22 Preguntas de Práctica de Conceptos de seguridad de redes con Respuestas
Todas las preguntas de práctica de Conceptos de seguridad de redes del Examen de práctica ISC2 Certified in Cybersecurity (CC), con la respuesta correcta y una breve explicación.
Comenzar examen de práctica →1. Un ingeniero de redes describe una función que asigna direcciones lógicas a los hosts y elige la mejor ruta entre redes distintas. ¿Qué capa del modelo OSI realiza esa función?
- A.La capa 3, de red, que enruta paquetes entre redes distintas mediante direcciones IP✓ Respuesta
- B.La capa 2, de enlace de datos, que traslada tramas entre equipos del mismo segmento local
- C.La capa 4, de transporte, que sigue las conversaciones entre aplicaciones mediante puertos
- D.La capa 7, de aplicación, que da formato a las peticiones de servicios como web y correo
El direccionamiento lógico y la selección de ruta definen a la capa de red: usa direcciones IP para decidir cómo llega un paquete a un destino situado en otra red. La capa de enlace solo entrega tramas dentro de un segmento.
Ref. QB-FJBKEKFuente: ISO/IEC 7498-1, OSI Reference Model — network layer; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (OSI and TCP/IP models)Reportar un problema con esta pregunta
2. En el modelo TCP/IP de cuatro capas, la capa inferior es la de acceso a la red (enlace). ¿A qué capas del modelo OSI corresponde?
- A.Las capas 1 y 2 de OSI, porque la señalización física y la entrega local de tramas se unen✓ Respuesta
- B.Solo la capa 1 de OSI, porque el direccionamiento de tramas lo asume la capa de Internet
- C.Las capas 2 y 3 de OSI, porque la entrega local de tramas se fusiona con el enrutamiento
- D.Solo la capa 3 de OSI, porque el cableado y la señalización quedan fuera de la pila de protocolos
El modelo TCP/IP comprime la pila OSI: las capas 1 y 2 forman la capa de acceso a la red, la 3 es la de Internet, la 4 es la de transporte y las capas 5 a 7 forman la de aplicación. Ninguna capa OSI queda fuera del modelo.
Ref. QB-X26EUJFuente: RFC 1122, Requirements for Internet Hosts — Communication Layers (link layer); ISC2 CC Exam Outline, Networking and Cloud Security Concepts (OSI and TCP/IP models)Reportar un problema con esta pregunta
3. Un dispositivo recibe tramas Ethernet y reenvía cada una solo por el puerto donde aprendió la dirección física de destino. ¿En qué capa OSI opera y cómo se llama su unidad de datos?
- A.La capa 1, donde la unidad de datos es un flujo de bits repetido por todos los puertos
- B.La capa 3, donde la unidad de datos es un paquete dirigido por dirección lógica (IP)
- C.La capa 2, donde la unidad de datos es una trama dirigida por dirección física (MAC)✓ Respuesta
- D.La capa 4, donde la unidad de datos es un segmento identificado por números de puerto
Aprender direcciones físicas y reenviar de forma selectiva es conmutar, una conducta de la capa de enlace, y su unidad de datos es la trama. Un equipo de capa 1, como un concentrador, repite la señal por todos los puertos porque no lee direcciones.
Ref. QB-EJY89JFuente: ISO/IEC 7498-1, OSI Reference Model — data link layer; IEEE 802.3 Ethernet frame formatReportar un problema con esta pregunta
4. Se pide a un administrador que "abra el puerto del ping" para que las peticiones de eco ICMP crucen el cortafuegos. ¿Por qué está mal planteada esa petición?
- A.ICMP opera en la capa de transporte y usa un puerto reservado que los cortafuegos bloquean, por lo que la regla debe nombrarlo
- B.ICMP opera en la capa de red y no lleva números de puerto, así que la regla debe permitir el protocolo ICMP y los tipos de mensaje✓ Respuesta
- C.ICMP es un protocolo de capa de aplicación, así que el cortafuegos debe inspeccionar el contenido y no la cabecera
- D.ICMP es un protocolo de capa de enlace que nunca sale del segmento local, así que no hace falta ninguna regla
Los puertos pertenecen a TCP y UDP, de la capa de transporte. ICMP viaja directamente sobre IP en la capa de red y usa tipos y códigos de mensaje en lugar de puertos, así que la regla del ping permite eco y respuesta de eco, no un puerto.
Ref. QB-W2T3PHFuente: RFC 792, Internet Control Message ProtocolReportar un problema con esta pregunta
5. A medida que los datos de un usuario bajan por la pila de protocolos del host emisor, ¿qué ocurre en cada capa sucesiva?
- A.Cada capa vuelve a cifrar los datos para que las capas inferiores no puedan leerlos
- B.Cada capa retira la cabecera escrita por la capa superior antes de pasar los datos
- C.Cada capa añade su propia cabecera a la información recibida de la capa superior✓ Respuesta
- D.Cada capa reescribe la dirección de origen para que solo quede la de la última capa
Esto es la encapsulación: al bajar por la pila, cada capa envuelve lo recibido en su propia cabecera, y por eso un segmento pasa a ser paquete y luego trama. El host receptor invierte el proceso y quita una cabecera por capa.
Ref. QB-DJMW3HFuente: ISO/IEC 7498-1, OSI Reference Model — encapsulation of service data unitsReportar un problema con esta pregunta
6. Los números de puerto de transporte se dividen por convención en tres rangos. ¿Cuál es el rango de puertos bien conocidos y para qué está reservado?
- A.49152–65535, reservado para servicios de servidor habituales y fijado por cada fabricante
- B.1024–49151, reservado para servicios de servidor habituales y asignado solo a los sistemas
- C.0–1023, reservado para servicios de servidor habituales como web, correo y directorio✓ Respuesta
- D.0–65535 como un único rango sin dividir, de modo que cada servicio tome el que prefiera
Los puertos 0 a 1023 son el rango bien conocido que identifica servicios de servidor estándar; 1024 a 49151 son puertos registrados; y 49152 a 65535 son dinámicos o efímeros, que el cliente toma prestados durante una conexión.
Ref. QB-V2FRGGFuente: IANA Service Name and Transport Protocol Port Number Registry — port range assignmentsReportar un problema con esta pregunta
7. ¿Qué emparejamiento de un servicio con su puerto predeterminado es correcto?
- A.Compartición de archivos con SMB — TCP 445✓ Respuesta
- B.Consultas de directorio con LDAPS — TCP 389
- C.Recogida de correo POP3 sin cifrar — TCP 995
- D.Sesiones de terminal remoto Telnet — TCP 22
La compartición SMB escucha en TCP 445. Las otras tres intercambian protocolos: LDAPS usa 636 y 389 es LDAP en claro; POP3 sin cifrar usa 110 y 995 es POP3 sobre TLS; y Telnet usa 23, mientras que 22 corresponde a SSH.
Ref. QB-CJ9KWFFuente: IANA Service Name and Transport Protocol Port Number RegistryReportar un problema con esta pregunta
8. Un contratista afirma que 172.32.14.9 es una dirección privada según RFC 1918 y que puede reutilizarse libremente dentro de la empresa. ¿Qué afirmación es correcta?
- A.Es una dirección privada, porque el bloque reservado abarca de 172.0.0.0 a 172.255.255.255
- B.Es una dirección privada, porque toda dirección que empieza por 172 se reserva al uso interno
- C.Es una dirección pública, porque el bloque privado abarca de 172.16.0.0 a 172.31.255.255✓ Respuesta
- D.Es una dirección pública, porque RFC 1918 solo reserva 10.0.0.0/8 para reutilización interna
RFC 1918 reserva 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16. El bloque 172 termina en 172.31.255.255, así que 172.32.14.9 es espacio público asignado a otra organización y usarlo dentro acabará impidiendo alcanzar a su titular real.
Ref. QB-43X3QRFuente: RFC 1918, Address Allocation for Private InternetsReportar un problema con esta pregunta
9. Un responsable sostiene que la traducción de direcciones de red (NAT) hace innecesario el cortafuegos, porque desde fuera no se ven las direcciones internas. ¿Qué afirmación evalúa mejor esa idea?
- A.NAT bloquea de forma permanente toda conexión entrante, así que no hace falta filtrar nada en el perímetro
- B.NAT compara cada sesión con una base de reglas, así que duplica lo que ya haría un cortafuegos con estado
- C.NAT cifra la información de direccionamiento de cada paquete, así que los hosts internos quedan confidenciales
- D.NAT traduce direcciones privadas a públicas y de paso oculta el direccionamiento, pero no aplica ninguna política✓ Respuesta
NAT es un mecanismo de direccionamiento cuyo fin es ahorrar direcciones públicas; ocultar la estructura interna es un efecto secundario, no una política. No decide permitir o denegar por contenido, aplicación ni usuario, así que el cortafuegos sigue haciendo falta.
Ref. QB-KJRW4RFuente: RFC 3022, Traditional IP Network Address Translator; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (IPv4 addressing)Reportar un problema con esta pregunta
10. ¿Qué afirmación describe una diferencia estructural entre el direccionamiento IPv6 e IPv4?
- A.IPv6 usa direcciones de 128 bits y carece por completo de difusión: emplea multidifusión y anycast✓ Respuesta
- B.IPv6 usa direcciones de 64 bits y conserva la difusión, y por eso su espacio supera al de IPv4
- C.IPv6 usa direcciones de 128 bits pero exige NAT en cada red, porque no son enrutables
- D.IPv6 usa direcciones de 32 bits escritas en hexadecimal, y por eso su notación es más corta
IPv6 cuadruplica la longitud de la dirección, de 32 a 128 bits, lo que resuelve el agotamiento de IPv4, y elimina la difusión en favor de la multidifusión y el anycast. Con un espacio tan amplio, NAT deja de ser necesario.
Ref. QB-KQY62JFuente: RFC 4291, IP Version 6 Addressing ArchitectureReportar un problema con esta pregunta
11. Un proveedor afirma que pasar la empresa a IPv6 hará que "todo el tráfico se cifre automáticamente". ¿Cómo debe valorar esa afirmación un profesional de seguridad?
- A.Es falsa: IPv6 carece de todo mecanismo de confidencialidad y debe tunelizarse dentro de IPv4
- B.Es cierta: las cabeceras IPv6 las cifra el propio protocolo y los equipos intermedios no pueden leerlas
- C.Es cierta: el espacio de direcciones de IPv6 deja el tráfico ilegible sin el identificador de interfaz
- D.Es falsa: IPsec está disponible en toda la familia IPv6, pero hay que configurarlo y gestionar sus claves✓ Respuesta
IPsec se diseñó como parte de la familia IPv6, así que la capacidad existe, pero tenerla no es configurarla: sin políticas, extremos ni claves el tráfico viaja en claro igual que en IPv4. El tamaño de la dirección no aporta confidencialidad.
Ref. QB-486CMJFuente: RFC 8200, Internet Protocol, Version 6 (IPv6) Specification; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (IPv6)Reportar un problema con esta pregunta
12. El personal remoto llega a los sistemas internos por una VPN corporativa. ¿Qué afirmación describe mejor lo que la VPN protege y lo que no?
- A.Protege al cliente frente al malware, porque todo el tráfico se analiza dentro del túnel antes de llegar
- B.Protege el tráfico en tránsito con cifrado y autenticación, pero no a un cliente ya infectado por malware✓ Respuesta
- C.Protege la disponibilidad de la red corporativa, porque el túnel hace inmunes a las sesiones ante ataques
- D.Protege la identidad del usuario ante la empresa, porque el túnel anonimiza quién envía el tráfico
Una VPN aporta confidencialidad, integridad y autenticación a los datos que cruzan una red no confiable, pero nada dice del estado de seguridad de los extremos: el malware del portátil entra por el túnel hasta la red corporativa.
Ref. QB-JQMUUGFuente: NIST SP 800-77, Guide to IPsec VPNs; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (VPN)Reportar un problema con esta pregunta
13. Una VPN de acceso remoto se configura para que solo el tráfico hacia los sistemas de la empresa entre en el túnel, mientras que la navegación web sale directamente por la conexión doméstica. ¿Cuál es la consecuencia de seguridad?
- A.La navegación se inspecciona dos veces, en casa y en la pasarela, lo que ralentiza la conexión sin ganancia
- B.La navegación esquiva el filtrado y la inspección corporativos, así que un ataque allí pasa inadvertido✓ Respuesta
- C.La navegación la cifra igualmente el cliente VPN, así que no se pierde ni visibilidad ni control alguno
- D.La navegación obliga al túnel a renegociar claves sin parar, y esa es la debilidad principal del diseño
Esto es la tunelización dividida. Como la mitad del tráfico que va a Internet nunca pasa por la pasarela corporativa, no se le aplican filtrado, registro ni inspección, y un equipo comprometido por esa vía mantiene un túnel abierto hacia la red interna.
Ref. QB-38TZEHFuente: NIST SP 800-77, Guide to IPsec VPNs — split tunneling riskReportar un problema con esta pregunta
14. Dos pasarelas levantan una conexión IPsec que une las redes situadas detrás de ellas, y cada paquete original se envuelve en un paquete nuevo dirigido de pasarela a pasarela. ¿Qué modo se usa y qué protege?
- A.Modo transporte, que protege el paquete original completo y se usa entre pasarelas de dos redes
- B.Modo túnel, que protege el paquete original completo, incluidas sus direcciones de origen y destino✓ Respuesta
- C.Modo túnel, que protege solo la carga útil y deja visible el direccionamiento original para enrutar
- D.Modo transporte, que protege solo la carga útil y se usa entre dos hosts finales de una LAN
El modo túnel encapsula el paquete original completo, cabeceras incluidas, dentro de un paquete externo entre las dos pasarelas, de modo que se protege también el direccionamiento interno. El modo transporte solo protege la carga útil, entre dos hosts.
Ref. QB-NQPUCMFuente: RFC 4301, Security Architecture for the Internet Protocol — tunnel and transport modesReportar un problema con esta pregunta
15. ¿Qué distingue a un cortafuegos de inspección con estado de uno sencillo de filtrado de paquetes?
- A.Examina solo la dirección de origen, la de destino y el puerto de cada paquete por separado
- B.Registra las conexiones en una tabla de estado y admite el tráfico de retorno asociado✓ Respuesta
- C.Termina cada conexión y la rehace en nombre del cliente para poder examinar el contenido
- D.Compara la carga útil con firmas de ataques conocidos y descarta el paquete que coincide
La inspección con estado sigue el estado de cada sesión en una tabla de conexiones, así que distingue una respuesta legítima de un paquete entrante no solicitado. El filtro sin estado no recuerda nada y solo aplica reglas estáticas.
Ref. QB-68VZXMFuente: NIST SP 800-41, Guidelines on Firewalls and Firewall Policy — stateful inspectionReportar un problema con esta pregunta
16. Una empresa debe permitir una aplicación de colaboración aprobada y bloquear otros programas que también viajan sobre TCP 443. ¿Qué capacidad del cortafuegos lo hace posible?
- A.La identificación de aplicaciones, que reconoce el programa que genera el tráfico y no solo el puerto✓ Respuesta
- B.El filtrado de paquetes sin estado, que compara el puerto de destino con una lista de números permitidos
- C.La traducción de direcciones, que reescribe el origen de las sesiones salientes de los equipos aprobados
- D.El enrutamiento estático, que envía el tráfico aprobado por una ruta y descarta el de otras interfaces
Cuando muchas aplicaciones comparten un mismo puerto, una regla escrita sobre el 443 no puede distinguirlas. La identificación de aplicaciones inspecciona la sesión y reconoce la aplicación, y por eso permite una y deniega las demás.
Ref. QB-MQBH7KFuente: NIST SP 800-41, Guidelines on Firewalls and Firewall Policy — application firewalls and application awarenessReportar un problema con esta pregunta
17. Se está configurando un cortafuegos nuevo y el equipo debate cómo debe terminar la base de reglas. ¿Qué postura refleja el principio estándar y por qué?
- A.Denegar el tráfico en horario laboral y permitirlo de noche, porque hay personal de vigilancia
- B.Permitir todo lo que no esté denegado de forma explícita, para que el negocio nunca se interrumpa
- C.Permitir todo el tráfico interno y denegar solo el entrante, porque los internos son de confianza
- D.Denegar todo lo que no esté permitido de forma explícita, con una regla por cada flujo✓ Respuesta
La denegación por defecto aplica el mínimo privilegio en la red: la base de reglas termina con un descarte implícito, así que se bloquea todo lo que la organización no haya aprobado. Permitir por defecto deja abierto cada servicio que nadie recordó bloquear.
Ref. QB-58HPSKFuente: NIST SP 800-41, Guidelines on Firewalls and Firewall Policy — default deny ruleset policyReportar un problema con esta pregunta
18. Un punto de acceso admite WPA2 y WPA3 en modo personal. ¿Qué afirmación explica mejor por qué WPA3 es la opción más sólida?
- A.Su negociación oculta el nombre de la red inalámbrica para que el atacante no pueda localizarla
- B.Su negociación resiste el adivinado del secreto a partir de tramas capturadas y aporta secreto futuro✓ Respuesta
- C.Su negociación sustituye AES por el cifrado de flujo RC4, más rápido y más difícil de romper
- D.Su negociación elimina la contraseña, porque los equipos se autentican solo por su dirección física
En WPA2 personal el atacante captura el saludo de cuatro vías y prueba contraseñas sin conexión. WPA3 personal sustituye ese intercambio por la autenticación simultánea de iguales (SAE), que frustra los ataques de diccionario y da secreto futuro.
Ref. QB-QQDHQPFuente: Wi-Fi Alliance WPA3 security specification — Simultaneous Authentication of Equals (SAE)Reportar un problema con esta pregunta
19. Para asegurar una red inalámbrica, un administrador propone dejar de difundir el nombre de la red y admitir solo una lista de direcciones físicas conocidas. ¿Cómo debe valorarse la propuesta?
- A.Filtrar direcciones es un control sólido, y ocultar el nombre no aporta nada porque lo fija el fabricante
- B.Ambas son controles sólidos: la red se vuelve invisible y ningún equipo desconocido logra asociarse
- C.Ocultar el nombre es un control sólido, y filtrar direcciones no aporta nada porque son locales
- D.Ambas son seguridad por oscuridad: nombres y direcciones viajan en el tráfico y estas se falsifican✓ Respuesta
Un nombre oculto sigue apareciendo en las tramas que envían los clientes legítimos, y las direcciones físicas viajan en claro y se cambian por software en segundos. Ninguna medida autentica a nadie: los controles reales son el cifrado y la autenticación por usuario.
Ref. QB-88KPAQFuente: NIST SP 800-153, Guidelines for Securing Wireless Local Area Networks — SSID hiding and MAC address filteringReportar un problema con esta pregunta
20. El teléfono de una directiva está emparejado con el equipo del coche. Un atacante situado a pocos metros extrae la lista de contactos y los mensajes guardados sin que ella lo note. ¿Qué ataque Bluetooth es?
- A.Desautenticación: la expulsión del equipo de su enlace para forzarlo a asociarse de nuevo con él
- B.Bluejacking: el envío de mensajes no solicitados a un equipo cercano mediante una conexión Bluetooth
- C.War driving: el mapeo de redes inalámbricas y de su intensidad de señal mientras se recorre una zona
- D.Bluesnarfing: la copia no autorizada de los datos almacenados en el equipo mediante Bluetooth✓ Respuesta
El bluesnarfing roba datos del dispositivo Bluetooth, así que vulnera la confidencialidad; el bluejacking solo envía mensajes no deseados y es una molestia. Evitar el modo visible y emparejar solo en lugares de confianza limita ambos.
Ref. QB-ZNNC92Fuente: NIST SP 800-121, Guide to Bluetooth Security; ISC2 CC Exam Outline, Networking and Cloud Security Concepts (wireless: Bluetooth)Reportar un problema con esta pregunta
21. Un equipo de seguridad quiere aplicar su ciclo mensual de parches a los controladores que gobiernan la línea de proceso de una planta química. ¿Por qué un entorno de control industrial exige otro enfoque?
- A.No hace falta parchear: los protocolos de control autentican cada orden y rechazan las no firmadas
- B.La confidencialidad manda: hay que parchear los controladores ya, aunque haya que detener la línea entera
- C.La seguridad física y la disponibilidad mandan: los cambios esperan a una parada y entretanto se segmenta✓ Respuesta
- D.El parcheo es automático: los fabricantes publican actualizaciones que se instalan sin detener nada
En tecnología operativa el orden se invierte: un reinicio no planificado puede herir a personas o arruinar un lote, así que la disponibilidad y la seguridad física pesan más que la confidencialidad. Los parches esperan a la ventana de cambio y la segmentación cubre el riesgo.
Ref. QB-G6G7PZFuente: NIST SP 800-82, Guide to Operational Technology (OT) Security — differences between OT and IT security prioritiesReportar un problema con esta pregunta
22. Un equipo de mantenimiento instala cientos de sensores y cámaras en red por todo un edificio. ¿Qué combinación de rasgos hace difícil asegurar esos dispositivos embebidos?
- A.Credenciales de fábrica conocidas, vías de actualización escasas y una vida útil larga sin soporte✓ Respuesta
- B.Credenciales de fábrica robustas, actualizaciones frecuentes y una vida útil corta con recambio
- C.Procesadores potentes, sistemas operativos completos y herramientas iguales a las de un servidor
- D.Funcionamiento aislado por diseño, sin interfaz de red propia y sin salida fuera del edificio
Los dispositivos embebidos y del Internet de las cosas llegan con credenciales por defecto conocidas, a menudo sin vía de actualización de firmware, y siguen en servicio años después de que su software deje de mantenerse. La respuesta habitual es segmentarlos y cambiar todos los valores por defecto al instalarlos.
Ref. QB-YNA24ZFuente: NISTIR 8228, Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy RisksReportar un problema con esta pregunta
Otros temas de este examen
Preguntas de práctica basadas en el temario del ISC2 Certified in Cybersecurity (CC). Este sitio no está afiliado ni respaldado por ISC2, y estas no son preguntas reales del examen. ISC2 revisa periódicamente los dominios y sus pesos y fija la duración, el estándar de aprobación y los requisitos — confirma el temario y las condiciones vigentes con ISC2 antes de inscribirte. Temario oficial del CC →