19 Preguntas de Práctica de Métodos de escaneo de vulnerabilidades con Respuestas

1. 1. Un escaneo sin credenciales de un servidor web Linux devuelve «servicio HTTP detectado; cadena de versión suprimida» y enumera tres CVE como hallazgos potenciales. El equipo pregunta qué cambiaría un escaneo con credenciales del mismo host. ¿Cuál afirmación es correcta?

   • A.Se autentica en el host y lee las versiones de los paquetes instalados y su configuración, así el hallazgo se apoya en evidencia y no en un banner.✓ Respuesta
   • B.Envía las mismas sondas a mucha mayor velocidad, así más servicios responden dentro del tiempo límite y los hallazgos potenciales se confirman.
   • C.Intenta explotar cada hallazgo potencial del host, que es la forma en que una comprobación autenticada demuestra que la vulnerabilidad existe.
   • D.Alcanza el host desde dentro del perímetro, y ese punto de observación es lo que quita el calificativo de potencial al resultado del complemento.

   Un escaneo con credenciales inicia sesión y consulta la base de paquetes, el registro y los archivos de configuración del propio host, por lo que el hallazgo se apoya en la versión y los ajustes realmente instalados y no en un banner inferido. Esa evidencia explica que la autenticación reduzca mucho los falsos positivos y revele debilidades de configuración que ninguna sonda de red puede ver. Las comprobaciones autenticadas no explotan nada, y la posición de red es una variable aparte.

   Ref. QB-6CK5BDFuente: CompTIA CySA+ CS0-004 Objective 2.1 - credentialed vs. non-credentialed scanningReportar un problema con esta pregunta

2. 2. Los portátiles de un equipo de ventas de campo se conectan a la red corporativa solo unos días al mes y el resto trabajan desde casas y hoteles. Sus datos de vulnerabilidades tienen siempre más de un mes. ¿Qué método de recolección conviene para estos hosts y por qué?

   • A.Programar un escaneo nocturno del rango inalámbrico corporativo, ya que los portátiles itinerantes se registran allí cada vez que se conectan.
   • B.Escanear el grupo de direcciones de acceso remoto en horario laboral, porque ese rango guarda la dirección actual de cada portátil que está fuera.
   • C.Aumentar el tiempo de espera y los reintentos del escáner de red para que los portátiles dormidos o fuera de la oficina respondan a las sondas.
   • D.Instalar un agente de escaneo en cada portátil; evalúa el host localmente y sube los resultados cuando el equipo tenga salida a internet.✓ Respuesta

   Un agente evalúa el host desde dentro según su propia planificación y envía los resultados a la consola por cualquier salida a internet, que es justo lo que necesita un equipo que casi nunca está en la red corporativa. Un escaneo de red solo puede evaluar una dirección mientras el host está encendido, alcanzable y dentro del alcance declarado, así que pierde por diseño los portátiles itinerantes. Ningún tiempo de espera ni reintento alcanza a una máquina que no está en la red.

   Ref. QB-NUDYQCFuente: CompTIA CySA+ CS0-004 Objective 2.1 - agent-based vs. agentless scanningReportar un problema con esta pregunta

3. 3. En una red de planta, el fabricante documenta que los controladores lógicos programables (PLC) pueden fallar al recibir tráfico inesperado, y el contrato prohíbe sondearlos de forma activa. El analista aún debe obtener información de vulnerabilidades sobre ellos. ¿Qué enfoque encaja y cuál es su limitación?

   • A.Ejecutar la política activa con los complementos peligrosos desactivados y un solo hilo, pues menos intensidad elimina el riesgo de fallo.
   • B.Analizar una copia espejo del tráfico del segmento para identificar protocolos y firmware; no añade paquetes, pero solo ve equipos que transmiten.✓ Respuesta
   • C.Hacer un escaneo autenticado de cada controlador con la cuenta de ingeniería del fabricante, porque la autenticación no envía tráfico inesperado.
   • D.Programar el escaneo activo para la parada mensual, porque un controlador sin alimentación no puede fallar por un paquete inesperado.

   La observación pasiva del tráfico en espejo identifica equipos, protocolos y versiones de software sin inyectar un solo paquete, y por eso es el método aceptado para tecnología operativa frágil que no se debe tocar. Su coste es la cobertura: un equipo que permanece callado durante la captura nunca aparece, y las versiones solo se infieren de lo que el protocolo revela. Bajar la intensidad de un escaneo activo reduce el riesgo pero no lo elimina, y autenticarse sigue implicando enviar tráfico que el controlador puede no esperar.

   Ref. QB-5C8T5CFuente: CompTIA CySA+ CS0-004 Objective 2.1 - passive vs. active scanningReportar un problema con esta pregunta

4. 4. Las bombas de infusión y las consolas de imagen de un hospital las mantiene el fabricante, tienen una aprobación regulatoria que impide alterar su software y ya se han caído durante escaneos de puertos. Ingeniería clínica aún debe dar al comité de seguridad un panorama de vulnerabilidades. ¿Qué enfoque es apropiado?

   • A.Identificar los equipos de forma pasiva y usar los avisos del fabricante como inventario de componentes, en un segmento restringido hasta el arreglo.✓ Respuesta
   • B.Sacar el rango clínico del programa, ya que la aprobación regulatoria del fabricante vuelve inservible cualquier hallazgo que anote el hospital.
   • C.Barrer cada equipo con un escaneo completo de puertos y servicios cada trimestre, leve como para ser seguro y válido ante un evaluador externo.
   • D.Aplicarles la política autenticada estándar de servidores, porque los equipos clínicos son hosts como cualquier otro y van en el mismo informe.

   Cuando la sensibilidad y la fragilidad descartan el escaneo activo o autenticado, la evaluación se construye con identificación pasiva más el inventario de componentes y los avisos del propio fabricante, y el riesgo residual se trata con controles compensatorios como segmentación estricta y monitoreo. Así los equipos siguen dentro del programa de gestión de vulnerabilidades sin generar el tráfico que ya los ha tumbado. Sacar el rango del programa deja un punto ciego, y un barrido trimestral de puertos es precisamente lo que estos equipos no toleran.

   Ref. QB-RUFY8GFuente: CompTIA CySA+ CS0-004 Objective 2.1 - scanning considerations: sensitivity levels and operationsReportar un problema con esta pregunta

5. 5. Un firewall perimetral permite solo tcp/443 hacia un servidor web, que además escucha internamente en tcp/22 y tcp/1433. Un escáner en la misma subred del servidor informa de los tres servicios; un escáner alojado fuera de la red informa solo del servicio HTTPS. ¿Cuál conclusión es correcta?

   • A.El resultado externo está mal, porque se espera que un escáner enumere todos los puertos a la escucha del objetivo sea cual sea la ruta de red.
   • B.Ambos resultados valen desde su propio punto de vista: el externo mide lo que alcanza un atacante de internet y el interno lo que se expone dentro.✓ Respuesta
   • C.El resultado interno está mal, porque los hallazgos en puertos que el firewall bloquea son falsos positivos y hay que quitarlos del informe.
   • D.La diferencia prueba que el firewall está mal configurado, ya que un filtrado correcto hace que ambos escaneos devuelvan la misma lista de puertos.

   El resultado de un escaneo describe una ruta, no solo un host: la perspectiva externa mide la superficie de ataque realmente alcanzable desde internet, y la interna mide lo que encontraría alguien que ya está dentro de la red. Ambas son necesarias, porque los hallazgos internos describen la exposición real una vez superado el perímetro y los externos la superficie alcanzable hoy. El filtrado es la razón esperada de la diferencia, no prueba de que un escaneo falle.

   Ref. QB-8CATNFFuente: CompTIA CySA+ CS0-004 Objective 2.1 - internal vs. external scanningReportar un problema con esta pregunta

6. 6. Un escaneo mensual de los rangos documentados informa de que el 98 por ciento de los hallazgos está remediado. Luego una intrusión se rastrea hasta un servidor de archivos departamental que no figura en ningún inventario ni en ningún alcance de escaneo. ¿Qué dice realmente esa cifra del 98 por ciento?

   • A.Sigue siendo válida para todo el parque, porque el escaneo recorre cada dirección viva que encuentra dentro de los rangos documentados cada mes.
   • B.Indica que los ajustes de descubrimiento eran demasiado agresivos y ese servidor se fusionó con un host conocido como entrada duplicada.
   • C.Prueba que los equipos de remediación declararon menos trabajo, pues un parque parcheado no genera incidentes desde un host sin parches.
   • D.Describe solo los hosts que estaban en el alcance, así que un inventario que omite activos da una cifra que nada dice de los omitidos.✓ Respuesta

   El inventario de activos es el requisito previo del escaneo: un escaneo solo puede hablar de las direcciones que se le indicaron, así que todo porcentaje de remediación es una afirmación sobre el alcance y no sobre el entorno. Un activo omitido no se informa como hueco, simplemente no está, y por eso un inventario incompleto se convierte en falsa tranquilidad. La corrección es un descubrimiento continuo conciliado con el inventario para que alcance y parque coincidan.

   Ref. QB-QU4N3FFuente: CompTIA CySA+ CS0-004 Objective 2.1 - asset discovery and inventory as a scanning prerequisiteReportar un problema con esta pregunta

7. 7. Un escaneo autenticado completo del parque virtual lanzado a las 10:00 de un día laborable saturó la CPU de un hipervisor y una aplicación de trading superó su tiempo de espera. El negocio no acepta que se repita y seguridad debe seguir cubriendo el parque cada mes. ¿Qué cambio en la configuración cumple ambas exigencias?

   • A.Mantener el horario de las 10:00 pero quitar las comprobaciones autenticadas, pues escanear sin credenciales no genera carga medible.
   • B.Mover el escaneo a una ventana de baja actividad acordada y limitar hosts simultáneos y pruebas por host, repartiendo el parque cada mes.✓ Respuesta
   • C.Reducir el escaneo a una vez al año a la misma hora, que es la forma aceptada de equilibrar la cobertura mensual con la interrupción.
   • D.Excluir el parque virtual e informar solo de servidores físicos, anotando el hueco de cobertura como riesgo aceptado en el registro.

   La planificación del escaneo equilibra cobertura e impacto operativo con tres palancas que controla el analista: cuándo se ejecuta, cuánto del parque toca a la vez y con cuánta intensidad presiona cada objetivo. Acordar una ventana de baja actividad, limitar la concurrencia y repartir el parque en lotes conserva la cobertura mensual y elimina el pico de carga que rompió la aplicación. Quitar la autenticación reduce la precisión, no la carga, y renunciar a la cobertura convierte un problema de ingeniería en un punto ciego sin gestionar.

   Ref. QB-7CXFGEFuente: CompTIA CySA+ CS0-004 Objective 2.1 - scanning considerations: scheduling, operations and performanceReportar un problema con esta pregunta

8. 8. Los portátiles de los desarrolladores y las instancias en la nube con autoescalado están a menudo apagados durante la ventana de escaneo de las 02:00. El escáner marca sus direcciones como sin respuesta y desaparecen del informe mensual en vez de aparecer con hallazgos. ¿Cuál afirmación sobre ese resultado es correcta?

   • A.Un host apagado durante la ventana hereda sus resultados anteriores, y por eso el informe lo arrastra sin ningún hallazgo pendiente.
   • B.Un host apagado durante la ventana queda excluido sin riesgo, porque una máquina sin alimentación no puede tener una vulnerabilidad explotable.
   • C.Un host apagado durante la ventana simplemente no se evalúa, así que su ausencia se concilia con el inventario y no se lee como limpia.✓ Respuesta
   • D.Un host apagado durante la ventana revela una política defectuosa, y se corrige subiendo los tiempos de espera hasta que la dirección responda.

   Un objetivo inalcanzable no produce datos, y la falta de datos no equivale a la falta de vulnerabilidades: el silencio solo indica que el host quedó fuera de la evaluación en ese momento. Como el denominador del informe es lo que respondió, la cobertura debe medirse contra el inventario, y los hosts disponibles de forma intermitente se cubren mejor con agentes o con ventanas ajustadas a su horario real. Leer un host ausente como limpio es lo que mantiene invisible durante meses a una estación sin parches.

   Ref. QB-TU6NKJFuente: CompTIA CySA+ CS0-004 Objective 2.1 - scan scheduling and coverage reconciliationReportar un problema con esta pregunta

9. 9. Un escáner en el núcleo del centro de datos informa de que todos los hosts de un segmento remoto de sucursal no tienen puertos abiertos ni hallazgos, aunque el personal de allí usa servicios de archivos e impresión en esos hosts todo el día. ¿Cuál es la explicación más probable y la corrección adecuada?

   • A.El escaneo usó pocos hilos para un enlace remoto lento, así que subir el número de hilos permitirá terminar y ver los puertos a la escucha.
   • B.Cada host de la sucursal tiene un firewall local que bloquea escaneos, por lo que el resultado vacío es exacto y no hace falta más evaluación.
   • C.La sucursal usa direccionamiento privado al que el escáner no puede enrutar, así que esos hosts deben pasar al rango que emplea el núcleo.
   • D.Una lista de acceso en la ruta descarta las sondas, así que el escáner debe ir dentro de ese segmento o hay que permitir su tráfico de paso.✓ Respuesta

   Cuando un dispositivo de filtrado se interpone entre el escáner y el objetivo, las sondas nunca llegan y el escáner informa silencio, que se ve igual que un host endurecido. Un resultado limpio que contradice servicios que sabemos en uso es, por tanto, un fallo de cobertura y no un logro de seguridad, y se resuelve escaneando desde dentro del segmento o con una excepción acordada para la ruta del escáner. El número de hilos y el direccionamiento no explican que todo un segmento no responda nada mientras los usuarios trabajan en él.

   Ref. QB-ACZFZHFuente: CompTIA CySA+ CS0-004 Objective 2.1 - segmentation and scanner placementReportar un problema con esta pregunta

10. 10. Un escaneo de aplicación web de un portal de clientes termina en ocho minutos e informa de hallazgos solo en las páginas de marketing, la de inicio de sesión y el formulario de restablecimiento de contraseña. La gestión de cuentas, los pagos y la administración están tras el inicio de sesión. ¿Qué necesita la configuración del escaneo?

    • A.Necesita más profundidad de rastreo y más peticiones, así el rastreador sin autenticar enumera las funciones que hay tras el formulario de acceso.
    • B.Necesita una sesión mantenida: credenciales, una secuencia de acceso grabada y el enlace logout excluido, o el rastreador no pasa de la portada.✓ Respuesta
    • C.Necesita activar los complementos de servicios de red, porque las funciones tras el acceso se hallan con pruebas de puertos y servicios.
    • D.Necesita acceso con credenciales al host del servidor web, porque leer los archivos fuente en disco es lo que revela las páginas tras el acceso.

    Un escáner de aplicaciones web prueba lo que su rastreador puede alcanzar, y todo lo que hay tras un inicio de sesión es inalcanzable salvo que el escaneo mantenga una sesión válida: credenciales, una secuencia de acceso que pueda repetir y los enlaces logout excluidos para que la sesión sobreviva al rastreo. Sin esa configuración el escaneo cubre en silencio solo la superficie pública, y por eso una ejecución de ocho minutos en un portal grande ya es una señal de alarma. La profundidad de rastreo, los complementos de red y las credenciales del host no crean una sesión de aplicación.

    Ref. QB-YFYNH9Fuente: CompTIA CySA+ CS0-004 Objective 2.1 - web application scanning, authenticated crawlingReportar un problema con esta pregunta

11. 11. Los escaneos autenticados de host en los nodos de contenedores de producción no informan de hallazgos para un servicio de pagos, pero la imagen de ese servicio se construyó sobre una imagen base con una librería TLS vulnerable conocida. ¿Por qué lo pasó por alto el escaneo de host y qué hay que escanear?

    • A.Los contenedores ocultan sus procesos al escáner, así que hay que repetir la misma política de host con credenciales de root para ver la librería.
    • B.La política de host revisa los paquetes del nodo, no las capas de la imagen, así que hay que escanear imágenes en la canalización y el registro.✓ Respuesta
    • C.El resultado es correcto, porque una librería empaquetada dentro de una imagen de contenedor es inalcanzable para un atacante y no es hallazgo.
    • D.La política de host debe sustituirse por un escaneo externo del perímetro, que es el punto de vista que revela componentes vulnerables de imagen.

    Un escaneo de host enumera los paquetes que instaló el sistema operativo del nodo, mientras que las dependencias de un contenedor viven en las capas de la imagen que trae la carga de trabajo, de modo que la librería vulnerable es invisible desde ese punto de vista. El contenido de contenedores se evalúa por eso donde se produce y se guarda: escaneando imágenes en la canalización de construcción y en el registro antes del despliegue, y siguiendo los componentes que cada imagen contiene. El hallazgo es real: el código dentro de un contenedor en ejecución se ejecuta y es alcanzable por el servicio que expone.

    Ref. QB-GY5U4AFuente: CompTIA CySA+ CS0-004 Objective 2.1 - container image scanning in the build pipeline and registryReportar un problema con esta pregunta

12. 12. Una canalización escanea plantillas de infraestructura como código antes del apply y bloquea toda definición que conceda acceso público. Tres meses después, una auditoría encuentra una base de datos de producción accesible desde internet, y ninguna plantilla declara ese ajuste. ¿Qué revela esto sobre el alcance del escaneo?

    • A.El escaneo de plantillas ya cubre el entorno desplegado de forma continua, así que el hallazgo indica una excepción escrita en las reglas.
    • B.El escaneo de plantillas sustituye la evaluación en ejecución cuando todo está declarado en código, así que alguien esquivó la canalización.
    • C.El escaneo de plantillas juzga solo lo declarado, así que un cambio en la consola es invisible y hay que evaluar también el estado real.✓ Respuesta
    • D.El escaneo de plantillas no puede evaluar ajustes de acceso, y por eso una base expuesta solo aparece con un escaneo autenticado de host.

    Escanear definiciones antes del despliegue detecta configuración insegura temprano, pero su evidencia es la plantilla, así que todo lo que se cambie después a mano, por un operador en la consola del proveedor o por otra automatización, queda fuera del alcance. La postura de seguridad en la nube debe evaluarse también contra el estado desplegado, para detectar la desviación respecto a lo declarado. Ambas ubicaciones responden preguntas distintas y ninguna sustituye a la otra.

    Ref. QB-XFMBC8Fuente: CompTIA CySA+ CS0-004 Objective 2.1 - infrastructure-as-code scanning and cloud configuration assessmentReportar un problema con esta pregunta

13. 13. Una misma estación de trabajo aparece en dos informes: el escaneo de red de su subred enumera cuatro hallazgos y el agente instalado en ella enumera treinta y siete, entre ellos un lector de PDF obsoleto y un navegador sin parchear. ¿Cuál explicación de la diferencia es correcta?

    • A.El agente informa de software que el usuario ya desinstaló, porque su base local se actualiza solo cuando el equipo vuelve a la red corporativa.
    • B.El agente cuenta cada problema dos veces, una por familia de complementos, y eso hace que su total sea varias veces el del escaneo de red.
    • C.El escaneo de red es el válido porque prueba el host como lo haría un atacante, así que los hallazgos extra del agente no son exposición real.
    • D.El escaneo de red solo juzga servicios que escuchan en la red, mientras el agente enumera el software instalado y el estado de parches en disco.✓ Respuesta

    Los dos métodos observan cosas distintas: un escaneo de red solo puede razonar sobre puertos, servicios y respuestas que cruzan la red, mientras un agente lee el inventario de software instalado, el nivel de parches y la configuración desde dentro del sistema operativo. El software de cliente, como lectores de documentos y navegadores, no escucha en ningún puerto, así que es invisible para el escaneo de red y sin embargo es exposición real, porque el usuario abre con él contenido no confiable. Ningún informe duplica cuentas, y los hallazgos del agente no son software retirado.

    Ref. QB-FYSGX8Fuente: CompTIA CySA+ CS0-004 Objective 2.1 - agent-based vs. network-based collectionReportar un problema con esta pregunta

14. 14. A un analista nuevo le piden escanear las oficinas de sucursal. No hay documentación de direcciones ni lista de hosts, y el equipo de red solo puede facilitar los prefijos enrutados alcanzables por la red de área extensa. ¿Qué acción va primero y por qué?

    • A.Lanzar de inmediato la política autenticada completa contra todos los rangos enrutados, porque el escaneo mismo irá armando la lista de activos.
    • B.Pedir a cada gerente una hoja de cálculo de equipos y evaluar solo eso, ya que un escaneo solo puede tocar activos documentados.
    • C.Ejecutar un escaneo de descubrimiento de los rangos enrutados para hallar hosts vivos e identificar sistemas y servicios, y así fijar el alcance.✓ Respuesta
    • D.Escanear primero las direcciones públicas de los firewalls de sucursal, porque una vista externa del perímetro sustituye al inventario interno.

    El escaneo de descubrimiento es el paso que convierte rangos de direcciones en una población conocida: los escaneos de mapeo hallan qué direcciones están vivas y la identificación determina sistemas operativos, servicios y funciones, y eso permite elegir un alcance, unas credenciales y una intensidad razonables. Lanzar una política autenticada completa contra rangos desconocidos puede perturbar hosts frágiles y desperdicia esfuerzo en direcciones sin dueño. La hoja de cálculo de un gerente sirve como contraste, pero los activos en la sombra son justo lo que omite.

    Ref. QB-WF9Z67Fuente: CompTIA CySA+ CS0-004 Objective 2.1 - discovery scanning: mapping scans and device fingerprintingReportar un problema con esta pregunta

15. 15. Un evaluador pide evidencia de que los servidores de producción cumplen el estándar de refuerzo adoptado por la organización. La política de escaneo mensual del equipo solo detecta parches faltantes y vulnerabilidades conocidas. ¿Qué cambio en el escaneo produce esa evidencia?

    • A.Ejecutar la política de auditoría de configuración del escáner, comparando los ajustes de cada host con el estándar elegido, que mide la base.✓ Respuesta
    • B.Subir el umbral de severidad de la política actual para que solo salgan entradas críticas, forma que un evaluador acepta como evidencia.
    • C.Repetir la política actual con credenciales, porque un escaneo autenticado de vulnerabilidades sin hallazgos demuestra que la base se aplicó.
    • D.Exportar doce meses de tendencia de vulnerabilidades, pues una cifra de hallazgos a la baja es la prueba aceptada de cumplir el estándar.

    La detección de vulnerabilidades y el escaneo de línea base o cumplimiento responden preguntas distintas: uno pregunta si hay fallos conocidos, el otro compara punto por punto los ajustes de cada host con un estándar de configuración concreto e informa de las desviaciones. Solo una política de auditoría de configuración, ejecutada con credenciales contra el estándar adoptado, produce evidencia de cumplimiento ajuste por ajuste. La ausencia de hallazgos de vulnerabilidad nada dice de la política de contraseñas, el refuerzo de servicios, la auditoría o los permisos.

    Ref. QB-EYE6S7Fuente: CompTIA CySA+ CS0-004 Objective 2.1 - security baseline scanning against a configuration standardReportar un problema con esta pregunta

16. 16. Seguridad objeta que el escaneo autenticado sin agente previsto para 2.000 servidores exige guardar credenciales con privilegios de dominio en el escáner y usarlas por la red. ¿Cuál afirmación sobre la alternativa basada en agente es exacta?

    • A.Un agente no necesita credenciales porque solo lee banners de red locales, y por eso su salida coincide con un escaneo de red sin autenticar.
    • B.Un escaneo sin agente queda libre de credenciales al activar los complementos de configuración profunda, que leen parches sin autenticarse.
    • C.Un agente corre con los privilegios del propio host, así ninguna credencial de escaneo viaja por la red, a cambio de instalar software.✓ Respuesta
    • D.Un agente no sirve en servidores, pues solo se admite en equipos de usuario itinerantes, así que las credenciales siguen en el escáner.

    Un agente ya se ejecuta localmente con los privilegios que necesita, así que se obtiene la profundidad de una evaluación autenticada sin distribuir ni transmitir una cuenta de escaneo privilegiada, lo que elimina una exposición permanente de credenciales. La contrapartida es operativa: hay que desplegar, actualizar y vigilar software en cada host, y las plataformas sin agente siguen necesitando cobertura sin agente. Los agentes sí se admiten en servidores, y ningún conjunto de complementos lee el estado de parches instalados sin autenticarse.

    Ref. QB-VFWNZ5Fuente: CompTIA CySA+ CS0-004 Objective 2.1 - agent-based vs. agentless scanning trade-offsReportar un problema con esta pregunta

17. 17. Un mandato de cumplimiento exige escanear cada host del segmento que maneja datos de tarjetas de pago. La política de escaneo hace primero un ping a cada dirección y omite lo que no responde, y varios hosts endurecidos de ese segmento descartan ICMP. ¿Qué debe cambiar?

    • A.Reactivar ICMP en los hosts endurecidos para que el método actual funcione, que es la configuración que el mandato espera de esos sistemas.
    • B.Aceptar el hueco y anotar los hosts silenciosos como conformes, porque un host que ignora ICMP no ofrece servicio alcanzable a un atacante.
    • C.Desactivar el descubrimiento basado solo en ping, o añadir sondas TCP y UDP, para que los hosts que suprimen ICMP se evalúen y cuenten.✓ Respuesta
    • D.Llevar el escáner al segmento y conservar el descubrimiento por ping, ya que los fallos vienen de la distancia de red y no de los ajustes.

    Los ajustes de descubrimiento deciden qué direcciones llegan a evaluarse, así que una política que trata un eco ICMP sin respuesta como host ausente excluye en silencio justo los sistemas que se endurecieron. Añadir sondas de descubrimiento TCP y UDP, o desactivar el requisito de ping para que las direcciones listadas se prueben siempre, restablece la cobertura exigida. Debilitar la configuración de un host para complacer al escáner es la dirección equivocada, y la ubicación del escáner no cambia cómo decide descubrir hosts.

    Ref. QB-DY3UK6Fuente: CompTIA CySA+ CS0-004 Objective 2.1 - scanning considerations: regulatory requirements and scan scopeReportar un problema con esta pregunta

18. 18. Un escaneo dirigido a la dirección virtual publicada de una aplicación en clúster devuelve un host con un nivel de parches limpio. Tras esa dirección hay seis nodos web que se parchean con calendarios distintos. ¿Cuál afirmación sobre el escaneo es correcta?

    • A.Se evaluó el miembro que eligió el balanceador, así que hay que escanear los nodos uno a uno por sus direcciones para cubrir el grupo.✓ Respuesta
    • B.El resultado basta, ya que un servicio publicado tras una sola dirección virtual solo expone la configuración que el balanceador termina.
    • C.El grupo se evaluó como una unidad, porque el balanceador reenvía cada sonda a todos los miembros y fusiona sus respuestas hacia el escáner.
    • D.El resultado es nulo, porque un servicio balanceado solo se evalúa con un agente en el balanceador, que guarda el estado de parches del grupo.

    Una dirección virtual es un único objetivo lógico y el balanceador entrega cada conexión a un miembro, así que el informe describe el nodo que atendió las sondas y lo generaliza en silencio a todo el grupo. Como los miembros se parchean con calendarios distintos, la cobertura exige escanear cada nodo por su propia dirección o recoger datos de agentes en los miembros. Es el mismo tipo de error de configuración que escanear un nombre que resuelve a un proxy o a un borde de distribución de contenido en lugar del origen.

    Ref. QB-4GDZ7EFuente: CompTIA CySA+ CS0-004 Objective 2.1 - scan scope and target selection behind a virtual addressReportar un problema con esta pregunta

19. 19. A mitad de un escaneo interno los resultados dejan de llegar y los hosts restantes quedan registrados como inalcanzables. El registro del sistema de prevención en línea muestra que clasificó la dirección del escáner como origen de escaneo y la bloqueó. ¿Cómo debe tratarse esto?

    • A.Tratar los resultados como incompletos y pedir una excepción o un escáner dentro del segmento, para que el bloqueo no defina la cobertura.✓ Respuesta
    • B.Aceptar los resultados como exactos, ya que los hosts tras un sistema de prevención que bloquea escaneos no tienen exposición que informar.
    • C.Subir la velocidad del escaneo para que las sondas acaben antes de que el sistema reaccione, forma habitual de cruzar defensas en línea.
    • D.Desactivar el bloqueo del sistema de prevención en todos los segmentos en horario laboral, para que cada escaneo futuro termine sin coordinar.

    Un escaneo que un dispositivo defensivo cortó mide la reacción de ese dispositivo, no la exposición de los hosts, así que la ejecución se registra como parcial y se repite en condiciones que le permitan terminar: normalmente una excepción coordinada para la dirección del escáner o un escáner colocado dentro del segmento. Tomar la salida truncada como resultado limpio oculta cada host sin evaluar, porque las sondas bloqueadas producen el mismo silencio que un host endurecido. Apagar la prevención en todo el parque cambia un problema de cobertura por una reducción real de protección.

    Ref. QB-MYJ6TEFuente: CompTIA CySA+ CS0-004 Objective 2.1 - scan coverage, network defences and coordinationReportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA CySA+. Este sitio no está afiliado ni respaldado por CompTIA, y estas no son preguntas reales del examen. CompTIA renueva este examen periódicamente, mantiene dos versiones en paralelo durante la transición y fija la duración, el estándar de aprobación y los requisitos — confirma los objetivos vigentes y el código de examen activo con CompTIA antes de inscribirte. El examen real también incluye preguntas basadas en desempeño que un banco de opción múltiple no puede reproducir, así que combínalo con práctica real. Objetivos oficiales del CySA+ →