26 Preguntas de Práctica de Marcos de ataque y proceso de respuesta con Respuestas

1. 1. Un centro de operaciones de seguridad (SOC) mantiene unas 300 reglas de detección. La dirección pregunta qué comportamientos de adversario el equipo pasaría por alto por completo. Los analistas asignan cada regla a las tácticas y técnicas de un catálogo público de comportamiento y sombrean la matriz según cuántas reglas cubren cada entrada. ¿Qué produce realmente este ejercicio?

   • A.Una lista ordenada de las vulnerabilidades con más probabilidad de ser explotadas en los hosts vigilados, para ordenar el parcheo
   • B.Un mapa de cobertura de las técnicas que hoy carecen de detección, para orientar dónde construir nuevas detecciones✓ Respuesta
   • C.Un recuento de cuántas alertas genera cada regla por turno, para poder ajustar o retirar primero las reglas más ruidosas del conjunto
   • D.Un juicio de atribución que nombra al grupo con más probabilidad de elegir a esta organización como su próximo objetivo

   Asignar las reglas existentes a un catálogo de tácticas y técnicas convierte un inventario de reglas en una imagen de cobertura: las entradas sin ninguna regla detrás son comportamientos que pasarían inadvertidos. El catálogo describe conducta del adversario, así que no ordena vulnerabilidades, no mide volumen de alertas ni atribuye la actividad a un grupo.

   Ref. QB-T5ZC22Fuente: CompTIA CySA+ CS0-004 Objective 3.1 (attack methodology frameworks); MITRE ATT&CK stated use for detection coverage assessmentReportar un problema con esta pregunta

2. 2. Los analistas confirman que un intruso leyó credenciales de la memoria de un proceso en un servidor y después consultó el directorio para obtener los miembros de los grupos con privilegios. El equipo pregunta qué puede aportar un catálogo de tácticas y técnicas de adversario en este punto de la investigación.

   • A.Muestra qué comportamientos suelen seguir al acceso a credenciales y al descubrimiento, para orientar la búsqueda a los pasos probables✓ Respuesta
   • B.Nombra al grupo responsable de la intrusión, porque cada entrada de técnica la usa hoy un único adversario rastreado
   • C.Indica cuánto tiempo lleva presente el intruso, porque cada entrada de técnica registra un tiempo típico de permanencia
   • D.Da el orden que el intruso debe seguir a continuación, porque las entradas del catálogo se numeran según su secuencia

   Un catálogo de comportamiento agrupa las técnicas según el objetivo al que sirven, de modo que el acceso a credenciales y el descubrimiento observados señalan los comportamientos que los adversarios suelen usar después, como el movimiento lateral o la persistencia. El catálogo no registra tiempos de permanencia, no asigna una técnica a un único grupo ni impone un orden obligatorio.

   Ref. QB-DEEHATFuente: CompTIA CySA+ CS0-004 Objective 3.1; MITRE ATT&CK tactic/technique structure (tactic = goal, technique = method)Reportar un problema con esta pregunta

3. 3. Tras un ejercicio conjunto, el informe del equipo ofensivo dice que "usó un binario firmado del sistema para ejecutar la carga" y el del equipo defensivo dice que "vio procesos hijo sospechosos". Ambos describen la misma actividad y la dirección no percibe que coincidan. ¿Cuál es la MEJOR corrección para el próximo ejercicio?

   • A.Que ambos equipos etiqueten la actividad con técnicas nombradas de un mismo catálogo, para que los relatos coincidan punto por punto✓ Respuesta
   • B.Que el equipo defensivo reescriba su relato con las palabras del equipo ofensivo, porque la descripción del atacante es la autorizada
   • C.Que ambos equipos registren sus hallazgos bajo un único número de incidente en el sistema de tiques, para que los informes aparezcan juntos
   • D.Que la dirección lea solo el informe ofensivo, porque el ejercicio lo diseñó y ejecutó el equipo que realizó el ataque simulado

   Un catálogo de técnicas compartido existe justamente para dar a ataque y defensa un vocabulario común: si ambos lados registran el mismo comportamiento nombrado, la cobertura y los huecos se vuelven comparables. Unificar el número de tique, reescribir un informe con las palabras del otro o leer solo una parte deja las dos descripciones sin correspondencia.

   Ref. QB-WWKPVTFuente: CompTIA CySA+ CS0-004 Objective 3.1; MITRE ATT&CK as common language for purple-team and detection workReportar un problema con esta pregunta

4. 4. Una pasarela de correo pone en cuarentena un mensaje cuyo documento adjunto contiene una macro. La macro no se ha ejecutado, ningún buzón la ha abierto y ningún host muestra actividad relacionada. Con el modelo de intrusión de siete etapas, ¿qué etapa representa la evidencia observada?

   • A.Armamentización, porque la macro y el documento se combinaron para producir una carga utilizable
   • B.Explotación, porque un documento con macro dentro del entorno ya equivale a ejecución de código
   • C.Entrega, porque el utillaje llegó al entorno objetivo con la ejecución todavía pendiente✓ Respuesta
   • D.Instalación, porque un adjunto que llega a un buzón ya ha establecido un punto de apoyo en el entorno

   La entrega es la transmisión de la carga armamentizada al objetivo: la carga está presente pero nada se ha ejecutado. La armamentización ocurrió antes en los sistemas del adversario, la explotación exige que la macro actúe contra una debilidad y la instalación exige que se haya establecido un punto de apoyo.

   Ref. QB-CNHVS3Fuente: CompTIA CySA+ CS0-004 Objective 3.1; Lockheed Martin Cyber Kill Chain stage definitions (Delivery)Reportar un problema con esta pregunta

5. 5. Se pide a un analista que construya una detección para cada etapa del modelo de intrusión de siete etapas usando solo telemetría recogida dentro del entorno defendido. Una etapa no puede cubrirse así. ¿Cuál es y por qué?

   • A.Reconocimiento, porque el escaneo y la investigación en fuentes públicas nunca aparecen en los registros propios
   • B.Armamentización, porque se realiza en los sistemas del propio adversario y no deja ningún artefacto en la red defendida✓ Respuesta
   • C.Mando y control, porque un canal cifrado no puede ser registrado por ningún sensor de la red interna vigilada
   • D.Acciones sobre los objetivos, porque el robo de datos se ve igual que un acceso normal a archivos en los registros

   La armamentización ocurre íntegramente en el entorno de construcción del adversario, así que el defensor no tiene ningún artefacto del lado de la víctima que detectar. El reconocimiento sí suele tocar los registros del defensor, los canales de mando y control dejan evidencia de flujo y de DNS aunque vayan cifrados, y las acciones sobre los objetivos sí se pueden distinguir con la telemetría adecuada.

   Ref. QB-V5Q2D4Fuente: CompTIA CySA+ CS0-004 Objective 3.1; Lockheed Martin Cyber Kill Chain — Weaponization occurs on adversary infrastructureReportar un problema con esta pregunta

6. 6. Adjuntos con macros se ejecutan repetidamente en estaciones de finanzas; luego una tarea programada relanza la carga en cada arranque y el host empieza a contactar con un controlador externo. La dirección financiará exactamente un control. ¿Qué opción rompe la cadena más temprano y está descrita correctamente?

   • A.Bloquear los dominios del controlador en la salida, lo que detiene la entrega; un control en la explotación actúa cuando ya salen datos
   • B.Bloquear la ejecución de macros en documentos del correo, lo que detiene la explotación; un control en mando y control actúa más tarde✓ Respuesta
   • C.Filtrar los adjuntos entrantes por tipo de archivo, lo que detiene la armamentización; ese control actúa antes de que se cree la carga
   • D.Eliminar las tareas programadas cada noche, lo que detiene la instalación; un control en la entrega actúa cuando ya hay persistencia

   El modelo por etapas sirve porque muestra dónde una intervención elimina todo lo posterior. Impedir que la macro se ejecute derrota la explotación, así que la instalación y el mando y control nunca ocurren. Las otras opciones etiquetan mal su etapa: el bloqueo de salida actúa en mando y control, borrar tareas actúa tras la instalación y filtrar adjuntos actúa en la entrega, no en la armamentización.

   Ref. QB-BN6JM2Fuente: CompTIA CySA+ CS0-004 Objective 3.1; Cyber Kill Chain used for control placement (earliest effective intervention)Reportar un problema con esta pregunta

7. 7. Una revisión concluye que el intruso entró con credenciales válidas compradas a un intermediario, no ejecutó malware, se movió entre servicios en la nube con tokens robados y volvió al reconocimiento varias veces durante seis semanas. Un gerente quiere el informe ordenado en las siete etapas. ¿Cuál es la MEJOR respuesta?

   • A.Presentarla como un recorrido completo de las siete etapas, porque toda intrusión exitosa debe atravesar cada etapa en orden
   • B.Presentar solo las etapas con evidencia y marcar la intrusión como incompleta, ya que las etapas ausentes indican objetivo fallido
   • C.Reformular toda la campaña como una sola etapa de explotación, porque el abuso de credenciales y de tokens son explotación
   • D.Explicar que la actividad se repite y salta etapas, así que el modelo ordenado impone una secuencia ajena al caso✓ Respuesta

   Un modelo lineal por etapas es una ayuda de planificación, no una descripción de cómo se comportan las intrusiones reales: las intrusiones basadas en identidad pueden omitir por completo la armamentización, la instalación y el malware, y repetir actividades anteriores muchas veces. Forzar la evidencia a un orden fijo fabrica un relato que los datos no sostienen, el mal uso clásico del modelo.

   Ref. QB-U5CQ73Fuente: CompTIA CySA+ CS0-004 Objective 3.1; documented limitation of linear kill-chain models for non-malware, identity-based intrusionsReportar un problema con esta pregunta

8. 8. Una investigación tiene un solo dato confirmado: la dirección de alojamiento donde corría el controlador del intruso. El equipo aplica un modelo de análisis de intrusiones de cuatro vértices. ¿Qué les permite hacer ese único dato?

   • A.Situar la intrusión en un único punto de un modelo por etapas, ya que la infraestructura aparece en una sola etapa
   • B.Establecer directamente la identidad del adversario, ya que las direcciones del controlador se registran al operador
   • C.Pivotar de esa infraestructura hacia la capacidad que sirvió y hacia otras víctimas que la contactaron, completando el cuadro✓ Respuesta
   • D.Confirmar que hubo robo de datos, ya que una dirección de controlador en uso prueba la exfiltración por ese canal

   El axioma central del modelo de cuatro vértices es que cualquier vértice conocido permite pivotar para revelar los demás, así que un único dato de infraestructura conduce a la capacidad entregada por ella y a otras víctimas que la contactaron. Los registros de titularidad no establecen identidad, la infraestructura reaparece en varias etapas y una dirección de controlador no prueba por sí sola pérdida de datos.

   Ref. QB-EN8J56Fuente: CompTIA CySA+ CS0-004 Objective 3.1; Diamond Model of Intrusion Analysis — pivoting axiom across adversary, capability, infrastructure, victimReportar un problema con esta pregunta

9. 9. El equipo de análisis recibe tres peticiones en una semana: (1) decidir si dos intrusiones comparten operador, (2) hallar qué comportamientos de adversario no detecta hoy el equipo, (3) mostrar a la dirección dónde un control habría detenido antes una campaña. ¿Qué asignación de modelos corresponde?

   • A.Modelo por etapas para (1), modelo de relaciones para (2), catálogo de comportamiento para (3), según el orden de campaña
   • B.Catálogo de comportamiento para (1), modelo por etapas para (2), modelo de relaciones para (3), según el utillaje común
   • C.Modelo de relaciones para (1), catálogo de comportamiento para (2), modelo por etapas para (3), según el fin analítico✓ Respuesta
   • D.Modelo de relaciones para (1), modelo por etapas para (2), catálogo de comportamiento para (3), según etapas cubiertas

   Cada marco responde una pregunta distinta: el modelo de relaciones de cuatro vértices une adversario, capacidad, infraestructura y víctima para atribución y pivoteo; el catálogo de tácticas y técnicas expresa comportamientos y por tanto cobertura de detección; el modelo por etapas muestra dónde una intervención rompe antes la campaña. Intercambiarlos da un análisis que el modelo elegido no puede sostener.

   Ref. QB-X5EQQ6Fuente: CompTIA CySA+ CS0-004 Objective 3.1; stated analytic purpose of Diamond Model, MITRE ATT&CK and Cyber Kill ChainReportar un problema con esta pregunta

10. 10. Un equipo siempre ha etiquetado comportamientos con identificadores de técnica después de cerrar un incidente, solo como paso de informe. La nueva responsable quiere usar el catálogo de forma prospectiva. ¿Qué uso refleja MEJOR esa intención?

    • A.Añadir el identificador de técnica a cada tique cerrado, para que el informe trimestral cuente las técnicas observadas por equipo
    • B.Exigir un nombre de técnica antes de escalar cualquier alerta, para que cada escalada lleve consigo una referencia del catálogo
    • C.Elegir técnicas verosímiles para las amenazas de la organización y buscar sus rastros en la telemetría antes de cualquier alerta✓ Respuesta
    • D.Sustituir la cola de alertas por el catálogo, para que los analistas recorran las técnicas en orden numérico en cada turno

    Usado de forma prospectiva, un catálogo de comportamiento aporta hipótesis de búsqueda: se eligen comportamientos que un adversario relevante podría usar y se buscan sus rastros en la telemetría ya existente, sin necesidad de alerta. Etiquetar tiques cerrados, condicionar la escalada a una etiqueta o recorrer la matriz por número son usos retrospectivos o administrativos.

    Ref. QB-EN4HH2Fuente: CompTIA CySA+ CS0-004 Objective 3.1; hypothesis-driven use of ATT&CK for hunting and exercise designReportar un problema con esta pregunta

11. 11. Un borrador de informe afirma que el intruso usó una técnica de robo de credenciales concreta y nombrada. La única evidencia es un pico de inicios de sesión fallidos y un proceso que no pudo identificarse antes de reconstruir el host. ¿Cuál es el manejo correcto?

    • A.Mantener la técnica nombrada, ya que es la explicación más común de un pico de inicios y da al informe algo concreto
    • B.Cambiar la técnica por su táctica superior y dar el mapeo por confirmado, ya que una táctica no exige artefacto alguno
    • C.Quitar del informe toda referencia a marcos, porque un mapeo solo vale cuando lo ha producido un producto de detección
    • D.Anotar el comportamiento como no confirmado con su evidencia, porque una técnica nombrada afirma más de lo observado✓ Respuesta

    Un mapeo a un marco es una afirmación sobre la evidencia, así que nombrar una técnica sostiene que se observó ese método concreto. Con solo un pico de inicios fallidos y un proceso sin identificar, el registro honesto es el comportamiento con su evidencia, marcado como no confirmado. Forzar la evidencia a una etiqueta, o tratar la táctica como libre de prueba, corrompe el análisis posterior.

    Ref. QB-2XVYXUFuente: CompTIA CySA+ CS0-004 Objective 3.1; ATT&CK mapping guidance — confidence must reflect available evidenceReportar un problema con esta pregunta

12. 12. Un analista escribe: "el objetivo era obtener contraseñas; el método fue leerlas de la memoria de un proceso; la implementación concreta fue una copia renombrada de una utilidad firmada de volcado ejecutada desde una carpeta temporal". ¿Cómo se corresponden esas tres descripciones con los términos del marco?

    • A.El objetivo es la táctica, el método es la técnica y la herramienta ejecutada desde esa carpeta es el procedimiento✓ Respuesta
    • B.El objetivo es la técnica, el método es la táctica y la herramienta renombrada es una subtécnica de esa táctica
    • C.El objetivo es el procedimiento, el método es la técnica y la táctica es la carpeta temporal desde la que se ejecutó
    • D.Las tres son técnicas de distinto nivel, ya que las tácticas describen la red y no la actividad en los hosts

    En un catálogo de comportamiento, la táctica es el objetivo del adversario, la técnica es cómo se logra ese objetivo y el procedimiento es la implementación concreta que usó un actor. Las tácticas se aplican tanto a la actividad en hosts como en la red, y una ruta de archivo nunca es una táctica.

    Ref. QB-FNFUP3Fuente: CompTIA CySA+ CS0-004 Objective 3.1; MITRE ATT&CK definitions of tactic, technique and procedureReportar un problema con esta pregunta

13. 13. A mitad de una investigación, el equipo descubre que los hosts de interés nunca reenviaron eventos de creación de procesos y que los registros del proxy se rotan mucho antes de la fecha supuesta de entrada. ¿Qué afirmación describe MEJOR el fallo?

    • A.Falló la detección, porque la propia alerta debería haber traído el historial de procesos necesario
    • B.Falló el análisis, porque el analista debería haber reconstruido la secuencia con los artefactos en disco
    • C.Falló la recuperación, porque restaurar esos hosts desde copia habría devuelto los registros ausentes
    • D.Falló la preparación, porque la cobertura y la retención se deciden por adelantado y con el caso abierto nada los crea✓ Respuesta

    Decidir qué se registra, desde qué hosts y durante cuánto tiempo es trabajo de preparación que debe hacerse antes del incidente, porque la telemetría que nunca se recogió no puede recuperarse después con ninguna herramienta. Las copias restauran el estado del sistema, no registros de auditoría que nunca se generaron o ya caducaron.

    Ref. QB-X5AP43Fuente: CompTIA CySA+ CS0-004 Objective 3.2 (preparation phase); NIST SP 800-61r3 preparedness — logging and data collection decided in advanceReportar un problema con esta pregunta

14. 14. Una regla de correlación genera una alerta por autenticación anómala. Luego un analista confirma que el inicio de sesión fue actividad real del atacante, identifica otras cuatro cuentas tocadas por la misma fuente y declara un incidente. ¿Qué fases están representadas, en orden?

    • A.El disparo de la regla es análisis, y confirmar y delimitar son detección, pues la detección acaba al conocerse el alcance
    • B.Tanto el disparo de la regla como la confirmación son detección, y el análisis empieza solo al estar la contención lista
    • C.El disparo de la regla es detección, y confirmar la actividad, delimitar las cuentas y declarar el caso son análisis✓ Respuesta
    • D.El disparo de la regla es preparación, y confirmar, delimitar y declarar el caso forman juntos la fase de detección

    La detección es la aparición de un posible incidente, ya sea por una regla, un sensor o un aviso. El análisis es la fase distinta en la que el analista valida verdadero o falso positivo, delimita qué más está afectado, clasifica la gravedad y declara el incidente; ese trabajo de juicio no espera a la contención.

    Ref. QB-GNT6V4Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — detection and analysis listed as separate lifecycle phasesReportar un problema con esta pregunta

15. 15. Una alerta de endpoint confirma un web shell en un servidor expuesto a internet. El responsable de turno quiere aislar el host de inmediato y cerrar el caso. Antes de poder confiar en la contención, ¿qué debe cumplirse?

    • A.Parchear primero la vulnerabilidad explotada, porque la contención no aguanta si sigue abierto el fallo de entrada
    • B.Restaurar primero el servidor desde la última copia, para que el servicio siga en marcha mientras se investiga el caso
    • C.Documentar y aprobar primero la causa raíz, porque ningún caso puede contenerse antes de acordar su causa
    • D.Establecer primero el alcance, pues otros hosts, cuentas y recursos en la nube con el mismo apoyo siguen abiertos✓ Respuesta

    La contención solo funciona frente a la intrusión completa, así que el alcance debe determinarse antes en la fase de análisis e identificar cada host, cuenta y recurso en la nube afectado; aislar un servidor mientras sobrevive otro punto de apoyo permite el regreso del intruso. Parchear y restaurar pertenecen a erradicación y recuperación, y la contención no espera una causa raíz firmada.

    Ref. QB-Y5NZ94Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — scoping during analysis precedes containmentReportar un problema con esta pregunta

16. 16. Apagar un servidor de aplicaciones comprometido detendría de inmediato una intrusión activa, pero también terminaría la única instancia en marcha de un servicio de cara al cliente y destruiría el estado de ejecución que el equipo necesita para entender lo ocurrido. ¿Qué espera aquí la buena práctica?

    • A.El analista apaga el host de inmediato, porque detener el daño prevalece sobre el valor investigativo
    • B.El analista cede la decisión al equipo de plataforma, porque la disponibilidad del servicio es cosa de operaciones
    • C.El analista no toca el host hasta acabar el análisis, porque la contención nunca debe alterar lo investigado
    • D.El analista eleva la disyuntiva al responsable del incidente y al dueño del negocio, según la gravedad ya declarada✓ Respuesta

    La contención intercambia rapidez por impacto de negocio y valor investigativo, y ese equilibrio lo fija la gravedad declarada junto con quienes responden por ambos lados: el responsable del incidente y el dueño del negocio. Un analista que actúa solo destruye la comprensión de la intrusión o la deja correr, y ceder la decisión a operaciones elimina el criterio de seguridad.

    Ref. QB-HN6H26Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — containment decisions driven by severity classification and defined IR rolesReportar un problema con esta pregunta

17. 17. El malware se elimina de once hosts en unas horas y el servicio se restablece esa misma noche. Nadie ha determinado todavía cómo entró el intruso. Dos días después, el mismo malware aparece en nueve hosts. ¿Qué afirmación explica MEJOR el resultado?

    • A.La erradicación quitó el síntoma pero la vía de entrada quedó abierta, así que la intrusión volvió por la misma causa✓ Respuesta
    • B.La contención nunca se levantó, así que el malware retenido en el segmento aislado volvió a entrar al reanudar la vigilancia
    • C.La recuperación fue demasiado rápida, así que copias supervivientes volvieron con las copias restauradas en los hosts
    • D.La detección estaba mal ajustada, así que la segunda ola es la primera infección reportada otra vez y no una reinfección

    La erradicación debe quitar la amenaza y la condición que la permitió; borrar el malware mientras siguen ahí el servicio explotado, la credencial expuesta o el control ausente atiende solo el síntoma, y la reinfección por la misma vía es el resultado previsible. Por eso la causa raíz debe entenderse antes de dar la erradicación por completa.

    Ref. QB-Z5ZBF5Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — eradication removes threat and root enabler before recoveryReportar un problema con esta pregunta

18. 18. Se han eliminado los mecanismos de persistencia del intruso, se ha parcheado el servicio explotado y se han rotado las credenciales afectadas. El equipo quiere devolver los sistemas a producción. ¿Qué debe establecer la fase de recuperación?

    • A.Que los sistemas restaurados funcionan bien y se vigilan por recurrencia, desde puntos previos al compromiso✓ Respuesta
    • B.Que el tique del caso está cerrado y hay reunión de lecciones aprendidas, pues la recuperación cierra el proceso formal
    • C.Que cada sistema afectado se reconstruyó desde el medio original del fabricante, pues una imagen endurecida ya no es fiable
    • D.Que el dueño del negocio acepta por escrito el riesgo residual, pues la recuperación le traspasa la exposición restante

    La recuperación devuelve los sistemas a la operación normal y luego demuestra que merecen confianza: se valida la funcionalidad, se confirma que el punto de restauración es anterior al compromiso para no reintroducir la amenaza y se vigila de forma reforzada la recurrencia. Cerrar el tique y celebrar la revisión son actividad posincidente, después de la recuperación.

    Ref. QB-EENTUQFuente: CompTIA CySA+ CS0-004 Objective 3.2 — recovery validates restored systems and monitors for recurrenceReportar un problema con esta pregunta

19. 19. Mientras la investigación continúa, el equipo deshabilita las dos cuentas del intruso, bloquea las direcciones del controlador en el cortafuegos de salida y traslada una instancia en la nube afectada a un grupo de red restringido. ¿A qué fase pertenece este trabajo?

    • A.Erradicación, pues deshabilitar cuentas y bloquear direcciones quita del entorno el utillaje del intruso
    • B.Contención en su forma inmediata, pues se limita el alcance de la intrusión mientras la amenaza sigue estando presente✓ Respuesta
    • C.Recuperación, pues el entorno vuelve a un estado de operación seguro una vez bloqueadas esas conexiones
    • D.Detección, pues bloquear direcciones ya conocidas como maliciosas es como aflora más actividad dañina

    La contención inmediata o a corto plazo limita el daño que una intrusión activa aún puede causar, sin pretender eliminarla: cuentas deshabilitadas, indicadores bloqueados y una instancia en cuarentena recortan el alcance mientras la amenaza y sus causas siguen ahí. La erradicación quita la amenaza y su habilitador; la recuperación restaura y valida después.

    Ref. QB-WWFN9QFuente: CompTIA CySA+ CS0-004 Objective 3.2 — short-term (immediate) containment versus eradicationReportar un problema con esta pregunta

20. 20. Una intrusión confirmada afecta a una aplicación de fabricación heredada que no puede parchearse en varios meses y que no puede apagarse sin detener la producción. El aislamiento inmediato del segmento afectado ya está aplicado. ¿Qué significa aquí la contención a largo plazo?

    • A.Una aceptación permanente del riesgo, ya que una aplicación no parcheable cierra la respuesta con una excepción documentada
    • B.Controles compensatorios y restricción de red que mantienen el riesgo bajo hasta que la remediación sea posible✓ Respuesta
    • C.Repetir el aislamiento inmediato de forma periódica hasta que llegue el parche del fabricante y se pueda actualizar
    • D.Reconstruir el servidor cada semana desde una imagen, para que lo reintroducido se elimine en un ciclo regular

    La contención a largo plazo mantiene el negocio en marcha mientras la remediación completa sigue siendo imposible: segmentación, rutas de acceso más estrictas, supervisión pasiva y otros controles compensatorios mantienen bajo el riesgo residual hasta poder parchear o sustituir la aplicación. Es un puente hacia la erradicación, no una aceptación del riesgo.

    Ref. QB-76CAY4Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — long-term containment with compensating controls; OT availability constraintsReportar un problema con esta pregunta

21. 21. Para restablecer el servicio antes del fin de semana, un equipo restaura veinte servidores desde copia el viernes y planea parchear la semana siguiente el fallo explotado expuesto a internet. ¿Cuál es el resultado MÁS probable?

    • A.Los servidores restaurados están seguros mientras dure la regla del cortafuegos, así que el orden del parcheo no importa
    • B.Los servidores restaurados quedan protegidos, porque restaurar desde copia sustituye el componente vulnerable por uno limpio
    • C.Los servidores restaurados siguen expuestos por el mismo fallo y se vuelven a comprometer antes de la ventana de parcheo✓ Respuesta
    • D.Los servidores restaurados no pueden reinfectarse, porque el utillaje del intruso se quitó de cada host antes de restaurar

    La recuperación no puede adelantarse a la erradicación: una copia lleva el mismo software sin parchear, así que restaurar primero devuelve a internet la misma superficie explotable. Una regla temporal de contención no sustituye al cierre del fallo, y quitar el utillaje no cambia la vía de entrada.

    Ref. QB-QNHFJ5Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — eradication (patching the exploited weakness) precedes recoveryReportar un problema con esta pregunta

22. 22. Un analista del turno de noche cree que una sola autenticación anómala justifica declarar un incidente mayor y avisar a la dirección a las 02:00. ¿Qué rige si se hace esa declaración?

    • A.La propia lectura de gravedad del analista, ya que quien está más cerca de la evidencia es quien mejor puede declarar
    • B.Los criterios documentados de declaración aplicados a la evidencia, que fijan qué califica y quién declara en cada nivel✓ Respuesta
    • C.El número de alertas que la regla produjo de noche, ya que el volumen es la medida acordada de importancia
    • D.La antigüedad del usuario afectado, ya que la importancia de la cuenta decide el nivel asignado al caso

    La declaración es una decisión definida, no una cuestión de criterio personal: el plan fija los criterios que un evento debe cumplir y el rol autorizado a declarar en cada nivel, lo que mantiene coherente y defendible la escalada nocturna. El volumen de alertas y el rango del usuario pueden alimentar la gravedad, pero ninguno es el criterio por sí solo.

    Ref. QB-86QM56Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — incident declaration criteria and defined escalation authorityReportar un problema con esta pregunta

23. 23. Hay dos casos abiertos: un servidor de archivos no disponible que solo guarda material de marketing público, y una base de datos que sigue atendiendo usuarios mientras un intruso lee registros regulados de clientes. El esquema de niveles del equipo pondera impacto funcional, impacto de información y recuperabilidad. ¿Cómo deben ordenarse?

    • A.El caso del servidor de archivos es mayor, porque una caída es un impacto medido y el acceso a datos es solo potencial
    • B.El caso de la base de datos es mayor, porque el impacto de información y la recuperabilidad pesan junto a la función✓ Respuesta
    • C.Ambos son iguales, porque cada caso afecta a un sistema y la gravedad sigue el número de sistemas afectados
    • D.El orden espera la causa raíz de ambos casos, porque la gravedad no se fija antes de entender la causa

    La clasificación de gravedad combina impacto funcional, impacto de información y recuperabilidad, así que el acceso en curso a registros regulados supera la caída de un servicio cuyos datos son públicos: pesan el impacto de información y lo irreversible de la divulgación. La gravedad se asigna por el impacto observado durante el análisis, mucho antes de conocer la causa raíz.

    Ref. QB-RNVSQ6Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — severity and prioritisation by functional impact, information impact, recoverabilityReportar un problema con esta pregunta

24. 24. El análisis muestra que un intruso leyó un directorio con registros personales de clientes. El analista redacta un correo de notificación a los clientes afectados y pide al jefe de turno que lo envíe. ¿Por qué esa vía es incorrecta?

    • A.La notificación sigue el plan de comunicación y la emiten responsables designados, con jurídico y dirección implicados✓ Respuesta
    • B.La notificación es innecesaria mientras los sistemas estén contenidos, pues no hay pérdida confirmada hasta la recuperación
    • C.La notificación la gestiona la mesa de servicio, que ya es dueña de todo contacto saliente con los clientes
    • D.La notificación es deber del analista, pero debe esperar al cierre del caso y a la firma del informe final

    A quién se informa, quién lo hace, con qué rapidez y con qué detalle lo fija el plan de comunicación y lo ejecutan los responsables designados, porque la notificación externa tiene consecuencias legales, regulatorias y de reputación que un analista no está en posición de ponderar. Su papel es aportar hechos verificados a ese proceso.

    Ref. QB-963YA7Fuente: CompTIA CySA+ CS0-004 Objective 3.2 and Domain 4 — stakeholder identification and communication plan ownershipReportar un problema con esta pregunta

25. 25. El servicio se ha restablecido y el caso está formalmente cerrado. El responsable del incidente convoca una revisión con todos los participantes. Además de producir un registro escrito de lo ocurrido, ¿qué debe entregar esta fase?

    • A.Una decisión sobre quién tuvo la culpa, para registrar la responsabilidad individual mientras el caso está reciente
    • B.Un tique cerrado y la eliminación del material del caso, para que el siguiente empiece sin supuestos heredados
    • C.Una repetición de los pasos de contención aplicados, para poder repetir exactamente los mismos pasos la próxima vez
    • D.Cambios que vuelven a la preparación: manuales actualizados, reglas de detección revisadas y huecos de control con dueños y fechas✓ Respuesta

    La actividad posincidente existe para cerrar el círculo hacia la preparación: la revisión convierte lo aprendido en manuales actualizados, mejores detecciones y acciones correctivas asignadas con fechas, de modo que la próxima respuesta empiece más fuerte. Buscar culpables ahoga la franqueza que la revisión necesita, y copiar pasos de contención ignora que el próximo incidente será distinto.

    Ref. QB-SN85W7Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — post-incident activity feeds lessons learned back into preparationReportar un problema con esta pregunta

26. 26. Entre incidentes, un equipo ajusta tres reglas de correlación ruidosas, escribe un manual para el fraude por correo corporativo y gestiona acceso permanente de lectura a los registros de auditoría de la nube para los analistas de guardia. ¿Qué fase es este trabajo y por qué importa el momento?

    • A.Preparación, ya que esta capacidad debe existir antes y resulta imposible construirla con un caso en curso✓ Respuesta
    • B.Actividad posincidente, ya que ajustar reglas y escribir manuales solo sigue a un caso y cierra el incidente anterior
    • C.Detección, ya que el trabajo existe para que salten alertas y pertenece a la fase que hace aflorar la actividad dañina
    • D.Análisis, ya que las reglas ajustadas y el acceso concedido son lo que permite juzgar una alerta ya recibida

    La preparación es la fase que construye capacidad antes de necesitarla: reglas ajustadas, manuales escritos, accesos concedidos por adelantado, cobertura de registros y roles entrenados. Nada de eso puede crearse en medio de un incidente, cuando la presión de tiempo y los sistemas alterados impiden obtener limpiamente nueva instrumentación y nuevas aprobaciones.

    Ref. QB-A6EAG8Fuente: CompTIA CySA+ CS0-004 Objective 3.2 — preparation phase scope (tooling, playbooks, access, alert tuning)Reportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA CySA+. Este sitio no está afiliado ni respaldado por CompTIA, y estas no son preguntas reales del examen. CompTIA renueva este examen periódicamente, mantiene dos versiones en paralelo durante la transición y fija la duración, el estándar de aprobación y los requisitos — confirma los objetivos vigentes y el código de examen activo con CompTIA antes de inscribirte. El examen real también incluye preguntas basadas en desempeño que un banco de opción múltiple no puede reproducir, así que combínalo con práctica real. Objetivos oficiales del CySA+ →