44 Preguntas de Práctica de Amenazas, ataques y vulnerabilidades con Respuestas

1. 1. Una investigación en un proveedor de defensa halla un punto de apoyo establecido catorce meses antes, código malicioso que usó una falla sin parche del fabricante en ese momento, robo de credenciales limitado a los ingenieros de un solo programa de armamento y ningún intento de obtener dinero. ¿Qué conclusión respalda mejor la evidencia?

   • A.Un actor estatal dedicado al espionaje: acceso prolongado y objetivo limitado a un programa✓ Respuesta
   • B.Crimen organizado que prepara un secuestro de datos: la permanencia precede a la carga
   • C.Un atacante sin pericia cuyo kit de exploits comprado alcanzó por azar un equipo valioso
   • D.Un infiltrado que abusa de permisos legítimos: solo se vio afectado un grupo de ingenieros

   Al actor lo identifican su capacidad y su intención, no las herramientas. Catorce meses sin ser detectado, el uso de una falla sin parche disponible, un objetivo acotado a un solo programa de armamento y la ausencia total de monetización son la firma de una operación de espionaje patrocinada por un Estado; los grupos criminales monetizan pronto y un atacante sin pericia carece del exploit y de la paciencia.

   Ref. QB-PGST9FFuente: CompTIA Security+ Exam Objectives, Threats, Vulnerabilities and Mitigations domain: threat actor attributes (resources, sophistication) and motivations (espionage); CISA advisories on advanced persistent threat activityReportar un problema con esta pregunta

2. 2. Un caso de secuestro de datos (ransomware) muestra un identificador de afiliado en la nota de rescate, un sitio de filtraciones con la marca de otro grupo, negociación por un portal de chat con descuento por plazo y herramientas de cifrado ya vistas en víctimas de sectores sin relación. ¿Qué indica esa estructura?

   • A.Una operación estatal que usa el rescate como tapadera de espionaje en sectores sin relación
   • B.Una empresa criminal que opera el rescate como servicio: un afiliado usa herramientas de otro grupo✓ Respuesta
   • C.Un colectivo hacktivista que publica datos de víctimas para impulsar una postura política
   • D.Un atacante sin pericia que reutilizó código filtrado y redactó él mismo la nota y el sitio

   El rescate como servicio reparte el trabajo: un grupo central crea y mantiene el cifrador y el sitio de filtraciones, mientras afiliados pagados ejecutan las intrusiones; por eso aparece un identificador de afiliado junto a la marca de otro grupo y las mismas herramientas surgen en sectores sin relación. La motivación constante es el lucro, propia del crimen organizado.

   Ref. QB-7ZXYUFFuente: CompTIA Security+ Exam Objectives, threat actors and motivations (organised crime, financial gain); CISA #StopRansomware guidance on ransomware-as-a-service affiliate operationsReportar un problema con esta pregunta

3. 3. Los registros muestran escaneos desde una conexión residencial con el identificador por defecto de una herramienta, intentos de explotar fallas parcheadas hace años lanzados en orden alfabético, ningún intento de borrar rastros y una consulta en un foro público sobre qué significa el error devuelto. ¿Qué perfil de atacante corresponde?

   • A.Un afiliado del crimen organizado que hace reconocimiento pagado y venderá el acceso
   • B.Una amenaza persistente avanzada que genera ruido para tapar otra intrusión más sigilosa
   • C.Un infiltrado que sondea desde casa para que el reconocimiento interno parezca externo
   • D.Un atacante sin pericia con herramientas prefabricadas: intentos sin foco y pide ayuda✓ Respuesta

   El discriminador es la sofisticación, no la ubicación. El identificador por defecto, el barrido alfabético de fallas ya parcheadas, la falta de antiforense y la petición pública de ayuda muestran a alguien que ejecuta herramientas ajenas sin comprenderlas: eso define al atacante sin pericia; los actores capaces adaptan sus intentos y borran rastros.

   Ref. QB-QG56FGFuente: CompTIA Security+ Exam Objectives, threat actors: unskilled attacker (low sophistication, prebuilt tools) and level of capability as a distinguishing attributeReportar un problema con esta pregunta

4. 4. Horas después de que una empresa de servicios anuncia un contrato polémico, su sitio público aparece alterado con un mensaje político y recibe una avalancha de tráfico. Los sistemas internos siguen intactos, pese a que en el servidor alterado había una credencial válida de acceso remoto. ¿Qué lectura encaja?

   • A.Crimen organizado preparando una extorsión: la alteración prueba un acceso más profundo
   • B.Un atacante sin pericia que alteró un objetivo al azar y alquiló un servicio de saturación
   • C.Un actor estatal ensayando la disrupción de servicios tras consignas políticas de tapadera
   • D.Hacktivistas que buscan visibilidad para una causa: no usaron el acceso interno✓ Respuesta

   La motivación se lee en lo que el atacante no hizo. Quien busca dinero o inteligencia habría usado la credencial de acceso remoto para avanzar hacia dentro; dejarla intacta mientras maximiza la visibilidad pública, justo tras un anuncio polémico, señala una motivación política o ideológica, propia del hacktivismo.

   Ref. QB-4ZVYBCFuente: CompTIA Security+ Exam Objectives, threat actors and motivations: hacktivist, philosophical/political beliefs, service disruptionReportar un problema con esta pregunta

5. 5. Durante tres semanas la cuenta de una analista sénior copia 4 GB de un recurso de investigación a una carpeta personal en la nube, siempre en su turno, desde su portátil asignado y con permisos que su puesto ya tenía. Renuncia al día siguiente de la última copia. ¿Qué establece la evidencia?

   • A.Tecnología en la sombra: la carpeta personal es un servicio no aprobado, no un ataque
   • B.Amenaza interna: permisos legítimos y horario normal anulan los controles antiexternos✓ Respuesta
   • C.Cuenta comprometida: un actor externo imitó el patrón habitual de trabajo de la analista
   • D.Repetición de credenciales: una sesión capturada se reutilizó durante las tres semanas

   Todos los indicadores apuntan hacia dentro: su equipo, su turno y permisos que el puesto concede legítimamente, de modo que no hay anomalía que dispare el perímetro ni la línea base de conducta. Esa mezcla de acceso legítimo e intención dañina hace de la amenaza interna la más difícil de detectar, y la renuncia aporta el motivo.

   Ref. QB-MG36XCFuente: CompTIA Security+ Exam Objectives, threat actors: insider threat (internal, legitimate access, motivations including revenge and financial gain)Reportar un problema con esta pregunta

6. 6. Una revisión de descubrimiento halla que un equipo de marketing paga con tarjeta corporativa un servicio de analítica no aprobado, le sube listas de correo de clientes y lo conecta a la base de datos de clientes mediante un testigo que generó un integrante. Nunca se pidió excepción. ¿Cómo debe tratarse?

   • A.Piloto aceptable: el cargo en la tarjeta lo documenta, así que no hace falta otra medida ahora
   • B.Ataque interno: robo deliberado de datos; suspender las cuentas y remitir el caso a jurídico
   • C.Tecnología en la sombra: no aprobada pero bien intencionada; inventariar y someter a revisión✓ Respuesta
   • D.Compromiso de la cadena de suministro: proveedor hostil; revocar el testigo y bloquear su dominio

   La tecnología en la sombra es tecnología no aprobada que se adopta para poder trabajar, no un ataque: quienes la usan intentan hacer su trabajo. El riesgo es una superficie de ataque no gestionada y datos fuera de los sistemas gobernados, así que corresponde descubrir e inventariar el servicio, evaluarlo y luego aprobarlo con contrato y controles o sustituirlo.

   Ref. QB-5Z8BHDFuente: CompTIA Security+ Exam Objectives, threat actors: shadow IT (internal, unsanctioned, non-malicious) and unmanaged attack surfaceReportar un problema con esta pregunta

7. 7. Un proveedor recibe un cambio de datos bancarios dentro de un hilo ya existente, enviado desde el buzón del propio director financiero del comprador. La autenticación del mensaje pasa, la dirección y el nombre son auténticos y hay copia en los elementos enviados del director. ¿Qué conclusión encaja?

   • A.Dominio de tipografía similar: el dominio pasa la autenticación porque es del atacante
   • B.Suplantación de marca: el mensaje copia el estilo del comprador, algo que no se autentica
   • C.Compromiso del correo empresarial: se tomó un buzón real, y las cabeceras no lo delatan✓ Respuesta
   • D.Envenenamiento de resolución: el resolutor devolvió una dirección del atacante al responder

   Si el mensaje sale del buzón legítimo, todas las comprobaciones técnicas de autenticidad pasan porque el correo es auténtico: lo comprometido es la cuenta, no el dominio. Por eso la defensa debe ser de proceso, sobre todo verificar fuera de banda cualquier cambio de datos de pago con un número ya registrado.

   Ref. QB-NGEG4EFuente: CompTIA Security+ Exam Objectives, human vectors: business email compromise; FBI Internet Crime Complaint Center guidance on business email compromise and out-of-band verificationReportar un problema con esta pregunta

8. 8. El personal recibe un mensaje de texto en sus teléfonos personales que menciona al proveedor de nóminas de la empresa, advierte de un depósito suspendido y enlaza mediante una dirección acortada a una copia de la página de inicio de sesión único. ¿Qué es y por qué cuesta controlarlo?

   • A.Mensajería fraudulenta: el cebo llega por mensaje de texto, fuera del filtrado corporativo✓ Respuesta
   • B.Llamada fraudulenta: se usa un canal de voz, así que las reglas del servidor de correo no aplican
   • C.Ataque de abrevadero: se alteró un sitio que el personal ya visita, por eso el enlace parece normal
   • D.Caza de ballenas: se apunta a altos directivos, a quienes la formación habitual no suele llegar

   La mensajería fraudulenta es phishing entregado por mensaje de texto. Como llega a un móvil personal por la red del operador, la pasarela de correo corporativa nunca lo ve, la dirección acortada oculta el destino y no hay reescritura de enlaces ni aislamiento de adjuntos; la defensa práctica es concienciación, autenticación resistente al phishing y un canal fácil de denuncia.

   Ref. QB-AZZYCKFuente: CompTIA Security+ Exam Objectives, human vectors: smishing (message-based vectors including SMS)Reportar un problema con esta pregunta

9. 9. La persona A dice a un agente de la mesa de servicio que está haciendo la auditoría trimestral de accesos y necesita la lista de cuentas con permisos de administrador, sin decir quién es. La persona B afirma ser la vicepresidenta de finanzas y exige un restablecimiento de contraseña. ¿Cómo se clasifican?

   • A.A usó pretexto: un escenario inventado; B usó suplantación: tomó una identidad✓ Respuesta
   • B.A suplantó al equipo de auditoría; B usó pretexto, porque la urgencia fue la palanca real
   • C.Ambos usaron compromiso del correo empresarial, ejecutado por teléfono y no por correo
   • D.A usó desinformación para moldear creencias; B usó caza de ballenas al nombrar un cargo

   El pretexto aporta una situación inventada que hace parecer rutinaria la petición y no requiere una identidad concreta; la suplantación va más allá y asume una persona o un cargo cuya autoridad la víctima ya acepta. A se apoya solo en el relato y B en la identidad prestada: esa es exactamente la frontera entre ambas técnicas.

   Ref. QB-TG76YKFuente: CompTIA Security+ Exam Objectives, human vectors: pretexting and impersonation as distinct social engineering techniquesReportar un problema con esta pregunta

10. 10. Cuatro empresas de ingeniería sin relación son comprometidas en una semana. Cada infección sigue a una visita a la página de noticias de la misma asociación sectorial, que entregaba un script malicioso solo a visitantes cuyas direcciones pertenecían a esas cuatro empresas. ¿Qué técnica evidencia esto?

    • A.Campaña de phishing: cada infección empezó con un enlace que el ingeniero abrió
    • B.Ataque a la cadena de suministro: la asociación distribuye actualizaciones a sus socios
    • C.Ataque en ruta: el script se insertó en el tráfico entre las empresas y el sitio
    • D.Ataque de abrevadero: alcanza a los objetivos por un sitio que suelen visitar✓ Respuesta

    En el ataque de abrevadero el atacante no puede llegar al objetivo de forma directa, así que compromete un sitio de terceros que el grupo visita por costumbre y entrega la carga solo a visitantes de las redes elegidas. La entrega selectiva por rango de direcciones es la pista: oculta el compromiso al resto de visitantes y a los investigadores.

    Ref. QB-QAGU7DFuente: CompTIA Security+ Exam Objectives, human vectors: watering hole attackReportar un problema con esta pregunta

11. 11. Llegan facturas desde un dominio que difiere del proveedor en dos letras intercambiadas. La página reproduce el logotipo, los colores y la disposición del portal del proveedor, y presenta un certificado válido emitido para ese dominio parecido. ¿Qué combinación describe lo que hizo el atacante?

    • A.El envenenamiento aportó la dirección; el abrevadero aportó el contenido de la página
    • B.El dominio en sombra aportó la dirección; la desinformación aportó la factura que se paga
    • C.La suplantación de marca aportó la dirección; el certificado aportó la garantía de identidad
    • D.El dominio parecido aportó la dirección; la suplantación de marca aportó la apariencia✓ Respuesta

    Se combinan dos técnicas. El dominio de tipografía similar registra una versión mal escrita o con letras intercambiadas del dominio real, de modo que una mirada rápida a la barra tranquiliza; la suplantación de marca copia el aspecto para que la página también lo haga. El certificado solo prueba control del dominio parecido, nunca que su titular sea el proveedor.

    Ref. QB-7TAPMCFuente: CompTIA Security+ Exam Objectives, human vectors: typosquatting and brand impersonation; certificate validation confirms domain control, not organisational identityReportar un problema con esta pregunta

12. 12. En un día, decenas de cuentas sociales recién creadas publican afirmaciones idénticas de que un producto del fabricante fue retirado por seguridad. No existe tal retirada, el centro de atención se satura y circula un aviso falso con el logotipo de la empresa. ¿Qué ocurre y qué se hace primero?

    • A.Campaña de phishing con un aviso falso: bloquear el dominio y restablecer contraseñas de clientes
    • B.Campaña de desinformación con cuentas falsas: emitir un desmentido oficial y preservar las publicaciones✓ Respuesta
    • C.Denegación de servicio hacktivista al soporte: limitar el ritmo y abrir un caso de disponibilidad
    • D.Suplantación de marca solo del logotipo: presentar queja marcaria y tratarlo como asunto comercial

    Las afirmaciones falsas coordinadas desde cuentas desechables para dañar a una organización constituyen una campaña de desinformación, un vector humano junto al phishing. La respuesta inmediata es corregir el registro desde un canal oficial que el público ya confía y capturar publicaciones y cuentas como prueba antes de que se borren.

    Ref. QB-PA5H2CFuente: CompTIA Security+ Exam Objectives, human vectors: misinformation and disinformationReportar un problema con esta pregunta

13. 13. Aparecen memorias USB con el logotipo de la empresa en el aparcamiento del personal. Una de ellas, insertada en un equipo de prueba aislado, se registra como teclado, escribe una orden y abre una conexión hacia un servidor externo. ¿Qué par conclusión-control es correcto?

    • A.Troyano oculto en un documento del dispositivo: exigir análisis antivirus antes de abrir archivos
    • B.Gusano que se propaga por ejecución automática: desactivar el arranque automático de los medios
    • C.Ataque por medio extraíble que se hace pasar por teclado: control de puertos por clase de dispositivo✓ Respuesta
    • D.Registrador de teclas integrado en la memoria: revisar los puertos en busca de accesorios extraños

    La memoria no lleva un archivo que alguien deba abrir: se declara dispositivo de interfaz humana e inyecta pulsaciones al conectarse, de modo que analizar archivos o desactivar el arranque automático no sirven. Solo un control que decida qué clases de dispositivo admite cada puerto, con una política sobre medios encontrados, cierra ese vector.

    Ref. QB-6TXBFBFuente: CompTIA Security+ Exam Objectives, threat vectors: removable device; mitigation by configuration enforcement and disabling portsReportar un problema con esta pregunta

14. 14. Una empleada informa de que hace diez minutos escribió su usuario, su contraseña y un código de un solo uso en una página abierta desde un enlace de correo. Ya ha cambiado la contraseña. ¿Qué debe seguir y por qué no basta con el cambio de contraseña?

    • A.Revocar sus sesiones activas y volver a registrar sus factores: el atacante ya puede tener sesión✓ Respuesta
    • B.Eliminar el mensaje de todos los buzones: el único riesgo restante son más clics de empleados
    • C.Reinstalar su equipo desde la imagen: escribir el código prueba que hay código malicioso local
    • D.Bloquear el remitente en la pasarela: de lo contrario la misma campaña se repetirá sin más

    Un sitio que retransmite en tiempo real las credenciales y el código de un solo uso completa él mismo el inicio de sesión y conserva la cookie de sesión, que sobrevive a un cambio posterior de contraseña porque esa sesión ya quedó autenticada. Contener implica invalidar sesiones y testigos de refresco, volver a registrar el factor y revisar qué hizo esa sesión.

    Ref. QB-NAS6VAFuente: CompTIA Security+ Exam Objectives, indicators of malicious activity: credential replay and concurrent session usage; NIST SP 800-61 guidance on containmentReportar un problema con esta pregunta

15. 15. Un mensaje dirigido a tres integrantes de un mismo equipo nombra un proyecto interno en curso y a su jefa, y adjunta un archivo de firma que abre una página de credenciales. Las listas de reputación de la pasarela no registran nada. ¿Qué conclusión y respuesta encajan mejor?

    • A.Phishing dirigido basado en investigación previa: denunciarlo y revisar a los destinatarios✓ Respuesta
    • B.Phishing masivo que solo menciona un proyecto: basta con borrar el mensaje y no hace falta avisar
    • C.Caza de ballenas, pues nombra a una jefa: escalar solo si hubo un buzón directivo entre los blancos
    • D.Compromiso del correo empresarial por el detalle interno: dar por tomado el buzón de la jefa

    El detalle interno exacto y una lista de solo tres destinatarios indican phishing dirigido con reconocimiento previo, no un envío masivo; por su escaso volumen las listas de reputación aún no tienen nada. El control decisivo es denunciar pronto: permite retirar el mensaje, comprobar si los demás entregaron credenciales y bloquear la infraestructura.

    Ref. QB-5TKZ9AFuente: CompTIA Security+ Exam Objectives, human vectors: phishing and targeted variants; NIST SP 800-61 on user reporting as a precursor and incident detection sourceReportar un problema con esta pregunta

16. 16. Entre las 02:00 y las 05:00 se infectan sesenta servidores. La telemetría muestra que cada infección empezó con una conexión entrante al puerto de un servicio de archivos desde un equipo ya infectado, que nadie había iniciado sesión y que no se abrió ningún mensaje ni documento. ¿Qué conclusión respalda?

    • A.Troyano: los usuarios instalaron antes un programa disfrazado que se activó por temporizador
    • B.Virus: en cada equipo se ejecutó un archivo infectado, abierto por una tarea programada
    • C.Gusano: se propaga explotando un servicio de red, por eso no hace falta acción del usuario✓ Respuesta
    • D.Bomba lógica: código latente en los sesenta servidores se disparó a una hora fijada de antemano

    La prueba que separa a las familias es qué requiere la propagación. Un virus necesita que se ejecute un archivo anfitrión y un troyano que el usuario lo instale, mientras que el gusano se propaga solo explotando un servicio de red alcanzable: la única familia compatible con contagios de equipo a equipo de madrugada y sin sesiones iniciadas.

    Ref. QB-MAEUP9Fuente: CompTIA Security+ Exam Objectives, indicators of malicious activity: malware attacks (worm, virus, trojan); NIST glossary definition of a worm as self-replicating without user actionReportar un problema con esta pregunta

17. 17. Antes del cifrado, los registros de flujo muestran 300 GB saliendo de un servidor de archivos por una sesión web cifrada hacia un proveedor de almacenamiento de consumo durante dos noches, y las instantáneas y el catálogo de copias se borraron minutos antes de la nota de rescate. ¿Qué cambia esto?

    • A.Las copias borradas prueban un borrador y no un secuestro: no habrá clave de descifrado útil
    • B.Solo se dañó la disponibilidad: restaurar desde copias fuera de línea cierra el incidente sin más
    • C.La salida de datos prueba que fue un infiltrado: la respuesta debe centrarse en los empleados
    • D.También hubo violación de datos: hay deberes de notificación aunque las copias restauren todo✓ Respuesta

    La salida masiva de datos antes del cifrado es la firma de la doble extorsión: el atacante conserva una copia para vender o publicar se pague o no el rescate. Eso convierte el suceso también en un incidente de confidencialidad, activa obligaciones de notificación regulatorias y contractuales, y restaurar copias no lo da por cerrado.

    Ref. QB-4T8P49Fuente: CompTIA Security+ Exam Objectives, malware attacks (ransomware) and indicators including resource inaccessibility; CISA #StopRansomware guidance on data theft and double extortionReportar un problema con esta pregunta

18. 18. Un administrador de bases de datos renunció hace dos meses. Hoy una tarea almacenada creada por él, que corre con una cuenta de servicio, comprueba si su propia cuenta sigue existiendo y, al no hallarla, elimina un conjunto de tablas. ¿Qué es esto y qué control lo habría detectado antes?

    • A.Gusano: código que se propaga solo; segmentación entre base de datos y aplicación
    • B.Bomba lógica: código disparado por una condición; revisión de tareas al dar de baja✓ Respuesta
    • C.Rootkit: código persistente oculto; análisis de integridad al arrancar los servidores
    • D.Secuestro de datos: carga destructiva; copias inmutables y fuera de línea del entorno

    Una bomba lógica es código colocado de antemano que permanece inerte hasta que se cumple una condición: aquí, la desaparición de la cuenta de su autor. Como vive en una tarea programada normal y no en un binario malicioso, el antivirus no tiene nada que detectar; lo revela revisar y reasignar la automatización al dar de baja al empleado.

    Ref. QB-KA3HH8Fuente: CompTIA Security+ Exam Objectives, malware attacks: logic bomb; mitigation by access control review and decommissioning of accounts and automationReportar un problema con esta pregunta

19. 19. Las herramientas propias de un equipo enumeran cuarenta procesos en ejecución y no muestran conexiones raras, mientras que una imagen de memoria capturada desde fuera del sistema operativo enumera cuarenta y tres, y uno mantiene un socket abierto hacia una dirección externa. ¿Qué indica la diferencia?

    • A.La imagen de memoria está desfasada: un equipo vivo siempre informa bien sus procesos
    • B.Un registrador de teclas en espacio de usuario se oculta renombrando su propio proceso
    • C.Un rootkit de núcleo filtra lo que las propias interfaces del equipo devuelven al analista✓ Respuesta
    • D.Un programa espía apagó el registro: las cuentas son correctas y faltan las anotaciones

    Un rootkit opera al nivel del sistema operativo o por debajo e intercepta las llamadas que enumeran procesos, archivos y conexiones, de modo que toda herramienta que pregunte al núcleo comprometido recibe una respuesta depurada. Contrastarla con una fuente externa, como una imagen de memoria o un análisis sin arrancar el sistema, es la forma estándar de descubrirlo.

    Ref. QB-3TVBX7Fuente: CompTIA Security+ Exam Objectives, malware attacks: rootkit; NIST glossary description of rootkits subverting operating system reportingReportar un problema con esta pregunta

20. 20. A tres usuarios de una misma planta les han usado sus contraseñas desde fuera. Los análisis de los equipos salen limpios, no hay procesos desconocidos ni sesiones salientes raras, y los tres escriben en teclados por cable de puestos compartidos. ¿Qué debe guiar el siguiente paso?

    • A.Un registrador por software evade el análisis: enviar imágenes de memoria al fabricante del antivirus
    • B.Hay repetición de credenciales: acortar la vida de las sesiones en las aplicaciones implicadas
    • C.Puede haber un registrador físico entre el teclado y el puerto: revisar las conexiones en el sitio✓ Respuesta
    • D.Hay programas espía en el navegador: quitar las extensiones y borrar las credenciales guardadas

    Un programa en el equipo dejaría algo que el análisis, la lista de procesos o la telemetría de red pudieran encontrar. Un registrador de teclas implementado en hardware se coloca en el cable o el puerto, captura la entrada antes de que la vea el sistema operativo y la guarda o transmite por su cuenta, así que solo la inspección física lo descarta.

    Ref. QB-ACTNYVFuente: CompTIA Security+ Exam Objectives, malware attacks: keylogger; threat vector of removable and attached hardware devicesReportar un problema con esta pregunta

21. 21. Los portátiles nuevos vienen con una utilidad de actualización del fabricante que corre como servicio privilegiado, no la usa ningún proceso del negocio y obtiene sus instrucciones por un canal sin autenticar. ¿Qué caracterización y acción corresponden al hallazgo?

    • A.Software preinstalado que amplía la superficie: eliminarlo de la imagen antes de desplegar✓ Respuesta
    • B.Troyano infiltrado en la cadena de suministro: aislar el lote y avisar ya a las fuerzas del orden
    • C.Rootkit enviado por el fabricante: regrabar el firmware de cada equipo antes de entregarlo
    • D.Programa espía de telemetría: dejar la utilidad instalada y bloquear sus dominios en la pasarela

    El software preinstalado sobrante es el que la organización nunca pidió ni usa; no es malicioso, pero un servicio privilegiado que recibe instrucciones por un canal sin autenticar es justo el componente innecesario que un atacante aprovecha. Eliminar el software innecesario de la imagen es el paso de fortalecimiento que lo cierra.

    Ref. QB-TUYTJWFuente: CompTIA Security+ Exam Objectives, malware attacks: bloatware; hardening technique of removing unnecessary softwareReportar un problema con esta pregunta

22. 22. Una estación de trabajo abre una conexión web cifrada al mismo servidor externo cada sesenta minutos, con unos segundos de variación, con un tamaño de petición casi constante y casi nada de respuesta, y continúa de noche y en fin de semana. El dominio se registró hace once días. ¿Qué indica el patrón?

    • A.Agente de monitorización mal configurado: las horas sin personal explican ese tráfico constante
    • B.Baliza de mando y control: intervalo regular y tamaño fijo encajan con un implante que reporta✓ Respuesta
    • C.Comprobación legítima de actualizaciones: los fabricantes consultan cada hora con normalidad
    • D.Exfiltración masiva en curso: un calendario estable encaja con transferir archivos muy grandes

    La baliza se reconoce por su forma, no por su contenido: intervalo fijo con leve variación aleatoria, tamaño de petición casi constante, respuesta mínima y ninguna dependencia del horario laboral describen a un implante pidiendo instrucciones a su controlador. La exfiltración mostraría un volumen saliente grande y asimétrico, y las actualizaciones siguen los ciclos de parches.

    Ref. QB-9CFBTUFuente: CompTIA Security+ Exam Objectives, indicators of malicious activity: command and control traffic and resource consumption indicators; NIST SP 800-61 on identifying precursors and indicators in network trafficReportar un problema con esta pregunta

23. 23. Un servicio copia un campo de nombre de host, de longitud controlada por el atacante, desde un paquete a un arreglo fijo de 64 bytes en la pila, sin comprobar esa longitud. Los volcados muestran la dirección de retorno guardada sustituida por bytes del atacante y el puntero de instrucción desviado a la pila. ¿Qué hallazgo encaja y qué defensas de plataforma encarecen su explotación?

    • A.Una inyección de memoria en un proceso firmado; las defensas son la firma de código y el bloqueo de controladores.
    • B.Una condición de carrera entre la comprobación y el uso; las defensas son el bloqueo de archivos y las aperturas atómicas.
    • C.Un desbordamiento de búfer fuera del arreglo de la pila; las defensas son la aleatorización de direcciones y la no ejecución.✓ Respuesta
    • D.Un desbordamiento de entero en el asignador de memoria; las defensas son las páginas de guarda y el aislamiento del montículo.

    Escribir más bytes de los que cabe el arreglo corrompe lo que está junto a él en la pila, y la dirección de retorno guardada es el objetivo clásico porque sobrescribirla desvía la ejecución a bytes elegidos por el atacante. La aleatorización del espacio de direcciones vuelve impredecible la dirección objetivo y la prevención de ejecución marca la pila como no ejecutable; ambas atacan la explotación, mientras el defecto se corrige limitando la copia.

    Ref. QB-SUMGDVFuente: CompTIA Security+ exam objectives (application vulnerabilities: buffer overflow); CWE-121 stack-based buffer overflowReportar un problema con esta pregunta

24. 24. Una utilidad de respaldo privilegiada llama a una función de comprobación de acceso para confirmar que el usuario puede leer una ruta y, un instante después, abre esa misma ruta por su nombre. Un atacante sustituye repetidamente la ruta por un enlace simbólico a un archivo protegido en el intervalo entre ambas llamadas y obtiene su contenido. ¿Qué hallazgo encaja y qué lo elimina?

    • A.Una condición de carrera entre la comprobación y el uso, corregida al abrir el archivo una sola vez y evaluar el descriptor abierto.✓ Respuesta
    • B.Un recorrido de directorios, corregido al rechazar toda ruta que se resuelva fuera del directorio de respaldo permitido.
    • C.Una elevación de privilegios del binario privilegiado, corregida al renunciar a los privilegios antes de abrir archivos.
    • D.Una actualización maliciosa de la utilidad, corregida al verificar la firma del proveedor antes de instalar el binario.

    La comprobación y el uso son dos operaciones separadas sobre un nombre, no una sola sobre un objeto, así que el estado puede cambiar en el intervalo; esa secuencia no atómica es lo que convierte la comprobación/uso en una condición de carrera y no en un simple error lógico. Abrir una vez y evaluar el descriptor devuelto ata la decisión al objeto realmente abierto, de modo que sustituir el nombre después ya no influye en nada.

    Ref. QB-CCHBBYFuente: CompTIA Security+ exam objectives (race conditions: time-of-check/time-of-use); CWE-367Reportar un problema con esta pregunta

25. 25. Una herramienta de endpoint informa que un proceso firmado del sistema operativo mantiene una región privada de memoria marcada como legible, escribible y ejecutable, y que emite una señal saliente cada cinco minutos. El ejecutable en disco sigue coincidiendo con el hash publicado por el proveedor y no se instaló ningún servicio ni controlador nuevo. ¿Qué conclusión encaja con la evidencia?

    • A.El ejecutable del proveedor fue reemplazado por una actualización maliciosa, así que el hash no sirve.
    • B.El código corre en la memoria de un proceso confiable, así que las comprobaciones en disco pasan.✓ Respuesta
    • C.El núcleo carga una herramienta oculta bajo el sistema operativo, así que la lista de procesos miente.
    • D.El firmware de la plataforma ejecuta un implante antes del arranque, así que esa memoria es suya.

    La inyección de memoria coloca el código del atacante en el espacio de un proceso que ya se ejecuta y ya es de confianza, por eso el archivo en disco queda intacto y su hash sigue siendo válido. La señal es una región privada escribible y ejecutable a la vez dentro de un proceso que no tiene motivo legítimo para generar código, así que la detección debe venir de la memoria en ejecución y del comportamiento de red, no de la integridad de archivos.

    Ref. QB-VUPGWYFuente: CompTIA Security+ exam objectives (application vulnerabilities: memory injection)Reportar un problema con esta pregunta

26. 26. Un registro web recoge la petición GET /invoice?id=7%20OR%201%3D1-- y la aplicación devolvió todas las filas de facturas de la tabla en lugar de una. ¿Qué hallazgo respalda esa línea de registro y qué corrección ataca la causa y no el síntoma?

    • A.Un script entre sitios en la salida de la página, corregido al codificar los valores no confiables al mostrarlos.
    • B.Una inyección en la consulta de base de datos, corregida con sentencias parametrizadas que vinculan la entrada.✓ Respuesta
    • C.Una falsificación de petición desde otro origen, corregida con un token por petición que el atacante no puede leer.
    • D.Un recorrido de directorios en la capa de archivos, corregido al normalizar la ruta antes de decidir el acceso.

    El parámetro decodificado es 7 OR 1=1--, que convierte el filtro de registros en una condición siempre verdadera y comenta el resto, de modo que la aplicación devuelve toda la tabla; ese comportamiento señala una entrada concatenada en el texto de la consulta. Las sentencias parametrizadas envían la estructura y los valores por separado, así que esos mismos caracteres nunca se interpretan como lógica de consulta, razón por la cual filtrar comillas o palabras clave solo reduce el síntoma.

    Ref. QB-BC6Z5XFuente: CompTIA Security+ exam objectives (web-based: SQL injection); CWE-89Reportar un problema con esta pregunta

27. 27. A cada visitante que abre una página de producto se le envía la cookie de sesión a un host desconocido. La plantilla de la página no cambió en el repositorio; la carga llega de una reseña de cliente guardada en la base de datos hace meses y escrita en la página sin codificación. ¿Qué hallazgo encaja y qué lo detiene?

    • A.Repetición de sesión por un equipo en la ruta, detenida al emitir un token de sesión nuevo tras cada inicio válido.
    • B.Script entre sitios reflejado, detenido al rechazar las peticiones cuya cadena de consulta trae etiquetas de script.
    • C.Inyección en la consulta de base de datos, detenida al vincular todo el texto de reseñas con sentencias preparadas.
    • D.Script entre sitios almacenado, detenido al codificar lo almacenado en la salida y limitar el origen de los scripts.✓ Respuesta

    El script reside en el propio almacén de datos de la aplicación y se entrega a todo visitante posterior sin necesidad de un enlace preparado, que es la forma propia del script entre sitios almacenado y no del reflejado, que exige una petición envenenada por víctima. La carga se ejecuta en el navegador de cada visitante bajo el origen del sitio, por lo que puede leer su cookie; codificar en la salida y restringir los orígenes de script permitidos rompen el paso de ejecución.

    Ref. QB-UUB6RXFuente: CompTIA Security+ exam objectives (web-based: cross-site scripting); CWE-79Reportar un problema con esta pregunta

28. 28. Un administrador con una sesión válida en la aplicación de nómina abre una página web ajena en otra pestaña. Esa página envía en silencio un formulario al punto de alta de usuarios de la aplicación de nómina, y la petición tiene éxito porque el navegador adjuntó la cookie de sesión. ¿Qué ataque es y qué control lo derrota?

    • A.Intercepción en la ruta, vencida al exigir que la aplicación se alcance solo por un canal cifrado y autenticado.
    • B.Falsificación de petición entre sitios, vencida por un token ligado a la sesión que la página ajena no puede leer.✓ Respuesta
    • C.Repetición de credenciales capturadas, vencida al rechazar material de autenticación ya visto anteriormente.
    • D.Script entre sitios almacenado, vencido al codificar todo valor no confiable donde se construye la página.

    La aplicación autorizó una petición que cambia el estado solo porque iba acompañada de una cookie de sesión válida, así que el atacante nunca necesitó la credencial, solo el navegador autenticado de la víctima. Un token antifalsificación incluido en el cuerpo de la petición y verificado en el servidor no puede ser leído ni adivinado por una página de otro origen, y por eso es el control que corresponde a este mecanismo y no el cifrado del canal.

    Ref. QB-EC8ZN2Fuente: CompTIA Security+ exam objectives (application attacks: forgery); CWE-352 cross-site request forgeryReportar un problema con esta pregunta

29. 29. Los registros del servidor muestran peticiones repetidas a un visor de documentos con la forma file=%2e%2e%2f%2e%2e%2f%2e%2e%2fetc%2fpasswd, y una respuesta fue inusualmente grande. La corrección propuesta por el desarrollador rechaza cualquier parámetro que contenga los caracteres literales ../. ¿Qué valoración es correcta?

    • A.El hallazgo es inyección de comandos y el arreglo falla, porque el intérprete recibe el parámetro sin cambios.
    • B.El hallazgo es inyección en la consulta y el arreglo sirve, porque al parámetro ya se le aplican comillas.
    • C.El hallazgo es recorrido de directorios y el arreglo falla, porque lo codificado se decodifica tras la comprobación.✓ Respuesta
    • D.El hallazgo es desbordamiento de búfer y el arreglo sirve, porque la longitud de entrada ya está limitada.

    El parámetro va codificado en porcentaje, así que %2e%2e%2f es la misma secuencia de recorrido escrita de forma que no contiene ningún ../ literal en el momento en que correría la comparación; la plataforma lo decodifica después y el archivo se lee fuera de la raíz de documentos. Por eso una comprobación de patrón previa a la decodificación no detecta el ataque: el orden fiable es decodificar y normalizar la ruta primero y luego comparar el resultado resuelto con el directorio permitido.

    Ref. QB-XUD693Fuente: CompTIA Security+ exam objectives (application attacks: directory traversal); CWE-22Reportar un problema con esta pregunta

30. 30. Una página de diagnóstico de red toma un valor de host y arma la cadena ping -c 4 <host>, que entrega a un intérprete de comandos. Una petición de auditoría envía 8.8.8.8; cat /etc/passwd y el cuerpo de la respuesta incluye entradas de cuentas. ¿Qué cambio elimina la clase de fallo y no un solo payload?

    • A.Eliminar los puntos y coma y las barras verticales del valor del host antes de armar la cadena.
    • B.Ejecutar la página de diagnóstico con una cuenta sin privilegios para que lea menos archivos.
    • C.Encerrar todo el valor del host entre comillas dobles para que el intérprete lo trate como una palabra.
    • D.Invocar el programa directamente y pasar el host como argumento aparte, sin intérprete de comandos.✓ Respuesta

    El fallo existe porque el texto del usuario se concatena en una cadena que luego analiza un intérprete de comandos, así que es el intérprete, y no la aplicación, quien decide dónde acaba un comando y empieza otro. Ejecutar el programa directamente con el valor entregado como argumento discreto elimina por completo ese análisis y cierra todos los metacaracteres a la vez; quitar caracteres o poner comillas conserva el paso de análisis y se ha demostrado eludible una y otra vez.

    Ref. QB-FGH7HEFuente: CompTIA Security+ exam objectives (application attacks: injection); CWE-78 OS command injectionReportar un problema con esta pregunta

31. 31. Un agente de monitoreo se actualiza por el servicio de actualización habitual del proveedor. El paquete lleva una firma válida del proveedor, pero en pocas horas todos los equipos actualizados empiezan a contactar un dominio desconocido y a preparar archivos comprimidos con ficheros locales. ¿Qué descripción encaja y qué práctica habría limitado el daño?

    • A.Un fallo de día cero en el analizador del agente; añadir firmas para ese dominio y ese formato de archivo.
    • B.Una vulnerabilidad sin parche explotada antes del arreglo; acortar la ventana para aplicar antes las correcciones.
    • C.Una actualización maliciosa por un canal de confianza; publicar primero a un grupo pequeño y vigilar su salida.✓ Respuesta
    • D.Un instalador falso bajado de un sitio imitador; exigir que las actualizaciones vengan solo del servicio del proveedor.

    Nada en la entrega fue anómalo: el canal era el del propio proveedor y la firma se validó, que es justo lo que distingue una actualización maliciosa de una descarga suplantada, porque la confianza en el editor fue el propio medio de entrega. Como la verificación de firma no puede detectarlo, la defensa práctica es de proceso: publicar primero a un grupo limitado y observar su tráfico de salida antes de extender el cambio al resto.

    Ref. QB-XYB2XDFuente: CompTIA Security+ exam objectives (application: malicious update; supply chain: software provider)Reportar un problema con esta pregunta

32. 32. Un proveedor de servicios gestionados mantiene una cuenta permanente de administrador de dominio en cada entorno de cliente para soporte remoto. Los atacantes comprometen la consola de gestión del proveedor y usan esas cuentas para desplegar herramientas en muchos clientes a la vez. ¿Qué mitigación aborda el problema estructural?

    • A.Exigir al proveedor una certificación de seguridad reconocida y una auditoría externa cada año.
    • B.Sustituir las cuentas permanentes del proveedor por accesos limitados, temporales y registrados por sesión.✓ Respuesta
    • C.Cifrar los datos del cliente en reposo para que la herramienta del proveedor no lea lo que copia.
    • D.Añadir autenticación multifactor a cada buzón y cuenta de acceso remoto del personal del cliente.

    El daño escaló porque un solo compromiso heredó a la vez privilegios amplios y permanentes en cada entorno, así que el defecto estructural es la cuenta permanente de alto privilegio y no la diligencia del proveedor ni los controles de acceso del cliente. Conceder acceso restringido solo durante una tarea aprobada, y registrar cada sesión, deja a una consola robada sin poder permanente y produce un rastro auditable de lo que se usó.

    Ref. QB-GGVHPFFuente: CompTIA Security+ exam objectives, Objectives 2.2 and 2.3 (supply chain: managed service providers, service provider); NIST SP 800-161 third-party access practicesReportar un problema con esta pregunta

33. 33. Un controlador de mecanizado ejecuta un sistema operativo que el fabricante ya no soporta, y la producción no puede interrumpirse para reemplazarlo durante dieciocho meses. ¿Qué curso de acción trata la exposición real en ese periodo?

    • A.Confinarlo en una zona de red restringida que permita solo los pocos flujos que necesita, y vigilarlos.✓ Respuesta
    • B.Instalar en él una suite actual de protección de endpoints y confiar en las firmas actualizadas.
    • C.Aplicar parches hechos por la comunidad para cerrar en el sitio los fallos ya conocidos.
    • D.Registrar la brecha como riesgo aceptado con responsable y fecha de revisión, sin cambiar la configuración.

    Una plataforma sin soporte no recibirá más correcciones, así que la vulnerabilidad no puede eliminarse y la única palanca es reducir qué puede alcanzarla y qué puede alcanzar ella. La segmentación con una lista estricta de flujos permitidos más vigilancia es el control compensatorio reconocido para sistemas de fin de vida y heredados; los parches no oficiales no son verificables contra la línea base del fabricante y documentar la aceptación no cambia la exposición.

    Ref. QB-YYPC4FFuente: CompTIA Security+ exam objectives (hardware: end-of-life, legacy) and (segmentation, isolation)Reportar un problema con esta pregunta

34. 34. Los registros de gestión de las cámaras muestran inicios de sesión de administrador exitosos en cuarenta equipos desde una misma estación interna entre las 03:10 y las 03:25, sin ningún intento fallido previo y sin ningún restablecimiento de contraseña registrado. ¿Qué sugiere con más fuerza la ausencia de intentos fallidos y qué debe corregirse?

    • A.Se usó un fallo desconocido de la interfaz web; añadir detección por firma de ese patrón.
    • B.Se repitió un token de autenticación capturado; ligar cada sesión a un número único y hora.
    • C.Una pulverización se mantuvo bajo el umbral de bloqueo; bajarlo y alertar de intentos dispersos.
    • D.Los equipos siguen aceptando las credenciales de fábrica publicadas; poner contraseñas únicas.✓ Respuesta

    Cuarenta éxitos al primer intento sin tráfico de adivinación indica que la credencial ya se conocía en lugar de haberse descubierto, y la credencial que un atacante puede conocer de antemano en una flota embebida es la predeterminada documentada por el fabricante. Como esa credencial no exige exploit ni adivinación, el control correctivo es fijar credenciales distintas en cada equipo, y por eso el cambio de contraseñas por defecto figura en la lista de endurecimiento.

    Ref. QB-DGTH6CFuente: CompTIA Security+ exam objectives (default credentials) and (default password changes)Reportar un problema con esta pregunta

35. 35. Un portátil se borra y reinstala dos veces desde medios verificados como limpios y, en ambos casos, el mismo implante está activo minutos después del primer arranque, antes de que inicie el agente de endpoint. Cambiar el disco no hace diferencia. ¿Qué par de explicación y control encaja con la evidencia?

    • A.El código persiste en el medio de instalación; lo tratan el hash de la imagen y un host de compilación aislado.
    • B.El código persiste en el firmware de la plataforma; lo tratan las actualizaciones firmadas y el arranque medido.✓ Respuesta
    • C.El código persiste en un equipo de red; lo tratan la segmentación de la subred cliente y el filtrado de salida.
    • D.El código persiste en una tarea programada; lo tratan la imposición de configuración y una línea base endurecida.

    Sobrevivir a una reinstalación completa y a un cambio de disco descarta todo lo almacenado en el sistema de archivos o en el disco, y deja código que reside en el firmware escribible de la plataforma y se ejecuta antes de que cargue el sistema operativo. Por eso los controles deben actuar en esa capa: solo pueden escribirse imágenes de firmware firmadas, y el arranque medido registra cada etapa en un registro de hardware para que una atestación revele que el estado previo al arranque ya no coincide con el esperado.

    Ref. QB-VYMCKBFuente: CompTIA Security+ exam objectives (hardware: firmware) and (hardening); UEFI secure boot and measured bootReportar un problema con esta pregunta

36. 36. Un inquilino de nube aprovisiona almacenamiento de bloques nuevo y encuentra fragmentos de registros de otro cliente en zonas del volumen que nunca escribió. El aislamiento de huéspedes se mantuvo: ningún inquilino alcanzó el hipervisor ni la memoria de otro huésped. ¿Qué vulnerabilidad es y por qué la alternativa más cercana es incorrecta?

    • A.Fuga de máquina virtual, porque leer datos de otro inquilino prueba que se cruzó el límite del huésped.
    • B.Referencia directa insegura a objetos, porque el inquilino direccionó un volumen que no le correspondía.
    • C.Fallo criptográfico, porque las áreas no escritas del volumen quedaron sin cifrado de datos en reposo.
    • D.Reutilización de recursos, porque el almacenamiento reasignado traía datos residuales, no un aislamiento roto.✓ Respuesta

    La reutilización de recursos es un problema de datos residuales: la capacidad compartida se libera de un inquilino y se entrega a otro sin borrarla, de modo que el contenido antiguo queda visible mediante una asignación totalmente legítima. La fuga de máquina virtual es otro fallo, en el que un huésped rompe su aislamiento para alcanzar el hipervisor o el anfitrión, y aquí nadie cruzó ese límite; por eso la solución es sanear al reasignar y cifrar los volúmenes, no endurecer el hipervisor.

    Ref. QB-EG6VBDFuente: CompTIA Security+ exam objectives (virtualization: resource reuse, virtual machine escape)Reportar un problema con esta pregunta

37. 37. Un investigador descubre que un contenedor de almacenamiento de objetos de marketing quedó legible para llamantes anónimos y que los motores de búsqueda habían indexado los archivos. No se robó ninguna credencial, no se usó ningún fallo de software y la plataforma del proveedor funcionó exactamente como está documentado. ¿Cómo debe clasificarse y asignarse?

    • A.Una debilidad de cadena de suministro del proveedor, porque su política por defecto dejaba listar.
    • B.Una debilidad criptográfica del cliente, porque el contenedor se servía sin cifrado en tránsito.
    • C.Un día cero del servicio de almacenamiento, porque lo obtuvieron terceros sin ninguna cuenta.
    • D.Una mala configuración del cliente, porque la política de acceso queda de su lado en el modelo.✓ Respuesta

    No se explotó nada: el servicio aplicó la política de acceso que se le dio y esa política permitía lecturas anónimas, lo que convierte el caso en una mala configuración y no en una vulnerabilidad de la plataforma. Bajo el reparto de responsabilidad compartida el proveedor protege la infraestructura mientras el cliente configura identidad, política de acceso y ajustes de datos, así que el hallazgo y su corrección son del cliente.

    Ref. QB-WYYPRCFuente: CompTIA Security+ exam objectives (cloud-specific vulnerabilities; misconfiguration); cloud shared responsibility modelReportar un problema con esta pregunta

38. 38. Los clientes llegan a un portal interno a través de un equipo que reescribe el saludo inicial para que ambas partes acuerden una versión obsoleta del protocolo con un cifrado de grado exportación, tras lo cual el tráfico queda legible. ¿Qué ataque es y qué cambio en el servidor elimina la oportunidad?

    • A.Un ataque de degradación, eliminado al rechazar versiones obsoletas y suites débiles, sin reserva.✓ Respuesta
    • B.Un ataque de colisión, eliminado al cambiar el hash de firma del certificado por uno más fuerte.
    • C.Una repetición de credenciales, eliminada al añadir un número único y una marca de tiempo.
    • D.Un ataque de cumpleaños, eliminado al alargar la clave de sesión hasta un espacio inabordable.

    Un ataque de degradación no rompe la criptografía fuerte: manipula la negociación para que las partes nunca la usen y acuerden en su lugar una versión o suite ya conocida como débil. La contramedida es de configuración y no de longitud de clave: si el servidor no ofrece versiones obsoletas ni suites débiles, no hay nada a lo que retroceder y la negociación o alcanza plena fortaleza o fracasa.

    Ref. QB-KGXH7KFuente: CompTIA Security+ exam objectives (cryptographic attacks: downgrade)Reportar un problema con esta pregunta

39. 39. Un investigador genera grandes cantidades de documentos candidatos hasta que dos producen el mismo digesto con una función hash antigua, y luego usa el par para sustituir un contrato firmado por otro. ¿Qué afirmación asigna correctamente los dos términos?

    • A.Los digestos iguales son el ataque de cumpleaños; la búsqueda entre candidatos se llama colisión.
    • B.Ambos términos nombran el mismo hecho, así que colisión y ataque de cumpleaños son intercambiables.
    • C.Los digestos iguales son una preimagen; la búsqueda que halló el par es una consulta de tabla arcoíris.
    • D.Los digestos iguales son la colisión; la búsqueda que usa la probabilidad es el ataque de cumpleaños.✓ Respuesta

    Una colisión es la condición en que dos entradas distintas dan un mismo digesto, mientras el ataque de cumpleaños es la técnica para hallar ese par de forma eficiente, aprovechando la paradoja del cumpleaños para buscar aproximadamente la raíz cuadrada del espacio de salida y no todo él. Un ataque de preimagen persigue otra meta: parte de un digesto dado y busca una entrada que lo produzca.

    Ref. QB-3ZRCMJFuente: CompTIA Security+ exam objectives (cryptographic attacks: collision, birthday)Reportar un problema con esta pregunta

40. 40. Se roban dos bases de contraseñas. En la primera, cada contraseña se aplicó al hash junto con un valor aleatorio largo guardado al lado y único para esa cuenta; en la segunda se usó la misma función hash sin ese valor. Las tablas precalculadas del atacante descifran rápido el segundo conjunto y son inútiles contra el primero. ¿Qué afirmación explica la diferencia?

    • A.El valor guardado cifra cada digesto, así que hay que hallar una clave antes de adivinar.
    • B.El valor guardado es único por cuenta, así que una tabla precalculada no cubre ninguna.✓ Respuesta
    • C.El valor guardado debe seguir en secreto, así que la primera base solo vale si no se conoce.
    • D.El valor guardado alarga cada contraseña, así que adivinar excede lo previsto por las tablas.

    Una tabla precalculada solo sirve si la misma contraseña produce siempre el mismo digesto, y una sal por cuenta rompe esa premisa al hacer que el digesto almacenado dependa también de la cuenta. Por eso la sal no necesita ser secreta y se guarda en claro: su función es obligar al atacante a montar un esfuerzo de adivinación separado por cada cuenta en lugar de reutilizar una sola tabla para todas.

    Ref. QB-APQAM8Fuente: CompTIA Security+ exam objectives (cryptographic vulnerabilities); NIST SP 800-63B password storage with saltingReportar un problema con esta pregunta

41. 41. Los registros de autenticación muestran un intento fallido contra cada una de 840 cuentas distintas en seis horas, siempre con la misma contraseña común, y ninguna cuenta alcanzó su umbral de bloqueo. ¿Qué patrón es y qué revela su forma sobre la intención del atacante?

    • A.Pulverización de contraseñas, cuyo patrón de un intento por cuenta evita el umbral de bloqueo.✓ Respuesta
    • B.Fuerza bruta contra una cuenta, cuyos muchos intentos suelen disparar el bloqueo muy pronto.
    • C.Repetición de credenciales capturadas, cuyo reuso exitoso no deja intentos fallidos en el registro.
    • D.Abuso de sesiones concurrentes, cuyos accesos en paralelo revelan credenciales compartidas.

    El rasgo distintivo es la dirección de la dispersión: la fuerza bruta lanza muchas contraseñas contra una cuenta y dispara el bloqueo casi de inmediato, mientras la pulverización lanza una o dos contraseñas probables sobre muchas cuentas justamente para que ningún contador individual llegue a su límite. Como los umbrales por cuenta no ven el patrón, la detección exige correlacionar fallos de un mismo origen entre cuentas, y ajustar el bloqueo por sí solo no basta.

    Ref. QB-T6WF79Fuente: CompTIA Security+ exam objectives (password attacks: spraying, brute force)Reportar un problema con esta pregunta

42. 42. Un atacante en una VLAN de acceso envía respuestas de resolución de direcciones no solicitadas que ligan la dirección de red de la puerta de enlace a su propia dirección física, situándose entre los equipos y la puerta de enlace. La plataforma de conmutación debe detenerlo sin tocar los equipos. ¿Qué combinación de configuración lo logra?

    • A.Autenticar cada equipo en el puerto antes de permitir tramas de datos en esa red virtual.
    • B.Limitar cada puerto de acceso a una sola dirección física y apagarlo si aparece una segunda.
    • C.Validar las respuestas de resolución de direcciones contra los enlaces de asignación registrados.✓ Respuesta
    • D.Recortar las redes virtuales sin uso de los enlaces troncales para que las tramas no cruzen.

    La resolución de direcciones no tiene autenticación propia, así que el único modo de juzgar una respuesta es compararla con un registro independiente de qué dirección de red corresponde legítimamente a qué puerto y dirección física. El conmutador construye ese registro observando la asignación de direcciones y luego inspecciona cada respuesta, descartando los enlaces que lo contradicen; la seguridad de puerto cuenta direcciones en vez de verificar afirmaciones, y la autenticación de puerto prueba quién se conectó pero no limita lo que después declare.

    Ref. QB-BP3NS9Fuente: CompTIA Security+ exam objectives (network attacks: on-path attack); dynamic ARP inspection validated against address-assignment bindingsReportar un problema con esta pregunta

43. 43. Los resolutores públicos de nombres de una empresa están siendo usados en un ataque: llegan consultas de 60 bytes con una dirección de origen falsificada y se envían respuestas de 3.000 bytes a una víctima que nunca las pidió. ¿Qué cambio en los resolutores propios de la empresa impide que se usen así?

    • A.Firmar cada zona publicada para que los clientes validadores detecten respuestas falsificadas.
    • B.Subir el tiempo de vida de los registros para que lleguen menos consultas por hora al resolutor.
    • C.Rechazar consultas recursivas de clientes externos y limitar respuestas iguales a una dirección.✓ Respuesta
    • D.Bloquear en el borde el tráfico de eco entrante para que la inundación no llegue al resolutor.

    Aquí se combinan dos mecanismos: la dirección de origen falsificada hace que el resolutor envíe su respuesta a un tercero, y la diferencia de tamaño de unas cincuenta veces entre consulta y respuesta multiplica el volumen que llega allí. La organización no puede frenar la suplantación aguas arriba, pero sí dejar de ser un amplificador útil: responder consultas recursivas solo a sus propios clientes y limitar la frecuencia con que una misma respuesta se envía a un destino.

    Ref. QB-U69TCAFuente: CompTIA Security+ exam objectives (DDoS: amplified, reflected; DNS attacks); BCP 38 source address validationReportar un problema con esta pregunta

44. 44. Un barrido inalámbrico encuentra un punto de acceso con red abierta, conectado físicamente a una roseta de pared en una sala de reuniones y puenteando directamente a la VLAN interna de usuarios. No imita el nombre de la red corporativa. ¿Qué hallazgo encaja y qué control en la roseta evita que se repita?

    • A.Un punto de acceso no autorizado en la red cableada; exigir autenticación del equipo en el puerto.✓ Respuesta
    • B.Un ataque de desautenticación a los clientes; exigir protección de tramas de gestión en la red.
    • C.Un gemelo malvado que imita el nombre corporativo; exigir que el cliente valide el certificado.
    • D.Una red de invitados mal configurada; exigir que su tráfico salga por su propia puerta de enlace.

    Un gemelo malvado actúa suplantando un nombre de red conocido para que los clientes se asocien por error, y este equipo no hace tal afirmación: todo su efecto viene de estar conectado a la red cableada sin autorización, que es la definición de punto de acceso no autorizado. Como la exposición entra por el puerto físico, el control corresponde a ese punto: la autenticación basada en puerto impide que la roseta reenvíe tráfico de usuario hasta que el equipo conectado demuestre su identidad.

    Ref. QB-CPEYXAFuente: CompTIA Security+ exam objectives (unsecure networks: wireless) and (wireless attacks); IEEE 802.1X port-based network access controlReportar un problema con esta pregunta

Preguntas de práctica basadas en los objetivos del examen CompTIA Security+ SY0-701. Es una herramienta de estudio independiente, no afiliada ni respaldada por CompTIA, y no otorga certificación. Acerca de Security+ →