19 Preguntas de Práctica de Herramientas de investigación y caza de amenazas con Respuestas

1. 1. Un centro de operaciones de seguridad conserva 7 días de captura completa de paquetes y 12 meses de registros de flujo. Se abre una investigación sobre tráfico de hace 30 días, cuando un puesto interno intercambió datos con una dirección externa identificada después como host de mando y control. ¿Qué puede establecer todavía el analista con los datos que sobreviven?

   • A.Que las sesiones ocurrieron y, por los registros de flujo, qué archivos se transfirieron, porque el flujo resume cada carga observada.
   • B.Que las sesiones ocurrieron, con horas, duración, puertos, dirección y bytes, pero no el contenido transportado.✓ Respuesta
   • C.Nada aprovechable, porque los registros de flujo se descartan en cuanto la captura completa asociada supera su retención.
   • D.Los cuerpos completos de petición y respuesta, porque el flujo guarda los primeros bytes de cada sesión para esto.

   Los registros de flujo guardan metadatos —direcciones, puertos, marcas de tiempo, duración y bytes— y por diseño descartan la carga útil, de modo que cuando la captura completa ya ha caducado el analista puede demostrar que la conversación existió y cuándo, pero nunca recuperar lo transmitido. Esa asimetría explica que la captura se guarde pocos días y el flujo muchos meses.

   Ref. QB-PJBH5DFuente: CompTIA CySA+ CS0-004 Obj. 1.3 (packet capture vs. flow/session analysis); RFC 7011 (IPFIX) — flow records describe traffic metadata, not payloadReportar un problema con esta pregunta

2. 2. Un usuario reenvía un documento adjunto que la pasarela de correo entregó. La inspección estática muestra una macro que construye en ejecución una cadena Base64 larga, ningún dominio ni URL legible, y un resumen del archivo que ninguna fuente de reputación reconoce. ¿Cuál es el siguiente paso adecuado y por qué?

   • A.Detonarlo en un entorno aislado e instrumentado, porque la conducta que construye en ejecución solo se observa al ejecutarse.✓ Respuesta
   • B.Subir el documento a un analizador público de varios motores, porque un resumen desconocido solo indica que falta incorporarlo allí.
   • C.Cerrarlo como benigno, porque la pasarela de correo ya lo entregó y ninguna fuente de reputación marca el resumen como malicioso.
   • D.Distribuir el resumen a todos los puestos como indicador de bloqueo, porque así se neutraliza la muestra sin más análisis.

   La inspección estática no ve la conducta que una muestra solo compone al ejecutarse, así que un documento cuya macro construye la carga en tiempo de ejecución debe ejecutarse bajo observación, en un entorno aislado e instrumentado, para revelar procesos, archivos y destinos de red. Un resumen desconocido solo indica que nadie envió antes ese archivo, y que la pasarela lo entregara no es un veredicto.

   Ref. QB-83VZVEFuente: CompTIA CySA+ CS0-004 Obj. 1.3 (static analysis vs. dynamic/sandbox detonation)Reportar un problema con esta pregunta

3. 3. Al SIEM solo se envían registros de cortafuegos, proxy y autenticación. Un analista debe determinar si una aplicación de hoja de cálculo en un puesto inició un intérprete de scripts y qué inició después ese intérprete. ¿Qué fuente responde a la pregunta?

   • A.Una regla de correlación en el SIEM sobre eventos de proxy y autenticación, que reconstruye la cadena padre-hijo por tiempos.
   • B.Una captura de paquetes del perímetro filtrada por la dirección del puesto, que muestra el nombre de imagen del intérprete.
   • C.La telemetría de procesos del agente del propio puesto, que registra cada proceso con su padre y su línea de comandos.✓ Respuesta
   • D.Las entradas del registro de proxy del puesto, que indican junto a cada URL el proceso que abrió la petición saliente.

   La genealogía de procesos y las líneas de comandos solo existen en la telemetría del host: el agente del puesto registra cada creación de proceso con su padre y sus argumentos, que es justo lo que se pregunta. Los registros de red, proxy y autenticación describen conexiones e inicios de sesión y nunca indican qué proceso del host los originó, así que ninguna regla de correlación sobre esas fuentes reconstruye la cadena.

   Ref. QB-QJPUAEFuente: CompTIA CySA+ CS0-004 Obj. 1.3 (endpoint detection and response telemetry vs. network and log sources)Reportar un problema con esta pregunta

4. 4. Un analista escribe una regla de correlación en el SIEM: alertar cuando una cuenta se autentica con éxito desde dos países distintos en una hora. Ahora se dispara cientos de veces al día, casi siempre con empleados cuyas sesiones salen por una pasarela de acceso en otro país y cuyos móviles usan direcciones de operadoras extranjeras. ¿Qué ilustra esto sobre las reglas de correlación?

   • A.Una regla así no puede escribirse, porque el país de una cuenta es un dato derivado y ningún motor puede condicionarse a un campo derivado.
   • B.La lógica es correcta y basta una ventana más amplia, ya que ampliar el intervalo elimina las coincidencias que están generando el ruido.
   • C.Una regla expresa coincidencia dentro de una ventana, no legitimidad, así que necesita contexto local como los rangos de salida conocidos.✓ Respuesta
   • D.La correlación es el constructo equivocado, porque la secuencia y el tiempo pertenecen solo a las firmas sobre tráfico de red en bruto.

   Una regla de correlación expresa relaciones entre eventos —coincidencia, orden y umbrales dentro de una ventana— pero no tiene noción de si la relación es legítima, así que la fidelidad llega al enriquecerla con conocimiento del entorno, como los rangos de salida de la propia pasarela y el espacio de las operadoras esperadas. Ampliar la ventana haría que la misma regla emparejara más eventos, no menos.

   Ref. QB-938C3GFuente: CompTIA CySA+ CS0-004 Obj. 1.3 (SIEM correlation and analysis; context enrichment for alert fidelity)Reportar un problema con esta pregunta

5. 5. Un analista envía el resumen SHA-256 de un ejecutable sospechoso a un servicio de reputación de archivos, que responde «no encontrado». El binario fue escrito en disco una hora antes por un proceso que el agente del puesto había marcado como inusual. ¿Cómo debe interpretarse ese resultado?

   • A.El archivo queda evaluado como limpio por un corpus enorme, así que se devuelve el equipo al usuario y se cierra el caso.
   • B.Ningún ejemplar con ese resumen se había enviado antes, algo normal en binarios recién compilados; el análisis local debe seguir.✓ Respuesta
   • C.El servicio indexa otro algoritmo de resumen, así que recalcular el MD5 del archivo devolverá el veredicto que realmente existe.
   • D.El archivo está empaquetado y, como empaquetar cambia el resumen, hay que desempaquetarlo antes de obtener cualquier veredicto.

   Una consulta de reputación responde a una sola pregunta: si alguien ha visto antes esa secuencia exacta de bytes. La ausencia no es, por tanto, un veredicto de limpieza —los atacantes recompilan o rellenan la carga por objetivo para que el resumen sea único— y lo correcto es el análisis local, estático y dinámico, junto con la cadena de procesos que escribió el archivo.

   Ref. QB-RJ27GFFuente: CompTIA CySA+ CS0-004 Obj. 1.3 (hashing utilities and file reputation analysis; limits of digest-based verdicts)Reportar un problema con esta pregunta

6. 6. Un correo de phishing de credenciales llegó a tres buzones y el analista quiere identificar la infraestructura que realmente lo entregó para buscar otros destinatarios. El mensaje trae un nombre mostrado en From igual al de un directivo, un Reply-To en un proveedor gratuito, una cabecera X-Originating-IP y una cadena Received de cinco saltos. ¿Qué elemento es el pivote más fiable?

   • A.El encabezado X-Originating-IP, porque el cliente emisor escribe allí su dirección real antes de que el mensaje salga de la red.
   • B.La dirección Reply-To, porque las respuestas deben llegar al operador y por eso apunta a la infraestructura que entregó el mensaje.
   • C.El nombre mostrado en From, porque las pasarelas reescriben ese campo al dominio verificado tras las comprobaciones de autenticación.
   • D.El salto Received escrito por la pasarela de entrada de la propia organización, porque los saltos anteriores los aporta el emisor.✓ Respuesta

   Cada agente de transferencia receptor añade delante su propio campo de traza Received, así que la cadena solo es fiable desde el primer salto bajo tu control hacia abajo; lo anterior, igual que From, Reply-To y cualquier cabecera X-, es texto que el emisor eligió y puede falsificar. El salto de la propia pasarela da la dirección que realmente entregó el mensaje, y ese es el campo con el que pivotar.

   Ref. QB-A3KP8HFuente: RFC 5321 §4.4 (trace information: Received fields prepended by each receiving MTA); CompTIA CySA+ CS0-004 Obj. 1.3 (email header analysis)Reportar un problema con esta pregunta

7. 7. Se tomó una captura de 4 GB en el puerto espejo de un conmutador central. El equipo debe determinar si una aplicación interna sigue transmitiendo credenciales en claro a un servicio heredado en TCP 23. ¿Qué técnica responde a esa pregunta?

   • A.Calcular el resumen del archivo de captura y enviarlo a un servicio de reputación para ver si ese tráfico ya se considera hostil.
   • B.Reproducir la captura en un sensor de firmas y tomar la falta de coincidencias como prueba de que el transporte va cifrado.
   • C.Leer los registros de flujo del router del mismo periodo y comparar los bytes de cada sesión con el tamaño que se espera.
   • D.Abrir la captura en un analizador de protocolos, filtrar por TCP 23 y seguir el flujo para leer los bytes que intercambiaron.✓ Respuesta

   Solo la captura completa conserva la carga útil, y un analizador de protocolos puede filtrar por el puerto y reensamblar el flujo de aplicación para leer el intercambio de credenciales tal como circuló. Los bytes de flujo y las coincidencias de firmas indican que hubo sesiones o que algo casó con una regla, pero ninguno muestra qué caracteres se transmitieron.

   Ref. QB-SJDHNGFuente: CompTIA CySA+ CS0-004 Obj. 1.3 (packet capture and protocol analysis: stream reassembly)Reportar un problema con esta pregunta

8. 8. Una muestra detonada en un entorno de análisis automatizado termina a los dos minutos sin escribir archivos ni abrir conexiones. Las cadenas estáticas del mismo binario incluyen nombres de controladores de virtualización, una comprobación de documentos de oficina instalados y una llamada de espera prolongada. ¿Cuál es la mejor conclusión y acción siguiente?

   • A.La muestra probablemente reconoció el entorno de análisis; alarga la ejecución y añade artefactos realistas antes de dar un veredicto.✓ Respuesta
   • B.Las cadenas estáticas engañan, pues los compiladores incrustan nombres de controladores; envía el binario a más servicios de análisis.
   • C.El entorno falló; recompónlo y repite la misma ejecución de dos minutos, porque la evasión no sobrevive a una reconstrucción limpia.
   • D.La muestra está inerte; anótala como benigna y añade su resumen a la lista de permitidos del entorno para no repetir análisis.

   El código malicioso consciente del entorno busca artefactos de virtualización, un perfil de usuario inverosímilmente vacío o una ventana de observación corta, y simplemente duerme durante ella; por eso el silencio en una ejecución instrumentada no prueba que la muestra sea inocua, y las cadenas halladas son justamente esas comprobaciones. Hay que dar más tiempo y hacer que el entorno parezca y actúe como un puesto en uso antes de dictar veredicto.

   Ref. QB-334C29Fuente: CompTIA CySA+ CS0-004 Obj. 1.3 (dynamic analysis and sandbox-evasion behaviour)Reportar un problema con esta pregunta

9. 9. Un agente de puesto registra esta línea de comandos en una estación: powershell.exe -nop -w hidden -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoA... , y el proceso padre es un cliente de correo. ¿Qué paso establece más rápido la intención de esta ejecución?

   • A.Decodificar el argumento Base64 sin ejecutarlo y leer el script reconstruido, que nombra los objetos y direcciones que usaría.✓ Respuesta
   • B.Buscar la propia cadena codificada en fuentes de indicadores, porque el argumento codificado es el artefacto que se intercambia.
   • C.Ejecutar la línea completa en un puesto de repuesto y mirar la salida de consola, porque el script imprime lo que va descargando.
   • D.Enviar powershell.exe a un servicio de reputación, porque el veredicto sobre el intérprete determina si la ejecución fue hostil.

   Un argumento codificado es ofuscación, no cifrado: decodificar el Base64 a texto sin ejecutar nada reconstruye el script y expone de inmediato los destinos y las acciones que realizaría. El bloque cambia en cada compilación, así que es un indicador pobre, y el intérprete es un binario legítimo del sistema; por eso este patrón de abuso de utilidades nativas se juzga por proceso padre y línea de comandos, no por reputación.

   Ref. QB-JJW6F8Fuente: CompTIA CySA+ CS0-004 Obj. 1.3 (decoding obfuscated payloads; abuse of living-off-the-land binaries)Reportar un problema con esta pregunta

10. 10. Un equipo de caza necesita, para cada conexión de un segmento vigilado durante el último mes, un registro de protocolo, duración, bytes y el nombre de servidor solicitado en cada saludo TLS. Guardar la carga útil un mes no es asumible. ¿Qué enfoque de supervisión cumple el requisito?

    • A.Un sensor por firmas en el mismo espejo, cuyos registros de alerta ya describen cada conexión del segmento durante el mes.
    • B.Los registros de flujo de los routers, que listan el nombre de servidor del saludo junto a direcciones, puertos y bytes por sesión.
    • C.Un sensor pasivo que analiza el tráfico y escribe metadatos de protocolo por conexión, con campos del saludo, y sin guardar carga.✓ Respuesta
    • D.Captura completa guardada un mes con menor resolución, truncando cada paquete a sus primeros bytes y descartando el resto.

    Un sensor de supervisión de seguridad de red analiza el tráfico en vivo y escribe un registro de protocolo compacto por conexión, con campos de capa de aplicación como el nombre de servidor solicitado, y eso permite un mes de histórico consultable sin guardar carga útil. Los sensores de firmas solo registran coincidencias, y los registros de flujo llevan quintupla, tiempos y contadores, pero ningún contenido de aplicación.

    Ref. QB-VCD535Fuente: CompTIA CySA+ CS0-004 Obj. 1.3 (network security monitoring: protocol metadata logging vs. signature IDS vs. flow data)Reportar un problema con esta pregunta

11. 11. Seis puestos de distintos departamentos abrieron sesiones TLS salientes hacia direcciones externas diferentes. En todas ellas el servidor presentó un certificado autofirmado con la misma huella, una cadena de emisor 'localhost' y dos años de validez. ¿Qué respalda esto y cómo debe pivotar el analista?

    • A.Se está llegando a seis servicios internos mal configurados; corrige cada certificado y no hace falta investigar nada más.
    • B.Las sesiones no pueden valorarse sin descifrado; despliega inspección en la salida antes de extraer cualquier conclusión.
    • C.Un mismo juego de herramientas opera en los seis equipos; pivota sobre la huella del certificado para hallar más sesiones.✓ Respuesta
    • D.Aquí lo duradero son las direcciones; bloquea las seis en el perímetro y trata el detalle del certificado como ruido.

    La huella de un certificado de servidor es un artefacto de las herramientas del propio atacante, así que un mismo certificado autofirmado en equipos y direcciones sin relación vincula esas sesiones a un único juego de herramientas. Eso convierte la huella en un pivote mucho más fuerte que cualquier dirección, que el operador rota en minutos, y permite buscar hacia atrás sin descifrar nada.

    Ref. QB-DVJAN5Fuente: CompTIA CySA+ CS0-004 Obj. 1.3–1.4 (certificate and host artefacts as investigative pivots; Pyramid of Pain — tooling artefacts outrank addresses)Reportar un problema con esta pregunta

12. 12. Un informe sectorial describe un conjunto de intrusión: acceso inicial por un fallo en el equipo de acceso remoto de un fabricante, luego abuso del proveedor de identidad de la víctima para emitir tokens de larga duración y después preparación de datos en un servicio de almacenamiento en la nube. Lista 60 direcciones y 8 hashes. La organización que lo lee usa otro fabricante de equipo, pero el mismo proveedor de identidad y el mismo almacenamiento. ¿Qué hace accionable ese informe allí?

    • A.Los pasos de identidad y almacenamiento corresponden a tecnología en uso, así que esas conductas dan detecciones locales.✓ Respuesta
    • B.Nada aplica, porque el equipo de acceso remoto señalado como punto de entrada no está desplegado en este entorno.
    • C.Todo aplica igual, porque un informe de conjunto de intrusión describe a un adversario y no los productos que usó la víctima.
    • D.Las 60 direcciones y los 8 hashes son la parte accionable, así que bloquearlas todas es lo más importante al recibirlo.

    La inteligencia es accionable cuando puede cambiar algo en este entorno, así que los pasos que tocan tecnología realmente desplegada —abuso de emisión de tokens en el proveedor de identidad y preparación de datos en el almacenamiento en la nube— se convierten en detecciones, cazas y comprobaciones de configuración. Los indicadores ligados a un equipo que nadie usa son contexto para leer, no trabajo para hacer.

    Ref. QB-WCRF86Fuente: CompTIA CySA+ CS0-004 Obj. 1.4 (threat intelligence properties: relevance and applicability to the environment)Reportar un problema con esta pregunta

13. 13. Un informe de inteligencia lista 40 direcciones, 12 dominios, 3 hashes de archivo y una conducta descrita: un intérprete de scripts firmado que crea una tarea programada con un nombre parecido a una actualización del fabricante. Seis semanas después, 38 direcciones ya no responden y los 3 hashes han cambiado. ¿Qué elemento conserva valor de detección y por qué?

    • A.Las direcciones que lista, porque la reutilización de infraestructura entre campañas las vuelve el contenido más duradero del informe.
    • B.Los hashes de archivo que lista, porque una carga compilada debe seguir idéntica byte a byte para que el cargador de la campaña la ejecute.
    • C.Los dominios que lista, porque el coste de registro y de certificados hace del dominio el artefacto más difícil de sustituir a corto plazo.
    • D.La conducta que el informe describe, porque rehacer una rutina de persistencia cuesta al adversario mucho más que rotar infraestructura.✓ Respuesta

    Las direcciones, los dominios y los hashes son baratos de rotar para un adversario, y por eso caducan rápido, mientras que una rutina de persistencia funcional supone esfuerzo de ingeniería y costumbre del operador, así que una detección escrita sobre esa conducta sigue disparando aunque cambien la infraestructura y los binarios. Ese orden de durabilidad es justamente la idea de la Pirámide del Dolor.

    Ref. QB-EVWMT6Fuente: CompTIA CySA+ CS0-004 Obj. 1.4 (indicator durability); Pyramid of Pain (D. Bianco) — TTPs are the costliest artefacts for an adversary to changeReportar un problema con esta pregunta

14. 14. Una entrada de una sola fuente marca una dirección como mando y control activo, con confianza baja y primera observación de hace nueve meses. La dirección pertenece a un rango compartido de un gran proveedor de alojamiento, y la telemetría propia no muestra ninguna conexión hacia ella en el periodo conservado. Un analista propone añadirla hoy a la lista de denegación del perímetro. ¿Qué respuesta es sensata?

    • A.Bloquearla hoy, porque una entrada de denegación es barata y reversible y un indicador débil pesa más que la ausencia local.
    • B.Conservarla como pista de caza de baja prioridad y enriquecimiento, porque bloquear una dirección compartida dañaría servicios legítimos.✓ Respuesta
    • C.Descartar la entrada por completo, porque un dato de una sola fuente y confianza baja no cabe en ningún flujo defensivo.
    • D.Escalarla como incidente confirmado, porque una etiqueta de mando y control implica que algún equipo del alcance ya está comprometido.

    La confianza y la fiabilidad de la fuente deciden qué hace el analista con un informe, no solo si se archiva: una entrada de una sola fuente, con confianza baja, de hace nueve meses y sobre espacio de alojamiento compartido justifica enriquecimiento y una caza retrospectiva, mientras que un bloqueo en el perímetro cortaría también todo servicio legítimo que comparta esa dirección. Sin observación local no hay base para declarar un incidente.

    Ref. QB-XC4TD7Fuente: CompTIA CySA+ CS0-004 Obj. 1.4 (intelligence confidence levels, source reliability and timeliness)Reportar un problema con esta pregunta

15. 15. Un equipo quiere compartir lo aprendido en una intrusión con una comunidad sectorial de intercambio. El paquete borrador contiene los dominios del adversario y una descripción de la técnica de persistencia, y también nombres de host internos, el buzón del empleado afectado y un enlace al ticket interno. ¿Cuál es el tratamiento correcto?

    • A.Compartir el paquete tal cual, porque quien lo recibe necesita el material bruto para juzgarlo y sabrá descartar lo interno.
    • B.Compartir los artefactos atribuibles al adversario y la técnica, quitar identificadores internos y personales, y fijar límites de redifusión.✓ Respuesta
    • C.No compartir nada hasta que la intrusión sea pública, porque toda difusión temprana crea una responsabilidad mayor que el beneficio.
    • D.Compartir solo los dominios, porque la descripción de la técnica es lógica de detección propia y la comunidad no la necesita.

    Compartir es útil solo si quien recibe obtiene contenido atribuible al adversario —infraestructura y, sobre todo, conducta que otros puedan detectar— y es seguro solo si se eliminan los datos de la víctima y los internos y se indican las expectativas de manejo y redifusión. Sanear el paquete cumple ambas cosas: entregarlo en bruto expone a la organización y al empleado, y no compartir nada desperdicia el valor defensivo.

    Ref. QB-FV9YY7Fuente: CompTIA CySA+ CS0-004 Obj. 1.4 (information sharing and collaboration; handling and redistribution designations)Reportar un problema con esta pregunta

16. 16. Se propone una caza así: «revisar los registros DNS por si hay algo inusual». La responsable pide reformularla para que el resultado pueda juzgarse en un sentido o en otro. ¿Qué reformulación es una hipótesis utilizable?

    • A.Se está abusando del DNS en algún punto; lo veríamos revisando uno por uno todos los dominios resueltos en el periodo.
    • B.Un equipo interno está tunelizando datos por DNS; lo veríamos como etiquetas largas y de alta entropía hacia un mismo dominio.✓ Respuesta
    • C.Algunas respuestas DNS son maliciosas; lo veríamos alertando sobre toda respuesta con error de nombre inexistente.
    • D.El resolutor genera más tráfico que el trimestre pasado; lo veríamos como un aumento del volumen total de consultas.

    Una hipótesis de caza debe nombrar una conducta concreta del adversario, la telemetría que la contendría y la evidencia observable que la confirmaría o refutaría, de modo que la búsqueda termine en un sí o un no defendible. «Algo inusual» o «se abusa en algún punto» no se pueden refutar y solo generan navegación, mientras que una tendencia de volumen o una alerta por nombres inexistentes miden otra cosa.

    Ref. QB-YCF5K8Fuente: CompTIA CySA+ CS0-004 Obj. 1.4 (hypothesis-driven threat hunting; testing and documenting conclusions)Reportar un problema con esta pregunta

17. 17. Una caza de una técnica de persistencia basada en el registro busca en 90 días de telemetría de puestos y no encuentra nada. El agente está instalado en el 82 por ciento de los puestos y sí registra las escrituras en las claves de registro implicadas. ¿Qué respalda legítimamente ese resultado negativo?

    • A.Que la caza fue esfuerzo perdido, ya que solo aporta valor si termina en un hallazgo confirmado que un caso pueda aprovechar.
    • B.Que el entorno está libre de esa técnica de persistencia, así que la hipótesis queda refutada y sale de la lista de cazas pendientes.
    • C.Que la conducta no está en los equipos cubiertos durante esos 90 días, y el 18 por ciento restante y lo anterior siguen sin saberse.✓ Respuesta
    • D.Que el registro del agente es defectuoso, porque una técnica tan común aparecería en algún punto de 90 días de telemetría.

    Un resultado negativo de caza está limitado por la visibilidad y la retención: respalda que la conducta buscada no aparece en la telemetría existente, para los equipos cubiertos y el periodo consultado, y nada más. La salida honesta es un alcance documentado con sus huecos nombrados —el 18 por ciento sin agente y todo lo anterior a los 90 días— que ya es un hallazgo útil sobre cobertura.

    Ref. QB-GVMA69Fuente: CompTIA CySA+ CS0-004 Obj. 1.4 (documenting and testing hunt conclusions; visibility and coverage gaps)Reportar un problema con esta pregunta

18. 18. Una caza halla tres equipos en los que un intérprete de scripts cargó una biblioteca desde un directorio escribible por el usuario. Los archivos se eliminan y los equipos se limpian. ¿Qué debe ocurrir para que la caza deje valor duradero?

    • A.Expresar la conducta como detección automática, ajustarla frente a la actividad normal y comprobar que dispara al reproducirla.✓ Respuesta
    • B.Programar la misma consulta manual cada mes, ya que una consulta que halló algo una vez es aquí el control duradero.
    • C.Añadir los tres resúmenes de biblioteca a la lista de bloqueo, ya que eso impide que esas cargas vuelvan a ocurrir.
    • D.Anotar el hallazgo en el informe de caza y en el caso, ya que documentar el patrón es lo que permite reutilizarlo después.

    Una caza rinde cuando la conducta hallada se convierte en una detección automática, ajustada frente a la actividad normal y validada para que dispare, porque así no hay que repetir la búsqueda manual y el siguiente caso se detecta en el momento. Los resúmenes de archivo se rompen al recompilar la biblioteca, y una consulta mensual deja el entorno ciego entre ejecuciones.

    Ref. QB-RCYSCYFuente: CompTIA CySA+ CS0-004 Obj. 1.4 (threat hunting outcomes: new detections and reduced attack surface)Reportar un problema con esta pregunta

19. 19. En una semana cargada, un responsable reasigna a los dos cazadores a la cola de alertas, con el argumento de que ambos trabajos son «leer registros». ¿Cuál es la distinción exacta y qué cuesta esa reasignación?

    • A.Clasificar y cazar son la misma actividad a distinto volumen, así que el único coste es retomar la caza más tarde de lo previsto.
    • B.La caza solo difiere en herramientas, pues se consulta la misma consola con las mismas búsquedas guardadas; no se pierde nada.
    • C.La caza es la vía de escalado de las alertas que nadie cierra, así que el coste son tiempos de gestión mayores en la cola.
    • D.La clasificación parte de alertas de reglas existentes; la caza parte de una hipótesis sin regla, así que se deja de hallar huecos.✓ Respuesta

    La clasificación de alertas es reactiva: el trabajo llega de reglas que ya existen y cada elemento tiene una vía de cierre definida. La caza es proactiva y guiada por hipótesis, y busca a propósito en la telemetría donde ninguna regla dispara, así que pausarla no solo retrasa una cola: suspende la única actividad que encuentra los huecos de detección, y esos huecos siguen abiertos mientras los cazadores atienden la cola.

    Ref. QB-9V5YXYFuente: CompTIA CySA+ CS0-004 Obj. 1.4 (threat hunting as proactive, hypothesis-driven work distinct from alert-driven triage)Reportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA CySA+. Este sitio no está afiliado ni respaldado por CompTIA, y estas no son preguntas reales del examen. CompTIA renueva este examen periódicamente, mantiene dos versiones en paralelo durante la transición y fija la duración, el estándar de aprobación y los requisitos — confirma los objetivos vigentes y el código de examen activo con CompTIA antes de inscribirte. El examen real también incluye preguntas basadas en desempeño que un banco de opción múltiple no puede reproducir, así que combínalo con práctica real. Objetivos oficiales del CySA+ →