考試前一天，我把 Sybex 那一千題練習題刷完了。
不是提早刷完，是剛好在最後一天刷完。
Day22 講的 segmentation 跟 isolation，也是那天晚上又錯、又跟AI一陣討論後才比較穩的。
前面二十幾篇講的都是觀念，這篇不講技術，講考試那天。
先說好，考試內容受 NDA 約束，所以這篇只有流程跟感受，不會有任何一題。
我是在X瓏書局買的實體書，請大家千萬記得，一定要翻到最後一頁，有考試卷折扣跟線上作答的網頁，我一開始還在手寫，後面才發現有線上作答的網站QAQ。
題目寫到最後，會發現錯的題目很相近，就是同一個觀念錯第二次、第三次的那幾個題目或選項。
考前一天，這些東西我請AI幫我重新整理了一次，考前複習重點都做成一份html檔，丟在手機裡開起來就可以看。
第一塊是考前必看 Top 10，用「錯了幾次」跟「最近才錯」兩個條件排出來。
我的大概是這種東西：SSL 憑證有問題該做甚麼、SDLC 裡的 disposition、VM 鑑識能不能 suspend、MTTD 那一串指標、lessons learned 跟 RCA 怎麼分。
有沒有覺得很眼熟，這幾個主題前面的文章大多都寫過了。
第二塊是弱點的盤點，考前要AI幫我濃縮、簡化，最後他幫我分成 16 項。
說穿了就是「我自己最常錯的地方」，是我的記錄下來的錯題整理出來的重點。
最後一晚我就看這一些觀念、名詞、流程。
隔天早上出門前，又再看了一次。
簡單介紹一下報到的流程，各考場有無不同我不確定，目前我只有去過一個考場，所以僅供參考。
我是報名高雄的考場，我習慣提早個15分鐘到，因為考試前還有一些手續。
包含簽到、拍照、證件核對等等流程，最後進考場前把身上所有東西都放在考場旁的置物櫃，會有鑰匙可以上鎖，考場人員有給我一個A4大小的板子跟白板筆，作答過程我確實有用到，考完會歸還給考場人員。
PBQ（Performance-Based Question）是甚麼、為什麼很多心得建議先跳過，Day01 講過了，這裡補細節。
我的考試一打開，第一個出現的就是PBQ。
雖然有耳聞但看到題目還是愣了一下下，由於NDA的關係我不能說考了甚麼，但基本上如果有讀懂整個考試內容的東西，其實就只是把概念拿來實做，看Log、看封包、看event，這邊是整個考試我唯一用到筆的時候。
我自己是用cyber kill chain的概念去看:
在自家環境可以看到log的大概會是主動偵查，比如說nmap的主動掃描在防火牆留下的log。
weaponization在攻擊者手上我們可能看不到。
delivery，最常見的phishing、遺落的USB
Exploitation、Installation可能發生是沒有資安意識的同事點了連結或是插上那個來路不明的USB，導致安裝了某個程式，並且出現在log裡。
C2基本上看到的就是看到beacon的特徵、攻擊者在做他想做的事情，比如說，探索架構、搜尋有價值的數位資產等等的。
最後Actions of Objectives就是攻擊者達成目標了。
我是每個server的log都先快速掃過一遍，看到覺得有怪怪的東西就記錄下來
我大概紀錄時間、主機、使用者、程式、URL、IP這些關鍵的因素
然後按照時序排列拼湊出一個雛形，然後再依據已知的事件，去關聯的server搜尋該時間段這個user或是host做了哪些事情，哪些行為是悖離他的baseline的。
最後拼湊出一整個事件的樣子。
我做完所有PBQ印象中還有90分鐘以上，所以時間上我認為還算充裕，全部作答完還有時間可以回頭檢查。
但我認為如果PBQ卡住、完全沒頭緒，可以先做後面的選擇題，說不定會喚醒你沉睡的記憶XD，突然想起來可以往哪裡查。
按下送出的時候我腦子裡想著:「這考試一萬多塊，一定要過，不然好虧XD」
然後就接著做一些問卷調查，說實話，心裡還是懸著的，一直到出考場，成績單印出來，看到成績，Holly...還好有過XD
回家路上覺得一塊大石終於可以放下了。
CompTIA 官網目前寫的是 CySA+ 的 V3（也就是我考的 CS0-003）已經快退役，英文考試 2026 年 12 月 22 日停考，翻譯版到 2027 年 3 月 23 日，官方建議改考新版 V4。
所以這系列寫的東西，有一部分可能新版有更新，但一些觀念大致上應該還是通的，考綱改了哪些，報名前可以先看一下，我看市面上應該也有相對應的教材出現了，如果是買源原廠課程的建議lab一定要做好做滿，不然單讀書真的會沒有畫面，看到封包看到log會不知從何看起。
iThome鐵人賽
看影片追技術