AWS Certified Security – Specialty

AWS Certified Security – Specialty – TÀI LIỆU ÔN TẬP

AWS ĐÃ ĐỔI MÃ KỲ THI. Bộ đề trong mục này mang mã SCS-C02, nhưng kỳ thi AWS đang tổ chức hiện nay là SCS-C03. Hai bản có cùng chủ đề lớn nhưng khác hẳn cách chia domain và tỉ lệ. Nếu bạn sắp đặt lịch thi, hãy ôn theo bảng SCS-C03 bên dưới. AWS có công bố một phụ lục so sánh SCS-C02 với SCS-C03 trong exam guide — nên đọc. (Đối chiếu ngày 03/10/2026.)

1. TỔNG QUAN KỲ THI (SCS-C03 — bản đang tổ chức)

• Mã kỳ thi: SCS-C03
• Thời gian: 170 phút
• Số câu: 65 câu (50 câu tính điểm, 15 câu không tính điểm)
• Điểm đậu: 750/1000
• Lệ phí tham khảo: 300 USD
• Kinh nghiệm khuyến nghị: 3–5 năm làm bảo mật cho hệ thống cloud
• Dạng câu hỏi: trắc nghiệm, chọn nhiều đáp án, sắp thứ tự, ghép cặp (hai dạng sau là điểm mới của bản C03)

2. NỘI DUNG ÔN TẬP THEO 6 DOMAIN (SCS-C03)

Domain 1: Detection (16%)

• GuardDuty: loại finding, nguồn dữ liệu, bảo vệ EKS/RDS/Lambda/S3.
• Security Hub: tiêu chuẩn bảo mật, finding gộp, insight, tự động hoá phản ứng.
• Inspector: quét lỗ hổng EC2, image trong ECR, hàm Lambda.
• Macie phát hiện dữ liệu nhạy cảm trong S3.
• CloudTrail (management event, data event, Insights), CloudWatch Logs, log của VPC/DNS/ELB.
• Detective để điều tra; Config để phát hiện cấu hình lệch chuẩn.
• Thiết kế hệ thống phát hiện tập trung cho nhiều tài khoản.

Domain 2: Incident Response (14%)

• Chuẩn bị: playbook, runbook, phân vai, tài khoản forensics riêng.
• Cô lập tài nguyên nhiễm: đổi Security Group, tách khỏi Auto Scaling, snapshot để điều tra.
• Thu hồi và luân chuyển thông tin đăng nhập bị lộ; vô hiệu hoá access key.
• Tự động hoá phản ứng: EventBridge, Lambda, SSM Automation, Security Hub custom action.
• Phân tích nguyên nhân gốc từ CloudTrail và log.
• Xử lý khi root account bị lạm dụng; sự cố ransomware.

Domain 3: Infrastructure Security (18%)

• Thiết kế mạng an toàn: VPC, subnet, Security Group, NACL, VPC endpoint, PrivateLink.
• Biên phòng thủ: AWS Network Firewall, WAF (web ACL, rule group, rate-based), Shield Standard và Advanced, Firewall Manager.
• Bảo vệ biên và phân phối: CloudFront với OAC, Route 53.
• Bảo mật compute: hardening AMI, Patch Manager, Session Manager thay bastion host, bảo mật container và Lambda.
• Kiểm tra lưu lượng tập trung bằng Gateway Load Balancer.

Domain 4: Identity and Access Management (20%)

• Domain nặng nhất. IAM policy đọc và viết: Effect, Action, Resource, Condition, NotAction, principal.
• Thứ tự đánh giá quyền: explicit deny thắng tất cả → SCP → resource policy → permission boundary → session policy → identity policy.
• Role, assume role, external ID, confused deputy.
• IAM Identity Center, SAML và OIDC federation, Cognito.
• Access Analyzer (tìm quyền chia sẻ ra ngoài), Access Advisor, credential report.
• IAM cho nhiều tài khoản; quản lý danh tính ở quy mô lớn.

Domain 5: Data Protection (18%)

• KMS sâu: customer managed key so với AWS managed key, key policy, grant, alias, multi-Region key, luân chuyển khoá, envelope encryption.
• CloudHSM; khi nào buộc phải dùng CloudHSM thay vì KMS.
• Mã hoá at rest theo từng dịch vụ: S3 (SSE-S3, SSE-KMS, DSSE-KMS, SSE-C), EBS, RDS, DynamoDB, EFS.
• Mã hoá in transit: TLS, ACM, ACM Private CA, enforce HTTPS bằng bucket policy.
• S3 bảo vệ dữ liệu: Block Public Access, Object Lock, versioning, MFA Delete, replication.
• Phân loại dữ liệu, quản lý secret (Secrets Manager luân chuyển tự động).
• Sao lưu và khôi phục: AWS Backup, vault lock.

Domain 6: Security Foundations and Governance (14%)

• Shared Responsibility Model áp cho từng loại dịch vụ.
• AWS Organizations, SCP, Control Tower, landing zone nhiều tài khoản.
• Config conformance pack, Audit Manager, Artifact, chuẩn tuân thủ.
• Quản lý rủi ro chuỗi cung ứng phần mềm; quản lý lỗ hổng.
• Quản trị chi phí của chính các dịch vụ bảo mật.
• Xây chính sách bảo mật và thực thi bằng kỹ thuật (guardrail phòng ngừa so với guardrail phát hiện).

3. BẢNG THỨ TỰ ĐÁNH GIÁ QUYỀN — HỌC THUỘC

Một yêu cầu được cho phép chỉ khi vượt qua tất cả các cửa sau:

1. Có explicit deny ở bất kỳ đâu → từ chối ngay, không xét gì nữa.
2. SCP của Organizations có cho phép hành động đó không?
3. Resource-based policy có cho phép không? (với cross-account thì cả hai phía phải cho phép)
4. Permission boundary có cho phép không?
5. Session policy có cho phép không?
6. Identity-based policy có cho phép không?

Không có allow nào → từ chối theo mặc định.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Guide SCS-C03: https://docs.aws.amazon.com/aws-certification/latest/security-specialty-03/security-specialty-03.html
• Trang chứng chỉ: https://aws.amazon.com/certification/certified-security-specialty/
• AWS Security Reference Architecture: https://docs.aws.amazon.com/prescriptive-guidance/latest/security-reference-architecture/
• Security Incident Response Guide: https://docs.aws.amazon.com/whitepapers/latest/aws-security-incident-response-guide/

Lưu ý: Tỉ lệ 6 domain ở trên là của SCS-C03 (bản đang tổ chức), lấy từ exam guide chính thức của AWS, tra ngày 03/10/2026. Bộ đề trong mục này mang mã SCS-C02 — chủ đề vẫn hữu ích để luyện, nhưng cách chia domain đã khác.