Strategia na dzień egzaminu Security+ i pytania PBQ

Możesz znać materiał i i tak paść na SY0-701 przez źle zarządzany czas, zamarznięcie na Performance-Based Questions (PBQ) albo nadmierne analizowanie prostych stemów. Egzamin to 90 pytań w 90 minut z progiem zdania 750 w skali 100–900. Ta matematyka daje mniej więcej minutę na pytanie średnio — ale PBQ psują średnią, a niektóre pytania wielokrotnego wyboru zajmują 30 sekund, inne dwie minuty.

Ten wpis traktuje dzień egzaminu jak procedurę operacyjną: plan tempa, wzorce PBQ, framework eliminacji i pełny przykładowy walkthrough stemu, który możesz powtórzyć przy każdym pytaniu.

Zanim usiądziesz

Co potwierdzić tydzień wcześniej

• Format testu: Osobiście w centrum Pearson VUE lub online z proctoringiem OnVUE
• Wymagania identyfikacyjne dla twojego trybu testu
• Zasady ustawienia pokoju dla testu online (czyste biurko, brak słuchawek chyba że zatwierdzone, telefon poza zasięgiem)
• Co dostarcza CompTIA: Zwykle tablicę do wymazywania i marker — nie własny papier

Co robić wieczorem wcześniej

Sen bije cram akronimów o 3 w nocy. Jeśli musisz powtórzyć, ogranicz się do:

• Kolejności cyklu IR (jeden przebieg, na głos)
• Jednego obliczenia ALE
• Osobistej listy „confusion pairs” (IDS/IPS, CRL/OCSP, SLE/ALE, RTO/RPO)

Nie rób pełnego egzaminu praktycznego wieczorem wcześniej. Zmęczenie w dniu egzaminu kosztuje więcej niż dałby jeden refresher.

Plan tempa na 90 minut

Myśl w czterech fazach, nie w 90 osobnych minutach.

Zasady fazy 1 (minuty 0–60)

1. Przeczytaj stem raz. Otaguj mentalnie: asset, threat, constraint, goal.
2. Przewidź odpowiedź zanim przeczytasz opcje.
3. Jeśli twoja predykcja jest wśród wyborów i nic nie zaprzecza stemowi, wybierz i idź dalej.
4. Jeśli utkniesz po 60 sekundach, oznacz i pomiń. Nie negocjuj z pytaniem, które zjada budżet PBQ.
5. Gdy wcześnie w egzaminie trafisz na PBQ, spójrz na nie przez 30 sekund. Jeśli to złożony firewall albo drag-and-drop diagramu sieci, oznacz natychmiast i wróć w fazie 2. Zbieranie łatwych punktów MCQ najpierw buduje pewność siebie i gwarantuje podłogę wyniku.

Krytyczna zasada: Nie pozwól, by jedno PBQ pochłonęło 15 minut dumy. Pojedyncze PBQ jest zwykle warte więcej niż jedno pytanie wielokrotnego wyboru, ale nie więcej niż pięć. Jeśli jesteś 10 minut w PBQ bez postępu, daj najlepszą próbę, oznacz i idź dalej.

Zasady fazy 2 (minuty 60–78)

1. Otwórz oznaczone PBQ w kolejności szacowanej trudności — szybkie ordering lub matching najpierw, złożone symulatory na końcu.
2. Przeczytaj wszystkie instrukcje zanim cokolwiek klikniesz. Niektóre PBQ wymagają konkretnej kolejności; inne mają design z częściowymi punktami.
3. Stosuj instynkty domenowe:

- Firewalle: implicit deny, least privilege, deny by default - Kolejność IR: Preparation → Detection → Containment → Eradication → Recovery → Lessons Learned - Diagramy sieci: IDS na portach span/mirror (pasywnie), IPS inline (aktywnie)

1. Przed submitem każdego PBQ przejrzyj pracę raz. Nie submituj pustych konfiguracji.

Faza 3 i 4 (minuty 78–90)

Ponownie odwiedź oznaczone pytania wielokrotnego wyboru ze świeżymi oczami. Przy drugim czytaniu:

• Czy przegapłeś constraint („nie można modyfikować systemu legacy”)?
• Czy pomyliłeś dwa podobne akronimy?
• Czy nadmiernie analizowałeś proste pytanie o „best practice”?

W ostatnich pięciu minutach upewnij się, że każde pytanie ma odpowiedź. CompTIA nie karze zgadywania. Pytanie bez odpowiedzi to gwarantowane zero.

Jak czytać stem Security+

Większość pozycji SY0-701 to scenariusze, nie definicje. Zanim spojrzysz na odpowiedzi, wyciągnij cztery elementy:

Słowo goal ma ogromne znaczenie. Prevent, detect, respond, comply, prioritize — każde wskazuje inną kategorię kontrolki.

Przykładowy walkthrough stemu: eliminacja w akcji

Oto realistyczny scenariusz w stylu SY0-701 z pełnym walkthrough eliminacji.

---

Stem: Organizacja opieki zdrowotnej przechowuje dokumentację pacjentów w chmurowej bazie danych. Compliance wymaga ochrony danych at rest, a zespół bezpieczeństwa potrzebuje rozwiązania z centralized key management i hardware-backed key storage spełniającego FIPS 140-2 Level 3. Zespół aplikacji nie może modyfikować kodu aplikacji. Które z poniższych najlepiej spełnia wymagania?

A. Wdróż chip TPM w każdym serwerze aplikacji B. Wdróż TLS 1.3 dla połączeń z bazą danych C. Wdróż HSM do zarządzania kluczami szyfrowania D. Włącz BitLocker na systemie operacyjnym serwera bazy danych

---

Krok 1: Otaguj stem

Krok 2: Przewiduj przed czytaniem opcji

Potrzebujesz scentralizowanego, hardware-backed key management dla szyfrowania at rest bez dotykania kodu aplikacji. To wskazuje na HSM lub cloud KMS wsparty HSM.

Krok 3: Oceń każdą opcję

A. TPM — Wbudowany w endpoint, nie scentralizowany. Eliminuj.

B. TLS 1.3 — Chroni dane in transit, nie at rest. Eliminuj.

C. HSM — Dedykowane urządzenie do scentralizowanego, FIPS-validated key management. Baza integruje się bez zmian kodu. Zostaw.

D. BitLocker — Full-disk encryption na poziomie OS, nie centralized database key management. Eliminuj.

Krok 4: Wybierz i idź dalej

Odpowiedź: C. HSM

Czas: około 75 sekund. Nic nie oznaczaj; przejdź do następnego pytania.

Czego uczy ten walkthrough

• Słowa constraint („at rest”, „centralized”, „cannot modify code”) eliminują dwie opcje natychmiast
• TLS vs. encryption at rest to powtarzająca się pułapka — zawsze sprawdzaj, który stan danych opisuje stem
• Dyskryminacja TPM vs. HSM: TPM jest per-endpoint; HSM to enterprise centralized
• Przewidywanie przed czytaniem opcji zapobiega pociągnięciu przez distractory

Wzorce PBQ i jak do nich podchodzić

PBQ CompTIA na SY0-701 często wpada w te kategorie:

1. Drag-and-Drop Matching

Wzorzec: Dopasuj kontrolki, protokoły, porty lub typy ataków do opisów.

Podejście:

• Najpierw przeskanuj wszystkie elementy i cele
• Umieść pięć, co do których jesteś pewien
• Użyj eliminacji na reszcie
• Nie zostawiaj elementów nieumieszczonych, jeśli interfejs pozwala na partial submission

Przykład: Dopasuj „CRL”, „OCSP”, „CSR”, „CA” do opisów. Jeśli wiesz, że CA wydaje certyfikaty, a OCSP to real-time revocation, dwa dopasowania są darmowe — zawęź resztę.

2. Ordering / Sequencing

Wzorzec: Ułóż kroki IR, fazy incydentu lub etapy procesu w poprawnej kolejności.

Podejście:

• Znaj je na pamięć: cykl IR, kroki change management, kolejność zbierania dowodów forensics
• Pierwszy i ostatni są często oczywiste (Preparation first; Lessons Learned last)
• Debata tylko o środkowe elementy

Pułapka egzaminacyjna: „Recovery before eradication” to częsty błąd. Eradikujesz zagrożenie, potem odzyskujesz czyste systemy.

3. Konfiguracja firewall / ACL

Wzorzec: Mając diagram sieci i wymagania, skonfiguruj reguły allow/deny.

Podejście:

• Zacznij od mindset implicit deny
• Stosuj least privilege — zezwalaj tylko na to, czego wymaga stem
• Czytaj kierunek uważnie (inbound vs. outbound)
• Nie dodawaj „tymczasowych” reguł any-any, chyba że stem wyraźnie prosi o break-glass

Przykładowe wymagania: „Serwer webowy w DMZ powinien akceptować HTTPS z internetu i SSH tylko z VLAN-u management.”

\\\ Allow: INBOUND TCP 443 from ANY → Web Server Allow: INBOUND TCP 22 from Management VLAN → Web Server Deny: ALL (implicit) \\\

4. Analiza logów / IoC

Wzorzec: Przejrzyj fragment logów i zidentyfikuj typ ataku, skompromitowane konto lub wskaźnik.

Podejście:

• Szukaj anomalii: logowania poza godzinami pracy, eskalacja uprawnień, nietypowe połączenia wychodzące, wzorce brute-force
• Mapuj ustalenia na taktyki ATT&CK jeśli możliwe (initial access, lateral movement, exfiltration)
• Nazwij konkretny wskaźnik (konto, IP, hash) — nie tylko „malware”

5. Umieszczenie w topologii sieci

Wzorzec: Umieść urządzenia (IDS, IPS, firewall, WAF, kolektor SIEM) na diagramie.

Podejście:

• IDS: port span / tap (pasywnie, out-of-band)
• IPS: inline między segmentami (aktywnie, może blokować)
• WAF: przed serwerami webowymi (inspekcja HTTP/HTTPS)
• Firewall: na granicach segmentów
• Kolektor SIEM: nie siedzi inline — odbiera logi

6. Akcje kryptografii / PKI

Wzorzec: Wybierz poprawną akcję certyfikatu, typ klucza lub metodę szyfrowania dla opisanej potrzeby.

Podejście:

• Symetryczne (AES) dla bulk data; asymetryczne (RSA/ECC) dla wymiany kluczy i podpisów
• Certyfikat wygasł → renew/replace, nie revoke (revoke to kompromitacja)
• Certyfikat skompromitowany → revoke + aktualizacja CRL/OCSP

Rodziny distractorów i jak je pokonać

CompTIA konstruuje złe odpowiedzi systematycznie. Rozpoznanie wzorca przyspiesza eliminację.

Technika: Po przeczytaniu stemu podkreśl (mentalnie lub na tablicy) słowa constraint: cannot, must, least, first, best, at rest, in transit, detect, prevent. Dopasuj odpowiedź do tych słów wprost.

Mindset i zarządzanie lękiem

• Każde pytanie jest niezależne. Trudne pytanie nie znaczy, że padasz. CompTIA zawiera niescore’owane beta items, których nie odróżnisz od score’owanych.
• Gdy lęk skacze, traktuj następne pytanie jak świeży ticket. Weź jeden oddech, otaguj cztery elementy stemu i działaj.
• Nie zmieniaj odpowiedzi bez nowego dowodu. Pierwszy instynkt jest poprawny częściej niż trzecie zgadywanie — chyba że drugie czytanie ujawniło constraint, który przegapiłeś.
• Oznacz, nie spiralizuj. Trzy minuty debaty nad jednym MCQ to trzy minuty skradzione PBQ.

Checklist na ostatni tydzień

• [ ] Dwa egzaminy praktyczne na czas (90 pytań, 90 minut) z pełnym review każdego pudła
• [ ] Słabe punkty domeny 4 (Security Operations) i domeny 2 (Threats) odbudowane scenariuszami
• [ ] Cykl IR recytowany na głos z pamięci
• [ ] ALE/SLE/ARO obliczone ręcznie co najmniej trzy razy z różnymi danymi
• [ ] Jedno ćwiczenie w stylu PBQ dziennie (reguły firewall, kolejność IR lub umieszczenie urządzeń — nawet na papierze)
• [ ] Lista confusion pairs przejrzana: IDS/IPS, CRL/OCSP, SLE/ALE, RTO/RPO, DAC/MAC/RBAC, TPM/HSM
• [ ] Logistyka testu potwierdzona (lokalizacja, ID, zasady proctora, czas przybycia)

Traktuj egzamin jak incydent: przygotuj playbooki, wykonuj spokojnie, contain panic, gdy pytanie utknie, recover oznaczone pozycje w fazie review i document lessons learned, jeśli powtarzasz.

Powodzenia.