21 Preguntas de Práctica de Seguridad de redes con Respuestas

1. 1. Un equipo de red publica un valor hash criptográfico para cada imagen de firmware, de modo que quien la descargue pueda comprobar que el archivo no fue alterado. ¿Qué propiedad de la tríada CIA protege principalmente este control?

   • A.Integridad✓ Respuesta
   • B.Registro de auditoría
   • C.Confidencialidad
   • D.Disponibilidad

   Un hash es un resumen unidireccional: si cambia un solo bit del archivo, el valor resultante es completamente distinto, por lo que comparar hashes detecta modificaciones no autorizadas. Eso es exactamente la integridad. La confidencialidad se logra con cifrado y control de acceso, y la disponibilidad con redundancia, copias de seguridad y mitigación de denegación de servicio; el registro de auditoría ni siquiera forma parte de la tríada CIA.

   Ref. QB-TZXJ39Fuente: CompTIA Network+ — Network Security domain (CIA triad)Reportar un problema con esta pregunta

2. 2. Un router ejecuta un firmware que contiene un fallo sin parchear en su interfaz web de administración. Según la terminología de seguridad estándar, ¿qué representa ese fallo sin parchear en sí mismo?

   • A.El actor de amenaza
   • B.La carga útil del exploit
   • C.La exposición al riesgo
   • D.La vulnerabilidad✓ Respuesta

   Una vulnerabilidad es la debilidad o el defecto en sí. La amenaza es el actor o suceso que podría aprovecharlo, el exploit es la técnica o el código concreto que utiliza esa debilidad, y el riesgo combina la probabilidad de que una amenaza aproveche la vulnerabilidad con el impacto que eso causaría. Distinguir estos cuatro términos es una pregunta de vocabulario recurrente.

   Ref. QB-AHSDG8Fuente: CompTIA Network+ — Network Security domain (security terminology)Reportar un problema con esta pregunta

3. 3. ¿Cuál de las siguientes afirmaciones describe mejor la arquitectura de confianza cero (zero trust) frente a un modelo perimetral tradicional?

   • A.Cada solicitud se autentica y se autoriza, venga de dentro o de fuera✓ Respuesta
   • B.Un dispositivo que pasa el firewall perimetral es de confianza dentro
   • C.Cualquier host con dirección privada RFC 1918 recibe confianza
   • D.Solo se inspecciona el tráfico entrante de internet; el interno queda exento

   La confianza cero elimina la confianza implícita basada en la ubicación de red: «nunca confiar, siempre verificar» significa que en cada solicitud se comprueban la identidad, el estado del dispositivo y la política, y el acceso se concede con mínimo privilegio y se revalida de forma continua. El modelo perimetral hace lo contrario, ya que considera de confianza todo lo que está dentro del firewall, lo que permite el movimiento lateral de un atacante que logre un punto de apoyo.

   Ref. QB-SZK8W7Fuente: CompTIA Network+ — Networking Concepts domain (zero trust architecture)Reportar un problema con esta pregunta

4. 4. Un servidor centralizado registra qué técnico inició sesión en un switch, a qué hora y qué comandos de configuración introdujo. ¿Qué elemento de AAA representa ese registro?

   • A.Contabilidad (accounting)✓ Respuesta
   • B.Autenticación
   • C.Autorización
   • D.Identificación

   La contabilidad es el registro de lo que realmente hizo un usuario ya autenticado —inicio y fin de sesión, recursos utilizados, comandos ejecutados— y es lo que permite rastrear la actividad a posteriori. La autenticación demuestra quién es el usuario, la autorización determina qué puede hacer, y la identificación es solo la afirmación de una identidad antes de ser comprobada.

   Ref. QB-9HE3B7Fuente: CompTIA Network+ — Network Security domain (authentication, authorization and accounting)Reportar un problema con esta pregunta

5. 5. En una red cableada que usa IEEE 802.1X, el puerto del switch de acceso bloquea todo el tráfico de datos de un portátil recién conectado hasta que un servidor central valida sus credenciales. ¿Qué rol de 802.1X desempeña ese puerto del switch?

   • A.Suplicante
   • B.Servidor de autenticación
   • C.Autoridad de certificación
   • D.Autenticador✓ Respuesta

   802.1X define tres roles: el suplicante es el cliente que solicita acceso, el autenticador es el puerto del switch o el punto de acceso que actúa de guardián, y el servidor de autenticación (normalmente RADIUS) toma la decisión. El autenticador mantiene el puerto en estado no controlado, que solo deja pasar el tráfico de autenticación EAP sobre LAN (EAPOL), reenvía esos mensajes EAP al servidor y abre el estado controlado para datos únicamente tras un resultado satisfactorio.

   Ref. QB-RZ8WQ6Fuente: IEEE 802.1X port-based network access control standardReportar un problema con esta pregunta

6. 6. ¿Cuál de las siguientes afirmaciones distingue correctamente TACACS+ de RADIUS?

   • A.RADIUS separa la autorización de la autenticación; TACACS+ las combina
   • B.RADIUS cifra el paquete completo; TACACS+ solo protege la contraseña
   • C.TACACS+ es un estándar abierto; RADIUS es de un solo fabricante
   • D.TACACS+ cifra todo el paquete y separa las funciones de AAA✓ Respuesta

   TACACS+ cifra toda la carga útil y trata la autenticación, la autorización y la contabilidad como funciones independientes, de modo que un administrador se autentica una vez y luego se le autoriza comando por comando, razón por la que se prefiere para la administración de dispositivos. RADIUS es el estándar abierto, viaja sobre UDP, solo protege el campo de la contraseña y fusiona autenticación con autorización, lo que encaja con decisiones de acceso a la red como wifi, VPN y 802.1X.

   Ref. QB-8H3R56Fuente: CompTIA Network+ — Network Security domain (identity and access management)Reportar un problema con esta pregunta

7. 7. Un portal web pide al usuario una contraseña y después la respuesta a una pregunta de seguridad personal. ¿Por qué esto NO se considera autenticación multifactor?

   • A.La autenticación multifactor exige al menos tres credenciales
   • B.El segundo campo no está protegido con cifrado en tránsito
   • C.Un servidor RADIUS no puede validar esas preguntas
   • D.Ambos datos son «algo que sabes», así que es un solo factor✓ Respuesta

   La autenticación multifactor exige credenciales de categorías de factor distintas: algo que sabes, algo que tienes, algo que eres, más atributos complementarios como el lugar donde estás o una franja horaria. Dos datos de conocimiento siguen siendo una sola categoría, así que un solo episodio de shoulder surfing, un phishing o la filtración de una base de datos de contraseñas comprometen ambos. Añadir un código de token, una aprobación push o un dato biométrico sí introduciría una segunda categoría real.

   Ref. QB-QZVJJ5Fuente: CompTIA Network+ — Network Security domain (multifactor authentication)Reportar un problema con esta pregunta

8. 8. Una organización quiere que los permisos sigan la función laboral, de modo que un nuevo empleado incorporado al grupo «mesa de ayuda» reciba automáticamente exactamente los derechos que ese puesto necesita. ¿Qué enfoque de control de acceso describe esto?

   • A.Control de acceso obligatorio
   • B.Control de acceso discrecional
   • C.Control de acceso basado en roles✓ Respuesta
   • D.Control de acceso basado en reglas

   El control de acceso basado en roles asocia los derechos a un rol o grupo en lugar de a personas concretas, de modo que altas y bajas se reducen a cambiar la pertenencia al rol, las mismas reglas se aplican a todos los que ocupan ese puesto y el mínimo privilegio se sostiene a escala, porque el rol se define con lo mínimo que exige el trabajo. Los otros tres modelos se basan en algo distinto: el control de acceso obligatorio concede el acceso según etiquetas de seguridad y habilitaciones impuestas por el sistema, el discrecional deja que el propietario de cada recurso decida quién lo usa, y el basado en reglas aplica condiciones como la hora o la dirección de origen por igual a todo el mundo.

   Ref. QB-FHJ3CEFuente: CompTIA Network+ — Network Security domain (authorization and least privilege)Reportar un problema con esta pregunta

9. 9. Se aplica una ACL de entrada en una interfaz del router con sus sentencias en este orden: (1) deny tcp any 10.10.0.0/16; (2) permit tcp any host 10.10.5.20 eq 443. Los usuarios informan de que no pueden llegar al servidor HTTPS en 10.10.5.20. ¿Cuál es la explicación?

   • A.Las ACL se evalúan de arriba abajo: el deny amplio coincide primero✓ Respuesta
   • B.Una ACL no surte efecto hasta aplicarla a una interfaz de VLAN
   • C.Un permit implícito al final anula las dos sentencias configuradas
   • D.HTTPS funciona sobre UDP y una sentencia permit de TCP no coincide

   Una ACL se procesa de arriba abajo y se detiene en la primera entrada coincidente, por lo que un deny amplio situado por encima de un permit específico bloquea en silencio el tráfico que el permit pretendía autorizar; la solución es colocar el permit específico antes del deny más general. Además, la lista termina con un deny implícito de todo, nunca con un permit implícito, así que todo lo que deba pasar necesita una sentencia permit explícita.

   Ref. QB-XZCWRDFuente: CompTIA Network+ — Network Security domain (access control lists)Reportar un problema con esta pregunta

10. 10. Una empresa debe alojar un servidor web público y un servidor DNS accesible desde el exterior. Siguiendo el diseño de zonas estándar, ¿dónde deben ubicarse estos sistemas?

    • A.En la VLAN de invitados, para que las visitas lleguen sin VPN
    • B.En la VLAN de usuarios internos, reenviando los puertos necesarios
    • C.En una subred protegida, filtrada de internet y de la LAN interna✓ Respuesta
    • D.Directamente en el borde de internet, sin ningún filtrado delante

    Una subred protegida es un segmento aparte para los servicios expuestos a internet, situado de forma que los clientes no confiables alcancen los servicios publicados pero el propio segmento no pueda abrir conexiones hacia la red interna de confianza. Esa contención es la clave: si comprometen el servidor web público, el atacante queda en una zona aislada y no en la LAN con los servidores de archivos y los puestos de trabajo.

    Ref. QB-FUX2UQFuente: CompTIA Network+ — Network Security domain (trusted and untrusted zones, screened subnet)Reportar un problema con esta pregunta

11. 11. Un equipo de seguridad quiere vigilar patrones de tráfico sospechoso en un enlace de producción, con el requisito absoluto de que el sistema de monitorización nunca pueda retrasar ni descartar tráfico legítimo. ¿Qué despliegue cumple ese requisito?

    • A.Un IDS fuera de banda, alimentado por un puerto espejo (SPAN)✓ Respuesta
    • B.Un firewall de aplicaciones web delante de cada cliente interno
    • C.Un IPS en línea en el borde de internet, en modo de bloqueo
    • D.Un proxy que termina y reescribe todas las sesiones

    Un IDS se sitúa fuera de banda e inspecciona una copia del tráfico entregada por un puerto espejo, así que solo puede detectar y alertar; los paquetes de producción nunca lo atraviesan y un falso positivo cuesta tiempo de un analista, no una interrupción. Un IPS va en línea, y eso es justo lo que le permite bloquear en tiempo real y también lo que puede añadir latencia o descartar sesiones legítimas cuando una firma se equivoca.

    Ref. QB-YB58ERFuente: CompTIA Network+ — Networking Concepts domain (IDS and IPS appliances)Reportar un problema con esta pregunta

12. 12. Una planta industrial utiliza dispositivos SCADA y de control industrial heredados que el fabricante ya no parchea y que no admiten los mecanismos actuales de autenticación ni de cifrado. ¿Cuál es el control de red más adecuado?

    • A.Pasar los controladores a la VLAN de las estaciones de ingeniería
    • B.Aislar los controladores en su propia VLAN con tráfico filtrado✓ Respuesta
    • C.Instalar agentes antivirus de endpoint en cada controlador antiguo
    • D.Publicar los controladores en internet con reenvío de puertos

    Cuando un dispositivo no se puede endurecer ni parchear, el control compensatorio consiste en reducir qué puede alcanzarlo y qué puede alcanzar él: un segmento dedicado con tráfico filtrado limita el movimiento lateral y reduce el radio de impacto si algo de la red resulta comprometido. En los controladores embebidos normalmente no se pueden instalar agentes antivirus, y unirlos a estaciones de uso general o exponerlos a internet no hace más que ampliar la superficie de ataque.

    Ref. QB-EUKQNPFuente: CompTIA Network+ — Network Security domain (network segmentation enforcement)Reportar un problema con esta pregunta

13. 13. Un técnico está desplegando un switch nuevo y un punto de acceso inalámbrico nuevo, recién sacados de sus cajas. ¿Qué medida de endurecimiento aborda la debilidad que más se explota en dispositivos de red recién instalados?

    • A.Ocultar el SSID inalámbrico para que no se descubra la red
    • B.Cambiar las credenciales de administración predeterminadas✓ Respuesta
    • C.Dejar todos los puertos del switch habilitados para conectar equipo
    • D.Habilitar Telnet para administrar los equipos desde el principio

    Los usuarios y contraseñas predeterminados del fabricante figuran en los manuales y en listas públicas, así que cambiarlos es la primera acción en cualquier switch, punto de acceso, router o cámara nuevos; deshabilitar puertos y servicios sin uso elimina el resto de superficie de ataque innecesaria. En la misma pasada de endurecimiento se sustituye la gestión en texto claro por equivalentes cifrados —SSH en lugar de Telnet, HTTPS en lugar de HTTP, SNMPv3 en lugar de cadenas de comunidad—, y ocultar un SSID solo lo omite de las balizas, algo que cualquier analizador inalámbrico supera.

    Ref. QB-XBSV8QFuente: CompTIA Network+ — Network Security domain (device hardening)Reportar un problema con esta pregunta

14. 14. En el vestíbulo de una empresa, los visitantes se conectan a una red inalámbrica que difunde exactamente el SSID corporativo con una señal inusualmente fuerte y, a continuación, se les muestra una página de inicio de sesión que recolecta sus credenciales corporativas. ¿Qué ataque describe esto?

    • A.Gemelo malvado (evil twin)✓ Respuesta
    • B.AP no autorizado (rogue AP)
    • C.Ataque de desautenticación
    • D.Inundación MAC

    El rasgo definitorio del gemelo malvado es la suplantación: el punto de acceso del atacante clona un SSID conocido (a menudo también el BSSID) y supera en señal al legítimo para que los clientes se asocien a él, situando al atacante en la ruta y permitiendo un portal cautivo falso. Un punto de acceso no autorizado es simplemente un AP conectado a la red sin permiso, como el equipo doméstico de un empleado, y no tiene por qué hacerse pasar por la red corporativa; esa suplantación es el elemento diferenciador.

    Ref. QB-HUNQ6TFuente: CompTIA Network+ — Network Security domain (wireless attacks)Reportar un problema con esta pregunta

15. 15. En varias estaciones de trabajo, la salida de arp -a muestra que la dirección IP de la puerta de enlace predeterminada y la de otro host apuntan a la misma dirección MAC, y el tráfico hacia la puerta de enlace está siendo interceptado. ¿Qué ataque se está produciendo?

    • A.Envenenamiento de DNS
    • B.Suplantación de DHCP
    • C.Envenenamiento de ARP✓ Respuesta
    • D.Salto de VLAN

    ARP no incluye autenticación, por lo que un atacante puede enviar respuestas ARP no solicitadas o gratuitas que asocian su propia MAC a la IP de la puerta de enlace, envenenando la caché ARP de todos los hosts que las reciben. Que dos direcciones IP se resuelvan a una misma MAC es el síntoma clásico, y el resultado es una posición on-path que permite espiar, modificar tráfico o provocar denegación de servicio.

    Ref. QB-2CUVRTFuente: IETF RFC 826 (Address Resolution Protocol); CompTIA Network+ — Network Security domainReportar un problema con esta pregunta

16. 16. Los empleados escriben en el navegador el nombre de host correcto del sistema interno de nóminas y acaban en una página de inicio de sesión convincente pero fraudulenta. El nombre en la barra de direcciones es correcto y el registro en caché del resolutor para ese nombre apunta a una dirección IP externa desconocida. ¿Qué ataque encaja mejor?

    • A.Envenenamiento de ARP
    • B.Envenenamiento de DNS✓ Respuesta
    • C.Typosquatting
    • D.Phishing dirigido

    El envenenamiento de DNS corrompe el registro en caché del resolutor (o un archivo hosts) para que un nombre legítimo y bien escrito se resuelva a una dirección controlada por el atacante, y por eso la URL parece correcta aunque el destino no lo sea. El typosquatting depende de que el usuario escriba mal el nombre, el phishing dirigido de que siga un enlace que le han enviado, y el envenenamiento de ARP actúa en la capa 2 del segmento local y no altera lo que un resolutor tiene en caché para un nombre. DNSSEC lo contrarresta firmando los registros para aportar autenticación de origen e integridad, aunque no cifra el DNS; el cifrado lo aportan DoH y DoT.

    Ref. QB-GUADZRFuente: IETF RFC 1035 (Domain Names — Implementation and Specification); CompTIA Network+ — Network Security domainReportar un problema con esta pregunta

17. 17. ¿Qué cambio de configuración en el switch mitiga de forma más directa el salto de VLAN realizado mediante doble etiquetado?

    • A.Habilitar la negociación dinámica de troncal en los puertos de acceso
    • B.Subir la MTU de los troncales para descartar tramas con doble etiqueta
    • C.Poner todos los hosts en la VLAN predeterminada para no etiquetar
    • D.Asignar a la VLAN nativa del troncal una VLAN dedicada sin uso✓ Respuesta

    En el doble etiquetado el atacante envía una trama con dos etiquetas 802.1Q; el primer switch retira la etiqueta exterior porque coincide con la VLAN nativa, que se transporta sin etiquetar, y reenvía la trama con la etiqueta interior hacia la VLAN de la víctima. Asignar la VLAN nativa a una VLAN sin uso y sin hosts elimina el vehículo de esa etiqueta exterior, y deshabilitar la negociación de troncales en los puertos de acceso cierra el otro método de salto de VLAN, la suplantación de switch.

    Ref. QB-ZBGJKSFuente: IEEE 802.1Q VLAN tagging standard; CompTIA Network+ — Network Security domainReportar un problema con esta pregunta

18. 18. Un switch empieza de pronto a reenviar tramas unicast por todos sus puertos, y un portátil conectado a un puerto de acceso puede capturar conversaciones entre otros hosts. ¿Qué ha ocurrido y qué función lo evita?

    • A.La tabla CAM se llenó de MAC falsificadas; la seguridad de puerto lo evita✓ Respuesta
    • B.Un bucle de enrutamiento causó una tormenta; habilitar NAT lo evita
    • C.Las cachés ARP caducaron en toda la red; acortar la concesión DHCP lo evita
    • D.El switch perdió su puerta de enlace; añadir una ruta estática lo evita

    La inundación MAC envía un torrente de tramas con direcciones de origen falsas hasta llenar la tabla CAM del switch; sin espacio para nuevas entradas, el switch falla en modo abierto e inunda las tramas unicast por todos los puertos, lo que permite al atacante espiar tráfico que debería haberse conmutado solo hacia su puerto de destino. La seguridad de puerto limita cuántas direcciones MAC se aprenden en un puerto y puede apagarlo, restringirlo o protegerlo cuando se supera el límite.

    Ref. QB-KUCDHVFuente: CompTIA Network+ — Network Security domain (port security and Layer 2 attacks)Reportar un problema con esta pregunta

19. 19. Un atacante envía pequeñas consultas UDP falsificadas a muchos servicios abiertos de internet, colocando la dirección IP de la víctima en el campo de origen, de modo que cada servicio devuelve a la víctima una respuesta mucho mayor y satura su enlace. ¿Cómo se describe mejor este ataque?

    • A.Un ataque de envenenamiento de DNS
    • B.Un ataque on-path de interceptación
    • C.Un ataque de relleno de credenciales
    • D.Un ataque DDoS de reflexión y amplificación✓ Respuesta

    La falsificación de la dirección de origen hace que servicios de terceros reflejen sus respuestas hacia la víctima y, como la respuesta es mucho mayor que la consulta, el tráfico se amplifica: poco ancho de banda del atacante se convierte en una avalancha. La propiedad atacada es la disponibilidad: no se lee ni se altera nada, simplemente se agotan el enlace y el servicio, y eso es lo que diferencia la denegación de servicio de los ataques a la confidencialidad o la integridad.

    Ref. QB-4CJJ4WFuente: CompTIA Network+ — Network Security domain (DoS and DDoS attacks)Reportar un problema con esta pregunta

20. 20. ¿Cuál de las siguientes afirmaciones describe una diferencia estructural entre el modo personal (clave precompartida) y el modo empresarial (802.1X) en una red WLAN?

    • A.El filtrado MAC en modo PSK identifica al usuario igual que 802.1X
    • B.El modo PSK autentica una frase compartida, no a un usuario concreto✓ Respuesta
    • C.Ocultar el SSID en modo PSK da la identidad por usuario de 802.1X
    • D.El modo PSK deja las tramas sin cifrar y el empresarial las cifra

    Ambos modos cifran el enlace radio; la diferencia duradera está en qué se autentica. Una clave precompartida autentica a cualquiera que conozca la frase de paso compartida, así que no hay responsabilidad individual ni revocación por usuario, y una baja obliga a recambiar la clave en todos los dispositivos. El modo empresarial incorpora 802.1X con un servidor de autenticación, lo que da a cada usuario credenciales propias que se pueden registrar y revocar de una en una. Ocultar el SSID y el filtrado MAC no son autenticación en absoluto: las balizas y las direcciones MAC se observan y se suplantan con facilidad.

    Ref. QB-VSM838Fuente: IEEE 802.11 wireless security amendments; IEEE 802.1X port-based network access control standardReportar un problema con esta pregunta

21. 21. Un empleado con credencial abre la puerta del pasillo del cuarto de cableado y una persona desconocida sin credencial entra detrás de él. ¿Qué ataque es este y qué control está diseñado para impedirlo?

    • A.Búsqueda en la basura, contrarrestada triturando documentos
    • B.Shoulder surfing, contrarrestado con filtros de privacidad
    • C.Tailgating, contrarrestado con un vestíbulo de control de acceso✓ Respuesta
    • D.Pretexting, contrarrestado con filtrado de contenido del correo

    El tailgating consiste en seguir a una persona autorizada a través de una puerta controlada, de modo que el intruso nunca presenta credenciales: es una vía directa a los cuartos de cableado, los paneles de parcheo y las consolas de los switches. Un vestíbulo de control de acceso admite a una persona cada vez y no abre la puerta interior hasta que la exterior se ha cerrado y el individuo se ha autenticado, y la formación en concienciación enseña al personal a no sujetar la puerta. Las demás opciones emparejan técnicas reales con sus propias contramedidas, distintas de esta.

    Ref. QB-CAF3G7Fuente: CompTIA Network+ — Network Security domain (physical security and social engineering)Reportar un problema con esta pregunta

Preguntas de práctica basadas en los dominios del examen CompTIA Network+ y en los estándares publicados sobre los que se construye (IEEE 802.3 y 802.11, IEEE 802.1Q y 802.1X, el registro de puertos de IANA, los RFC del IETF y el cableado TIA-568). CompTIA y Network+ son marcas de CompTIA; este sitio no está afiliado ni respaldado por CompTIA. Los objetivos del examen se revisan periódicamente: consulta los objetivos oficiales vigentes de tu versión antes de examinarte. Sobre el examen Network+ →