CompTIA Security+

CompTIA Security+ (SY0-701) – TÀI LIỆU ÔN TẬP

Bản mới sắp ra. SY0-701 là Security+ V7, còn hiệu lực và khai tử ngày 11/06/2027 (bản tiếng Anh). Nhưng Security+ V8 (SY0-801) dự kiến phát hành khoảng 17/11/2026 — chỉ còn khoảng sáu tuần tính từ 03/10/2026.

Nếu bạn thi trong vài tháng tới thì SY0-701 vẫn là lựa chọn đúng và nội dung dưới đây dùng được. Nếu bạn mới bắt đầu ôn và dự tính thi sang năm, hãy xem SY0-801 trước khi quyết định.

1. TỔNG QUAN KỲ THI

• Mã kỳ thi: SY0-701 (Security+ V7)
• Số câu: tối đa 90 câu — trắc nghiệm và câu hỏi thực hành (performance-based)
• Thời gian: 90 phút
• Điểm đậu: 750 trên thang 100–900
• Lệ phí tham khảo: 404 USD
• Kinh nghiệm khuyến nghị: CompTIA Network+ và khoảng 2 năm làm quản trị hệ thống có phần việc bảo mật
• Hiệu lực chứng chỉ: 3 năm, gia hạn qua chương trình Continuing Education

Đây là chứng chỉ bảo mật nền tảng được nhà tuyển dụng công nhận rộng nhất. Đề có câu hỏi thực hành — không chỉ trắc nghiệm, nên phải quen thao tác thật chứ không chỉ học thuộc định nghĩa.

2. NỘI DUNG ÔN TẬP THEO 5 DOMAIN

Domain 4 nặng nhất (hơn một phần tư đề), Domain 1 nhẹ nhất — nhiều người ôn dồn vào Domain 1 vì nó là "khái niệm chung" và đó là phân bổ sai.

Domain 1: General Security Concepts (12%)

• CIA triad: confidentiality, integrity, availability; thêm non-repudiation và AAA.
• Phân loại biện pháp kiểm soát: technical / managerial / operational / physical, và preventive / deterrent / detective / corrective / compensating / directive. Đề hỏi phân loại rất nhiều.
• Zero Trust: control plane và data plane, policy engine, policy enforcement point.
• Khái niệm mã hoá: đối xứng và bất đối xứng, PKI, certificate, chứng chỉ số, hashing, salting, digital signature, key exchange, TPM, HSM, secure enclave, obfuscation, steganography, tokenization, blockchain.
• Quản lý thay đổi và tác động của nó tới bảo mật.

Domain 2: Threats, Vulnerabilities, and Mitigations (22%)

• Threat actor: nation-state, unskilled attacker, hacktivist, insider threat, organized crime, shadow IT — và động cơ của từng loại.
• Vector tấn công: message-based (email, SMS), image, file, voice call, removable device, vulnerable software, unsupported system, supply chain, social engineering (phishing, vishing, smishing, pretexting, BEC, typosquatting, watering hole).
• Loại lỗ hổng: application (buffer overflow, race condition, TOCTOU, injection), web (SQLi, XSS), hệ điều hành, hardware (firmware, end-of-life, legacy), virtualization (VM escape), cloud, mobile (sideloading, jailbreaking), zero-day.
• Dấu hiệu bị tấn công và cách giảm thiểu: segmentation, access control, patching, hardening, encryption, monitoring, least privilege.

Domain 3: Security Architecture (18%)

• Mô hình hạ tầng: cloud, IaC, serverless, microservices, on-premises, centralized và decentralized, virtualization, container, IoT, ICS/SCADA, embedded, RTOS.
• Nguyên tắc hạ tầng an toàn: device placement, security zone, attack surface, fail-open và fail-closed, active vs passive device, inline vs tap/monitor; firewall, IDS/IPS, load balancer, proxy, jump server, sensor.
• Thiết kế mạng an toàn: VPN, TLS, IPSec, SD-WAN, SASE, port security, 802.1X, EAP.
• Bảo vệ dữ liệu: phân loại dữ liệu, data at rest / in transit / in use, mã hoá, hashing, masking, tokenization, obfuscation, DLP.
• Khả năng chống chịu: load balancing và clustering, site resiliency (hot/warm/cold), backup, replication, journaling, power resiliency, testing (tabletop, simulation, failover, parallel processing).

Domain 4: Security Operations (28%) — domain nặng nhất

• Hardening: endpoint, server, mobile, IoT, ICS/SCADA, embedded, RTOS; baseline; Group Policy và SELinux.
• Bảo mật hạ tầng mạng: wireless (WPA3, AAA/RADIUS, cryptographic protocol, authentication protocol), mobile (BYOD, COPE, CYOD, MDM), application security (input validation, secure cookie, static và dynamic code analysis, sandboxing).
• Quản lý tài sản: acquisition, assignment, monitoring, disposal (sanitization, destruction, certification).
• Quản lý lỗ hổng: nguồn phát hiện (scan, pentest, bug bounty, threat feed, OSINT), phân tích (CVSS, CVE, false positive/negative, prioritization), xử lý (patch, insurance, segmentation, exception), xác nhận và báo cáo.
• Giám sát và cảnh báo: log aggregation, SIEM, SNMP trap, NetFlow, antivirus, DLP, scanning; alert tuning.
• Tăng cường bằng công cụ: firewall rule, ACL, URL/content filtering, DNS filtering, email security (DKIM, SPF, DMARC, gateway), EDR/XDR, user behavior analytics.
• Identity và access management: provisioning và deprovisioning, SSO (LDAP, OAuth, SAML), federation, interoperability, attestation, access control model (mandatory, discretionary, role-based, rule-based, attribute-based), MFA (something you know/have/are/somewhere you are), password best practice, privileged access management (just-in-time, password vaulting, ephemeral credential).
• Tự động hoá và orchestration; incident response (preparation, detection, analysis, containment, eradication, recovery, lessons learned); root cause analysis; threat hunting; digital forensics (legal hold, chain of custody, acquisition, preservation, e-discovery).

Domain 5: Security Program Management and Oversight (20%)

• Quản trị bảo mật: guideline, policy (AUP, information security, business continuity, disaster recovery, incident response, SDLC, change management), standard (password, access control, physical security, encryption), procedure (change management, onboarding/offboarding, playbook), external consideration (regulatory, legal, industry, local/regional/national/global), monitoring và revision, governance structure (board, committee, government entity, centralized/decentralized), vai trò (owner, controller, processor, custodian/steward).
• Quản lý rủi ro: risk identification, risk assessment (ad hoc, recurring, one-time, continuous), risk analysis (qualitative, quantitative, SLE, ALE, ARO), risk register (key risk indicator, risk owner, risk threshold), risk tolerance và appetite, chiến lược xử lý (transfer, accept, avoid, mitigate), business impact analysis (RTO, RPO, MTTR, MTBF).
• Rủi ro bên thứ ba: vendor assessment (penetration test, right-to-audit clause, evidence of internal audit, independent assessment, supply chain analysis), vendor selection (due diligence, conflict of interest), agreement (SLA, MOA, MOU, MSA, WO/SOW, NDA, BPA), vendor monitoring, questionnaire, rules of engagement.
• Tuân thủ: reporting, monitoring, consequence của không tuân thủ (fine, sanction, reputational damage, loss of license, contractual impact), attestation và acknowledgement, privacy (legal implication, data subject, controller vs processor, ownership, data inventory và retention, right to be forgotten).
• Audit và assessment: internal (compliance, audit committee, self-assessment), external (regulatory, examination, assessment, independent third-party audit), penetration test (physical, offensive, defensive, integrated, known/partially known/unknown environment, reconnaissance passive và active).
• Nâng cao nhận thức bảo mật: phishing campaign, anomalous behavior recognition, user guidance và training, reporting và monitoring, development và execution.

3. BA CHỖ ĐỀ HAY BẪY

Về câu hỏi thực hành (PBQ): thường đặt ở đầu đề và ngốn nhiều thời gian. Chiến thuật quen dùng là đánh dấu để làm sau, làm hết trắc nghiệm trước rồi quay lại — nếu không rất dễ hết giờ.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các domain ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Objectives SY0-701 (tải PDF): https://www.comptia.org/training/resources/exam-objectives
• Trang chứng chỉ Security+: https://www.comptia.org/en-us/certifications/security/
• Security+ V8 (bản sắp ra): https://www.comptia.org/en/certifications/security/v8/

Lưu ý: Tỉ lệ domain lấy từ Exam Objectives chính thức của CompTIA, tra ngày 03/10/2026. CompTIA phát hành bản mới theo chu kỳ khoảng 3 năm và khai tử bản cũ sau đó — đối chiếu lại trang chứng chỉ trên comptia.org trước khi đặt lịch thi.