CompTIA CySA+ (CS0-003)
验证您在安全运营、漏洞管理、事件响应和安全报告方面的专业能力。CompTIA 高级网络安全分析师认证。
Security+ 之后最务实的下一步 — DoD 8140 同时认可 IAT Level II 和 CSSP Analyst，专治 SOC Tier 1/2 的"只会接 ticket 不会分析"。
JR Academy Membership
Unlock all certifications, courses & tools at a fraction of the cost
- All certification exam prep included
- Course discounts up to 50%
- AI tools & Chrome extensions
- Priority 1-on-1 coaching
What this certification covers
This page is structured for quick scanning first: exam format, fit, prep time, and the actual study scope.
CompTIA CySA+（Cybersecurity Analyst，当前版本 CS0-003）是 CompTIA 2023 年 6 月发布的第三代版本，用来替代 2020 年的 CS0-002。相比 Security+ 偏通识概念，CySA+ 是一张纯分析师向的动手证：不考"什么是 IDS"，考"给你一段 Zeek 日志，判断这是端口扫描还是慢速爆破"。
CS0-003 相比 CS0-002 做的实质变动：从原来的 5 个域合并为 4 个（Security Operations 33%、Vulnerability Management 30%、Incident Response and Management 20%、Reporting and Communication 17%），新增了对威胁情报（CTI）全流程、MITRE ATT&CK 框架、云环境下的日志分析（CloudTrail/GuardDuty）、SOAR 自动化 playbook的考查；砍掉了不少过时的网络协议细节题。考试 85 题 / 165 分钟，包含 PBQ（给你 SIEM 截图、Nessus 报告、PCAP 文件让你判断并处置），通过分数 750/900。考试费 $404 USD，证书有效期 3 年，走 CEU 续证。
CySA+ 最关键的含金量来源：DoD 8140 同时在两个清单上列了它 — IAT Level II（和 Security+ 同级）以及 CSSP Analyst（Cybersecurity Service Provider 分析师）。CSSP Analyst 清单目前 CompTIA 只有 CySA+ 一张，这让它在美国联邦 SOC 合同岗（比如 CISA、DISA 下面的 SOC 运营中心）几乎是硬通货 — 同等岗位上 CySA+ 的替代品只剩更贵的 GIAC GCIH、GCIA。
常见的误解：CySA+ 不是 Security+ 的"下一版"，它是岗位方向的分叉点。Security+ 之后如果你想走管理路线，下一步是 CASP+ / CISSP；如果你想继续做技术分析（SOC、威胁狩猎、漏洞管理），下一步就是 CySA+。这个岔路口选错，后面两三年的岗位匹配度会差很多。
You will work with
After preparation
- 获得 CompTIA 官方认可的 CySA+ 安全分析师认证
- 掌握 SOC 安全运营和威胁检测能力
- 具备漏洞评估和事件响应实战技能
- 为 CASP+ 或 CISSP 等高级认证打下基础
Exam details
Who should take it
Good fit
- 安全运营中心 (SOC) 分析师
- 网络安全分析师和威胁分析师
- 漏洞评估和渗透测试人员
- IT 安全管理员
- 已取得 Security+ 希望进阶的安全从业者
Before you start
- 建议先通过 CompTIA Security+ 或具备同等知识
- 具备 4 年以上信息安全工作经验
- 了解网络安全概念和常见攻击类型
- 熟悉 SIEM 工具和日志分析基础
Is it worth it? Career value
Salary ranges, target job titles, and the real career impact of holding CompTIA CySA+.
这张证真正换来什么
CySA+ 的市场定位非常窄：它不是给"想了解安全"的人考的，是给已经在 SOC 坐过一年 Tier 1 板凳、想跳 Tier 2 或转威胁狩猎方向的人准备的。这是它和 Security+ 最大的差别 — Security+ 能让 Helpdesk 跨进 SOC 的门，CySA+ 是让你在 SOC 里往上爬一级。
在美国市场，它最大的杠杆来自 DoD 8140 的 CSSP Analyst 独占位。目前 CompTIA 体系下只有 CySA+ 出现在 CSSP Analyst 清单，意味着任何美国联邦 SOC 运营合同（CISA JCDC、DISA GSM-O、各军种 Cyber Command 的外包 SOC）在招分析师时，CySA+ 基本是报名门槛。Indeed 2025 年数据显示，DC/VA/MD 地区 "CySA+ required" 的 SOC Analyst 岗位中位薪资 $112k，比同地区只要求 Security+ 的岗位（$88k）高约 27%；带 Secret Clearance 的话能到 $130k+。
在澳洲市场 CySA+ 没有美国 DoD 那种硬约束，但 Seek.com.au 上 "CySA+" 的活跃岗位稳定在 120-180 个之间，主要集中在 MSSP（Managed Security Service Provider，比如 CyberCX、Tesserent）和四大所（Deloitte、PwC 的 Cyber 部门）的 SOC 团队。澳洲 ACSC（Australian Cyber Security Centre）下面的 CI-ISAC 威胁情报共享项目也把 CySA+ 列为分析师岗的推荐认证之一。
最适合考 CySA+ 的三类人：
- 已经在 SOC 做 Tier 1 一年以上的分析师：每天看 SIEM 告警看到麻木，但真让你回答 "这个告警是不是 false positive、该 escalate 还是 close"，只能靠经验拍脑袋。CySA+ 会系统化地教你 false positive 判断、CVSS 评分、威胁情报关联 — 这是从 Tier 1 机械工跳到 Tier 2 决策者的技术分水岭。
- 想进美国 Gov Contractor SOC 的持证者：Secret/Top Secret Clearance + CySA+ 的组合在 DC 地区几乎直接就能拿到 SOC Tier 2 offer。CSSP Analyst 清单的独占性是这张证最硬的杠杆。
- 安全通才想专攻威胁检测/响应方向的：如果你已经有 Security+ 且清楚自己不想走管理（CISSP）、也不想做渗透（Pentest+/OSCP），而是喜欢日志、告警、取证这种"守"的方向，CySA+ 就是你的下一站。
不建议考 CySA+ 的人：
- 零基础想转安全的：CS0-003 的 PBQ 会直接丢给你 Splunk 查询、Wireshark PCAP、Nessus CSV 报告让你解读。没在真实 SOC 环境摸过 SIEM 的人会被当场劝退。先考 Security+，工作 6-12 个月再来考 CySA+。
- 想走安全管理路线的：你的下一站应该是 CISSP（需 5 年经验）或 CISM，不是 CySA+。CySA+ 在管理岗 JD 里几乎不出现。
- 想做渗透测试的：那是 PenTest+（PT0-003）/ OSCP 的方向，CySA+ 完全另一个赛道。CySA+ 教你"怎么发现攻击者"，PenTest+ 教你"怎么当攻击者"。
Exam domains
Use this breakdown to decide where to spend study time first instead of reading chapters evenly.
Content Distribution
1. 安全运营
Security Operations
2. 漏洞管理
Vulnerability Management
3. 事件响应与管理
Incident Response and Management
4. 报告与沟通
Reporting and Communication
Study preparation
With hands-on AWS
From scratch
Daily pace
Learning path preview
6 chaptersStep-by-step preparation
A concrete week-by-week plan from past test-takers — not generic advice.
第一阶段：Security+ 知识回炉（1-2 周）
CySA+ 默认你已经掌握 Security+ 的所有内容，不会再讲 CIA 三元组、对称/非对称加密、NIST 六步响应这些基础。花 1-2 周把 Security+ 考纲快速过一遍（重点：加密算法、防火墙类型、IAM 模型、NIST 800-61 事件响应），发现哪块忘了立刻补。如果 Security+ 考完已经超过一年，这个阶段延长到 2-3 周，不要跳。
第二阶段：SOC 工具实战（3-4 周）
CS0-003 的 33% 权重在 Security Operations，这部分必须手动摸过 SIEM。推荐路径：Splunk Free 版或 Elastic Stack 本地起一个，导入 BOTSv3 数据集（Boss of the SOC v3，官方免费的真实攻击日志），跟着 Splunk 官方 BOTSv3 挑战答一遍；然后看 Let'sDefend.io 或 TryHackMe 的 SOC Level 1 Path（免费部分够用）。每个工具至少跑 5 个真实场景：brute force 检测、C2 beacon 识别、SQL injection 日志、PowerShell 混淆命令识别、DNS tunneling 检测。
第三阶段：漏洞管理 + 威胁情报（2-3 周）
第二大权重（30%）是 Vulnerability Management。重点搞懂 **CVSS v3.1 评分计算**（Base/Temporal/Environmental 三组指标，能手动算出 7.5 这种分数）、Nessus/Qualys/OpenVAS 报告解读、漏洞优先级排序方法（EPSS、KEV Catalog）。威胁情报部分死磕 **MITRE ATT&CK Matrix** — 能说出 T1566 是 Phishing、T1059 是 Command and Scripting Interpreter、TA0001 是 Initial Access 这种对应关系。STIX/TAXII、IOC vs IOA 的区别也是高频考点。
第四阶段：PBQ 专项 + 模考冲刺（2 周）
CySA+ 的 PBQ 比 Security+ 难一个档次：会给你 50 行 Splunk 查询结果让你找 beaconing 模式，或给你一份 Nessus CSV 让你按 CVSS 排序输出修复清单。Jason Dion 的 Udemy CySA+ 课自带 5 套 PBQ 专项题，刷完；再刷 CertMaster Practice 的 CS0-003 官方题库（$199，贵但题型最接近实考）。模考稳定 85% 以上再约考。最后一周每天花 30 分钟回顾错题，不碰新题。
Real test-taker experiences
What it actually took for real candidates to pass — prep time, scores, and lessons learned.
我在一家 MSSP 做 Tier 1 一年半，每天 8 小时盯 Splunk 告警，老板说想升 Tier 2 得有 CySA+。考的时候最吃力的是 PBQ — 有一道给了 200 行 Zeek conn.log 让找 C2 beacon，我平时真的这么干所以做得还算稳。反过来如果是没摸过 SIEM 的人看到那道题直接懵。考完一个月升 Tier 2，涨薪 18%。核心感受：这证 不是靠刷题能混过去的，PBQ 必须有真实的日志分析肌肉记忆。
我们这个项目续约时 DoD 要求 100% CSSP Analyst 合规，组里 4 个 analyst 三个月内必须全拿 CySA+，公司掏考试费 + 给 40 小时带薪学习时间。对 Security+ 基础扎实的人来说其实没那么难，CVSS 计算和 MITRE ATT&CK 是全新内容，占了我一半的学习时间。考完薪资按合同条款直接 +$8k/年，外加保住了 clearance 岗位。如果你在 DC 做 gov contractor，这张证的 ROI 是账面上能算出来的。
我之前在甲方做了 3 年比较杂的安全运维（防火墙、WAF、EDR 都碰），想往威胁情报方向专攻。CySA+ 的 Threat Intel 那一块帮我把 MITRE ATT&CK、Diamond Model、Kill Chain 这些框架第一次理清了关系（之前都是听过但说不出区别）。CVSS 手算那部分吃了大亏 — 考试真的让你手算 Base Score，我练得不够考完自己觉得悬，结果 764 擦线过。建议跟我一样背景的：CVSS 不要偷懒背公式，真的拿 10 道题手算到 2 分钟内能出结果。
Certification comparison
| CompTIA CySA+ | CompTIA Security+ | CISSP | |
|---|---|---|---|
| Provider | CompTIA | CompTIA | 其他 |
| Level | 专业级 | 助理级 | 大师级 |
| Fee | $404 | $392 | $749 |
| Duration | 165 min | 90 min | 180 min |
| Question count | 85 | 90 | 150 |
| Validity | 3 yrs | 3 yrs | 3 yrs |
Study tips and common mistakes
**考前背熟 MITRE ATT&CK 的 14 个 Tactics**：Reconnaissance、Resource Development、Initial Access、Execution、Persistence、Privilege Escalation、Defense Evasion、Credential Access、Discovery、Lateral Movement、Collection、Command and Control、Exfiltration、Impact。能按顺序说出来，考试至少送 2-3 分。
**CVSS 计算器 first.org 练到手感**：考前一周每天手算 5 个场景，目标是听到"未授权远程触发完全系统接管"能立刻反应 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H = 9.8。
**PBQ 优先级策略**：CySA+ 的 PBQ 平均每道 10-15 分钟，比 Security+ 的更复杂。**先快速过一遍所有 PBQ 判断难度**，最简单的两道先做完（建立信心 + 抢分），最难的那道 flag 掉先去做选择题，回头再啃。不要像 Security+ 那样"全部跳过最后做" — CySA+ 的 PBQ 难到最后 20 分钟根本做不完。
**NIST SP 800-61 vs SANS 事件响应步骤差异**：NIST 是 4 步（Preparation → Detection & Analysis → Containment/Eradication/Recovery → Post-Incident Activity），SANS 是 6 步（PICERL）。CySA+ 考 NIST 版本更多，Security+ 考 SANS 版本更多。别搞混。
**CSVS / EPSS / KEV 三个漏洞优先级工具的使用场景**：**CVSS** 给出静态严重性（0-10）；**EPSS**（Exploit Prediction Scoring System）给出未来 30 天被利用的概率（0-100%）；**KEV** 是已确认在野利用的清单。最佳实践是 **KEV 里的先修，再按 EPSS 高概率 + CVSS 高分的组合排序**，光看 CVSS 会浪费资源修没人利用的漏洞。
**日志分析题抓"异常 baseline"而不是抓"具体攻击"**：CySA+ 很多日志题不是让你一眼看出攻击，而是让你判断"这段流量和正常基线相比异常在哪里"。回答模式：正常的用户登录在工作时间 / 正常的 DNS 查询是常见域名 / 正常的进程树是 explorer.exe → chrome.exe — 任何偏离都是告警。
**通过分数 750/900**：和 Security+ 一样的区间，及格线 750。Dion 模考稳定 80%+ 再约考（CySA+ 模考比实考难一点，不像 Security+ 模考容易）。
**把 False Positive 分析当成"点 close 就行"** — CySA+ 核心考的就是分析师的判断力。题目会给你一条 IDS 告警 + 一段完整的 PCAP + 主机 process list，问你"这是 true positive 还是 false positive，为什么"。正确的分析流程是：**告警规则匹配了什么 → 实际 payload 是什么 → 主机上是否有对应的异常进程/连接 → 是否有上下文（比如是不是测试窗口、扫描计划）**。直接 close 或直接 escalate 都会扣分。
**SIEM 和 SOAR 的职责混淆** — 高频考点。**SIEM（Splunk、QRadar、Sentinel）负责收集、关联、告警**；**SOAR（Phantom、XSOAR、Tines）负责自动化响应 playbook**，比如自动隔离主机、自动创建工单、自动查威胁情报。题目如果问"自动封禁 IP 应该在哪个系统实现"答 SOAR 而不是 SIEM。
**把 Threat Intelligence Feed 当成 Threat Hunting** — Threat Intel Feed 是**被动**接收 IOC（比如 AlienVault OTX、MISP 推送恶意 IP 列表）；Threat Hunting 是**主动**假设攻击者已经在内网然后去找证据（比如"假设有 C2 beacon，我去查 DNS 日志里的 DGA 域名"）。考试题干看到 "assume breach" 或 "hypothesis-driven" 选 Threat Hunting，看到 "subscribe to feed" 或 "ingest IOC" 选 Threat Intelligence。
**CVSS Base Score 不会手算** — CS0-003 真的会让你手算。记住 8 个 Base 指标：AV（Attack Vector）、AC（Attack Complexity）、PR（Privileges Required）、UI（User Interaction）、S（Scope）、C/I/A（三个 Impact）。"远程无需认证触发 RCE 拿 root" 这种题要能立刻说出 Base Score 9.8 (Critical)。CVSS 计算器（first.org）考前跑 20 遍把感觉练出来。
**CVE、CWE、CVSS、KEV 四个缩写搞混** — **CVE** 是具体漏洞编号（CVE-2021-44228 是 Log4Shell）；**CWE** 是漏洞类型分类（CWE-79 是 XSS，CWE-89 是 SQL Injection）；**CVSS** 是评分系统；**KEV**（Known Exploited Vulnerabilities，CISA 维护）是"已确认在野被利用"的清单。题目经常出场景题区分这四个。
**MITRE ATT&CK 的 Tactic / Technique / Sub-technique 层级搞反** — **Tactic** 是攻击者目的（14 个，比如 TA0001 Initial Access），**Technique** 是具体手段（比如 T1566 Phishing），**Sub-technique** 是更细的实现方式（T1566.001 Spearphishing Attachment）。考试给你一个行为让你选对应的 Tactic 或 Technique，这个层级不能搞反。
FAQ
Frequently Asked Questions
If you plan to take CompTIA CySA+, start with real practice.
50+ questions, chapter-by-chapter learning, mock exams, wrong-question review, and AI tutor support live in the exam page.
Go to exam prepFrom $39 · 2 free chapters