CompTIA CySA+

CompTIA CySA+ (CS0-003) – TÀI LIỆU ÔN TẬP

ĐÃ CÓ BẢN MỚI THAY THẾ. CompTIA gọi CS0-003 là "Retiring Version", và CS0-004 (CySA+ V4) đã phát hành từ tháng 06/2026. Bản V4 bổ sung môi trường cloud, vận hành bảo mật có AI và kỹ thuật truy tìm nâng cao.

Tỉ lệ domain của hai bản khác nhau — bảng bên dưới có cả hai. Nếu bạn sắp thi thì ôn theo CS0-004; nếu đang luyện bộ đề CS0-003 ở đây thì dùng để ôn kiến thức, nhưng đừng phân bổ thời gian theo tỉ lệ của bản cũ. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI

• Mã kỳ thi trong mục này: CS0-003 (CySA+ V3) — bản đang bị khai tử
• Mã hiện hành: CS0-004 (CySA+ V4, phát hành 06/2026)
• Số câu: tối đa 85 câu — trắc nghiệm và câu hỏi thực hành
• Thời gian: 165 phút
• Điểm đậu: 750 trên thang 100–900
• Lệ phí tham khảo: 404 USD
• Kinh nghiệm khuyến nghị: Network+ và Security+ hoặc tương đương, cùng 4 năm làm phân tích bảo mật hoặc ứng cứu sự cố
• Hiệu lực: 3 năm, gia hạn qua Continuing Education

2. NỘI DUNG ÔN TẬP THEO 4 DOMAIN — SO SÁNH HAI BẢN

Thay đổi đáng kể nhất: Vulnerability Management giảm 4 điểm, Incident Response tăng 4 điểm. Nếu ôn theo bản cũ, bạn sẽ học thừa phần quản lý lỗ hổng và thiếu phần ứng cứu sự cố.

Phần nội dung dưới đây mô tả theo cấu trúc CS0-003 (bản mà bộ đề trong mục này bám theo).

Domain 1: Security Operations (33% / V4: 34%)

• Khái niệm hệ thống và mạng: log của hệ điều hành, tiến trình, registry, hệ thống file, network traffic, DNS, DHCP, chứng chỉ, mã hoá, phân đoạn mạng, zero trust.
• Phân tích chỉ dấu hoạt động độc hại: network-related (bandwidth bất thường, beaconing, lưu lượng ra ngoài giờ, scan, DDoS), host-related (CPU và bộ nhớ bất thường, dung lượng đĩa, tiến trình lạ, dịch vụ lạ, driver lạ), application-related (log báo lỗi đăng nhập, HTTP response code bất thường, hành vi người dùng lệch chuẩn).
• Công cụ và kỹ thuật: packet capture, log analysis và correlation, SIEM, SOAR, endpoint security, DNS và IP reputation, file analysis (hashing, static và dynamic analysis, sandbox), email analysis (header, DKIM, SPF, DMARC, phishing).
• Threat intelligence và threat hunting: nguồn tin, mức độ tin cậy, chỉ dấu xâm nhập (IoC), TTP, MITRE ATT&CK, diamond model, kill chain, tactic và technique, threat actor, focus area, công cụ hỗ trợ.
• Hiệu quả hoá vận hành: tự động hoá, scripting, API, webhook, workflow orchestration, SCAP, single pane of glass.

Domain 2: Vulnerability Management (30% / V4: 26%)

• Phát hiện lỗ hổng: quét có xác thực và không xác thực, agent-based và agentless, nội bộ và bên ngoài, passive và active, scan theo lịch và liên tục, static và dynamic analysis, reverse engineering, fuzzing.
• Phân tích đầu ra: CVSS v3.1 (attack vector, attack complexity, privileges required, user interaction, scope, CIA impact), base / temporal / environmental score, validation, false positive và false negative, exception và risk acceptance.
• Xếp ưu tiên: CVE và CWE, exploitability và weaponization, asset value, zero-day, tình hình khai thác thực tế.
• Xử lý lỗ hổng: patching và configuration management, maintenance window, compensating control, awareness training, changing business requirement, risk management (accept, transfer, avoid, mitigate), chính sách và quản trị, SLA, kiểm thử lại.
• Kiểm soát giảm thiểu: encryption, patching, hardening, segmentation, permission, IDS/IPS, firewall, WAF.
• Bảo mật phần mềm và hạ tầng: secure coding, SDLC, DevSecOps, IaC, container, serverless, cloud, SBOM.

Domain 3: Incident Response and Management (20% / V4: 24%)

• Quy trình ứng cứu (4 giai đoạn của NIST): preparation → detection and analysis → containment, eradication and recovery → post-incident activity.
• Chuẩn bị: playbook, communication plan, vai trò và trách nhiệm, training, bảng phân loại sự cố.
• Phát hiện và phân tích: xác định phạm vi, mức nghiêm trọng, dòng thời gian, phân tích nguyên nhân gốc, phân tích bằng chứng.
• Containment, eradication, recovery: cô lập, phân đoạn, xoá sạch mã độc, dựng lại hệ thống, kiểm chứng trước khi đưa trở lại.
• Hoạt động sau sự cố: lessons learned, cập nhật playbook, báo cáo, chỉ số (MTTD, MTTR).
• Pháp y số: legal hold, chain of custody, thu thập bằng chứng, bảo toàn tính nguyên vẹn (hashing), write blocker, memory dump, phân tích timeline.

Domain 4: Reporting and Communication (17% / V4: 16%)

• Báo cáo quản lý lỗ hổng: executive summary, mức rủi ro, chỉ số theo thời gian, đối tượng nhận báo cáo (executive, technical, compliance), hành động khuyến nghị.
• Báo cáo ứng cứu sự cố: timeline, tác động, scope, bằng chứng, nguyên nhân gốc, khuyến nghị.
• Truyền đạt: đúng đối tượng, đúng mức chi tiết, legal và regulatory requirement, nghĩa vụ thông báo (breach notification), truyền thông với khách hàng và báo chí.
• Hợp tác liên bộ phận: pháp chế, nhân sự, PR, vận hành, lãnh đạo.

3. BA CHỖ ĐỀ HAY BẪY

Về false positive: đề CySA+ hỏi rất nhiều về việc xác thực phát hiện trước khi báo động. Phản xạ đúng gần như luôn là xác minh bằng nguồn thứ hai, không phải lập tức cô lập máy.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Objectives (tải PDF): https://www.comptia.org/training/resources/exam-objectives
• CySA+ V3 (bản đang khai tử): https://www.comptia.org/en-us/certifications/cybersecurity-analyst/v3/
• CySA+ V4 (bản hiện hành): https://www.comptia.org/en-us/certifications/cybersecurity-analyst/v4/

Lưu ý: Tỉ lệ domain lấy từ Exam Objectives chính thức của CompTIA, tra ngày 03/10/2026.