44 Preguntas de Práctica de Arquitectura, criptografía y conceptos con Respuestas

1. 1. Un gerente de ventas activa, en un servicio alojado de gestión de clientes entregado como software como servicio, un ajuste de uso compartido que deja un informe con datos completos de contacto accesible para cualquiera que tenga el enlace. Según el modelo de responsabilidad en la nube, ¿quién responde por esta exposición?

   • A.El proveedor, porque en software como servicio opera la aplicación y responde por cada ajuste de ella.
   • B.El proveedor, porque una exposición por una función integrada es un defecto de plataforma que debe corregir.
   • C.Ambas partes por igual, porque la matriz de responsabilidad reparte entre ellas los controles de aplicación.
   • D.El cliente, porque los ajustes de uso compartido del inquilino y los registros siguen bajo su control.✓ Respuesta

   La responsabilidad se desplaza hacia el proveedor conforme se pasa de infraestructura a plataforma y a software como servicio, pero los datos y la configuración de acceso dentro del inquilino nunca se desplazan: el cliente decide quién ve qué. Un ajuste usado tal como fue diseñado no es un defecto de plataforma, así que la corrección es una política del inquilino que impida enlaces anónimos.

   Ref. QB-NZUQ66Fuente: CompTIA Security+ exam objectives, Security Architecture — cloud responsibility matrixReportar un problema con esta pregunta

2. 2. Un equipo de desarrollo despliega su aplicación web en un entorno de ejecución gestionado de plataforma como servicio. En una semana surgen dos hallazgos: una falla en el núcleo del sistema operativo anfitrión y una falla en una biblioteca de terceros que el equipo incluyó en su propio paquete de despliegue. ¿Cuál corrección le corresponde al equipo?

   • A.Solo la de la biblioteca, porque el proveedor mantiene el sistema operativo bajo la plataforma.✓ Respuesta
   • B.Solo la falla del núcleo, porque el servicio de plataforma actualiza las bibliotecas de la aplicación.
   • C.Ambas fallas, porque el cliente responde por todo lo que se ejecuta dentro de su propia suscripción.
   • D.Ninguna de las dos, porque el proveedor mantiene el servicio de plataforma hasta el código desplegado.

   La plataforma como servicio traza el límite en el artefacto desplegado: el proveedor parchea hardware, sistema operativo y entorno gestionado, mientras que todo lo que el cliente empaqueta —incluidas las versiones de bibliotecas que eligió— sigue siendo suyo. El entorno gestionado no actualiza por su cuenta una dependencia fijada en la compilación.

   Ref. QB-4HB8E4Fuente: CompTIA Security+ exam objectives, Security Architecture — cloud service models and the responsibility matrixReportar un problema con esta pregunta

3. 3. Un minorista traslada un proceso de pedidos a funciones sin servidor y el líder del proyecto afirma: «el proveedor opera los servidores, así que el riesgo de parcheo desapareció». El rol de ejecución de la función tiene permiso de escritura sobre todos los depósitos de almacenamiento de la cuenta. ¿Cuál es la evaluación correcta de esa afirmación?

   • A.Correcta solo en el parcheo: el código y el rol de ejecución amplio siguen siendo riesgo del cliente.✓ Respuesta
   • B.Incorrecta en cuanto al parcheo, porque el cliente sigue actualizando el sistema operativo del host.
   • C.Correcta en general, porque el modelo sin servidor le quita al cliente el mantenimiento y los permisos.
   • D.Incorrecta en general, porque el modelo sin servidor traslada al proveedor el diseño de permisos.

   El modelo sin servidor sí retira el mantenimiento del host, por lo que esa mitad de la afirmación es válida. No retira nada de la capa de aplicación: las fallas del código de la función y un rol de ejecución mucho más amplio de lo necesario siguen siendo riesgo del cliente, y un rol excesivo convierte una función comprometida en escritura sobre toda la cuenta.

   Ref. QB-MZGDZ4Fuente: CompTIA Security+ exam objectives, Security Architecture — serverless architectureReportar un problema con esta pregunta

4. 4. En un despliegue de confianza cero, un administrador retira el permiso de un contratista en el motor de políticas. La sesión ya establecida del contratista hacia una aplicación interna sigue funcionando varios minutos más antes de cortarse. ¿Dónde se origina ese intervalo?

   • A.En el motor de políticas, porque la revocación surte efecto tras replicarse el directorio.
   • B.En el plano de control, porque los puntos de aplicación no guardan política y recargan reglas.
   • C.En el plano de datos: el punto de aplicación mantuvo una decisión previa hasta reevaluar.✓ Respuesta
   • D.En el agente del dispositivo, porque guarda en caché los permisos y los borra al reiniciar.

   La confianza cero separa el plano de control, donde el motor de políticas decide y el administrador de políticas emite el veredicto, del plano de datos, donde el punto de aplicación se sitúa ante el recurso y actúa. La revocación es inmediata en el plano de control, pero solo surte efecto cuando el punto de aplicación vuelve a evaluar una solicitud; por eso se reducen los intervalos de reevaluación.

   Ref. QB-7HD8X7Fuente: CompTIA Security+ exam objectives, General Security Concepts — zero trust control plane and data planeReportar un problema con esta pregunta

5. 5. Un contratista se autentica una sola vez en la VPN corporativa y a partir de ahí alcanza el servidor de archivos de finanzas, el sistema de compilación y las direcciones de gestión de los conmutadores, ninguno necesario para su trabajo. La VPN está configurada según su diseño. ¿Qué cambio corrige la falla de diseño de fondo?

   • A.Autorizar cada solicitud según identidad, estado del equipo y contexto, no por un solo inicio de sesión.✓ Respuesta
   • B.Acortar la duración de la sesión VPN para que el contratista se reautentique varias veces al día.
   • C.Trasladar el concentrador VPN a la subred protegida para que las sesiones remotas terminen fuera.
   • D.Emitir al contratista una segunda cuenta con política de contraseñas más estricta para finanzas.

   La falla es la confianza implícita: una autenticación exitosa en el borde concede alcance a todo lo que está detrás, de modo que una credencial robada o un equipo comprometido hereda ese alcance completo. Autorizar cada solicitud según identidad, estado del equipo y contexto elimina esa concesión permanente; acortar la sesión o reforzar la contraseña solo cambia con qué frecuencia se entrega el mismo acceso amplio.

   Ref. QB-QZJDH8Fuente: CompTIA Security+ exam objectives, General Security Concepts — zero trust: policy-driven access controlReportar un problema con esta pregunta

6. 6. Novecientos empleados trabajan desde casa y dependen del correo, el almacenamiento y una suite de planificación alojados en la nube. Todo su tráfico se reenvía por VPN a la sede para su inspección, lo que satura el circuito de la oficina central y añade retardo a cada sesión. ¿Qué arquitectura lo resuelve conservando una sola política de inspección?

   • A.Añadir un segundo concentrador VPN en la sede y repartir entre ambos las sesiones remotas.
   • B.Pasar a todos los usuarios a túnel dividido para que el tráfico a la nube salga sin inspección.
   • C.Aplicar la pila de seguridad en nodos de borde cercanos al usuario, antes de llegar a los servicios.✓ Respuesta
   • D.Colocar un cortafuegos de nueva generación en cada oficina regional y enrutar a los usuarios allí.

   El problema es el rodeo: tanto los usuarios como los servicios están fuera del centro de datos y aun así cada paquete lo atraviesa. Un borde de servicio de acceso seguro une la red definida por software con seguridad entregada desde la nube en un punto de presencia cercano al usuario, de modo que la política sigue siendo una sola y el tráfico va directo.

   Ref. QB-6H2WR6Fuente: CompTIA Security+ exam objectives, Security Architecture — secure communication and access: SASEReportar un problema con esta pregunta

7. 7. Una empresa exige inspeccionar todo el tráfico web de sus empleados y el personal remoto usa túnel completo. Las videoconferencias por ese túnel son ya inutilizables: el audio se entrecorta y el vídeo se congela. ¿Qué configuración se ajusta mejor al requisito declarado y cuál es su costo?

   • A.Pasar a todos a túnel dividido y confiar en los registros locales del agente del equipo.
   • B.Mantener el túnel completo y excluir solo las conferencias, que quedarán sin inspección.✓ Respuesta
   • C.Mantener el túnel completo y ampliar el ancho de banda, ya que todo debe inspeccionarse.
   • D.Trasladar el cliente de conferencias a un equipo personal, fuera de la inspección corporativa.

   El túnel completo envía cada paquete por el borde corporativo: eso es lo que permite la inspección y también lo que añade el retardo que arruina el medio en tiempo real. Una excepción puntual de túnel dividido conserva la inspección del tráfico web y deja que las conferencias vayan directas, con un costo que debe declararse: esas sesiones ya no se inspeccionan.

   Ref. QB-PZ73C7Fuente: CompTIA Security+ exam objectives, Security Architecture — remote access and tunneling (full and split tunnel)Reportar un problema con esta pregunta

8. 8. Los dueños de una plataforma de siniestros establecen que no pueden perderse más de quince minutos de reclamaciones registradas y que debe volver a atenderse a los clientes en cuatro horas. El centro de datos alterno está a 600 kilómetros. ¿Qué diseño cumple ambas condiciones?

   • A.Respaldos completos nocturnos enviados al sitio alterno y restaurados en equipo comprado después.
   • B.Replicación síncrona al sitio alterno, porque solo la pérdida cero cumple los quince minutos.
   • C.Replicación asíncrona al sitio alterno, con sistemas en espera tibia que se arrancan al declarar.✓ Respuesta
   • D.Instantáneas cada hora en el arreglo principal, con el sitio alterno solo para copias de archivo.

   Las dos condiciones son una tolerancia de pérdida de datos y un plazo de restauración, y cada una exige un mecanismo distinto: la frecuencia de replicación responde a la primera y la preparación del sitio en espera a la segunda. La replicación asíncrona mantiene el desfase muy por debajo de quince minutos a 600 kilómetros, mientras que la síncrona obliga a esperar al sitio remoto en cada escritura.

   Ref. QB-9H4W9AFuente: CompTIA Security+ exam objectives, Security Architecture — backups, replication and site considerationsReportar un problema con esta pregunta

9. 9. Un conmutador central falla aproximadamente una vez cada dos años y su reemplazo tarda once horas, porque el repuesto está en un depósito regional. Operaciones indica que las interrupciones ocasionales son tolerables, pero ninguna puede superar las cuatro horas. El fabricante ofrece un chasis de mayor fiabilidad o un contrato de repuesto en sitio a cuatro horas. ¿Cuál cumple la restricción y por qué?

   • A.La mejora de fiabilidad, porque reducir fallas es la única forma de acortar las interrupciones.
   • B.El repuesto en sitio, porque el límite es de duración: un asunto de tiempo de reparación.✓ Respuesta
   • C.El repuesto en sitio, porque un tiempo de reparación menor eleva el tiempo medio entre fallas.
   • D.La mejora de fiabilidad, porque el tiempo medio entre fallas rige la duración de la interrupción.

   El tiempo medio entre fallas describe con qué frecuencia falla un componente; el tiempo medio de reparación, cuánto permanece fuera de servicio. El negocio aceptó la frecuencia y limitó solo la duración, así que la inversión corresponde a acortar la reparación: un repuesto local reduce once horas a cuatro. Un chasis más fiable seguiría tardando once horas el día que falle.

   Ref. QB-SZ93VAFuente: CompTIA Security+ exam objectives, Security Program Management — business impact analysis metrics (MTBF and MTTR)Reportar un problema con esta pregunta

10. 10. Una aseguradora regional puede tolerar hasta tres días sin sus sistemas de siniestros, casi no tiene presupuesto de capital para instalaciones de respaldo y su sede está en la misma cuenca fluvial que se inundó hace dos años. ¿Qué disposición de sitio alterno se ajusta a estas restricciones?

    • A.Un sitio caliente en la misma área urbana, sincronizado para reanudar en minutos.
    • B.Un sitio frío en otra cuenca fluvial, equipado con hardware traído tras la declaración.✓ Respuesta
    • C.Un sitio tibio en la misma área urbana, con servidores a los que solo falta cargar datos.
    • D.Un acuerdo recíproco con una aseguradora cercana, que aloja el trabajo hasta reabrir.

    Dos restricciones deciden: una tolerancia de tres días admite la clase de sitio más lenta y barata, y el antecedente de inundación obliga a situar el alterno fuera del peligro que afectaría al principal. Un sitio frío aporta solo espacio, energía y conectividad, acorde con el presupuesto; ubicarlo en otra cuenca es lo que significa la dispersión geográfica.

    Ref. QB-R9RZFBFuente: CompTIA Security+ exam objectives, Security Architecture — site considerations and geographic dispersionReportar un problema con esta pregunta

11. 11. Un gerente de continuidad debe demostrar que el sitio de recuperación soporta el volumen real de transacciones, y la dirección prohíbe cualquier interrupción de producción durante la demostración. ¿Qué prueba cumple ambas condiciones y qué deja sin comprobar?

    • A.Conmutación completa: la producción pasa al sitio de recuperación, el único ensayo sin dudas.
    • B.Simulación: el equipo resuelve un guion, lo que prueba que el sitio soporta el volumen real.
    • C.Procesamiento paralelo: el sitio corre la carga real junto a producción, sin probar el corte.✓ Respuesta
    • D.Ejercicio de mesa: se recorre el plan y se confirma en papel la capacidad de recuperación.

    La escalera de pruebas va de menor a mayor perturbación: mesa, simulación, procesamiento paralelo y conmutación. El procesamiento paralelo es el único escalón que somete el entorno de recuperación a carga real mientras producción sigue atendiendo, justo las dos condiciones dadas. Su límite es que el corte en sí —enrutamiento, resolución de nombres, licencias, secuencia— nunca se ejercita.

    Ref. QB-8SJUVAFuente: CompTIA Security+ exam objectives, Security Architecture — testing: parallel processing and failoverReportar un problema con esta pregunta

12. 12. El ejercicio de mesa anual de una empresa termina con todos los roles confiados en el plan de continuidad. Al trimestre siguiente, una interrupción no planificada obliga a un corte real que fracasa porque los registros de resolución de nombres tenían una vida en caché de 24 horas y dos aplicaciones estaban licenciadas al hardware del sitio principal. ¿Qué revela esto sobre el ejercicio?

    • A.El ejercicio de mesa prueba decisiones y secuencia; no toca sistemas ni sus dependencias.✓ Respuesta
    • B.La falla no tiene relación con las pruebas: licencias y nombres son gestión de cambios.
    • C.El ejercicio de mesa se facilitó mal, pues uno correcto también prueba los sistemas.
    • D.El ejercicio de mesa sustituye a la conmutación si el plan no cambió desde el último corte.

    Un ejercicio de mesa es, por definición, una actividad de discusión: se recorren roles, decisiones y secuencia sin tocar ningún sistema de producción ni de recuperación. Por eso detecta muy bien los vacíos de autoridad y comunicación y es ciego a dependencias técnicas como las vidas en caché o las licencias atadas al hardware, que solo emergen al ejercitar los sistemas.

    Ref. QB-S94CNCFuente: CompTIA Security+ exam objectives, Security Architecture — testing: tabletop exercisesReportar un problema con esta pregunta

13. 13. Al fallar la red eléctrica, el generador de respaldo arranca y asume la carga del centro de datos en unos 45 segundos. Los servidores de dos bastidores se apagan bruscamente durante esos segundos, aunque después el generador sostiene el sitio once horas sin fallos. ¿Cuál es la corrección adecuada?

    • A.Pasar los dos bastidores a otra acometida eléctrica, para soportar la pérdida de la principal.
    • B.Sustituir el generador por uno mayor, para que su capacidad acorte el arranque y el traspaso.
    • C.Añadir un segundo generador en paralelo, para que uno de los dos acepte la carga de inmediato.
    • D.Dimensionar y probar el sistema ininterrumpido para cubrir el arranque del generador.✓ Respuesta

    El sistema de alimentación ininterrumpida y el generador cubren intervalos distintos y son complementarios, no alternativos: la batería sostiene la carga de inmediato durante minutos y el generador durante horas, pero necesita tiempo para arrancar y transferir. Aquí el generador funciona bien y el vacío está en el arranque, así que el banco de baterías es insuficiente o está degradado.

    Ref. QB-9SW63CFuente: CompTIA Security+ exam objectives, Security Architecture — power: uninterruptible power supply and generatorsReportar un problema con esta pregunta

14. 14. Dos centros de datos ejecutan la misma aplicación, cada uno al 70 por ciento de la capacidad de un solo sitio, con un balanceador global repartiendo el tráfico. Un corte eléctrico regional deja uno de los sitios fuera de servicio. ¿Qué ocurre y qué principio de dimensionamiento se omitió?

    • A.El balanceador redistribuye sin impacto, porque un par activo-activo escala a demanda.
    • B.El sitio superviviente recibe el 140 % de su capacidad y descarta tráfico; falta dimensionar.✓ Respuesta
    • C.Las sesiones pasan al nodo pasivo, por lo que un par activo-pasivo actuaría igual que este.
    • D.El sitio superviviente encola el exceso y lo drena luego, pues estos pares amortiguan tráfico.

    Un par activo-activo aporta capacidad y disponibilidad solo si cada miembro puede absorber por sí solo toda la carga; al 70 por ciento cada uno, el superviviente recibe el 140 por ciento y empieza a encolar, agotar tiempos y descartar sesiones. La planificación de capacidad dimensiona cada nodo para la demanda completa, de modo que el segundo sitio sea margen y no capacidad utilizable.

    Ref. QB-T9FPTDFuente: CompTIA Security+ exam objectives, Security Architecture — high availability and capacity planningReportar un problema con esta pregunta

15. 15. Una aplicación web está detrás de un balanceador configurado por turno rotativo. Cada vez que se drena un nodo para parchearlo, los usuarios que van a media carga de un formulario de varias páginas pierden lo escrito y deben empezar de nuevo. ¿Qué cambio lo corrige y por qué?

    • A.Aumentar la frecuencia de sondeo del balanceador para retirar antes el nodo drenado.
    • B.Cambiar el balanceador a menos conexiones, para fijar al usuario en el nodo menos cargado.
    • C.Mover el estado de sesión a un almacén compartido en clúster para que cualquier nodo siga.✓ Respuesta
    • D.Añadir dos nodos más tras el balanceador y reducir la proporción de usuarios afectados.

    El balanceo y el agrupamiento resuelven problemas distintos y suelen confundirse. Un balanceador solo elige qué servidor independiente atiende la siguiente petición, así que el estado guardado en la memoria de uno muere con él; los nodos en clúster comparten estado y se presentan como un sistema lógico, lo que permite que otro nodo retome una transacción a medias.

    Ref. QB-AS9H8DFuente: CompTIA Security+ exam objectives, Security Architecture — high availability: load balancing and clusteringReportar un problema con esta pregunta

16. 16. Las interfaces de gestión de conmutadores y cortafuegos responden desde la VLAN general de usuarios y los administradores las alcanzan desde los mismos portátiles con los que leen correo y navegan. ¿Qué cambio de diseño reduce más esta exposición?

    • A.Poner las interfaces de gestión en una red fuera de banda alcanzable solo por un host puente.✓ Respuesta
    • B.Mover las interfaces a la subred protegida, para que el acceso interno y externo pase el perímetro.
    • C.Dejar las interfaces en la VLAN de usuarios y limitarlas con una lista de direcciones.
    • D.Cambiar los puertos de gestión a números no estándar y exigir contraseñas más largas.

    Una red de gestión fuera de banda saca el plano de control de la infraestructura de la red que transporta tráfico de usuarios, de modo que el malware de un portátil común no tiene camino alguno hasta la consola de un conmutador. El host puente aporta el único punto de entrada reforzado, registrado y vigilado hacia esa zona.

    Ref. QB-U9TZYEFuente: CompTIA Security+ exam objectives, Security Architecture — infrastructure considerations: security zones and jump serverReportar un problema con esta pregunta

17. 17. Una capa web pública se ubica en una subred protegida y debe leer registros de clientes desde una base de datos en la red interna. ¿Qué conjunto de reglas sigue el diseño de zonas estándar?

    • A.Permitir a los servidores web solo el puerto de servicio de la base y negar lo demás entrante.✓ Respuesta
    • B.Permitir a cualquier host de la subred protegida entrar a la red interna y confiar en la base.
    • C.Trasladar la base a la subred protegida y permitir solo a los servidores web su puerto.
    • D.Permitir que la base inicie sesiones hacia los servidores web y negar la entrada a la subred.

    La subred protegida existe porque sus hosts están expuestos a internet y se asume que acabarán comprometidos, así que el tráfico hacia la zona confiable debe ser la excepción más estrecha posible a una denegación implícita: origen nombrado, un destino y un puerto de servicio. Mover la base a esa subred coloca los registros en la zona expuesta.

    Ref. QB-BSMUDEFuente: CompTIA Security+ exam objectives, Security Architecture — device placement and security zones (screened subnet)Reportar un problema con esta pregunta

18. 18. Un contratista conecta su portátil personal a una toma de pared de la sala de reuniones y recibe de inmediato una dirección de la red corporativa con alcance interno completo. La organización quiere que los equipos no reconocidos queden en un segmento restringido, sin volver a cablear ningún puerto. ¿Qué control lo consigue?

    • A.Apagar administrativamente los puertos de la sala y entregar cables desde recepción.
    • B.Un filtro en los puertos de la sala que admita solo direcciones del inventario de activos.
    • C.Control de acceso a la red por puerto, que autentica al equipo antes de asignarle la VLAN.✓ Respuesta
    • D.Un portal cautivo en el segmento cableado que pida aceptar la política de uso aceptable.

    El control de acceso por puerto mantiene el puerto cerrado al tráfico de datos hasta que el suplicante se autentica, a través del autenticador, ante un servidor central, y la respuesta de ese servidor puede indicar la VLAN que corresponde al equipo, de modo que una máquina desconocida cae en un segmento de invitados sin tocar el panel de conexiones. Filtrar direcciones de hardware se burla copiando una aprobada.

    Ref. QB-M9BPS6Fuente: CompTIA Security+ exam objectives, Security Architecture — port security: 802.1X and EAPReportar un problema con esta pregunta

19. 19. Se despliega un equipo de seguridad en línea sobre dos enlaces: uno transporta la monitorización clínica de un hospital y el otro las transacciones de pago con tarjeta. El equipo debe decidir qué hace cada enlace si falla el hardware del dispositivo. ¿Qué configuración es defendible?

    • A.Apertura en el clínico y cierre en el de pagos, según lo que cada segmento no puede perder.✓ Respuesta
    • B.Cierre ante fallo en ambos enlaces, pues sin el equipo el tráfico no queda verificado.
    • C.Apertura ante fallo en ambos enlaces, pues un equipo de seguridad no debe causar cortes.
    • D.Cierre en el enlace clínico y apertura en el de pagos, porque el dato del paciente se regula.

    La apertura ante fallo deja pasar el tráfico cuando el equipo muere y protege la disponibilidad; el cierre lo bloquea y protege la confidencialidad y la integridad. La decisión se toma por segmento preguntando qué propiedad no puede perder el negocio: perder la monitorización de pacientes es un evento de seguridad física, y dejar pasar pagos sin inspeccionar es lo que ese segmento no admite.

    Ref. QB-4S5H76Fuente: CompTIA Security+ exam objectives, Security Architecture — failure modes: fail-open and fail-closedReportar un problema con esta pregunta

20. 20. Una revisión posterior al incidente constata que el sensor de detección de intrusiones, alimentado desde un puerto espejo del conmutador, registró por completo el intento de explotación, y aun así el ataque llegó al servidor. La dirección pregunta por qué el sensor no lo detuvo. ¿Cuál es la respuesta correcta y su remedio?

    • A.Las firmas del sensor estaban en modo detección y deben pasar a prevención en el espejo.
    • B.El sensor bloqueó los primeros paquetes y la copia espejada muestra la sesión anterior.
    • C.Un sensor alimentado por un espejo solo ve copias; bloquear exige estar en la ruta.✓ Respuesta
    • D.Al sensor le faltaba licencia de prevención; con ella, sobre el espejo, podría descartar.

    Un puerto espejo entrega al sensor una copia del tráfico que ya fue reenviado a su destino, de modo que el dispositivo es pasivo por construcción: puede alertar, registrar y alimentar una investigación, pero no retiene ningún paquete que pudiera detener. La prevención exige una colocación en línea por donde pase el tráfico original; ningún modo ni licencia cambia el origen de la copia.

    Ref. QB-HSYSWDFuente: CompTIA Security+ exam objectives, Security Architecture — device attributes: inline versus tap/monitorReportar un problema con esta pregunta

21. 21. Un servicio de compilación debe ejecutar código enviado por colaboradores externos. Hoy cada envío corre en un contenedor sobre un host de compilación compartido que además guarda las credenciales de despliegue. ¿Qué cambio contiene mejor un envío hostil?

    • A.Ejecutar cada envío en una máquina virtual desechable sin credenciales, aislada por hipervisor.✓ Respuesta
    • B.Mantener los contenedores y analizar cada envío con el antimalware antes de ejecutarlo.
    • C.Mantener los contenedores y bajar el proceso de compilación a una cuenta sin privilegios.
    • D.Construir una imagen de contenedor propia por envío, desde una base confiable cada vez.

    Los contenedores comparten el núcleo del anfitrión: eso los hace rápidos y densos, y también hace que una fuga a nivel de núcleo alcance todo lo demás en ese host, incluidas las credenciales. Con código ajeno no confiable conviene pagar el costo del límite del hipervisor, y una instancia desechable y sin credenciales deja al atacante sin nada que robar ni persistencia.

    Ref. QB-2A6YGEFuente: CompTIA Security+ exam objectives, Security Architecture — virtualization and containerizationReportar un problema con esta pregunta

22. 22. Las estaciones de control de una línea de embotellado ejecutan un sistema operativo que el fabricante ya no actualiza, y el proveedor del equipo retira el soporte si se modifica algo en ellas. Un escaneo detecta varias fallas explotables de forma remota en esas estaciones. ¿Qué respuesta se ajusta a la restricción declarada?

    • A.Aplicar igualmente las actualizaciones y anotar la objeción del proveedor en el registro.
    • B.Unir las estaciones al dominio corporativo para gestionarlas con parcheo centralizado.
    • C.Segmentar la línea, admitir solo el protocolo del proveedor y mediar con un host puente.✓ Respuesta
    • D.Aceptar el riesgo formalmente y no actuar, pues no poder parchear lo saca del alcance.

    Los entornos de control industrial se construyen en torno a la disponibilidad y la seguridad física, con equipos de ciclo de vida largo y configuraciones certificadas por el fabricante, así que la imposibilidad de parchear es una restricción de diseño y no un hallazgo discutible. La respuesta arquitectónica son controles compensatorios que eliminan la ruta del atacante: un borde filtrado que solo admite el protocolo necesario, acceso administrativo mediado y registrado, y vigilancia de lo que cruza.

    Ref. QB-JSB54FFuente: CompTIA Security+ exam objectives, Security Architecture — ICS/SCADA, embedded systems and inability to patchReportar un problema con esta pregunta

23. 23. Un equipo de ingeniería debe cifrar un archivo de investigación nocturno de 400 GB y además permitir que cuarenta socios externos, con los que no comparte ningún secreto previo, envíen archivos cifrados al mismo sistema. ¿Qué diseño cumple ambos requisitos?

    • A.Cifrar cada archivo directamente con la clave pública del destinatario, porque los algoritmos asimétricos están pensados para grandes volúmenes almacenados
    • B.Cifrar cada archivo con una clave simétrica aleatoria y envolver esa clave con la clave pública del destinatario, por velocidad e intercambio abierto✓ Respuesta
    • C.Cifrar todos los archivos con una única clave simétrica enviada por correo a los socios, porque solo el cifrado simétrico alcanza esa velocidad
    • D.Sustituir el cifrado por un resumen con clave de cada archivo, porque un resumen de ese tamaño no puede revertirse desde fuera de la empresa

    La criptografía híbrida existe porque cada familia resuelve un problema distinto: el cifrado simétrico mueve grandes volúmenes con rapidez pero no permite acordar clave con un desconocido, mientras que el asimétrico establece claves con quien no comparte secreto pero es demasiado lento y limitado en tamaño para 400 GB. Cifrar los datos con una clave de sesión aleatoria y cifrar solo esa clave corta con la clave pública de cada destinatario aporta ambas propiedades.

    Ref. QB-3AHAPFFuente: NIST SP 800-175B, Guideline for Using Cryptographic Standards (hybrid key establishment and bulk data encryption)Reportar un problema con esta pregunta

24. 24. Un proveedor debe enviar un archivo de precios que solo el comprador pueda abrir, y el comprador debe poder probar que el archivo procede de ese proveedor. ¿Qué par de claves usa el proveedor, en ese orden?

    • A.La clave privada del comprador para cifrar y la pública del comprador para firmar, así el comprador controla ambas mitades
    • B.La clave pública del comprador para cifrar y la privada del proveedor para firmar, así se cubren confidencialidad y origen✓ Respuesta
    • C.La clave pública del proveedor para cifrar y la privada del comprador para firmar, así cada parte usa la clave que publicó
    • D.La clave privada del proveedor para cifrar y la pública del proveedor para firmar, así un solo par cubre toda la operación

    La confidencialidad y el origen van en sentidos opuestos. Lo cifrado con una clave pública solo lo abre la privada correspondiente, así que cifrar para el comprador exige su clave pública. La firma debe generarse con algo que solo posee el autor declarado, por eso se crea con la clave privada del proveedor y se verifica con su clave pública publicada.

    Ref. QB-KSPF9GFuente: NIST SP 800-57 Part 1, Recommendation for Key Management (key usage: public key for encryption to a recipient, private key for digital signature generation)Reportar un problema con esta pregunta

25. 25. Dos bancos ya autentican sus archivos por lotes con un código de autenticación de mensaje de secreto compartido. Su regulador exige ahora que el banco emisor no pueda negar haber generado un archivo. ¿Qué debe cambiar y por qué?

    • A.Nada debe cambiar, porque el código de autenticación ya vincula el archivo a un remitente concreto
    • B.Alargar el secreto compartido y rotarlo cada día, porque un secreto más largo elimina cualquier negativa posterior
    • C.Pasar a firmas digitales, porque solo una clave privada en poder de una sola parte prueba el origen✓ Respuesta
    • D.Cifrar además los archivos por lotes, porque el cifrado demuestra cuál de las dos partes creó el contenido

    El no repudio exige que la capacidad de firmar sea exclusiva de una parte. Un código de autenticación se calcula con un secreto que ambos bancos poseen, de modo que cualquiera pudo generar la etiqueta y ninguno queda vinculado. La firma digital se genera con una clave privada que solo tiene el emisor y se verifica con la pública, y eso sostiene la afirmación de origen frente a una negativa.

    Ref. QB-4AVMUGFuente: NIST FIPS 198, The Keyed-Hash Message Authentication Code; NIST FIPS 186, Digital Signature Standard (signatures support non-repudiation, symmetric MACs do not)Reportar un problema con esta pregunta

26. 26. Un investigador debe determinar cuál de dos servidores generó un registro de transacción que lleva una etiqueta HMAC calculada con un secreto que ambos servidores poseen. ¿Qué puede establecer esa etiqueta?

    • A.Que el registro fue etiquetado por alguien que posee el secreto, sin distinguir cuál de los dos servidores fue✓ Respuesta
    • B.Que el registro procede del servidor que lo transmitió, ya que cada extremo genera un valor de etiqueta distinto
    • C.Que el registro viajó confidencial, ya que la etiqueta cifra los campos sobre los que se calcula
    • D.Que el registro se creó a la hora indicada, ya que la etiqueta fija el reloj del equipo que la calculó

    Un HMAC prueba la integridad y que la etiqueta la produjo alguien que posee la clave compartida, pero la clave es simétrica: cualquier poseedor calcula la misma etiqueta sobre los mismos datos. Con dos servidores que comparten un secreto, la etiqueta reduce la autoría al conjunto de poseedores de la clave y no más allá, por eso no resuelve la atribución entre ellos.

    Ref. QB-MS2TEHFuente: NIST FIPS 198, The Keyed-Hash Message Authentication Code (symmetric key shared by verifier and generator)Reportar un problema con esta pregunta

27. 27. Un adversario lleva un año grabando las sesiones TLS de una empresa y hoy obtiene la clave privada de largo plazo del servidor web. Las sesiones negociadas con intercambio Diffie-Hellman efímero siguen siendo ilegibles. ¿Por qué?

    • A.Porque las sesiones grabadas se comprimieron antes de cifrarse y la clave no recupera ese estado de compresión
    • B.Porque la clave de largo plazo solo firma el saludo inicial y se rota después de cada conexión establecida
    • C.Porque el certificado caducó durante ese año y un certificado caducado impide recuperar el texto ya cifrado
    • D.Porque la clave de sesión se acordó solo para ella y no se deriva de la clave de largo plazo del servidor✓ Respuesta

    El secreto hacia adelante depende del origen de la clave de sesión. Con Diffie-Hellman efímero, cada conexión deriva un secreto nuevo de valores que se descartan al terminar, y la clave de largo plazo solo autentica el intercambio, nunca transporta la clave de sesión. Por eso comprometer esa clave no abre nada de lo grabado antes.

    Ref. QB-5A8YZHFuente: RFC 8446, The Transport Layer Security (TLS) Protocol Version 1.3 (ephemeral key exchange and forward secrecy)Reportar un problema con esta pregunta

28. 28. Un fabricante debe añadir autenticación de clave pública a sensores de campo alimentados por batería, con microcontroladores de 8 bits y una autonomía prevista de diez años. ¿Qué opción encaja y por qué motivo?

    • A.Claves de curva elíptica, porque alcanzan una fuerza comparable con tamaños de clave bastante menores y menor coste✓ Respuesta
    • B.Módulos RSA cortos, porque reducir a la mitad la longitud de clave baja el cálculo sin debilitar el algoritmo
    • C.Claves simétricas precompartidas, porque un secreto compartido en cada sensor cumple la autenticación de clave pública
    • D.Resúmenes más largos en lugar de pares de claves, porque un digesto más ancho da la misma garantía que una firma

    Lo decisivo es la fuerza de seguridad por bit de clave. Los algoritmos de curva elíptica logran una fuerza dada con una clave varias veces más corta que una de factorización equivalente, así que firmar cuesta menos tiempo de procesador, menos memoria y menos bytes transmitidos, y los tres consumen batería. Acortar el módulo RSA no conserva la fuerza: la destruye.

    Ref. QB-NSD5MJFuente: NIST SP 800-57 Part 1, Recommendation for Key Management (comparable security strengths of elliptic-curve and integer-factorisation keys)Reportar un problema con esta pregunta

29. 29. Un auditor cifra un archivo de registros idénticos de tamaño fijo y observa que los bloques de texto claro repetidos producen bloques cifrados idénticos, de modo que la estructura sigue siendo visible. ¿Qué cambio lo corrige y por qué?

    • A.Usar una clave más larga con el mismo modo de operación, porque un espacio de claves mayor elimina la repetición
    • B.Comprimir el archivo después de cifrarlo, porque la compresión elimina los patrones repetidos del texto cifrado
    • C.Resumir cada registro antes de cifrarlo, porque el resumen previo borra la estructura que el cifrado revelaría
    • D.Usar un modo que mezcle un vector de inicialización único en cada bloque, para que el mismo texto cifre distinto✓ Respuesta

    La fuga es una propiedad del modo, no de la clave. Un modo que cifra cada bloque de forma independiente es determinista: con la misma clave, bloques de texto claro iguales dan siempre bloques cifrados iguales y la disposición de los datos se transparenta. Los modos encadenados o de contador introducen un vector de inicialización único por mensaje para que entradas iguales den salidas sin relación.

    Ref. QB-6AKA7KFuente: NIST SP 800-38A, Recommendation for Block Cipher Modes of Operation (deterministic ECB mode versus IV-based modes)Reportar un problema con esta pregunta

30. 30. Un desarrollador propone guardar los identificadores fiscales de los clientes como simples resúmenes SHA-256, de modo que el soporte aún pueda buscar a un cliente escribiendo el identificador y nadie pueda leer los valores guardados. ¿Cuál es la evaluación correcta?

    • A.Funciona, porque el hash es una forma de cifrado cuya clave el personal de soporte nunca necesita tener
    • B.Funciona, porque un resumen de esa anchura no puede asociarse a ninguna entrada por medios prácticos
    • C.Falla, porque el resumen no se recalcula de forma estable y la búsqueda no devolverá ninguna coincidencia
    • D.Falla, porque el espacio de identificadores es enumerable y cada resumen puede asociarse a su valor original✓ Respuesta

    Un hash es irreversible solo en el sentido de que ninguna clave recupera la entrada; sigue siendo determinista, así que quien pueda adivinar entradas candidatas las resume y compara. Los identificadores fiscales tienen un formato corto y fijo de un conjunto acotado, de modo que todo el espacio puede resumirse sin conexión y cada valor almacenado asociarse a su original. Las entradas de baja entropía exigen una construcción con clave o con sal, no un resumen desnudo.

    Ref. QB-MUYXEHFuente: NIST SP 800-107, Recommendation for Applications Using Approved Hash Algorithms (guessing attacks against hashes of low-entropy inputs)Reportar un problema con esta pregunta

31. 31. Tras la filtración de una base de credenciales, un analista observa que dos empleados que eligieron la misma contraseña tienen valores almacenados idénticos y que la mayoría se descifraron en horas con tablas precalculadas. ¿Qué cambio resuelve ambos hallazgos?

    • A.Cifrar la columna de resúmenes con una clave de base de datos, para que nadie que lea la tabla los entienda
    • B.Cambiar a un algoritmo de resumen más ancho, para que claves iguales dejen de producir el mismo valor
    • C.Exigir cambio de contraseña cada mes, para que cualquier tabla precalculada quede inútil antes de usarse
    • D.Guardar una sal aleatoria distinta con cada resumen, para que claves iguales difieran y no sirva el precálculo✓ Respuesta

    Ambos hallazgos tienen la misma causa: el valor guardado depende solo de la contraseña. Una sal aleatoria por usuario, concatenada antes de resumir, hace que el valor dependa también de la cuenta, así dos personas con la misma contraseña guardan valores distintos y el atacante debe atacar cada cuenta por separado en lugar de consultar una tabla construida una sola vez.

    Ref. QB-4CTSUGFuente: NIST SP 800-63B, Digital Identity Guidelines (salted hashing of memorized secret verifiers); OWASP Password Storage guidanceReportar un problema con esta pregunta

32. 32. Una investigadora fallece de forma inesperada y tres años de archivos de proyecto en su portátil están cifrados con una clave que solo ella tenía. La organización debe recuperarlos. ¿Qué control, de haber existido antes, habría hecho posible la recuperación?

    • A.Una función de estiramiento de clave sobre cada frase de paso para frenar un ataque fuera de línea al volumen
    • B.Una entrada de revocación publicada para el certificado de la usuaria el día en que cesó su acceso
    • C.Una configuración de secreto hacia adelante que deriva una clave nueva en cada escritura de archivo
    • D.Una custodia dividida de claves que conserva copia de cada clave de usuario para recuperación autorizada✓ Respuesta

    Un cifrado que solo una persona puede deshacer convierte los datos en un problema de disponibilidad en cuanto esa persona falta. La custodia de claves responde justo a eso: se deposita una copia con un custodio de confianza, normalmente repartida entre dos responsables para que nadie pueda abusar de ella, y se libera solo con una autorización de recuperación documentada. El estiramiento, la revocación y el secreto hacia adelante dificultan la recuperación en lugar de permitirla.

    Ref. QB-KUMM9GFuente: NIST SP 800-57 Part 1, Recommendation for Key Management (key recovery and escrow provisions)Reportar un problema con esta pregunta

33. 33. Un administrador genera un par de claves en un servidor web, crea una solicitud de firma de certificado y la envía a una autoridad de certificación pública. Un compañero pregunta qué viaja realmente a la autoridad y qué aporta ella. ¿Qué respuesta es correcta?

    • A.La solicitud lleva un resumen de la clave privada, y la autoridad firma ese resumen para emitir el certificado
    • B.La solicitud lleva ambas claves del par, y la autoridad conserva la privada para poder reemitir más adelante
    • C.La solicitud lleva solo la clave privada, y la autoridad deriva de ella la pública antes de firmar el certificado
    • D.La solicitud lleva la clave pública y los datos de identidad, y la autoridad los vincula firmando con su clave✓ Respuesta

    El sentido del formato de solicitud es que la clave privada nunca sale de la máquina que la generó. La solicitud contiene el nombre del sujeto y la clave pública, autofirmada con la privada para probar que el solicitante la posee; la autoridad verifica la identidad y firma juntos la clave pública y el nombre, y eso convierte una clave suelta en un certificado que otros aceptarán.

    Ref. QB-3CFFPFFuente: RFC 2986, PKCS #10: Certification Request Syntax SpecificationReportar un problema con esta pregunta

34. 34. Los clientes de un servicio público se quejan de saludos lentos y de que sus visitas se revelan al respondedor de estado del emisor. El servicio aún debe probar que su certificado no está revocado. ¿Qué cambio atiende ambas quejas?

    • A.Que cada cliente descargue una vez al día la lista completa de revocación del emisor y la consulte en caché
    • B.Que el servidor obtenga del emisor una respuesta de estado firmada con marca de tiempo y la entregue en el saludo✓ Respuesta
    • C.Que el servidor presente un segundo certificado de otro emisor para que siempre uno de los dos esté vigente
    • D.Que cada cliente omita la comprobación de estado y confíe en el corto periodo de validez impreso en él

    Que el cliente consulte al respondedor cuesta un viaje adicional y revela al emisor qué sitio visita el usuario. Si el servidor obtiene de antemano la respuesta de estado firmada y la adjunta a su propio saludo, el cliente recibe prueba de revocación reciente y firmada por la autoridad para ese único certificado sin contactar a un tercero, lo que elimina la latencia y la divulgación.

    Ref. QB-PUPMSKFuente: RFC 6960, Online Certificate Status Protocol; RFC 6066, TLS Extensions (certificate status request)Reportar un problema con esta pregunta

35. 35. Un equipo debe proteger api.corp.com, shop.corp.com y el dominio independiente corp-status.net con la menor cantidad posible de certificados. ¿Qué elección de certificado es correcta?

    • A.Un certificado comodín para *.corp.com, pues un comodín cubre además cualquier otro dominio de la empresa
    • B.Un certificado que enumere todos los nombres en el campo de nombre alternativo, pues abarcan dos dominios✓ Respuesta
    • C.Un certificado autofirmado para los tres nombres, pues los autofirmados admiten nombres sin límite alguno
    • D.Un certificado comodín por cada dominio, pues el comodín es la única forma de cubrir varios nombres de host

    Un comodín sustituye una etiqueta en un solo nivel de un dominio, así que *.corp.com nunca coincide con un nombre bajo corp-status.net. La extensión de nombre alternativo del sujeto es el campo que los navegadores comparan con el nombre de host y admite nombres sin relación entre sí, de modo que un certificado que enumere los tres cumple con una emisión y una renovación.

    Ref. QB-6CHF7KFuente: RFC 5280, Internet X.509 Public Key Infrastructure Certificate and CRL Profile (subject alternative name extension)Reportar un problema con esta pregunta

36. 36. El personal accede a una aplicación interna y el navegador advierte que la conexión no es privada. Las fechas del certificado están vigentes, el nombre de host coincide y lo emitió la autoridad de certificación propia de la empresa. Los portátiles gestionados no muestran aviso; los personales de los contratistas sí. ¿Cuál es la causa?

    • A.El certificado usa una longitud de clave que los navegadores de los contratistas rechazan y los gestionados aceptan
    • B.La aplicación entrega el certificado por HTTP simple y los navegadores gestionados lo elevan a HTTPS en silencio
    • C.El certificado se emitió con un nombre comodín y los navegadores personales rechazan comodines en equipos internos
    • D.El certificado raíz de la empresa está en el almacén de confianza de los equipos gestionados y no en los personales✓ Respuesta

    La validación de la ruta solo tiene éxito si la cadena termina en una raíz que el cliente ya considera confiable. Una autoridad privada no figura en el almacén de confianza por defecto de ningún navegador, así que su raíz debe distribuirse a los equipos, cosa que la gestión de dispositivos hace en los corporativos y no en los personales. Las fechas y el nombre de host son comprobaciones aparte, y aquí ambas pasan.

    Ref. QB-NUBAMJFuente: RFC 5280, Internet X.509 Public Key Infrastructure Certificate and CRL Profile (certification path validation requires a trust anchor)Reportar un problema con esta pregunta

37. 37. Se encuentra una copia de seguridad de un servidor web, con la clave privada sin cifrar de su certificado público, en un contenedor de almacenamiento mal configurado y accesible desde internet. ¿Qué debe hacerse primero?

    • A.Renovar el certificado en su fecha de caducidad actual y mantener el mismo par para no cortar clientes
    • B.Revocar el certificado, generar un par de claves nuevo y pedir al emisor un certificado de reemplazo✓ Respuesta
    • C.Acortar el periodo de validez para que la clave expuesta deje de servir en la próxima renovación
    • D.Rotar los conjuntos de cifrado del servidor y dejar el certificado, pues solo se expuso el archivo de clave

    Un certificado es solo la afirmación de que una parte nombrada controla cierta clave privada. Cuando esa clave queda fuera del control de la organización, quien la tenga puede suplantar el sitio y descifrar sesiones que no se negociaron con claves efímeras, y ni renovar ni cambiar los cifrados altera eso. Hay que sustituir el par y revocar el certificado antiguo para que los clientes que comprueban el estado dejen de aceptarlo.

    Ref. QB-5C652JFuente: RFC 5280, Internet X.509 Public Key Infrastructure Certificate and CRL Profile (revocation on key compromise); CA/Browser Forum Baseline RequirementsReportar un problema con esta pregunta

38. 38. Llegan dos requisitos la misma semana: una flota de portátiles debe guardar claves de cifrado de disco que no puedan trasladarse a otra máquina, y una plataforma de pagos debe firmar decenas de miles de transacciones por segundo desde varios servidores de aplicaciones. ¿Qué emparejamiento es correcto?

    • A.Un módulo de plataforma confiable para los portátiles y un módulo de seguridad de hardware para los servidores de pago✓ Respuesta
    • B.Un módulo de seguridad de hardware para los portátiles y un módulo de plataforma confiable para los servidores de pago
    • C.Un módulo de plataforma confiable para ambos, pues es el único que guarda claves en silicio resistente a manipulación
    • D.Un módulo de seguridad de hardware para ambos, pues es el único que ata una clave a una sola máquina concreta

    Ambos componentes difieren en vinculación y en rendimiento. El módulo de plataforma confiable va soldado a una placa y sella las claves al estado de arranque medido de esa plataforma, que es justo lo que vuelve inútil un disco robado en otro equipo. El módulo de seguridad de hardware es un dispositivo de red o en tarjeta, compartido y diseñado para operaciones criptográficas a alta tasa y custodia de claves para muchos servidores.

    Ref. QB-RUDA5PFuente: Trusted Computing Group TPM specification (platform-bound key sealing); NIST FIPS 140, Security Requirements for Cryptographic Modules (validated hardware security modules)Reportar un problema con esta pregunta

39. 39. Un nuevo conjunto de datos analíticos se arma a partir de tres sistemas de origen y el equipo pregunta qué reglas de cifrado, retención y uso compartido le corresponden. Nada en el flujo registra una etiqueta. ¿Qué determina las reglas de manejo?

    • A.Las reglas por defecto de la plataforma donde aterriza, que el flujo aplica a todo conjunto nuevo
    • B.La clasificación del sistema de origen más barato de extraer, aplicada al conjunto ya combinado
    • C.El criterio del administrador que construyó el flujo, registrado en el archivo de configuración
    • D.La clasificación que el propietario asigna al conjunto combinado, de la que derivan las reglas✓ Respuesta

    La clasificación es una decisión de negocio que impulsa todos los controles de manejo posteriores y corresponde al propietario del dato, no al ingeniero que movió los bytes ni a un valor por defecto de la plataforma. Debe tomarse sobre el conjunto combinado, porque unir fuentes puede elevar la sensibilidad por encima de cualquier entrada individual; después los custodios implantan el cifrado, la retención y el uso compartido que ese nivel exige.

    Ref. QB-8C85JNFuente: CompTIA Security+ Exam Objectives (data classifications and general data considerations); NIST SP 800-60, Guide for Mapping Types of Information to Security CategoriesReportar un problema con esta pregunta

40. 40. Un regulador exige que los registros de ciudadanos permanezcan dentro de las fronteras nacionales. El equipo de nube propone cifrar los registros con claves custodiadas en el país mientras el servicio de almacenamiento sigue replicando objetos a tres continentes. ¿Cumple esto el requisito?

    • A.Sí, porque el texto cifrado en el extranjero deja de ser dato personal si las claves nunca salen del país
    • B.No, porque la residencia exige almacenar los registros solo en equipos propiedad de la propia organización
    • C.No, porque la residencia atañe al lugar físico del dato, así que la réplica debe quedarse en el país✓ Respuesta
    • D.Sí, porque basta con que el contrato del proveedor mencione al regulador nacional del país en cuestión

    La soberanía de datos significa que la información almacenada queda sujeta a las leyes del territorio que ocupa físicamente, así que una regla de residencia trata de geografía, no de legibilidad. El cifrado protege la confidencialidad pero no mueve los bytes, y una copia en discos extranjeros sigue almacenada fuera. El control que cumple la norma es limitar la región de almacenamiento y los destinos de réplica al país.

    Ref. QB-KHSHAGFuente: CompTIA Security+ Exam Objectives (data sovereignty, geolocation and geographic restrictions)Reportar un problema con esta pregunta

41. 41. Una base de datos de informes reside en volúmenes protegidos con cifrado de disco completo. Un auditor señala que cualquier cuenta capaz de ejecutar consultas sigue leyendo en claro los números de identificación nacional, mientras que las demás columnas no son sensibles. ¿Qué control resuelve el hallazgo?

    • A.Añadir una segunda capa de cifrado de disco completo, para que el volumen siga ilegible con el servidor activo
    • B.Mover la base a un volumen con clave de disco más larga, para que la consulta deje de exponer la columna
    • C.Cifrar la propia columna de números de identificación, para que sigan protegidos ante el acceso por consulta✓ Respuesta
    • D.Cifrar también las copias de seguridad, para que los números queden ilegibles dondequiera que se guarden

    El cifrado de disco completo protege medios apagados o retirados; en cuanto el volumen está montado y la base funciona, cada lectura se sirve en claro a quien tenga permiso de consulta. Proteger un campo frente a una consulta legítima pero demasiado amplia exige cifrado a nivel de columna, con la clave de descifrado en manos de la aplicación y no de la capa de almacenamiento.

    Ref. QB-42YPVGFuente: NIST SP 800-111, Guide to Storage Encryption Technologies for End User Devices (scope of full-disk versus field-level encryption); CompTIA Security+ Exam ObjectivesReportar un problema con esta pregunta

42. 42. Un minorista sustituye los números de tarjeta almacenados por valores sustitutos emitidos por una bóveda aparte, y analítica sigue usándolos como claves de unión. Un atacante que copia la base de analítica obtiene solo sustitutos. ¿Por qué difiere esto de haber copiado números cifrados?

    • A.Los sustitutos son texto cifrado con una clave más corta, así que recuperarlos exige mucho más trabajo
    • B.Los sustitutos no guardan relación matemática con el número, así que ninguna clave ni algoritmo los recupera✓ Respuesta
    • C.Los sustitutos son resúmenes con sal del número, así que recuperarlos depende de hallar la sal empleada
    • D.Los sustitutos se descifran con la clave de la bóveda, así que la exposición iguala a la del texto cifrado

    La tokenización y el cifrado fallan de forma distinta. El texto cifrado es una transformación reversible del valor original, de modo que sigue expuesto al compromiso de la clave o a una futura ruptura del algoritmo. El token es un valor sin relación cuyo único vínculo con la tarjeta es una fila en una bóveda protegida aparte, así que la copia de analítica no contiene nada reversible y esa base queda fuera del entorno de datos de titulares.

    Ref. QB-JHE75FFuente: PCI Security Standards Council, Tokenization Product Security Guidelines (tokens have no mathematically reversible relationship to the primary account number)Reportar un problema con esta pregunta

43. 43. Un trabajo de analítica descifra registros de pacientes en la memoria del servidor para calcular agregados. El almacenamiento y el transporte ya están cifrados, y la preocupación restante es un implante que raspa la memoria del anfitrión. ¿Qué control atiende ese estado?

    • A.Aplicar un algoritmo de cifrado de disco más fuerte, para que el texto claro en memoria herede esa protección
    • B.Procesar los registros en un enclave aislado por hardware, para que el texto claro no llegue al sistema anfitrión✓ Respuesta
    • C.Aumentar la frecuencia de rotación de claves, para que el texto claro en memoria caduque entre dos rotaciones
    • D.Terminar el cifrado de transporte en el anfitrión, para inspeccionar y detectar el implante que lee la memoria

    El dato en uso es el único estado que el cifrado en reposo y en tránsito no cubren, porque la aplicación necesita ver texto claro para calcular. El control acorde a ese estado es el aislamiento por hardware: los registros se descifran dentro de un entorno de ejecución protegido cuya memoria no pueden leer ni el sistema operativo, ni el hipervisor, ni ningún proceso vecino.

    Ref. QB-32MCQFFuente: CompTIA Security+ Exam Objectives (data states: at rest, in transit, in use); NIST SP 800-175B, Guideline for Using Cryptographic StandardsReportar un problema con esta pregunta

44. 44. Un sistema de prevención de pérdida de datos bloquea los registros regulados que salen por correo, pero una investigación descubre que el personal los saca mediante un cliente de sincronización en la nube instalado en portátiles gestionados. ¿Qué cambio cierra la brecha?

    • A.Subir el umbral de sensibilidad de las reglas de correo, pues una política más estricta cubre también el cliente
    • B.Cifrar los registros en reposo en los portátiles, pues un archivo cifrado no puede subirlo un cliente de consumo
    • C.Añadir una regla de cortafuegos que bloquee el tráfico saliente del puerto del cliente, pues usa un puerto fijo
    • D.Llevar las mismas reglas de contenido al agente de punto final y al canal web, pues solo se inspecciona el correo✓ Respuesta

    La inspección de contenido solo protege los canales donde está desplegada. Endurecer reglas en un canal que los datos ya no usan no cambia nada, y bloquear puertos no sirve contra clientes que viajan por puertos web habituales. Aplicar las mismas reglas basadas en clasificación en el agente del equipo, donde los archivos se leen antes de subirse, y en la salida web es lo que somete el canal de sincronización a la misma política.

    Ref. QB-NHG7NJFuente: CompTIA Security+ Exam Objectives, data loss prevention as an enterprise security capability (endpoint, email and web channel coverage)Reportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA Security+ SY0-701. Es una herramienta de estudio independiente, no afiliada ni respaldada por CompTIA, y no otorga certificación. Acerca de Security+ →