19 Preguntas de Práctica de Arquitectura y fuentes de registro con Respuestas

1. 1. Los registros de flujo de un router central muestran 4,2 GB transferidos desde un servidor de archivos a una dirección externa en cuarenta minutos por TCP 443. La dirección pregunta qué cuenta de empleado movió los datos. ¿Qué acreditan esos registros de flujo y qué fuente responde a la pregunta?

   • A.Los registros de flujo conservan la carga de la sesión para reconstruirla, así que el log del resolutor DNS solo sirve para poner un nombre legible a esa dirección.
   • B.Los registros de flujo fijan los dos hosts, el puerto y el volumen, pero no llevan identidad de cuenta; la telemetría del agente de endpoint nombra al usuario.✓ Respuesta
   • C.Los registros de flujo llevan el nombre de usuario autenticado en su campo de aplicación, así que el log del proxy web solo sirve para recuperar la ruta URL pedida.
   • D.Los registros de flujo ya atribuyen la sesión a una persona mediante la dirección de origen, así que la tabla de concesiones DHCP por sí sola da el nombre del empleado.

   Un registro de flujo resume una conversación: direcciones, puertos, protocolo, bytes, paquetes y tiempos. No tiene campo de usuario, por lo que en un servidor de archivos multiusuario no puede decir quién actuó. Solo una fuente que observa el sistema operativo desde dentro —un agente de endpoint que correlaciona el proceso, su padre y la sesión de inicio— liga la transferencia a una cuenta.

   Ref. QB-6SQECXFuente: CompTIA CySA+ CS0-004 Objective 1.1 (logging and log ingestion; network architecture) with NIST SP 800-92 guidance that flow data records connection metadata, not user identityReportar un problema con esta pregunta

2. 2. Un analista correlaciona el log de un firewall, el de un servidor web y el de un controlador de dominio sobre la misma intrusión. NTP falló en el controlador de dominio hace tres semanas y su reloj va siete minutos adelantado respecto a las otras dos fuentes. ¿Qué debe hacer el analista con la línea de tiempo?

   • A.Ordenar los eventos por la marca de ingesta del colector, ya que el orden de llegada al SIEM reproduce el orden real en que ocurrieron en los hosts.
   • B.Descartar los registros del controlador de dominio como poco fiables y construir la línea de tiempo solo con el firewall y el servidor web, cuyos relojes concuerdan.
   • C.Convertir cada marca de tiempo a la zona horaria local del analista, lo que elimina la discrepancia porque las tres fuentes quedan en una misma escala común.
   • D.Tratar la secuencia como no probada hasta medir y aplicar el desfase de cada fuente, reconstruir la línea contra un reloj de referencia y restaurar NTP en el controlador.✓ Respuesta

   La correlación depende de una base de tiempo común. Un desfase de siete minutos puede invertir causa y efecto, haciendo que una respuesta parezca anterior a la petición que la provocó. La hora de ingesta no es la hora del evento, porque los retardos de cola y reenvío varían por fuente, y reexpresar los mismos valores desviados en otra zona horaria los desplaza todos por igual sin corregir el desfase. Hay que medirlo, aplicarlo como corrección y reparar la sincronización.

   Ref. QB-P9WKXXFuente: CompTIA CySA+ CS0-004 Objective 1.1 (time synchronization); NIST SP 800-92 log management, which requires a synchronized time source before cross-source correlationReportar un problema con esta pregunta

3. 3. Dos plantas escriben sus logs de aplicación en hora local de reloj de pared, sin registrar el desplazamiento horario en la entrada. Una planta aplica el horario de verano y la otra no. Un analista debe ordenar los eventos de ambas plantas durante la noche del cambio de hora. ¿Cuál es la evaluación correcta?

   • A.Las marcas no son ambiguas porque el sistema operativo de cada host guarda su zona internamente, así que basta leer las entradas en el orden en que se escribieron.
   • B.Las marcas sin desplazamiento registrado son ambiguas y una hora de reloj se repite en el cambio; hay que normalizar cada entrada a UTC al ingestarla.✓ Respuesta
   • C.Las marcas deben quedar tal como se escribieron, porque reescribir un campo ya registrado durante la ingesta destruiría la evidencia de no alteración del log.
   • D.Las marcas solo importan dentro de una misma fuente, así que el orden entre plantas debe salir de los números de secuencia que el colector asigna al llegar.

   Una marca local sin desplazamiento no identifica un instante hasta conocer la zona, y en el retroceso del horario de verano la misma hora local ocurre dos veces, por lo que dos entradas separadas una hora pueden leerse igual. Normalizar a UTC en la ingesta conservando la cadena original preserva el valor probatorio y da una escala única ordenable; los números de secuencia del colector solo reflejan la llegada, que el retardo puede invertir.

   Ref. QB-7S3SHYFuente: CompTIA CySA+ CS0-004 Objective 1.1 (logging, time synchronization); NIST SP 800-92 recommendation to normalize event time to a single reference such as UTCReportar un problema con esta pregunta

4. 4. Un parser del SIEM asigna los logs del servidor web a un esquema común y, al hacerlo, descarta el puerto de origen del cliente y la cadena de consulta. Un analista debe vincular una petición registrada con una estación concreta situada detrás de un gateway NAT compartido por 200 hosts. ¿Cuál es el paso correcto?

   • A.Apoyarse solo en la tabla de traducción del gateway NAT, porque asigna cada sesión externa a un único host interno sin necesidad de consultar los puertos.
   • B.Buscar en los eventos normalizados la dirección privada original de la estación, porque un esquema SIEM bien construido conserva siempre la dirección interna tras la traducción.
   • C.Recuperar el log original sin modificar junto al evento normalizado, porque el puerto de origen es el campo que separa las sesiones que comparten una dirección traducida.✓ Respuesta
   • D.Aceptar la pérdida como definitiva, porque un esquema normalizado sustituye al registro original y un campo descartado en el parseo ya no puede recuperarse nunca.

   La normalización pierde datos: lo que el parser no asigna desaparece del evento consultable aunque el colector conserve la línea original. Tras la traducción de direcciones muchos hosts comparten una dirección pública y el puerto de origen traducido es la única clave que distingue sus sesiones simultáneas, así que el registro original más la entrada de traducción de ese puerto y momento identifican el host.

   Ref. QB-K9UKEUFuente: CompTIA CySA+ CS0-004 Objective 1.1 (log ingestion and normalization); NIST SP 800-92 guidance on retaining original log data alongside normalized recordsReportar un problema con esta pregunta

5. 5. El log de auditoría de una base de datos registra una sentencia DROP TABLE ejecutada por app_svc, la única cuenta agrupada que la aplicación web usa para todas sus conexiones. En ese momento treinta empleados estaban conectados a la aplicación. ¿Qué acredita el log de la base de datos?

   • A.Prueba que el equipo de administración de la base de datos ejecutó la sentencia, porque solo las cuentas administrativas reciben permiso para borrar una tabla.
   • B.Nombra a la persona responsable, porque un pool de conexiones escribe siempre el usuario final de origen en el mismo campo de auditoría que la cuenta de servicio.
   • C.No acredita absolutamente nada, porque las conexiones agrupadas vuelven inservible como prueba el rastro de auditoría y conviene excluirlo de la investigación.
   • D.Nombra la identidad de aplicación que emitió la sentencia, pero no a la persona detrás; el log de sesiones de la aplicación debe ligar esa acción a un usuario final.✓ Respuesta

   Es el caso clásico de una fuente que registra el resultado pero no al actor. La base de datos solo ve la identidad que se autenticó ante ella y, con una cuenta agrupada compartida, esa identidad es la aplicación: el log prueba qué se hizo y cuándo, pero no quién. La atribución exige el log de sesiones o transacciones de la capa de aplicación, que guarda el usuario autenticado de la petición que disparó la sentencia.

   Ref. QB-4SZRZUFuente: CompTIA CySA+ CS0-004 Objective 1.1 (logging as evidence; identity and access management) — shared service accounts break attribution at the data tierReportar un problema con esta pregunta

6. 6. El log de eventos de seguridad de una estación comprometida contiene una entrada de borrado de log y nada anterior. El entorno reenvía los eventos de las estaciones a un colector central cada pocos minutos. ¿Cuál es la evaluación correcta de la evidencia disponible?

   • A.La copia del colector no es fiable, porque un evento que no se leyó del host que lo generó no tiene valor como registro de la actividad de ese mismo host.
   • B.Las entradas se perdieron para siempre, porque borrar el log local de eventos purga también los registros correspondientes ya reenviados al colector central.
   • C.Las copias ya reenviadas al colector siguen existiendo, así que las entradas escritas antes del borrado pueden examinarse aunque la copia local del host desapareció.✓ Respuesta
   • D.El evento de borrado es ahora la única prueba utilizable, así que la investigación tiene que seguir con los artefactos de disco del equipo y una entrevista al usuario.

   La agregación centralizada existe justamente para esto: una vez reenviado, el evento queda fuera del alcance de un atacante que solo controla el endpoint, por lo que borrar el log local destruye la copia del host y deja intacta la del colector. La entrada de borrado es un indicador útil, pero no reduce la investigación a artefactos locales mientras sobrevivan los registros reenviados.

   Ref. QB-M97XKVFuente: CompTIA CySA+ CS0-004 Objective 1.1 (centralized log collection and log integrity); NIST SP 800-92 rationale for forwarding logs off the generating hostReportar un problema con esta pregunta

7. 7. Un sensor de red registra una sesión TLS desde una estación hacia un host sospechoso: indicación de nombre de servidor, datos del certificado, bytes y duración, sin carga visible. El analista debe determinar qué ejecutable de la estación abrió esa conexión. ¿Cuál es la mejor fuente?

   • A.Descifrar la captura guardada con el certificado visto en la sesión, lo que revela el nombre del proceso cliente en las cabeceras de capa de aplicación del flujo.
   • B.Examinar el log del resolutor DNS para ese mismo nombre de host, que anota el proceso solicitante junto a la consulta porque la resolución es por aplicación.
   • C.Consultar la telemetría de procesos y conexiones del agente de endpoint, que liga cada socket saliente al proceso, su padre y la cuenta que lo lanzó.✓ Respuesta
   • D.Revisar la tabla de sesiones del firewall para la estación, que lista la aplicación cliente de cada flujo permitido en cuanto se activa la inspección en la regla.

   La vista de red termina en el socket: identifica los extremos, el nombre negociado y el volumen, pero nada en los paquetes indica qué programa local posee la conexión, y un certificado de servidor no descifra una sesión negociada con intercambio efímero. La telemetría de endpoint observa la tabla de sockets desde dentro del sistema operativo, y eso liga el flujo al proceso, su padre y su usuario.

   Ref. QB-5SC47WFuente: CompTIA CySA+ CS0-004 Objective 1.1 (operating system concepts; logging) — endpoint telemetry supplies process-to-connection attribution that network telemetry cannotReportar un problema con esta pregunta

8. 8. Un controlador de gestión de edificios está en una red de tecnología operativa segmentada. Su fabricante retira el soporte si se instala cualquier software en él, por lo que no cabe un agente de endpoint. El analista debe establecer si el controlador contacta con una dirección externa. ¿Qué respeta la restricción?

   • A.Capturar y analizar el tráfico que cruza el límite del segmento desde un sensor de red, que registra las sesiones del controlador sin tocar el dispositivo.✓ Respuesta
   • B.Instalar el agente de endpoint en modo solo monitorización una semana, ya que la recolección pasiva no altera de ningún modo la configuración soportada del controlador.
   • C.Leer el log de eventos local del propio controlador por su interfaz de gestión, que lista cada sesión saliente abierta con direcciones de origen y destino.
   • D.Ejecutar un escaneo de vulnerabilidades con credenciales contra el controlador, cuyas comprobaciones autenticadas enumeran sus conexiones de red activas.

   Cuando un host no puede instrumentarse, la vista de red es la única vista, y por eso la monitorización pasiva es el enfoque habitual en redes de tecnología operativa: un sensor alimentado por una derivación o un puerto espejo observa las sesiones del dispositivo sin añadirle nada. Instalar un agente cambia el estado del software y un escaneo con credenciales se autentica contra el equipo; la condición de soporte prohíbe ambas cosas.

   Ref. QB-H95X3SFuente: CompTIA CySA+ CS0-004 Objective 1.1 (operational technology constraints; network architecture and monitoring placement)Reportar un problema con esta pregunta

9. 9. Dos servidores sospechosos de movimiento lateral por SMB están en la misma VLAN del mismo switch. El único sensor de red está en el borde de Internet y no muestra tráfico entre ellos. ¿Cómo debe interpretarse correctamente ese silencio?

   • A.El tráfico entre dos hosts de una misma VLAN nunca llega a un sensor de borde, así que su silencio no prueba nada; hace falta telemetría de host o un sensor en el segmento.✓ Respuesta
   • B.El registro vacío del sensor demuestra que no hubo movimiento lateral, porque toda sesión SMB entre dos servidores internos se enruta por el dispositivo de borde.
   • C.El sensor de borde perdió las sesiones porque el tráfico SMB va cifrado en tránsito, así que activar el descifrado en ese sensor revelaría las conexiones internas.
   • D.El registro del sensor está incompleto porque su conjunto de reglas excluye los rangos privados, así que ampliar esas reglas recuperará retroactivamente las sesiones.

   La ubicación del sensor decide qué puede observarse. Los hosts del mismo dominio de difusión intercambian tramas por el switch sin cruzar ninguna frontera enrutada, así que un sensor de borde nunca ve esa conversación y su falta de registros no prueba ausencia de actividad. Para ver el tráfico este-oeste hace falta telemetría de endpoint o un sensor alimentado desde dentro del segmento, por ejemplo un espejo de los puertos implicados.

   Ref. QB-2SA4PSFuente: CompTIA CySA+ CS0-004 Objective 1.1 (network architecture; segmentation and monitoring placement) — segmentation limits lateral movement but does not itself observe itReportar un problema con esta pregunta

10. 10. Las estaciones pueden alcanzar directamente cualquier dirección externa por TCP 443 y no hay proxy web. Un responsable pide la lista de URLs que una estación visitó el martes pasado. ¿Cuál es la respuesta correcta?

    • A.Los registros disponibles solo guardan nombres de host y direcciones, así que el detalle de URL exigiría salida por un proxy con inspección que registre peticiones.✓ Respuesta
    • B.El log de permitidos del firewall ya registra la URL completa de cada sesión autorizada, así que filtrarlo por la dirección de la estación responde de inmediato.
    • C.El log del resolutor DNS reconstruye las URLs visitadas, porque cada nombre resuelto se escribe una vez por petición de página junto con la ruta solicitada.
    • D.El historial del navegador de la estación es aquí la fuente autorizada, porque su usuario no puede editar ese almacén local y se conserva por tiempo ilimitado.

    La evidencia solo existe donde la arquitectura crea un registro. Un firewall anota la quíntupla, no la línea de petición, y el log del resolutor guarda el nombre consultado sin ruta, así que con salida directa lo máximo reconstruible es a qué hosts se contactó. Forzar el tráfico web por un punto de estrangulamiento con proxy es lo que genera evidencia de URL; el historial del navegador es modificable por el usuario y local.

    Ref. QB-DRQ3BZFuente: CompTIA CySA+ CS0-004 Objective 1.1 (network architecture; logging coverage) — egress control placement determines what request-level evidence existsReportar un problema con esta pregunta

11. 11. Objetos de un bucket de almacenamiento en la nube se eliminaron durante un fin de semana. Las fuentes disponibles incluyen los logs del sistema huésped de una máquina virtual que montó el bucket, logs de flujo de la red virtual y el rastro de auditoría del proveedor. ¿Qué fuente nombra a la identidad que emitió las llamadas de borrado?

    • A.El log de flujo de la red virtual, que registra cada sesión API hacia el endpoint de almacenamiento junto con la identidad presentada en las cabeceras de la petición.
    • B.El log de auditoría del plano de control del proveedor, que registra cada llamada API de gestión con su identidad, dirección de origen y hora.✓ Respuesta
    • C.El log del sistema operativo huésped de la máquina virtual que montó el bucket, que registra los borrados de archivos ejecutados contra esa ruta montada.
    • D.El log de peticiones de lectura del servicio de almacenamiento, que solo captura recuperaciones y es por ello el registro definitivo de quién borró los objetos.

    En la nube el registro autorizado de quién hizo qué a un recurso está en el plano de control, porque la acción es una llamada API de gestión autenticada y no un evento del sistema operativo. Los logs de flujo resumen conexiones y no ven la identidad dentro de una sesión TLS, un log de huésped solo refleja lo que esa instancia hizo por su montaje, y un log de solo lecturas no registra borrados.

    Ref. QB-V8JWQYFuente: CompTIA CySA+ CS0-004 Objective 1.1 (infrastructure and cloud architecture; logging) — control-plane audit logs are the record of management API activityReportar un problema con esta pregunta

12. 12. Una alerta señala un archivo sospechoso escrito dentro de un contenedor. Cuando el analista lo revisa, el orquestador ya ha sustituido ese contenedor por una instancia nueva de la misma imagen. ¿Cuál es la posición correcta sobre la evidencia?

    • A.La evidencia sobrevive solo si se envió fuera del contenedor mientras corría, porque sustituir una instancia descarta su capa escribible por completo.✓ Respuesta
    • B.La capa escribible del contenedor sustituido se conserva en el nodo por defecto, así que el archivo aún puede recuperarse del almacenamiento local de contenedores.
    • C.La imagen del registro contiene ahora el archivo escrito, porque todo lo creado en ejecución se confirma de vuelta en la imagen cuando el contenedor termina.
    • D.El log de planificación del orquestador guarda el contenido del archivo, porque captura el estado completo de una instancia antes de terminarla y reemplazarla.

    Los contenedores se diseñan como desechables y la imagen es inmutable, así que las escrituras en ejecución quedan en una capa escribible efímera que se descarta con la instancia. Por eso el logging del contenedor y la telemetría de integridad de archivos deben transmitirse a un colector externo mientras el workload corre; tras la sustitución solo queda lo ya reenviado.

    Ref. QB-CRCR5YFuente: CompTIA CySA+ CS0-004 Objective 1.1 (containerization and virtualization; log ingestion) — ephemeral workloads require off-host log shippingReportar un problema con esta pregunta

13. 13. Una transacción fraudulenta se rastrea hasta una invocación de una función serverless que corrió 900 milisegundos hace tres días. No hay host persistente ni disco adjunto. ¿Cómo debe proceder el analista?

    • A.Trabajar con los registros de invocación de la plataforma y la telemetría emitida por la función, porque el entorno de ejecución ya no existe ni hay disco persistente que adquirir.✓ Respuesta
    • B.Solicitar al proveedor el contenedor de ejecución subyacente al amparo del acuerdo de soporte, ya que los entornos se retienen una ventana fija tras cada ejecución.
    • C.Tomar una imagen forense de la instancia anfitriona de la función desde el portal del proveedor, calcular su hash y examinar el sistema de archivos en busca de artefactos.
    • D.Reconstruir el entorno desde el paquete de despliegue y repetir la petición, tratando la instancia reconstruida como evidencia primaria de lo que realmente ocurrió.

    La ejecución serverless elimina la clase de artefactos en que se apoya el forense de host: no hay instancia que imaginar ni disco que adquirir, y el cliente no accede al sustrato de ejecución del proveedor. El registro durable es lo que la plataforma y la función escribieron al ejecutarse —identidad de invocación, parámetros, duración, llamadas salientes y logs— por lo que esa telemetría debe configurarse de antemano. Una instancia repetida es una reconstrucción, no evidencia.

    Ref. QB-U87KJXFuente: CompTIA CySA+ CS0-004 Objective 1.1 (serverless and infrastructure concepts) — ephemeral compute shifts evidence from host artefacts to platform and application telemetryReportar un problema con esta pregunta

14. 14. Se sospecha que una máquina virtual ejecuta un rootkit a nivel de kernel, por lo que ni su log de eventos ni la salida de su agente de endpoint son ya fiables. ¿Qué aporta la capa de virtualización a la investigación?

    • A.Nada independiente en absoluto, porque un hipervisor registra solo la planificación de recursos y no ve la actividad del huésped ni el tráfico que este envía.
    • B.Un registro directo de las creaciones de proceso del huésped, así que los logs del hipervisor pueden sustituir la telemetría del agente comprometido en esa máquina.
    • C.Una copia autorizada del propio log de eventos del huésped, porque el hipervisor replica el logging del huésped en su almacén para cada máquina que administra.
    • D.Evidencia fuera del control del huésped: tráfico del switch virtual y acciones del plano de gestión sobre esa máquina, observadas sin depender del huésped.✓ Respuesta

    Cuando el código dentro del huésped puede estar mintiendo, el valor está en los registros generados por debajo o al lado. El hipervisor y la red virtual ven el tráfico de la máquina y toda acción administrativa sobre ella —estado de energía, snapshot, reconfiguración, acceso por consola— y un rootkit interno no puede alterarlos. Lo que el hipervisor no hace es reproducir el detalle de procesos internos, así que complementa la telemetría de endpoint, no la sustituye.

    Ref. QB-BRZDYWFuente: CompTIA CySA+ CS0-004 Objective 1.1 (virtualization; log integrity) — records produced outside a suspect guest are not subject to that guest's tamperingReportar un problema con esta pregunta

15. 15. El personal accede a una aplicación de gastos alojada mediante inicio de sesión único a través del proveedor de identidad corporativo. Un analista debe establecer si se cumplió el segundo factor al iniciar sesión y qué informes de gastos abrió la cuenta después. ¿Dónde está esa evidencia?

    • A.Ambos hechos están en los registros de inicio del proveedor de identidad, que anota el resultado de autenticación y cada acción posterior del usuario en la aplicación.
    • B.Ambos hechos están en el log de auditoría de la aplicación alojada, porque un servicio federado registra la decisión de autenticación recibida junto con la actividad interna.
    • C.El resultado de autenticación y del segundo factor vienen del proveedor de identidad; las acciones dentro de la aplicación, del log de auditoría del servicio.✓ Respuesta
    • D.Ninguno de los dos está disponible para el cliente, porque la federación deja el registro de inicio y el de actividad bajo el control exclusivo del proveedor.

    La federación divide la evidencia por la misma línea que divide la confianza. El proveedor de identidad realiza la autenticación y por tanto posee el registro de los factores presentados, la política aplicada y el resultado, mientras el proveedor de servicio solo recibe una aserción y registra lo que la sesión hizo dentro de la aplicación. Una investigación que abarque ambas preguntas debe recoger de los dos lados.

    Ref. QB-T8U8DWFuente: CompTIA CySA+ CS0-004 Objective 1.1 (identity and access management: SSO and federation; logging) — the IdP owns authentication records, the SP owns activity recordsReportar un problema con esta pregunta

16. 16. Una cuenta se usó a las 02:00 para acceder a una aplicación en la nube federada, pero los logs de seguridad del controlador de dominio de esa hora no contienen ningún inicio de sesión de la cuenta. Un analista junior cierra la alerta como falso positivo. ¿Cómo debe juzgarse esto?

    • A.La conclusión se sostiene, porque una aplicación federada valida siempre la credencial contra el directorio local antes de conceder cualquier acceso.
    • B.La conclusión es errónea: la autenticación de una aplicación federada ocurre en el proveedor de identidad, así que su log de inicios, y no el controlador, tiene el registro.✓ Respuesta
    • C.La conclusión se sostiene, porque la ausencia de un registro de inicio significa que no se presentó ninguna credencial en el entorno durante esa hora.
    • D.La conclusión es insegura solo porque el controlador de dominio pudo estar apagado, así que confirmar su disponibilidad en esa hora resolvería el asunto.

    La federación traslada el evento de autenticación al proveedor de identidad, que emite una aserción en la que la aplicación confía; en muchos diseños no se genera ningún inicio en el directorio local. Consultar el sistema equivocado y tomar un resultado vacío como prueba de que nada ocurrió es una brecha de cobertura, no un hallazgo. Hay que consultar el log de inicios del proveedor para esa cuenta y hora.

    Ref. QB-ARN3TVFuente: CompTIA CySA+ CS0-004 Objective 1.1 (SSO and federation; logging coverage) — absence of evidence in an out-of-path log is not evidence of absenceReportar un problema con esta pregunta

17. 17. Un analista debe establecer cuándo se añadió una cuenta comprometida a un grupo privilegiado y desde qué estación se autenticó esa cuenta en el mismo periodo. ¿Qué fuente única responde mejor a ambas preguntas?

    • A.La telemetría de procesos del agente de endpoint en el servidor de archivos, que anota cada uso del privilegio y también el cambio de grupo que lo había autorizado antes.
    • B.El log de seguridad del servicio de directorio, que registra los cambios de pertenencia a grupos y los eventos de autenticación que nombran la estación solicitante.✓ Respuesta
    • C.Los registros de flujo de red del controlador de dominio, que muestran el tráfico de autenticación de la cuenta y el grupo en que ese cambio la colocó.
    • D.El historial de préstamos de la bóveda de acceso privilegiado, que registra cada sesión administrativa y el grupo de directorio concedido en ese momento.

    La infraestructura de directorio e identidad es el registro autorizado del estado de las cuentas y de la autenticación, porque es el componente que ejecuta ambas operaciones. Su log de seguridad contiene el cambio de pertenencia con el actor que lo hizo y los eventos de ticket o inicio que identifican la estación solicitante. Los flujos no tienen semántica de directorio y una bóveda solo cubre las sesiones que pasaron por ella.

    Ref. QB-S8GW7VFuente: CompTIA CySA+ CS0-004 Objective 1.1 (identity and access management; logging) — the directory service records both account changes and authentication eventsReportar un problema con esta pregunta

18. 18. Una investigación necesita evidencia del proxy web de hace siete meses. La retención establecida del proxy es de treinta días y no existe ningún archivo de esos registros. ¿Cuál es el manejo correcto?

    • A.Informar de que no hubo navegación maliciosa en ese periodo, ya que el proxy no guarda registro de ninguna infracción del usuario en cuestión.
    • B.Pedir al fabricante que restaure las entradas caducadas, porque el equipo mantiene recuperables los datos borrados durante un año.
    • C.Subir la retención a doce meses y repetir la búsqueda, porque el nuevo valor se aplica también a los registros ya escritos antes.
    • D.Declarar qué puede y qué no puede mostrar la ventana retenida, buscar fuentes que duren más que el proxy y anotar los meses ausentes como limitación.✓ Respuesta

    La retención acota lo que una fuente puede probar; fuera de esa ventana el hallazgo honesto es que la fuente calla, no que nada ocurrió. Un cambio de retención solo rige hacia el futuro y las entradas caducadas se eliminan en lugar de archivarse, así que el analista declara la limitación, trabaja con fuentes de vida más larga y devuelve la brecha de cobertura a los requisitos de logging.

    Ref. QB-HR5EZ5Fuente: CompTIA CySA+ CS0-004 Objective 1.1 (logging: retention and coverage); NIST SP 800-92 guidance that retention policy determines available log evidenceReportar un problema con esta pregunta

19. 19. Un firewall está configurado para registrar solo las conexiones denegadas. Una estación emite señales periódicas a un host externo de mando y control por TCP 443 permitido, y el log del firewall no contiene entradas para esa estación. ¿Cuál es la lectura correcta?

    • A.El log calla porque las sesiones cifradas están exentas del registro del firewall, así que el registro de esta estación se reanuda al activar el descifrado en la regla.
    • B.La estación no abrió ninguna sesión saliente en ese periodo, porque una sesión permitida habría escrito igualmente una entrada en la regla de permiso que la llevó.
    • C.El silencio del log refleja la configuración de registro y no el comportamiento del host, así que el tráfico permitido debe registrarse u observarse desde otra fuente.✓ Respuesta
    • D.El log calla porque las sesiones salientes solo se escriben al cerrarse, así que las entradas ausentes aparecerán cuando esas conexiones largas terminen por fin.

    El nivel de registro forma parte de la cobertura: un dispositivo que solo anota denegaciones no deja constancia de las sesiones exitosas, que son precisamente las que importan para el tráfico de mando y control amparado en una regla de permiso. La falta de entradas habla de la configuración, no del host, y la solución es registrar las sesiones aceptadas u obtener esa visibilidad de flujos o telemetría de endpoint.

    Ref. QB-Z8Y8E5Fuente: CompTIA CySA+ CS0-004 Objective 1.1 (logging levels and log coverage) — deny-only logging creates a blind spot for successful connectionsReportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA CySA+. Este sitio no está afiliado ni respaldado por CompTIA, y estas no son preguntas reales del examen. CompTIA renueva este examen periódicamente, mantiene dos versiones en paralelo durante la transición y fija la duración, el estándar de aprobación y los requisitos — confirma los objetivos vigentes y el código de examen activo con CompTIA antes de inscribirte. El examen real también incluye preguntas basadas en desempeño que un banco de opción múltiple no puede reproducir, así que combínalo con práctica real. Objetivos oficiales del CySA+ →