26 Preguntas de Práctica de Técnicas de respuesta a incidentes con Respuestas

1. 1. A las 08:05 se abren cuatro alertas a la vez: un agente de endpoint informa de una herramienta de volcado de credenciales escribiendo en disco en un controlador de dominio; un kiosco informa de adware; la pasarela de correo informa de un mensaje de spam en cuarentena; y un sensor de intrusiones coincide con una firma de exploit de Linux de 2009 contra un host que solo ejecuta Windows. ¿Qué alerta debe atender primero el analista y por qué?

   • A.El volcado de credenciales, porque es actividad viva en la capa de identidad y ampliaría el acceso en todo el entorno.✓ Respuesta
   • B.La firma de exploit, porque los sensores de red observan el ataque en una fase más temprana que los agentes de endpoint.
   • C.El adware del kiosco, porque una identificación confirmada de malware tiene prioridad sobre un comportamiento no probado.
   • D.El spam en cuarentena, porque el correo es la vía de entrada más común y bloquearlo evita las etapas posteriores.

   El triaje ordena las alertas por su probabilidad de ser reales y por su consecuencia. El volcado de credenciales en un controlador de dominio es conductual, difícil de falsear y permitiría al intruso autenticarse en cualquier sitio, mientras que el adware, el mensaje ya en cuarentena y una firma de Linux contra un host solo Windows son de bajo impacto o falsos positivos evidentes.

   Ref. QB-CTCXPWFuente: CompTIA CySA+ CS0-004 Objective 3.3 (incident response techniques: triage and prioritization); NIST SP 800-61 detection and analysis, prioritization by functional and information impactReportar un problema con esta pregunta

2. 2. Un analista confirma un proceso sospechoso en una estación de finanzas que mantiene una conexión saliente establecida. La mesa de servicio propone reiniciar la máquina para eliminarlo antes de que el analista continúe. ¿Qué debe hacerse primero y por qué?

   • A.Capturar primero la imagen de memoria, la lista de procesos y las conexiones abiertas, porque el reinicio destruye ese estado vivo.✓ Respuesta
   • B.Reiniciar la estación para que el proceso deje de propagarse y crear la imagen del disco cuando esté en reposo.
   • C.Ejecutar la rutina de limpieza del agente de endpoint y luego capturar la memoria del host ya limpio en marcha.
   • D.Cortar la alimentación para congelar el disco tal como está y recuperar después los datos del proceso desde el pagefile.

   La tabla de procesos, su relación con el proceso padre, el código inyectado y el socket abierto solo existen en estado volátil. Un reinicio, un corte de corriente o una rutina de limpieza elimina el vínculo entre el proceso y la dirección remota, así que la captura volátil precede a cualquier contención o limpieza.

   Ref. QB-UA7S4WFuente: CompTIA CySA+ CS0-004 Objective 3.3 (evidence acquisition, order of volatility); RFC 3227 Guidelines for Evidence Collection and ArchivingReportar un problema con esta pregunta

3. 3. Un respondedor dispone de diez minutos en un host comprometido y encendido antes de que una ventana de mantenimiento fuerce el reinicio. Puede recoger la caché ARP y la tabla de conexiones activas, una imagen completa del disco, los registros de autenticación archivados en el servidor de logs y la cinta de respaldo de anoche. ¿Qué debe recoger primero y por qué?

   • A.Los registros de autenticación archivados, porque la rotación puede borrarlos y sostienen la línea de tiempo.
   • B.La imagen completa del disco, porque es el artefacto más grande y un reinicio a mitad de la adquisición la invalida.
   • C.La caché ARP y la tabla de conexiones, porque ese estado solo existe mientras el host sigue encendido.✓ Respuesta
   • D.La cinta de respaldo de anoche, porque conserva el host tal como estaba antes de los cambios del atacante.

   El orden de volatilidad exige recoger primero lo más perecedero. La caché ARP y la tabla de conexiones desaparecen al reiniciar el host, mientras que el disco, los logs ya enviados y la cinta sobreviven al reinicio y pueden adquirirse después.

   Ref. QB-BTZKHVFuente: RFC 3227 order of volatility; CompTIA CySA+ CS0-004 Objective 3.3 (evidence acquisition and preservation)Reportar un problema con esta pregunta

4. 4. Un analista debe examinar una estación en la que se sospecha que hay un intruso activo. Un compañero le ofrece las credenciales de administrador de dominio para poder leer todas las ubicaciones protegidas del host. ¿Qué debe hacer el analista?

   • A.Usar las credenciales de administrador de dominio, porque hacen falta derechos plenos para leer las zonas protegidas.
   • B.Usar la contraseña de administrador local, porque las credenciales locales no pueden reutilizarse contra otro sistema.
   • C.Usar una cuenta sin derechos en otro sitio, o recolectar por agente remoto, porque el inicio interactivo la expone.✓ Respuesta
   • D.Usar la cuenta del propio usuario afectado y elevar cuando se solicite, para que la actividad pase por sesión normal.

   Un inicio de sesión interactivo deja la credencial privilegiada en la memoria de una máquina que el intruso puede seguir controlando, por lo que entrar como administrador de dominio puede entregar todo el directorio. La recolección se hace con una cuenta acotada sin derechos en otros sistemas o de forma remota mediante agente, y las contraseñas de administrador local suelen repetirse entre equipos.

   Ref. QB-TAUEXUFuente: CompTIA CySA+ CS0-004 Objective 3.3 (incident response techniques: safe handling of compromised hosts); NIST SP 800-61 containment and analysis practicesReportar un problema con esta pregunta

5. 5. Un usuario informa de un correo de phishing. El analista confirma que un atacante mantiene una sesión activa en el buzón en la nube del usuario y ha creado una regla de reenvío oculta. ¿Qué debe hacer primero el analista con la cuenta?

   • A.Revocar las sesiones activas, restablecer la credencial fuera de banda y llamar al usuario, porque el atacante lee ese buzón.✓ Respuesta
   • B.Enviar instrucciones al buzón afectado pidiendo al usuario que cambie la contraseña en cuanto pueda leerlas.
   • C.Dejar la cuenta intacta hasta terminar la línea de tiempo forense para no perturbar la actividad del atacante.
   • D.Publicar un aviso que nombre el buzón afectado para que los compañeros dejen de responder a esos mensajes.

   Un intruso dentro del buzón lee cualquier aviso que se envíe allí, y un simple cambio de contraseña deja vivos los tokens y la regla de reenvío. Primero se restablece la credencial y se revocan las sesiones, se elimina la regla y se contacta al usuario por un canal que el atacante no pueda observar.

   Ref. QB-ATN9CUFuente: CompTIA CySA+ CS0-004 Objective 3.3 (containment: account and session containment, out-of-band notification)Reportar un problema con esta pregunta

6. 6. Un portátil puede convertirse en prueba en un despido que la empresa espera que sea impugnado. El analista va a adquirir su disco. ¿Qué conjunto de prácticas mantiene el trabajo defendible?

   • A.Arrancar el portátil con su propio sistema, exportar las carpetas de interés y calcular el hash de cada archivo exportado.
   • B.Montar el disco original en modo lectura en el sistema de análisis, examinarlo allí y calcular el hash de los archivos relevantes.
   • C.Conectar el disco por bloqueador de escritura, crear una imagen bit a bit, calcular su hash y examinar solo la copia verificada.✓ Respuesta
   • D.Copiar el perfil del usuario a un recurso protegido, calcular el hash de cada archivo copiado y dejar el portátil encendido.

   El bloqueador de escritura evita que la adquisición altere el origen, la imagen bit a bit con su hash registrado demuestra que la copia es fiel, y analizar solo la copia deja el original tal como fue incautado para quien lo reexamine. Arrancar la máquina o exportar carpetas concretas altera marcas de tiempo y pierde el espacio no asignado.

   Ref. QB-SAG4STFuente: CompTIA CySA+ CS0-004 Objective 3.3 (evidence acquisition: write blockers, bit-for-bit imaging, hashing and validation)Reportar un problema con esta pregunta

7. 7. A mitad del examen el analista debe entregar el disco de prueba a un compañero del turno siguiente y le explica de palabra lo hecho hasta ese momento. ¿Qué se requiere para que esa entrega resista un escrutinio posterior?

   • A.Un correo enviado al expediente después del turno, porque un mensaje con marca de tiempo muestra cuándo ocurrió la entrega.
   • B.Una entrada en la cadena de custodia con fecha, hora, ambos nombres y el motivo, firmada por las dos partes.✓ Respuesta
   • C.Un nuevo hash de la imagen guardado tras la entrega, que muestra que el disco siguió en manos autorizadas.
   • D.Una nota añadida al ticket del incidente al final del turno, porque el ticket es el registro oficial del caso.

   La cadena de custodia es un registro escrito ininterrumpido de quién tuvo la prueba, cuándo y por qué, y la transferencia se documenta y se firma en el momento en que ocurre. Un correo posterior, una nota en el ticket o un nuevo hash no acreditan quién poseyó el disco durante ese intervalo, que es justo lo que ataca la parte contraria.

   Ref. QB-9TAX6TFuente: CompTIA CySA+ CS0-004 Objective 3.3 (evidence handling: chain of custody); NIST SP 800-86 guidance on documenting evidence transfersReportar un problema con esta pregunta

8. 8. Tres respondedores ejecutaron comandos en un servidor afectado durante una respuesta. Dos semanas después el informe pregunta por qué se detuvo un servicio y cuándo, y nadie lo sabe. ¿Por qué importa un registro hecho en el momento de las acciones de los respondedores?

   • A.Demuestra que los respondedores tenían la cualificación exigida para el trabajo realizado en el servidor afectado.
   • B.Reduce el tiempo medio de respuesta, porque otro turno puede repetir los mismos comandos sin volver a estudiarlos.
   • C.Elimina la necesidad de una cadena de custodia aparte, porque un solo registro cubre manejo y análisis a la vez.
   • D.Permite a la investigación separar los cambios hechos por los respondedores de los del intruso, y así sostener las conclusiones.✓ Respuesta

   Los respondedores modifican el sistema que investigan. Un registro de quién ejecutó qué, a qué hora y por qué permite atribuir correctamente cada cambio, evita que la actividad del respondedor se informe como actividad del atacante y mantiene defendibles las conclusiones.

   Ref. QB-RA5SKSFuente: CompTIA CySA+ CS0-004 Objective 3.3 (documentation of response actions); NIST SP 800-61 incident documentationReportar un problema con esta pregunta

9. 9. Un controlador programable de una línea de producción emite una señal a una dirección externa cada cinco minutos. La dirección de planta indica que el controlador no puede apagarse ni desconectarse durante la tirada, a la que le quedan once horas. ¿Qué contención debe aplicar el analista?

   • A.Apagar el controlador en la próxima pausa programada, aceptando la demora porque hay que proteger la producción.
   • B.Aplicar reglas que permitan solo el tráfico de control necesario, bloquear el destino del baliza y vigilar el host.✓ Respuesta
   • C.Dejar el controlador como está y compensar con reglas de detección extra en los hosts vecinos y en el perímetro.
   • D.Reinstalar la imagen del controlador mientras sigue funcionando, para quitar el malware sin romper el lazo de control.

   Cuando un sistema no puede retirarse de servicio, la contención se convierte en un control compensatorio: limitar su tráfico a lo que el proceso realmente necesita, cortar el canal de mando y aumentar la vigilancia. Así se detiene la propagación sin parar la producción, mientras que no actuar deja el canal abierto y reinstalar un controlador en marcha no es contención.

   Ref. QB-8TXKZRFuente: CompTIA CySA+ CS0-004 Objective 3.3 (containment options and segmentation); compensating controls for systems that cannot be taken out of serviceReportar un problema con esta pregunta

10. 10. La telemetría de endpoint muestra una sesión interactiva de un intruso en un servidor: se están escribiendo comandos en tiempo real. El analista debe contener el host conservando la evidencia y sin anunciar la respuesta. ¿Qué acción encaja mejor?

    • A.Apagar el host de inmediato, para que el intruso pierda su sesión antes de advertir la respuesta.
    • B.Desactivar la interfaz de red o pasar el host a un segmento de cuarentena y dejarlo encendido.✓ Respuesta
    • C.Bloquear la dirección de mando y control en el firewall perimetral y dejar el host conectado.
    • D.Cambiar la contraseña de administrador local del host, cortando el acceso sin tiempo de caída.

    Cortar la red en la interfaz o mediante una VLAN de cuarentena detiene el movimiento lateral y la exfiltración mientras la memoria, los procesos en ejecución y el estado de la sesión siguen disponibles para su captura. Apagar destruye esa evidencia volátil, bloquear una sola dirección deja al host moverse internamente y cambiar la contraseña no termina una sesión ya establecida.

    Ref. QB-WGWEZYFuente: CompTIA CySA+ CS0-004 Objective 3.3 (containment: isolation and quarantine versus destructive actions)Reportar un problema con esta pregunta

11. 11. Tras el compromiso de una cuenta en la nube, el equipo restableció la contraseña del usuario hace seis horas, pero el atacante sigue enviando correo y leyendo archivos con la misma cuenta. ¿Qué explicación y solución es correcta?

    • A.La replicación del directorio retrasa el cambio de contraseña, así que el atacante perderá el acceso en un día.
    • B.Los tokens de sesión y de refresco emitidos sobreviven al cambio de contraseña: hay que revocarlos y reinscribir el dispositivo.✓ Respuesta
    • C.El atacante debe usar una segunda cuenta, así que el restablecimiento funcionó y la búsqueda debe ir a esa cuenta.
    • D.Probablemente no se exigía autenticación multifactor, así que activarla ahora terminará la sesión actual del atacante.

    Los tokens de sesión y de refresco se emiten con independencia de la contraseña y siguen siendo válidos hasta que se revocan explícitamente, así que un simple restablecimiento deja al intruso dentro. Contener una identidad en la nube implica revocar tokens, eliminar métodos de autenticación añadidos y reinscribir el dispositivo, además de cambiar la credencial.

    Ref. QB-EZ3MKZFuente: CompTIA CySA+ CS0-004 Objective 3.3 (containment in cloud and hybrid environments: session and token revocation)Reportar un problema con esta pregunta

12. 12. El utillaje del atacante recuperado en un servidor contiene la contraseña en claro de una cuenta de servicio usada por varios trabajos automatizados. El responsable pregunta hasta dónde llega ahora el alcance del incidente. ¿Qué afirmación es correcta?

    • A.El servidor donde se recuperó el utillaje está en alcance, porque ahí es donde quedó expuesta la contraseña.
    • B.Los sistemas documentados como usuarios de la cuenta están en alcance, pues el uso no documentado es improbable.
    • C.Los hosts que registraron un inicio correcto de la cuenta en la ventana del incidente están en alcance, y ningún otro.
    • D.Todo sistema, aplicación y trabajo donde esa credencial era válida está en alcance hasta que se descarte cada uno.✓ Respuesta

    Una credencial no está ligada al host donde se encontró. El alcance sigue a la credencial, así que hay que examinar y descartar todo sistema, servicio y trabajo programado que la aceptaría, y la falta de un inicio registrado solo demuestra que el registro era incompleto.

    Ref. QB-VGJ4UXFuente: CompTIA CySA+ CS0-004 Objective 3.3 (scoping the incident and impact analysis before declaring containment)Reportar un problema con esta pregunta

13. 13. Una estación se limpió después de poner el malware en cuarentena y funcionó con normalidad todo el día. A las 03:00 reaparece el mismo malware, y ya lo ha hecho a las 03:00 las tres últimas noches. ¿Qué indica esto?

    • A.La firma de detección es incompleta, así que un análisis completo con motor actualizado acabará con las reinfecciones.
    • B.El usuario vuelve a abrir el adjunto original cada mañana, así que la formación de concienciación resolverá el caso.
    • C.La muestra se puso en cuarentena en vez de borrarse, así que vaciar el almacén de cuarentena evita su regreso.
    • D.Una tarea programada, servicio o entrada de autoarranque vuelve a traer el payload y hay que localizarla y quitarla.✓ Respuesta

    La reinfección a una hora fija es la firma de un mecanismo de persistencia, no de una firma de detección débil. La erradicación debe eliminar la tarea programada, el servicio o la entrada de autoarranque que vuelve a descargar el payload y cerrar la causa raíz explotada, o el host seguirá reinfectándose.

    Ref. QB-DZQ9EYFuente: CompTIA CySA+ CS0-004 Objective 3.3 (eradication: removal of persistence mechanisms and root cause)Reportar un problema con esta pregunta

14. 14. La actividad de atacante más antigua confirmada en un servidor de archivos es del 14 de marzo, establecida con evidencia de autenticación y de procesos. Hay copias nocturnas de los últimos treinta días y el negocio pide el conjunto del 2 de abril porque es el más reciente. ¿Qué debe hacer el equipo?

    • A.Restaurar un conjunto anterior al 14 de marzo y reaplicar los cambios validados, porque los posteriores pueden traer la intrusión.✓ Respuesta
    • B.Restaurar el conjunto más nuevo del 2 de abril, porque devuelve de inmediato los datos más actuales al negocio.
    • C.Restaurar el conjunto del 2 de abril y analizarlo con un motor actualizado, lo que elimina lo que dejara el atacante.
    • D.Restaurar y reconectar el conjunto del 2 de abril en el mismo segmento, vigilándolo una semana antes de confiar en él.

    Cualquier copia tomada después de la primera actividad confirmada del atacante puede contener el implante, sus cuentas o sus cambios, por lo que restaurarla reintroduce el compromiso. La recuperación parte de un punto bueno conocido anterior a la intrusión y los cambios de datos necesarios se reaplican tras validarlos.

    Ref. QB-YGM4C3Fuente: CompTIA CySA+ CS0-004 Objective 3.3 (recovery: restoration from a known-good state); NIST SP 800-61 recovery guidanceReportar un problema con esta pregunta

15. 15. La erradicación ha terminado en un servidor de aplicaciones comprometido: se reconstruyó desde una imagen base, se parcheó y se endureció. El responsable quiere devolverlo de inmediato al grupo del balanceador. ¿En qué debe insistir el analista?

    • A.Verificar la remediación, confirmar que los indicadores no están y luego liberar el host con vigilancia reforzada.✓ Respuesta
    • B.Reconectarlo ya y confiar en que el agente de endpoint alerte si vuelve a aparecer algo de la actividad anterior.
    • C.Reconectarlo ya, porque una reconstrucción desde imagen base elimina por definición los artefactos del atacante.
    • D.Mantenerlo aislado hasta que se firme el informe posterior al incidente y reconectarlo en la próxima ventana de cambio.

    La recuperación incluye una verificación explícita antes de liberar el host del aislamiento: confirmar que la remediación funcionó y que los indicadores han desaparecido, y luego restablecer el servicio con vigilancia reforzada. Una reconstrucción puede reponer fielmente la misma configuración vulnerable, y esperar un informe firmado alarga la interrupción sin motivo.

    Ref. QB-GZS9X3Fuente: CompTIA CySA+ CS0-004 Objective 3.3 (recovery: validation of remediation and release from isolation)Reportar un problema con esta pregunta

16. 16. Una revisión posterior establece esta cadena: un contratista pulsó un enlace de phishing e introdujo credenciales; el atacante entró en el servicio de acceso remoto, que no exigía segundo factor; después un servidor sin parchear permitió el movimiento lateral. ¿Qué hallazgo es la causa raíz del acceso no autorizado?

    • A.Que el contratista introdujera credenciales en la página de phishing, el primer evento de la línea de tiempo.
    • B.Que faltara el parche en el servidor, que es lo que permitió al atacante llegar desde allí a otros sistemas.
    • C.Que el atacante usara una cuenta válida, lo que hizo que el inicio malicioso pareciera trabajo habitual.
    • D.Que el acceso remoto careciera de un segundo factor, lo que permitió que una contraseña robada bastara sola.✓ Respuesta

    La causa raíz es la condición que hizo posible el compromiso, no el primer evento de la secuencia. La contraseña robada funcionó porque el acceso remoto aceptaba un solo factor, así que la acción correctiva es exigir multifactor allí; el parche ausente explica el movimiento posterior, no el acceso inicial.

    Ref. QB-XG9S62Fuente: CompTIA CySA+ CS0-004 Objective 3.3 (post-incident activity: root cause analysis and corrective action)Reportar un problema con esta pregunta

17. 17. El área jurídica notifica al equipo de seguridad que es razonablemente previsible un litigio relativo a un empleado que se marcha y señala el portátil de esa persona. Operaciones tiene programado reinstalarlo hoy para reasignarlo. ¿Qué debe ocurrir?

    • A.Reinstalar hoy el portátil y conservar los registros del antivirus, que documentan lo que la investigación necesitará.
    • B.Preservar el portátil y su imagen forense bajo la retención, y aplazar la reinstalación hasta que jurídica lo libere.✓ Respuesta
    • C.Registrar el hash del disco y luego reinstalar, lo que permite reconstruir más adelante el contenido original.
    • D.Exportar los documentos del usuario y luego reinstalar, ya que las copias exportadas cumplen el deber de preservar.

    Una retención legal suspende la conservación y destrucción habituales y prevalece sobre el deseo operativo de borrar y reasignar el equipo, de modo que ahí termina la autoridad del analista para remediar. Los documentos exportados, los registros del antivirus y un hash apuntado no preservan el espacio no asignado, los artefactos ni el estado del dispositivo que el litigio pueda exigir.

    Ref. QB-FZEXR2Fuente: CompTIA CySA+ CS0-004 Objective 3.3 (evidence preservation: legal hold and its effect on remediation)Reportar un problema con esta pregunta

18. 18. A las 14:00 un analista concluye que la única contención que detiene por completo una intrusión activa es dejar fuera de línea el servicio de pagos de cara al cliente. El analista no tiene autoridad sobre ese servicio. ¿Cuál es el paso correcto?

    • A.Dejar el servicio fuera de línea ya, porque la autoridad de contención corresponde al analista que declaró el incidente.
    • B.Escalar la decisión de apagado al comandante del incidente y al dueño del negocio, aplicando entre tanto la contención limitada disponible.✓ Respuesta
    • C.Esperar la guía escrita del proveedor de pagos antes de cualquier contención, porque hay un sistema de un tercero implicado.
    • D.Anotar la recomendación en el canal del incidente y seguir investigando hasta que otra persona decida actuar sobre ella.

    Detener un servicio que genera ingresos es una decisión de negocio que excede la autoridad del analista, así que este escala con la recomendación, el impacto y las alternativas, y deciden el comandante del incidente y el dueño del negocio. Mientras tanto aplica la contención que sí está autorizado a ejecutar, porque esperar sin actuar deja avanzar la intrusión.

    Ref. QB-SGG4BUFuente: CompTIA CySA+ CS0-004 Objective 3.3 (escalation criteria and authority boundaries during response)Reportar un problema con esta pregunta

19. 19. Se confirma que una máquina virtual en la nube está comprometida. Tiene asociado un rol de identidad con acceso al almacenamiento y el equipo necesita una contención que mantenga disponible la evidencia. ¿Qué conjunto de acciones es mejor?

    • A.Desasociar el volumen para obtener la imagen y parar la instancia, preservando el disco y cortando el acceso del intruso.
    • B.Terminar la instancia y dejar que el grupo de escalado la reemplace, lo que saca al intruso del entorno por completo.
    • C.Tomar una instantánea del volumen, pasar la instancia a un grupo de seguridad aislante y revocar las sesiones del rol.✓ Respuesta
    • D.Rotar las credenciales administrativas y dejar la instancia en marcha para poder observar su tráfico durante más tiempo.

    La instantánea preserva el estado del disco, un grupo de seguridad aislante corta el tráfico sin destruir la instancia ni su memoria, y revocar las sesiones del rol retira la credencial que el intruso estaba usando. Terminar la instancia destruye la evidencia y detenerla descarta el estado volátil que aún no se ha capturado.

    Ref. QB-AZN9WUFuente: CompTIA CySA+ CS0-004 Objective 3.3 (containment and evidence acquisition in cloud environments: snapshots, isolation, role session revocation)Reportar un problema con esta pregunta

20. 20. Se dispara una alerta sobre un contenedor que el orquestador ya ha destruido y reemplazado; estuvo cuatro minutos en ejecución. No queda nada de su sistema de archivos ni de su memoria en el clúster. ¿Cuál es ahora la mejor fuente de evidencia?

    • A.Volver a ejecutar la misma imagen en el clúster para reproducir el comportamiento y capturar memoria del nuevo contenedor.
    • B.Obtener imagen del disco del nodo de trabajo, porque el sistema de archivos del contenedor destruido permanece allí.
    • C.Pedir al proveedor una captura de memoria del hipervisor del contenedor borrado, que conserva para sus clientes.
    • D.Recoger los registros de auditoría del plano de control y los logs enviados, y obtener la imagen con su procedencia.✓ Respuesta

    Las cargas efímeras dejan su evidencia fuera del contenedor: los registros de auditoría del plano de control muestran qué se programó y quién lo hizo, los logs reenviados guardan la salida en ejecución, y la imagen con su procedencia en el registro indica qué se ejecutó. Volver a ejecutar la imagen genera datos nuevos en lugar de preservar lo ocurrido, y los proveedores no conservan la memoria de cargas eliminadas.

    Ref. QB-TEW9GVFuente: CompTIA CySA+ CS0-004 Objective 3.3 (evidence acquisition limits for containerized and ephemeral cloud workloads; shared responsibility)Reportar un problema con esta pregunta

21. 21. Un playbook aísla automáticamente cualquier host con una detección de confianza media. La semana pasada aisló un controlador de dominio y una pasarela de pagos por detecciones que resultaron falsas. ¿Qué cambio es mejor?

    • A.Mantener el enriquecimiento y los tickets automáticos, y exigir aprobación humana antes de aislar un host crítico.✓ Respuesta
    • B.Desactivar el playbook y devolver el aislamiento a una cola manual que trabaje el analista de guardia por turno.
    • C.Exceptuar los dos sistemas aislados la semana pasada y mantener el aislamiento automático en todos los demás.
    • D.Subir el disparador para que solo las detecciones de alta confianza aíslen un host, y mantener el paso automático.

    La automatización puede actuar libremente en enriquecimiento, tickets y notificación, pero una acción destructiva o con impacto en el negocio necesita un punto de decisión humano, sobre todo con detecciones de baja confianza o sistemas críticos. Subir solo el umbral deja que la automatización siga tumbando una pasarela de pagos, y volver todo a manual desperdicia la rapidez que motivó el playbook.

    Ref. QB-AXQ4WUFuente: CompTIA CySA+ CS0-004 Objective 3.3 with the V4 automation and orchestration content (human approval gates for destructive or high-impact actions)Reportar un problema con esta pregunta

22. 22. Un asistente de inteligencia artificial resume una intrusión, señala un host como origen y recomienda aislar cuarenta hosts que declara afectados. El analista aún no ha leído la telemetría de base. ¿Qué debe hacer el analista?

    • A.Aislar ya los cuarenta hosts, pues el asistente leyó más telemetría de la que un analista podría leer a tiempo.
    • B.Comprobar las conclusiones del asistente contra la telemetría original antes de actuar, porque pueden no estar respaldadas.✓ Respuesta
    • C.Descartar el resumen y reiniciar el triaje a mano, porque una salida generada no puede entrar en el expediente.
    • D.Enviar el resumen a la dirección como valoración del incidente y empezar a aislar los hosts que ha identificado.

    Los resúmenes generados pueden afirmar conclusiones que la telemetría no respalda, así que su salida es insumo de investigación y no autoridad. El analista valida el host señalado y la lista de afectados contra los datos originales antes de una acción con impacto real, y el trabajo del asistente sigue siendo utilizable una vez verificado.

    Ref. QB-SEJXAUFuente: CompTIA CySA+ CS0-004 (V4 artificial intelligence content applied to Objective 3.3: analyst verification of generated findings before response action)Reportar un problema con esta pregunta

23. 23. Antes de tomar ninguna imagen, un analista junior ejecutó una utilidad de limpieza de archivos temporales y del navegador en una estación sospechosa, creyendo que ayudaría. ¿Cuál es la consecuencia y qué debe hacerse ahora?

    • A.Solo se tocó el espacio no asignado; la línea de tiempo se mantiene y la imagen mostrará toda la actividad.
    • B.La estación de trabajo está ahora limpia; se puede seguir con la imagen y continuar el análisis con lo que queda.
    • C.Se han destruido artefactos de la línea de tiempo; documente la acción y su hora y anote el hueco en el informe.✓ Respuesta
    • D.El propio registro de la utilidad sustituye lo borrado; la línea de tiempo se reconstruye desde ese registro.

    Las utilidades de limpieza borran y sobrescriben justo los artefactos con los que se construye una línea de tiempo, incluidos archivos temporales, historial del navegador y marcas de acceso, y nada los recupera. Lo correcto es documentar la acción, su autor y su hora, y declarar el hueco probatorio en las conclusiones para que el informe no se apoye en un vacío sin explicar.

    Ref. QB-9XCSQTFuente: CompTIA CySA+ CS0-004 Objective 3.3 (evidence preservation; documenting responder actions and evidentiary gaps)Reportar un problema con esta pregunta

24. 24. Se ha aislado un host y se ha eliminado su malware. Los registros del proxy muestran que el mismo dominio de baliza fue contactado desde cuatro hosts de otras tres subredes en el mismo periodo. El responsable quiere declarar el incidente contenido. ¿Cuál es la postura correcta?

    • A.La contención está incompleta hasta que cada host que contactó ese dominio se identifique y se aísle o descarte.✓ Respuesta
    • B.La contención puede declararse en cuanto el dominio de la baliza se bloquee en el proxy para toda la empresa.
    • C.La contención vale para el host confirmado, y las otras subredes deberían abrirse como un incidente nuevo aparte.
    • D.La contención puede declararse cuando el host aislado se reconstruya, porque era el origen del tráfico de baliza.

    La contención se declara frente al alcance del incidente, no frente a un solo host, así que primero hay que identificar los cuatro equipos con el mismo indicador y aislarlos o descartarlos. Bloquear el dominio en el proxy suprime un canal y deja intacto el punto de apoyo del intruso y cualquier canal alternativo.

    Ref. QB-RE7M5TFuente: CompTIA CySA+ CS0-004 Objective 3.3 (scoping and impact analysis before declaring containment)Reportar un problema con esta pregunta

25. 25. Una aplicación expuesta a internet está siendo explotada por un fallo cuyo parche del fabricante llegará en dos semanas, y el servicio no puede detenerse. ¿Qué par de pasos de contención es correcto?

    • A.Aumentar la vigilancia y dejar la aplicación sin cambios hasta que llegue el parche del fabricante y se pruebe.
    • B.Retirar la aplicación durante las dos semanas, porque solo quitar el servicio detiene de verdad la explotación.
    • C.Bloquear ahora la vía del exploit en el proxy inverso como contención a corto plazo, y planificar el parche como paso a largo plazo.✓ Respuesta
    • D.Reconstruir el servidor desde una imagen base cada noche hasta que llegue el parche, limpiando lo que quedara atrás.

    La contención a corto plazo detiene de inmediato la explotación con un control compensatorio, como filtrar la vía del exploit, mientras la contención a largo plazo es el arreglo permanente aplicado bajo control de cambios cuando exista el parche. Vigilar sin actuar deja el fallo explotable, y reconstruir cada noche no bloquea el exploit ni ataca su causa.

    Ref. QB-8XZEJSFuente: CompTIA CySA+ CS0-004 Objective 3.3 (short-term versus long-term containment and compensating controls)Reportar un problema con esta pregunta

26. 26. Un analista registra el valor SHA-256 de una imagen de disco en la adquisición, copia la imagen a una estación de análisis y vuelve a calcular el hash. Los dos valores difieren. ¿Qué debe hacer el analista?

    • A.Continuar el análisis y registrar el nuevo valor, que desde ahora identifica la copia de trabajo que se usa.
    • B.Calcular el hash de la copia con un segundo algoritmo y continuar si ese valor coincide con el registrado.
    • C.Atribuirlo a la compresión durante la transferencia y verificar solo los archivos concretos que importan al caso.
    • D.Detenerse, documentar la discrepancia y readquirir o recopiar, porque la copia no es un duplicado fiel.✓ Respuesta

    El hash es el control de integridad de la copia, así que una discrepancia significa que la copia de trabajo no es idéntica a lo adquirido y no debe analizarse ni sustentar un informe. Se documenta la discrepancia y se vuelve a copiar, porque aplicar otro algoritmo a una copia defectuosa solo produce un segundo valor de datos equivocados.

    Ref. QB-QEU9YRFuente: CompTIA CySA+ CS0-004 Objective 3.3 (data integrity validation: hashing at acquisition and re-verification after transfer)Reportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA CySA+. Este sitio no está afiliado ni respaldado por CompTIA, y estas no son preguntas reales del examen. CompTIA renueva este examen periódicamente, mantiene dos versiones en paralelo durante la transición y fija la duración, el estándar de aprobación y los requisitos — confirma los objetivos vigentes y el código de examen activo con CompTIA antes de inscribirte. El examen real también incluye preguntas basadas en desempeño que un banco de opción múltiple no puede reproducir, así que combínalo con práctica real. Objetivos oficiales del CySA+ →