時間約三個月的… 上下班通勤時間，下班時間，假日的時間，雖然只有下班跟假日，但是幾乎是每天下班都花很多時間，假日沒特別有約的話，也是整天都在準備AWS，所以總準備時間算是滿多。還有順便說一下，在8月之前，其實我本身對於AWS的經驗是0。並且是七月份才從傳產機械跨領域到資安領域，實際的準備過程，算是先準備Practitioner完才準備Security (但是我沒有去考基本認證)，同時學習網路與資安的相關知識。下面說說我自己的的準備方法與資源。因為有參與恆逸的實體課程， 8月中去上課的,三天的課程，上課老師講得很清楚，我覺得講得很好。可是呢，有一點可能需要注意，因為我們上課的人，多數都是沒有上過其他AWS課程，也沒有考過其他AWS認證，所以其實也花了不少時間在介紹AWS各項服務，包括了許多基礎的服務與其內容，而上課的老師其實也有提到，建議考AWS Security之前，先考其他的Certificate，對於AWS有基本的了解與認識再考Security，而我也是秉持著同樣的想法，雖然我自己是第一張就考AWS Security，但我也會建議不要第一張就考這張。 AWS官方的考試指南也是建議要有5年IT Security與2年的AWS實作經驗。三天的實體課程包含一個電子書PPT還有一些LAB， LAB老實說我只有跟過三天課程中的那幾個(不多)，而之後的時間，我就沒有實作過其他的LAB (實際上之後好像也沒辦法做，LAB好像會關閉)，我後來只有自己架了EC2跟S3來玩看看，當然我絕對不會說LAB不重要，如果是實務取向，我相信LAB非常重要，但以考取認證來說，個人認為LAB不會是最優先考量要熟悉的項目，並且如同我前面提到，我的工作內容幾乎與AWS無關，所以一些服務的使用與設定，其實我不熟悉實作，對於考認證與工作並無太大影響，只要觀念與原理了解即可。 (不過這其實也是一個盲點啦，有時候沒碰LAB要了解觀念很難，或是要做了LAB你才會知道自己觀念哪裡有問題或需要加強。) 那雖然我沒有作LAB也沒有玩其他服務，我有開啟AWS的官網，把每個Security中提到的服務，都有點進去看過，看看dashbord有哪些選項，哪些功能之類的，總之就是到處亂點亂看，沒有真的把服務運行起來(因為怕被收費QQ)。我自己的學習歷程如下， AWS官方的網路課程看過一遍，主要就是針對 Practitioner、Security的主題，或是一些比較核心服務 IAM、VPC、S3 相關的內容。 AWS Training的網站連結如下 https://www.aws.training/ 上課的PPT我看了兩遍，有作筆記，第一次可以算是完整詳細閱讀，第二遍是看完下面兩個網站的課程之後才看得, 算是針對不太了解的地方再仔細看一次而已。以下兩個網站的AWS Security課程都有上完一遍，這兩個網站其實都有提供免費試看期間，我都是在試用期間看完的，所以沒有花到錢。 A CLOUD GURU https://acloud.guru/learn/aws-certified-security-specialty O’REILLY https://www.oreilly.com/library/view/aws-certified-security/9780135771990/ 接著是AWS中跟資安相關的白皮書跟Best Practices看一看，上下班的通勤時間會看看「常見問答集」。針對比較不熟悉的一些觀念都會再多花時間搞懂。接著就是看看網路上免費的題庫，大概是這樣。推薦「網路上免費的題庫」一定要看熟，我大概於考前一個星期開始看，看了3~4遍。不過考試相信是..絕對不能只依賴題庫，因為考題真的滿活也滿難的，個人認為AWS考試是有鑑別度的。考試題型與範圍考試的內容與題型的部分呢，考題的形式「全部」都是選擇題，相信對不少人來說已經是鬆了口氣，不然如果要像OSCP實作真的是太硬了。 (至少對我來說是XD) 題目的領域可以參考AWS官方Exam Guide 考試時間180分數，考試題數共65題，有單選與多選題。滿分是1000分，通過分數是750分，但是我不知道分數是怎麼算的。比較特別的是，這種類型的考試，每個題目的解答其實並不是唯一解，而是最佳解，也就是說要選擇答案中最適合最接近題意的解答。所以…真的是很難XDDDD 我自己雖然是考了一次就過了，分數也不算低，我拿到的分數是956分，但還是覺得是有些僥倖心虛，滿意外的。考試因為可以往回作答，所以我的作法是，考試一開始就先從第一題開始直接刷到最後一題，看到馬上能答題或能夠確定答案的就填，有猶豫或是不確定就跳過，等寫到最後一題再回頭一題一題看。接著來提一下考試範圍，一點點的技術內容，因為範圍真的是也非常廣的，彼此之間又相互關聯，考試內容也很隨機，靈活，或是組合不同服務。下面提一些我覺得需要注意的事情。 1.了解所有服務，熟悉重要服務這個可以算是最花費時間也最重要的，就是要知道每個服務的用途與目的，有些重要的項目像是EC2、IAM、VPC、S3要盡可能熟悉內容。在Security課程中提到的所有服務，都要知道其用途，知道在甚麼場合適合使用，不需要每項都深入熟悉，但能夠了解每個服務的目的，都清楚了解的話，許多簡單的題目可以很快速作答，譬如像是WAF、Shield、CloudFront，要能夠清楚區分彼此的區別，如果要阻擋DDOS，要採用哪個服務比較好？還有像是CloudTrail、CloudWatch、AWS Config、Inspector 這種，如果沒有很了解服務內容的區別，其實會很容易混淆。 2.搞懂IAM跟policy 關於IAM和ACL相關的內容一定要熟悉像是User,Group,Role,Policy之間關係 Policy的三種Type AWS-managed/customer-managed/inline Permissions兩種type User-Based Permissions/Resource-Based Permissions (其實還會加上SCP) 優先順序explicit deny/explicit allow/implicit deny 這些必須要很熟悉，一定是要真的搞懂，應該是沒有辦法硬背背起來的。 https://docs.aws.amazon.com/IAM/latest/UserGuide/access_policies_identity-vs-resource.html https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_compare-resource-policies.html 3.KMS 關於KMS，symmetric跟asymmetric的CMK，不同Key的用途還有保存位置與Key rotate的內容，這些算是容易搞混的一個服務。 https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#master_keys 4.Data Security 這部分可以參考白皮書像是Encrypting Data at Rest 關於Data Security，要能區分SSE-KMS, SSE-C, SSE-S3。 5.VPC相關譬如像是如何從地端連接到VPC 可以參考白皮書 aws-amazon-vpc-connectivity-options 還有VPC中的ACL，這個部分很複雜。 6.Dedicated Instances/Dedicated Hosts 這個其實滿簡單的。一個是運行你的instances上的Server不會有別人的Instances，可是每次運行時，你有可能會換到不同的server主機。 Dedicated Hosts就是這台主機就是你的，只會運行你的instance 每次開機都在同個主機，主要是有些合規需求需要。以上簡短的只提了幾個項目與方向，畢竟這篇主要目的在於心得分享而已，不是技術文章，未來有機會可能會整理自己的AWS筆記放上來。以上純粹是我個人的一些想法跟心得，當然也不表示是最佳的準備方法，更不代表提到的東西就是會考的東西喔XD -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 123.194.180.53 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/NetSecurity/M.1598189917.A.72B.html

推

isaacc

08/23 22:10, 4年前 , 1^F

08/23 22:10, 1^F

內文的話，可能因為不是技術性看起來還好。不過這張證照是跟security還滿有關的，畢竟就是security認證阿XDDD 就全部都是在講securtiyu相關的，只是因為是AWS是自家的，其實很多東西也是到AWS之後改了個名字。 ※ 編輯: wavek (123.194.180.53 臺灣), 08/23/2020 22:30:23