串联六大考试领域

AWS Certified Security Specialty（SCS-C02）考试分为六个域。掌握这些域之间的联系，比孤立地记忆各项服务更有价值。

• 威胁检测与事件响应
• 安全日志记录与监控
• 基础设施安全
• 身份与访问管理
• 数据保护
• 管理与安全治理

威胁检测与事件响应涵盖发现并应对威胁。

• GuardDuty 负责检测，安全中心负责汇总，侦测器负责调查。
• 运行手册和自动修复措施可以遏制事件。

这里会将告警转化为行动。

安全日志记录与监控关注可见性和审计轨迹。

• CloudTrail 记录 API 调用；CloudWatch 监控指标和日志。
• VPC 流日志和配置提供网络与配置历史记录。

您看不见的事物，就无法保护。

基础设施安全保护网络和边缘。

• VPC 设计、安全组和网络访问控制列表负责分隔流量。
• WAF、Shield 和网络防火墙保护边缘并检查流量。

纵深防御会逐层发挥作用。

身份与访问管理是内容最多、考查最多的域。

• IAM 管理用户、角色和策略；STS 提供临时凭证。
• 身份中心、联合身份、服务控制策略和权限边界。

最低权限是反复出现的主题。

数据保护保护静态数据和传输中的数据。

• KMS 管理密钥；信封加密使其具备可扩展性。
• 使用 ACM 处理 TLS，使用密钥管理器管理凭证，使用麦希进行发现。

加密与密钥控制是该域的核心。

管理与安全治理可以跨多个账户扩展安全性。

• 组织、控制塔、服务控制策略和合规包。
• Trusted Advisor 和审计管理器用于安全态势与合规性。

该域将所有内容与组织范围的策略联系起来。

这些域并不是彼此孤立的。一次事件就可能涉及全部六个域：

• 检测（D1）读取日志（D2），攻击者使用凭证（D4）穿过网络（D3）来访问数据（D5），而这一切发生在您的治理态势（D6）之下。

场景题会将多个域交织在一起。

有些服务会出现在多个域中：

• CloudTrail 是检测、监控和取证的基础。
• IAM 和 KMS 控制各处的访问和数据。
• 配置支持监控和治理。

请深入掌握这些服务；它们会不断重复出现。

考试中各个域的权重并不相同。

• 身份与访问管理和基础设施安全占据最大的问题比例。
• 日志记录、检测、数据保护和治理构成其余部分。

请按比例投入学习时间，将最多注意力放在身份和网络上。

不要按服务制作抽认卡，而应按工作流学习：例如，发现结果如何从 GuardDuty 流向修复，或请求如何从 KMS 加密后写入磁盘。

考试考查的是您理解各个组件如何组合起来解决实际问题的能力。

将服务映射到所属域。

您已经了解了六个 SCS-C02 域之间的联系。

• 检测/IR、日志记录、基础设施、身份、数据和治理。
• 它们会相互协作：真实事件通常会同时跨越多个域。
• CloudTrail、IAM、KMS 和配置等跨域服务会在各处反复出现。