Wondershare EdrawMind
Galería de mapas mentales Notas de estudio de CISSP dominio 6 (evaluación y pruebas de seguridad)
- 1
Notas de estudio de CISSP dominio 6 (evaluación y pruebas de seguridad)
Este es un mapa mental sobre las notas de estudio de CISSP: Dominio 6 (Evaluación y pruebas de seguridad). El contenido principal incluye: preguntas de revisión y puntos de conocimiento.
Editado a las 2024-04-06 10:04:44,
- プロジェクト管理プロセステンプレート
プロジェクトマネジメントとは、専門的な知識、スキル、ツール、方法論をプロジェクト活動に適用し、限られたリソースの制約の中で、プロジェクトが設定された要件や期待を達成、またはそれ以上にできるようにするプロセスである。 この図は、プロジェクトマネジメントプロセスの8つの構成要素を包括的に示したものであり、一般的なテンプレートとして利用することができる。
- プロジェクト管理プロセステンプレート
プロジェクトマネジメントとは、専門的な知識、スキル、ツール、方法論をプロジェクト活動に適用し、限られたリソースの制約の中で、プロジェクトが設定された要件や期待を達成、またはそれ以上にできるようにするプロセスである。 この図は、プロジェクトマネジメントプロセスの8つの構成要素を包括的に示したものであり、一般的なテンプレートとして利用することができる。
- 科学者-銭雪仙
世界的に著名な科学者、航空力学者、中国有人宇宙飛行の創始者、中国科学院および中国工程院の院士、「二元一星勲章」受章者、「中国宇宙飛行の父」、「中国ミサイルの父」、「中国自動制御の父」、「ロケットの王」として知られる。 中国宇宙の父」、「中国ミサイルの父」、「中国自動制御の父」、「ロケット王」として知られる。
Notas de estudio de CISSP dominio 6 (evaluación y pruebas de seguridad)
- プロジェクト管理プロセステンプレート
プロジェクトマネジメントとは、専門的な知識、スキル、ツール、方法論をプロジェクト活動に適用し、限られたリソースの制約の中で、プロジェクトが設定された要件や期待を達成、またはそれ以上にできるようにするプロセスである。 この図は、プロジェクトマネジメントプロセスの8つの構成要素を包括的に示したものであり、一般的なテンプレートとして利用することができる。
- プロジェクト管理プロセステンプレート
プロジェクトマネジメントとは、専門的な知識、スキル、ツール、方法論をプロジェクト活動に適用し、限られたリソースの制約の中で、プロジェクトが設定された要件や期待を達成、またはそれ以上にできるようにするプロセスである。 この図は、プロジェクトマネジメントプロセスの8つの構成要素を包括的に示したものであり、一般的なテンプレートとして利用することができる。
- 科学者-銭雪仙
世界的に著名な科学者、航空力学者、中国有人宇宙飛行の創始者、中国科学院および中国工程院の院士、「二元一星勲章」受章者、「中国宇宙飛行の父」、「中国ミサイルの父」、「中国自動制御の父」、「ロケットの王」として知られる。 中国宇宙の父」、「中国ミサイルの父」、「中国自動制御の父」、「ロケット王」として知られる。
- Recomendados
- Resumen
![Establecimiento e implementación de un sistema de gestión de seguridad de elementos de gestión de seguridad [Versión práctica]](https://edrawcloudpublicus.s3.amazonaws.com/work/5169481/2024-5-17/1715977926/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
Establecimiento e implementación de un sistema de gestión de seguridad de elementos de gestión de seguridad [Versión práctica]
![Discos de ruptura para instalaciones de seguridad [Resumen Normativo]](https://edrawcloudpublicus.s3.amazonaws.com/work/5169481/2024-5-17/1715978685/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
![Válvula de seguridad del dispositivo de seguridad [versión principio de funcionamiento]](https://edrawcloudpublicus.s3.amazonaws.com/work/5169481/2024-5-17/1715978802/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
Válvula de seguridad del dispositivo de seguridad [versión principio de funcionamiento]
Notas de estudio de CISSP: dominio 6 (evaluación y pruebas de seguridad)
Puntos de conocimiento
6.1 Planificar y validar estrategias de evaluación, prueba y auditoría
6.1.1 Evaluación, pruebas y auditoría
6.1.1.1Pruebas
Una actividad técnica que implica ejecutar un sistema para confirmar que cumple con requisitos específicos o el comportamiento esperado. Las pruebas se utilizan a menudo para encontrar problemas y errores en un sistema. En el campo de la seguridad, las pruebas incluyen escaneo de vulnerabilidades, pruebas de penetración, etc., que se utilizan para descubrir y evaluar posibles riesgos de seguridad del sistema.
6.1.1.2Evaluaciones
La evaluación es una actividad de evaluación integral para un objeto, sistema o proceso específico. Puede basarse en estándares cuantitativos o cualitativos. Por ejemplo, la evaluación de riesgos consiste en evaluar la posibilidad de que ocurra un riesgo específico o puede evaluar la calidad de él. el proceso de seguridad de la organización.
6.1.1.3 Auditoría
Una auditoría es un proceso más formal y estructurado cuyo objetivo principal es verificar y confirmar el cumplimiento de un objeto o sistema de acuerdo con estándares o especificaciones definidas. Las auditorías suelen ser realizadas por organizaciones independientes de terceros para garantizar la imparcialidad y equidad de los resultados de la auditoría. Por ejemplo, una auditoría del sistema podría determinar si un sistema cumple con el Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS).
6.1.2. Auditoría interna
Las evaluaciones y auditorías internas son actividades de evaluación y auditoría realizadas por el propio personal de una organización. Esta actividad se puede realizar de forma continua como parte de la gestión de seguridad de la organización.
1. Ventajas y desventajas de la auditoría interna
•Beneficios: debido a que los expertos tienen un conocimiento profundo de las operaciones y los negocios de la organización, pueden realizar pruebas o evaluaciones de manera más precisa y eficiente. Además, la auditoría interna también es más flexible y puede realizarse en cualquier momento según las necesidades de la organización.
•Desventajas: Existen posibles conflictos de intereses, como por ejemplo "Quien hace la política no debe ser auditado". Como resultado, la auditoría interna puede carecer de independencia e imparcialidad.
2. Tipos de pruebas adecuadas para las pruebas internas
•Análisis de vulnerabilidades: se realiza periódicamente para descubrir software sin parches o activos desconocidos.
•Auditorías de procesos y procedimientos: como gestión de cambios, finalización de formación de los empleados, etc.
•Simulación de phishing: pruebe la capacidad de los empleados para reconocer y responder a ataques de phishing.
3. Prepárese para las auditorías externas
Antes de realizar una auditoría externa, una organización puede optar por realizar una auditoría preparatoria interna. Esto puede ayudar a mejorar el resultado de las auditorías externas al identificar y solucionar cualquier problema o deficiencia existente antes de que comience la auditoría formal.
6.1.3. Auditoría externa
Las auditorías externas suelen ser realizadas por organizaciones independientes de terceros que no tienen ningún interés directo en la organización que se audita. Por lo tanto, las auditorías externas pueden proporcionar evaluaciones y resultados de auditoría imparciales e independientes, que son particularmente valiosos para identificar y mejorar problemas que la organización puede haber pasado por alto. Pero también puede requerir una inversión de más tiempo y recursos. Por lo tanto, las organizaciones deben sopesar los pros y los contras y considerar sus necesidades y condiciones comerciales específicas al decidir realizar una auditoría externa.
Las situaciones en las que es aplicable la auditoría externa incluyen:
•Auditoría de cumplimiento: Para cumplir con requisitos de cumplimiento específicos, como el Estándar de seguridad de datos de la industria de tarjetas de pago (PCI-DSS), el Estándar internacional del sistema de gestión de seguridad de la información (IS0 27001), etc., se requieren auditorías externas.
Requisitos legales o reglamentarios: en algunos casos, es posible que una organización deba realizar una auditoría externa debido a requisitos legales o reglamentarios. Por ejemplo, para cumplir con requisitos comerciales específicos, es posible que se requiera una evaluación de madurez basada en un modelo de madurez.
6.1.4. Auditoría de terceros
Auditorías de terceros. También llamada auditoría de la cadena de suministro. Es un medio importante para evaluar y gestionar los riesgos de seguridad de la cadena de suministro y puede ser realizado por la propia organización o por un auditor externo. El proceso de auditoría evaluará los controles y políticas de seguridad en la cadena de suministro, identificará riesgos y propondrá medidas mitigadoras. Algunos proveedores pueden proporcionar informes de auditoría de terceros, como informes de Controles de organización de servicios 2 (SOC2), que pueden ayudar a las organizaciones a comprender y gestionar mejor los riesgos de la cadena de suministro.
6.2. Realizar pruebas de control de seguridad.
6.2.1. Evaluación de vulnerabilidad
1. Descripción general de la estrategia
La evaluación de vulnerabilidades es un componente clave de la gestión de riesgos, que se centra en identificar y evaluar las vulnerabilidades de los activos de hardware y software para evitar que sean explotados por atacantes.
Los principales pasos de la evaluación de la vulnerabilidad incluyen:
1) Cree un inventario de activos: identifique los activos críticos de su organización y priorice los análisis de vulnerabilidades.
2. Seleccione una herramienta de escaneo: elija una herramienta de escaneo de vulnerabilidades adecuada en función de factores como requisitos legales, contractuales o reglamentarios, compatibilidad de plataforma y costo.
2. Preguntas frecuentes sobre evaluación de vulnerabilidades
1. Tráfico excesivo y DoS
Descripción: Los escáneres de vulnerabilidades pueden generar grandes cantidades de tráfico, consumir ancho de banda de la red y potencialmente causar condiciones DoS en redes y sistemas mientras luchan por procesar información.
solución:
1) Configuración correcta, como implementar limitación de solicitudes para limitar la cantidad de solicitudes generadas por el escáner en un período de tiempo específico
2) Escaneo basado en cupones para obtener información de configuración y escanear con precisión los puertos de destino
3) Programe análisis para garantizar que el análisis se realice en momentos de baja actividad del usuario.
2.Alertas y eventos
Descripción: Los hosts de escaneo simularán tácticas comúnmente utilizadas por los atacantes y generarán alertas de seguridad.
Solución: Configure una política para filtrar su propio tráfico de prueba y marcar los escaneos de puertos desde la dirección IP del escáner de vulnerabilidades como no sospechosos.
3. Propiedad multifuncional
Descripción: Si el departamento comercial no presta atención, es posible que se ignore su alarma de seguridad.
Solución: Fomentar las relaciones entre los equipos y dar formato a los resultados de la retroalimentación de una manera que sea comprensible para los propietarios de activos;
4.Contaminación
Descripción: Los datos de prueba completados automáticamente pueden contaminar el entorno en línea.
Solución: modifique la política de configuración para reducir o ignorar algunas operaciones destructivas, como operaciones de formulario, envío de correos electrónicos, etc. El escáner se puede configurar para incluir tipos de datos de prueba reconocidos que se pueden ignorar o limpiar fácilmente después del escaneo.
5. Segmentación de la red
Descripción: el uso de medidas de control de acceso, como firewalls, para segmentar o aislar diferentes partes de la red es una práctica recomendada de seguridad, pero puede impedir que el escáner llegue a la dirección de destino.
Solución: el escaneo distribuido coloca el agente de escaneo dentro de un segmento de red, permite escanear los puntos finales del segmento de red y luego integra los resultados en la unidad de control central.
6.2.2. Pruebas de penetración
La evaluación de vulnerabilidades busca debilidades que teóricamente puedan explotarse, mientras que las pruebas de penetración (también llamadas pruebas de penetración) van un paso más allá y demuestran que estas debilidades pueden explotarse.
1Tipos de pruebas de penetración
1) Pruebas de penetración de caja blanca (también llamadas pruebas de conocimiento completo)
El equipo de pruebas comprende completamente la infraestructura y su arquitectura, incluidos los sistemas operativos, la segmentación de la red, los dispositivos y sus vulnerabilidades. Este tipo de prueba ayuda a centrar al equipo de pruebas en un área de interés específica o una vulnerabilidad específica.
2) Pruebas de penetración de caja negra (también llamadas pruebas de conocimiento cero)
El equipo de pruebas no tiene ningún conocimiento de la infraestructura y descubre la estructura de la red y sus vulnerabilidades desde la perspectiva de un atacante.
3) Pruebas de penetración de caja gris (también llamadas pruebas de conocimiento local)
Una prueba de penetración que media entre las pruebas de caja blanca y las pruebas de caja negra, donde el equipo de pruebas tiene un conocimiento parcial de la infraestructura.
2. Probador de penetración
1) Hacker de sombrero blanco (ético)
Un profesional de seguridad que prueba un sistema para determinar sus debilidades, de modo que esas debilidades puedan mitigarse y el sistema esté mejor protegido.
2) Hackers de sombrero negro (poco ético)
Las entidades maliciosas invaden los sistemas mediante chantaje, obtienen datos confidenciales o interrumpen el funcionamiento de la infraestructura.
3) Hackers de sombrero gris
Hackers que se mueven de un lado a otro entre los mundos de sombrero blanco y sombrero negro. A veces venden su experiencia en beneficio de la organización.
4) Equipo Rojo
Grupos de ataque durante pruebas o ejercicios de seguridad.
5) Equipo Azul
Defensores durante pruebas o ejercicios de seguridad.
6) equipo blanco
El equipo que dirige el ejercicio durante una prueba o ejercicio de seguridad.
3 reglas de prueba de penetración
Nunca se deben realizar pruebas de penetración a menos que estén debidamente autorizadas. Las reglas de prueba también deben ser claras, incluida la determinación del alcance de la prueba, la identificación de los participantes, la definición de los métodos de prueba y los métodos de comunicación esperados, etc.
Los clientes internos normalmente definidos en archivos de reglas incluyen los siguientes aspectos:
•¿Qué sistemas, oficinas u otros objetivos están dentro del alcance de las pruebas?
•¿Hay sistemas, oficinas u otros objetivos específicamente excluidos de las pruebas?
. ¿Está prohibido algún método de prueba, como la ingeniería social o el descifrado de contraseñas?
. ¿Está cubierta la seguridad física? Si es así, ¿qué instalaciones u objetivos están incluidos?
•¿Qué nivel de autoridad se les otorga a los evaluadores? A los evaluadores se les pueden proporcionar cuentas para evaluar amenazas internas o realizar actividades de verificación si pueden obtener acceso.
•¿Cuál es el estilo y la cadencia de comunicación esperados? Algunas organizaciones pueden requerir una notificación inmediata sobre cualquier problema de seguridad potencialmente crítico, mientras que otras pueden contentarse con esperar un informe final.
•¿Quién realiza las pruebas, qué equipos y software están permitidos y cuándo se realizarán las pruebas?
•¿Qué procedimientos se utilizarán al manejar datos confidenciales como configuraciones de red interna, registros de clientes, etc.?
•¿Cómo se manejarán de forma segura los datos confidenciales después de las pruebas?
•Cuál es el nivel de servicio esperado. Por ejemplo, ¿los evaluadores vuelven a realizar la prueba inmediatamente después de implementar una solución o esperan el tiempo prescrito para volver a realizar la prueba?
•¿Cuáles son las expectativas para la documentación, en particular los detalles de cualquier problema encontrado, que muestre el trabajo realizado para verificar los resultados de las pruebas y el formato de los informes?
4. Proceso de prueba de penetración
5. Pruebas de penetración física
Las pruebas de penetración física se realizan cuando un evaluador intenta obtener entrada no autorizada a una instalación, como una oficina o un centro de datos, con el objetivo de descubrir posibles debilidades en los controles de seguridad física. Las tácticas comunes de ingeniería social incluyen cargar objetos voluminosos y pedirle a alguien que abra la puerta, o aparecer vestido como un funcionario.
6.2.3.
La revisión de registros es una parte importante de la gestión de la seguridad de la información. Implica analizar y revisar los registros generados por sistemas, terminales, dispositivos y aplicaciones. El objetivo es capturar y analizar información significativa en estos registros para facilitar la detección y respuesta a incidentes de seguridad. .
1 La importancia de la revisión de registros
Los registros brindan información detallada sobre el comportamiento del sistema, el comportamiento del usuario, eventos de seguridad, errores del sistema y más. La revisión y el análisis de registros pueden ayudar a las organizaciones a comprender el estado y el comportamiento de sus sistemas, así como cualquier posible problema de seguridad.
2) Auditoría y evaluación de la gestión de registros.
También es necesario auditar y evaluar la generación, recopilación, almacenamiento y procesamiento de los propios registros. Esto implica garantizar la integridad, disponibilidad y confidencialidad de los registros, así como el cumplimiento. Esto puede requerir una referencia a los requisitos legales aplicables, códigos industriales y estándares internacionales para garantizar que los registros se gestionen de conformidad.
3) Estrategia de revisión de registros
Las organizaciones necesitan desarrollar políticas, procedimientos y configuraciones técnicas de revisión de registros para garantizar la eficacia de la revisión de registros. Esto puede incluir determinar la frecuencia de la revisión de registros, la profundidad de la revisión, las herramientas y técnicas a utilizar y cómo manejar los resultados de la revisión.
6.2.4 Transacciones sintéticas
Las transacciones sintéticas se refieren a procesos automatizados utilizados para probar y monitorear el rendimiento del sistema que simulan comportamientos o acciones específicas del usuario para verificar el rendimiento y la confiabilidad de una aplicación, sistema o red.
6.2.4.1 Escenarios de uso comunes de transacciones sintéticas:
•Monitoreo del Acuerdo de Nivel de Servicio (SLA): Las transacciones sintéticas se pueden utilizar para monitorear si un host o un servicio basado en la nube cumple con los estándares de nivel de servicio acordados.
•Monitoreo de la integridad de los datos: al simular reglas de lógica empresarial y procesar datos de prueba, las transacciones sintéticas pueden generar alertas cuando los resultados del procesamiento de datos no cumplen con las expectativas.
•Monitoreo de sistemas o servicios: incluso en ausencia de un SLA, los sistemas o servicios se pueden monitorear a través de transacciones sintéticas para garantizar que estén en línea y respondan.
6.2.4.2 Monitoreo de usuarios reales (RUM)
RUM es una tecnología de monitoreo que monitorea las interacciones del usuario con una aplicación o servicio en tiempo real. Este monitoreo se puede utilizar para detectar problemas potenciales, como páginas lentas o que no responden. Sin embargo, RUM puede plantear problemas de privacidad y requiere un cuidado especial cuando se utiliza.
6.2.5. Revisión y prueba de código.
El software se compone de código, por lo que revisar y probar el código para identificar y corregir defectos son controles de seguridad críticos.
1. Clasificación de pruebas
Prueba de caja negra: el probador no toca el código fuente ni el principio de funcionamiento interno de la aplicación, sino que simula y prueba desde la perspectiva de un atacante o usuario externo.
Pruebas de caja blanca: Los testers tienen acceso al código fuente o estructura interna de la aplicación para descubrir posibles fallos y errores realizando un análisis en profundidad de la misma.
2.Método de prueba
•Revisión por pares de código: este es un método manual en el que los desarrolladores revisan el código de los demás para encontrar posibles errores y mejoras.
•Análisis de código estático: Este es un método de revisión de código automatizado que utiliza software especializado para simular la ejecución de código para identificar posibles vulnerabilidades, como desbordamientos de búfer, etc.
• Pruebas de análisis dinámico: este es un método de prueba en tiempo de ejecución que ejecuta el programa y observa su comportamiento para identificar posibles problemas y vulnerabilidades.
3.Objetivos de la prueba
•Cobertura: El objetivo de las pruebas debe ser cubrir todo el código y la funcionalidad tanto como sea posible para garantizar que no se pasen por alto ningún defecto o error.
•Automatización: para equilibrar la velocidad de desarrollo y la seguridad, el proceso de prueba debe automatizarse tanto como sea posible. Por ejemplo, algunas tareas comunes de prueba y corrección se pueden automatizar mediante herramientas de respuesta y automatización de la orquestación de seguridad (SOAR).
6.2.6. Pruebas de casos de uso indebido
6.2.6.1 Caso de uso indebido
También conocido como prueba negativa (prueba neoativa). El propósito es evaluar la respuesta de un sistema o aplicación a entradas o situaciones inesperadas e identificar vulnerabilidades que pueden explotarse en estas situaciones inesperadas.
Por ejemplo, si el usuario ingresa un nombre de usuario pero deja la contraseña en blanco, esto puede causar que la aplicación falle o permita el acceso directo al sistema.
6.2.6.2 Caso de abuso
Las pruebas de casos de abuso son una parte integral del modelado de amenazas, modelando cómo un sistema o característica puede ser mal utilizada y describiendo específicamente cómo un atacante podría explotar esta vulnerabilidad.
6.2.7. Análisis de cobertura de pruebas.
1. Cobertura de la prueba = (número de componentes probados/número total de componentes) x 100%
2. Seis normas comunes:
1) Cobertura de sucursales: asegúrese de que se ejecuten todas las sucursales en la declaración de control.
2) Cobertura de condición: una condición que requiere que cada expresión booleana del código se verifique como verdadera y falsa.
3) Cobertura de Western Digital (cobertura de funciones): asegúrese de que se llame a todas las funciones de Western Digital en el programa.
4) Cobertura de declaración: verifica la ejecución de cada línea de código en el programa.
5) Cobertura de decisiones: se verificó una combinación de cobertura occidental y de sucursales para probar diversas situaciones de entrada y salida.
6) Cobertura de parámetros: pruebe el comportamiento de Western Digital que acepta la entrada de parámetros
Nota: La situación ideal es una cobertura del 100%, pero debido al costo, es imposible completar todas las pruebas dentro de un período de tiempo determinado para garantizar una cobertura de prueba suficiente para las funciones clave del sistema.
6.2.8. Prueba de interfaz
La prueba de interfaz es un componente clave de las pruebas del sistema. Se centra principalmente en los puntos donde el sistema interactúa con elementos externos. Estos elementos pueden ser otros sistemas, usuarios o procesos.
Los principales tipos de interfaz incluyen:
•Interfaz de usuario (U): Esta es la forma principal en que el usuario interactúa con el sistema y puede ser una interfaz gráfica de usuario (GU) o una interfaz de línea de comandos (CLI).
•Interfaz de programación de aplicaciones (API): así es como el sistema interactúa con otro software, como la API REST para aplicaciones web o la API para comunicación entre procesos (IPC) y llamadas a procedimientos remotos (RPC).
El objetivo de las pruebas de interfaz es garantizar que los datos se transfieran y conviertan correctamente entre entidades y que todas las condiciones de error se manejen adecuadamente. Esto incluye verificar que los datos tengan el formato correcto, verificar la efectividad de los mecanismos de manejo de errores y garantizar que se apliquen los controles de acceso correctos durante la transmisión. Esto puede garantizar la integridad de los datos, la estabilidad y la seguridad del sistema, y evitar la pérdida o daño de datos debido a errores de interfaz.
6.2.9． Simulación de ataque de vulnerabilidad
6.2.9.1 Simulación de ataque de infracción (BAS)
La simulación de ataques de vulnerabilidad es una tecnología emergente de prueba de seguridad automatizada cuyo objetivo principal es simular el comportamiento real de un atacante en un intento de obtener acceso no autorizado al sistema. Combina los elementos de escaneo de vulnerabilidades y pruebas de penetración automatizadas, utilizando los últimos métodos de ataque y vulnerabilidades recientemente descubiertas para probar las capacidades de defensa de una organización contra nuevas amenazas. Con una solución BAS, estas pruebas se pueden realizar con más frecuencia para descubrir posibles vulnerabilidades de seguridad más rápido que los análisis de vulnerabilidades periódicos tradicionales o las pruebas de penetración.
6.2.9.2 Categorías de ataque BAS
•Ataques a terminales
BAS realiza acciones en o contra los puntos finales de la red, como la creación de archivos o procesos que coincidan con firmas de malware conocidas, para probar las capacidades de detección y respuesta de los puntos finales (EDR). Esto se puede hacer a través de un dispositivo BAS o una unidad de control, o mediante un agente de software que se ejecuta en el punto final.
•Ataques a la red
BAS envía tráfico de red que debe bloquearse, lo que activa alertas si dispositivos como firewalls o enrutadores no bloquean el tráfico malicioso conocido.
•Ataques por correo electrónico
BAS genera y envía correos electrónicos de prueba para probar la eficacia de los filtros de spam, los controles de fraude por correo electrónico y los filtros de contenido. Si el correo electrónico llega exitosamente a la bandeja de entrada o es abierto por el usuario, indica una vulnerabilidad en los controles de seguridad del correo electrónico.
•Ataques basados en el comportamiento
Las capacidades avanzadas de BAS también pueden probar controles de seguridad basados en el comportamiento, como detectar actividad maliciosa de escaneo de red o interacciones complejas con aplicaciones que normalmente deberían estar bloqueadas por un firewall de aplicaciones web (WAF).
6.2.10. Verificaciones de cumplimiento
El cumplimiento no es sinónimo de seguridad, pero es un punto de partida importante para el programa de gestión de riesgos de una organización. Un marco de cumplimiento generalmente cubre un conjunto de riesgos específicos de la industria o región, y los controles de seguridad implementados están diseñados para mitigar esos riesgos.
Las revisiones de cumplimiento son parte del proceso regulatorio y el objetivo es identificar controles que se han vuelto insuficientes o ineficaces debido a cambios en el entorno de riesgo, o que ya no funcionan correctamente. Normalmente, esta revisión se realiza a través de una auditoría, como por ejemplo:
•PCI-DSS (Estándar de seguridad de datos de la industria de tarjetas de pago): Este es un estándar de seguridad para organizaciones que procesan, almacenan o transmiten información de tarjetas de crédito. PCI-DSS requiere que las organizaciones realicen una auditoría de cumplimiento anual.
SOC2 (Control de organización de servicios 2): este es un estándar que evalúa los controles de una organización de servicios sobre seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. SOC 2 requiere que las organizaciones realicen una auditoría de cumplimiento anual.
- S027001 Es un estándar internacional sobre gestión de seguridad de la información. 1S027001 exige que las organizaciones realicen una auditoría de cumplimiento cada tres años.
6.3. Recopilación de datos del programa de seguridad (por ejemplo, técnicos y administrativos)
6.3.1. Controles y procedimientos técnicos
1 fuente de datos
El control técnico o lógico se logra a través de sistemas electrónicos, lo que a menudo da como resultado registros nativos. Estos datos técnicos pueden incluir información que forma parte de las políticas de registro y monitoreo de la organización, así como datos generados a partir del análisis de dichos datos de registro. Por ejemplo, los registros de acceso de la aplicación y los registros de los dispositivos de red (como enrutadores o firewalls).
2. Etapa de recolección
Al implementar y monitorear los siguientes controles y procesos, las organizaciones pueden recopilar métricas y datos útiles sobre su postura de seguridad para poder tomar las medidas necesarias para proteger sus datos y sistemas:
1) Procesos de prevención de pérdidas: El objetivo de estos procesos es prevenir amenazas a la seguridad. Pueden incluir controles técnicos como cifrado de datos, control de acceso a la red y control de puntos finales.
2) Procesos de detección: El objetivo de estos procesos es detectar incidentes de seguridad o comportamientos anormales. Pueden incluir controles técnicos como detección y respuesta de puntos finales (EDR) y gestión de eventos e información de seguridad (SIEM).
3) Procesos de respuesta: El objetivo de estos procesos es resolver problemas de seguridad. Pueden incluir controles técnicos como detección y respuesta de puntos finales (EDR) y sistemas de prevención de intrusiones (IPS).
6.3.2. Controles administrativos
Los controles administrativos guían el comportamiento apropiado de los empleados y otros usuarios mediante el establecimiento y aplicación de políticas y procedimientos. Estos controles pueden involucrar varios códigos de conducta, procesos de trabajo y directrices. Medir la eficacia de los controles administrativos a menudo requiere la recopilación y el análisis de datos relacionados con la implementación de políticas.
Tomemos, por ejemplo, una política organizacional que prohíbe el uso de redes sociales en dispositivos organizacionales. Se pueden recopilar datos de:
• Alcance de la política: ¿Cuántos usuarios leyeron y entendieron la política y confirmaron su comprensión y cumplimiento mediante su firma?
•Eficacia educativa: ¿Cuántos usuarios intentaron acceder a contenidos restringidos? Esto puede reflejar el grado en que los empleados entienden la política y la difusión y eficacia educativa de la política.
. Disponibilidad técnica: según el tráfico de la red, ¿cuántos usuarios pueden acceder a contenido restringido? Esto puede reflejar la eficacia de los controles técnicos para hacer cumplir la política.
6.3.3. Gestión de cuentas
La gestión de cuentas es un componente crítico de la seguridad del sistema de información porque afecta directamente la implementación de los controles de acceso. Los datos de gestión de cuentas son un foco importante a la hora de recopilar datos sobre procesos de seguridad.
A continuación se detallan algunos datos clave que es posible que deba recopilar durante el proceso de administración de la cuenta:
•Gestión oportuna de la cuenta: por ejemplo, cuando el rol de un usuario cambia o deja la empresa, si sus derechos de acceso se pueden ajustar o revocar dentro de un período de tiempo específico.
• Notificaciones de aprovisionamiento o desaprovisionamiento de cuentas: por ejemplo, si se puede notificar a los usuarios dentro de las 24 horas cuando se unen o abandonan una organización.
•Revisiones de cuentas: ¿Se realizan revisiones de cuentas apropiadas de acuerdo con el cronograma definido por la organización para garantizar que todas las cuentas aún sean necesarias y tengan los niveles de permiso correctos?
• Ejecución correcta de los procedimientos: por ejemplo, si se realiza una verificación adecuada durante el restablecimiento o envío de la contraseña, o si los controles de acceso a la red están configurados correctamente.
6.3.4. Revisión y aprobación por la dirección.
La revisión y aprobación de la dirección es un proceso de seguridad crítico que implica la evaluación, presentación de informes y aprobación de una variedad de documentación relacionada con la seguridad. Esta documentación no solo es fundamental para auditorías y conciliaciones, sino que también demuestra la aprobación y participación de la gerencia en el programa de seguridad. Además, estos registros pueden establecer la debida diligencia y el debido cuidado para cualquier cuestión relacionada con los procesos de arena y seguridad.
El siguiente marco define formalmente el proceso de revisión y aprobación de la gestión relacionada con la seguridad:
•ISO 27001
La gerencia debe revisar periódicamente la "idoneidad, idoneidad y eficacia continua" del programa de seguridad de la información.
•NIST y FedRAMP
Estos marcos definen funciones de gestión para la evaluación y autorización, así como para el seguimiento continuo. La gerencia necesita revisar los planes y resultados de la evaluación del sistema de información y luego tomar una decisión formal autorizando el uso del sistema. La gerencia también utiliza datos de monitoreo continuo para garantizar la efectividad de las acciones de remediación de riesgos.
• Certificación y acreditación
Esto implica procesos similares de evaluación y autorización. La certificación es una evaluación formal de un sistema o proceso frente a un conjunto de estándares, mientras que la acreditación es una decisión formal sobre la idoneidad de un sistema para realizar una función específica. Este enfoque ayuda a las organizaciones a desarrollar procesos de gobernanza para evaluar y aprobar formalmente sistemas en función de sus capacidades y necesidades de seguridad.
• SOC 2
Este marco requiere que la administración establezca “medidas de desempeño” y genere y utilice “información relevante y de alta calidad para respaldar la operación de los controles internos”.
•Objetivos de Control de Tecnologías de la Información (COBIT)
Se trata de un marco de gestión de tecnologías de la información y ciberseguridad que enfatiza la responsabilidad de la dirección en la planificación de recursos, capacidades y tareas de seguimiento, así como la tarea de revisar los planes de control organizacional.
6.3.5.Indicadores clave de desempeño y riesgo
Los indicadores clave de desempeño (KPI) y los indicadores clave de riesgo (KRI) son herramientas importantes para medir y rastrear la efectividad de la gestión de riesgos de una organización. Los KPI se utilizan para monitorear la efectividad de las medidas de mitigación de riesgos existentes, mientras que los KRI pueden ayudar a las organizaciones a prever y prepararse para los riesgos que pueden surgir en el futuro. Varias organizaciones establecerán sus propios KPI y KRl de acuerdo con sus situaciones específicas.
1. Indicadores clave de rendimiento (KPI)
A continuación se muestran algunos KPI comunes e importantes:
•Tiempo medio de detección (MTTD): Mide el tiempo promedio que se tarda en detectar un incidente o amenaza de seguridad.
•Tiempo medio de recuperación (MTTR): Mide el tiempo promedio necesario para resolver un incidente de seguridad.
• Puntuación de seguridad: muchos proveedores proporcionan un cuadro de mando o calificación de seguridad, que puede utilizarse como un indicador importante de la madurez del desempeño de seguridad de una organización.
•Retorno de la Inversión (ROI): Mide la efectividad de los controles para reducir el riesgo versus el costo.
2. Indicadores clave de riesgo (KRI): A continuación se muestran algunos KRI valiosos:
• Número de incidentes de seguridad Un aumento en los incidentes de seguridad puede indicar que el entorno de amenazas ha cambiado, lo que puede requerir herramientas de seguridad más sólidas o personal adicional para abordarlo.
-Número de problemas descubiertos: un aumento en los hallazgos de auditorías y evaluaciones puede indicar brechas en el programa de seguridad, que pueden requerir atención o recursos adicionales para corregirlas.
• Número de intentos de phishing descubiertos o reportados: un aumento en los intentos de phishing a menudo indica un ataque en curso cuando los atacantes intentan obtener credenciales válidas para acceder a los recursos de una organización. En este sentido, es posible que las organizaciones necesiten agregar sistemas de monitoreo, adoptar autenticación multifactor, fortalecer la capacitación de los usuarios y otras medidas.
6.3.6. Copia de seguridad de los datos de verificación.
Los datos de verificación de copias de seguridad pueden provenir de registros escritos de ocurrencias de copias de seguridad registradas manualmente por el personal de TI, pero más comúnmente provienen de registros producidos por la aplicación o el sistema de copias de seguridad. Se debe realizar una copia de seguridad de toda la información crítica en caso de que ocurra un incidente que inutilice los datos o dañe el sistema. Los eventos que conducen a la pérdida de datos deben estar bien documentados, junto con el proceso de recuperación completo de los datos respaldados. La estrategia de respaldo se presentará en detalle en el Capítulo 7.
6.3.7. Formación y sensibilización.
Establecer y mantener un programa que brinde concientización, educación y capacitación en materia de seguridad es fundamental porque los usuarios son tanto una importante línea de defensa contra los ataques como objetivos de alto valor para los ataques.
Las siguientes son métricas clave para evaluar la efectividad de dichos programas:
•Tasa de finalización de la formación: los empleados que no completan la formación pueden ser propensos a pasar por alto amenazas potenciales.
•Retención de información y cambio de comportamiento: una formación exitosa requiere que los empleados recuerden y apliquen los conocimientos aprendidos a largo plazo.
•Actualizaciones continuas: el contenido de la capacitación debe actualizarse a medida que cambian las amenazas y los riesgos.
• Adaptarse a la audiencia: Los materiales y métodos de capacitación deben personalizarse según el nivel de habilidades y las necesidades de aprendizaje de los empleados.
6.3.8 Recuperación ante Desastres (DR) y Continuidad del Negocio (BC)
Los datos de DR y BC deben incluir detalles como objetivos de puntos de recuperación críticos, objetivos de tiempo de recuperación y tiempo de inactividad máximo permitido. Lo más importante es evaluar qué tan bien la organización logra estos objetivos durante eventos reales.
Al evaluar y monitorear la efectividad de los planes de recuperación ante desastres (DR) y continuidad del negocio (BC), se deben considerar las siguientes preguntas centrales:
•Adaptabilidad y oportunidad del plan: ¿Existe un BCDR completo y un plan de continuidad de operaciones? ¿Se actualizan periódicamente para reflejar los cambios organizacionales?
• Conciencia y preparación del personal: ¿El personal clave comprende sus funciones y responsabilidades en el plan?
•Accesibilidad del plan: ¿Está la última versión del plan disponible y almacenada de forma segura?
•Integridad del plan: ¿Cubre el plan las funciones críticas actuales de la organización?
Actualizaciones oportunas del plan: ¿Hay cambios organizacionales importantes que no se reflejan en el plan, como cambios estructurales de TI importantes o actividades comerciales?
Pruebas y mejoras planificadas: ¿Se prueba el plan periódicamente y se solucionan los defectos encontrados?
• Gestión de dependencias de terceros: si la organización depende de terceros o servicios críticos, ¿se prueban estas dependencias?
•Integración con otros procesos: ¿Están integrados otros procesos, como la gestión de traspasos, con el plan BCDR para garantizar que los cambios en la organización se reevalúen adecuadamente?
6.4 Analizar los resultados de las pruebas y generar informes.
6.4.1. Contenido típico del informe de auditoría.
Los informes de auditoría suelen incluir las siguientes secciones:
•Resumen ejecutivo: proporciona una descripción general de las actividades y resultados de las pruebas.
-Supuestos y Limitaciones: Revelar limitaciones y presuposiciones en el proceso de evaluación, proporcionando contexto para comprender los resultados.
•Alcance: Aclarar el alcance cubierto por la evaluación.
•Resumen de actividad: proporciona una descripción general de todas las actividades de prueba y auditoría realizadas por el equipo de evaluación.
• Hallazgos y problemas: enumere todos los hallazgos, defectos o problemas y proporcione su ubicación, gravedad y evidencia asociada.
• Sugerencias: proporcione soluciones y sugerencias para los problemas descubiertos, que generalmente incluyen pasos de solución y comandos de configuración específicos que puedan ser necesarios.
•Apéndices: La banda de paso del apéndice contiene información detallada fuera del cuerpo principal del informe, lo que hace que el informe sea más fácil de leer y comprender y, al mismo tiempo, proporciona a los técnicos la información detallada que necesitan.
6.4.2.
1. Proceso de medidas reparadoras:
1) Identificar problemas: Descubrir brechas o problemas en el control de seguridad.
2) Crear un plan: Crear un plan de remediación para resolver el problema.
3) Realizar la reparación: siga el plan para resolver el problema.
4) Volver a probar: Vuelva a probar para confirmar la eficacia del remedio.
2. Elementos de un plan de remediación:
•Detalles del problema: describa el problema encontrado en detalle.
• Medidas de mitigación: pasos o medidas correctivas planificadas.
•Prioridad: Priorice los problemas según su gravedad y riesgo.
•Tiempo de resolución: El tiempo total estimado necesario para resolver el problema.
•Requisitos de recursos: Los recursos necesarios para realizar acciones de remediación.
••Hitos y expectativas: establezca fechas clave de finalización y resultados deseados.
3. La importancia de volver a realizar la prueba:
Volver a realizar pruebas es un paso fundamental para confirmar que las medidas correctivas son efectivas, lo que generalmente se verifica mediante análisis de vulnerabilidades periódicos.
6.4.3. Manejo de excepciones
1. Definición:
Se refiere al manejo de problemas descubiertos durante una auditoría o evaluación de seguridad que no pueden resolverse mediante medidas correctivas convencionales.
2.Proposito:
Conceder excepciones temporalmente para abordar problemas que no se pueden resolver directamente. Estas excepciones sólo deberían concederse con carácter temporal y no debería haber solicitudes permanentes de excepciones. Si es necesario a largo plazo, las políticas pertinentes deberían actualizarse para adaptarse a las nuevas necesidades.
3. Información registrada:
• Detalles del riesgo: incluya detalles específicos del riesgo, déficit o problema, y cuándo y quién lo descubrió.
•Razones de las anomalías: la dirección debe explicar por qué no se puede mitigar un riesgo concreto.
. Controles compensatorios: si un riesgo no se puede abordar directamente para lograr el valor del riesgo de la organización, considere calificar parcialmente el riesgo mediante controles compensatorios (como un mayor seguimiento).
. Aprobación de excepciones: la gerencia debe decidir claramente asumir riesgos adicionales y documentar el proceso de revisión y aprobación para aclarar las responsabilidades.
•Duración de la excepción: la mayoría de las excepciones deben otorgarse de forma temporal, con un período de validez claro para la autoridad de excepción.
6.4.4. Divulgación ética
1. Mejores prácticas para la divulgación ética
Las organizaciones deben estar preparadas para recibir divulgaciones éticas sobre vulnerabilidades. Esto incluye desarrollar una política de divulgación, recibir divulgaciones de vulnerabilidades y no adoptar una actitud hostil. Como investigador de seguridad o hacker ético, debe cumplir con estas políticas y actuar dentro de los límites de la ley.
2. Tipo de vulnerabilidad revelada:
• No divulgación: la divulgación de una vulnerabilidad puede estar prohibida debido a obligaciones contractuales o legales; por ejemplo, la divulgación de la vulnerabilidad puede perjudicar una investigación criminal en curso.
• Divulgación completa: cuando se descubre una vulnerabilidad, se debe informar de manera completa y transparente lo más rápido posible a la organización responsable de la reparación. Sin embargo, muchos proveedores pueden mostrarse hostiles con los investigadores que intentan informar sobre vulnerabilidades.
• Divulgación responsable: este principio establece que los descubridores deben informar rápidamente las vulnerabilidades a la organización y darle tiempo a la organización para remediar la vulnerabilidad antes de la divulgación pública.
•Informes obligatorios: en algunos casos, informar las vulnerabilidades descubiertas a las autoridades u otras agencias puede ser obligatorio.
• Denuncia de irregularidades: en caso de que se descubra una vulnerabilidad de seguridad, si el denunciante sigue los canales apropiados para revelar la vulnerabilidad descubierta, puede estar legalmente protegido contra procesos por infracción de derechos de autor u otras leyes pertinentes.
6.5. Realizar o promover auditorías de seguridad
6.5.1. Marcos comunes de auditoría
Los profesionales de seguridad pueden utilizar auditorías para evaluar el cumplimiento de una organización con varios estándares de seguridad. El plan de auditoría debe contar con apoyo de la dirección, recursos adecuados, supervisión eficaz y calendarios realistas. A continuación se muestran algunos marcos de auditoría comunes:
1)SSAE 18 (SOC 2): se centra en los controles de una organización de servicios sobre seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad.
2) ISO/EC 15408-1:2009: Proporciona un marco general para evaluar las funciones de seguridad de los productos y sistemas de tecnología de la información.
3) 1SO/EC 18045:2008: Proporciona métodos para realizar evaluaciones ISO/EC 15408.
4) 1SO/EC 27006:2015: Especifica los requisitos para realizar la certificación del Sistema de gestión de seguridad de la información (SGSI) ISO/EC 27001.
5) NIST SP 800-53A: Proporciona un método para evaluar los controles de seguridad para los sistemas de información federales.
6) NIST CSF: proporciona un marco de gestión de riesgos para mejorar la seguridad de las redes y los sistemas de información de una organización.
7 FedRAMP SAF: Marco de evaluación de seguridad del programa federal de gestión de autorizaciones y riesgos para productos y servicios en la nube del gobierno federal.
Durante una auditoría, a menudo se realiza un muestreo para reducir la carga de trabajo y al mismo tiempo garantizar la comprensión de posibles deficiencias. La muestra debe ser representativa del conjunto auditado.
6.5.2. Auditoría interna
Las auditorías internas son auditorías realizadas por personas dentro de una organización. Tiene las siguientes características:
•Familiaridad: Los auditores internos tienen un conocimiento profundo de los procesos, herramientas y personas de la organización, lo que les permite comprender y evaluar mejor los controles internos y la eficacia operativa de la organización.
•Riesgo de sesgo: los auditores internos pueden pasar por alto o malinterpretar ciertos aspectos de las operaciones de la organización debido a su excesiva familiaridad con las operaciones de la organización. Por lo tanto, deben intentar ser objetivos o buscar la opinión de observadores externos.
. Cuestiones de independencia: debido a que los auditores internos son parte de la organización, pueden estar sujetos a presiones que afecten su juicio independiente y sus informes imparciales.
• Preparación para auditorías externas: Las auditorías internas se utilizan a menudo para descubrir previamente y resolver problemas que pueden descubrirse durante las auditorías externas con el fin de obtener mejores resultados durante la auditoría externa formal.
6.5.3. Auditoría externa
Una auditoría externa es una auditoría realizada por un auditor externo a la organización. Sus principales características incluyen:
. Independencia: Los auditores externos no se ven influenciados por la presión dentro de la organización y, por lo tanto, pueden realizar la auditoría de manera objetiva e imparcial. Pueden ver las operaciones y controles de una organización sin prejuicios y brindar una opinión imparcial.
•Habilidades especializadas: Los auditores externos generalmente tienen habilidades y experiencia altamente especializadas, como los contadores públicos certificados (CPA). Pueden realizar tareas de auditoría complejas, como auditorías SOC 2.
•Costo y tiempo: las auditorías externas suelen costar más que las internas, en parte debido al tiempo necesario para comprender las operaciones y los procesos de la organización. Además, es posible que se pierdan algunos detalles debido a que no están familiarizados con la organización.
•Requisitos de cumplimiento: muchos marcos y regulaciones de cumplimiento exigen que las organizaciones realicen auditorías externas periódicas para demostrar la eficacia de sus controles internos.
6.5.4. Auditoría de terceros
La auditoría de terceros es un proceso de evaluación de riesgos para los proveedores o socios externos de una organización, que incluye principalmente lo siguiente:
•Herramientas de gestión de riesgos: La auditoría de terceros es una herramienta clave para la gestión de riesgos en las relaciones con terceros como proveedores, socios, etc. Ayuda a identificar y mitigar riesgos que puedan tener un impacto en la organización.
• Protección de datos sensibles: Es de suma importancia realizar auditorías de seguridad de terceros que tengan acceso a datos sensibles de la organización. Esto puede ayudar a las organizaciones a reducir la responsabilidad legal resultante de incidentes de seguridad causados por terceros.
•Auditorías comunes de terceros: Las auditorías comunes de terceros incluyen auditorías SOC2 y auditorías CSA STAR. Durante el proceso de auditoría, se debe prestar atención a los estándares de auditoría, el intercambio de datos, el descubrimiento de riesgos, los métodos de respuesta a riesgos de terceros y sus planes de reparación.
• Complejidad de la cadena de suministro: debido a la complejidad de las cadenas de suministro modernas, el proceso de evaluación de riesgos de terceros se ha vuelto cada vez más complejo. Las organizaciones deben identificar a todos los proveedores en su cadena de suministro y asegurarse de que sean auditados y evaluados adecuadamente para minimizar los riesgos que enfrentan.
Preguntas de revisión
1. Mientras realizaba una exploración de puertos, Susan encontró un sistema ejecutando servicios en los puertos TCP y UDP 137-189 y TCP 445 y 1433. Si estuviera conectada a esta máquina, ¿qué tipo de sistema probablemente encontraría? A. Un servidor de correo electrónico Linux B. Un servidor SQL de Windows C. Un servidor de archivos Linux D. Estación de trabajo Windows uno en uno
B
139\445
2. ¿Cuál de los siguientes es un método para diseñar automáticamente pruebas para software nuevo y garantizar la calidad de las pruebas? A. Auditoría de código B. Análisis de código estático C. Pruebas de regresión D.Pruebas de mutación
D
3. Mientras realizaba una exploración de puertos, Naomi descubrió que el puerto TCP 443 estaba abierto en un sistema. ¿Qué herramienta es mejor para escanear servicios que puedan estar ejecutándose en este puerto? A.ZZUf B. Nikto C.Metasploit D. mapa sql
B
Penetración WEB: FireBug, Autoproxy, nmap, sqlmap, metasploit, Wireshark Las pruebas Fuzz proporcionan software con entradas no válidas (generadas aleatoriamente o entradas especialmente construidas) zzuf escaneo de vulnerabilidades de la base de datos sqlmap Escaneo de vulnerabilidades web: Nikto Escaneo de puertos de red: nmap
4. ¿Qué estándar de registro de mensajes utilizan habitualmente los equipos de red, los sistemas Linux y Unix y muchos otros dispositivos empresariales? A. registro del sistema B. Registro de red C. Registro de eventos D. Protocolo de registro remoto (RLP)
A
5 Alex quiere utilizar herramientas automatizadas para completar formularios de aplicaciones web y probar vulnerabilidades de cadenas de formato. ¿Qué tipo de herramientas debería utilizar? A. Caja negra B. Herramientas de craqueo de fuerza bruta C. Fuzzer D. Herramientas de análisis estático
C
P579 Pruebas difusas: pruebe los límites del software, agregue cadenas al final y realice otros métodos de manipulación de datos
6. Susan necesita realizar un análisis de vulnerabilidades en un sistema y quiere utilizar una herramienta de código abierto para probar el sistema de forma remota. ¿Cuál de las siguientes herramientas cumple con sus requisitos y permite el escaneo de vulnerabilidades? A.Nmapa B.OpenVAS C.MBSA D Neso
B
OpenVAS, que significa OpenVulnerability AssessmentScanner, es una herramienta de código abierto de gran confianza. Su rica funcionalidad y su interfaz fácil de usar permiten a los usuarios detectar y corregir fácilmente vulnerabilidades de seguridad conocidas. Microsoft Baseline Security Analyzer (MBSA) puede buscar actualizaciones del sistema operativo y de SQL Server. MBSA también puede escanear computadoras en busca de configuraciones inseguras. Nessus es el software de análisis y escaneo de vulnerabilidades de sistemas más utilizado en el mundo. En 2002, Renaud, Ron Gula y Jack Huffard fundaron una organización llamada Tenable Network Security. Cuando se lanzó la tercera versión de Nessus, la organización recuperó los derechos de autor y el código fuente del programa de Nessus (originalmente de código abierto) y lo registró como el sitio web de la organización. Esta institución está ubicada en Columbia, Maryland, EE. UU.
7. Morgan está implementando un sistema de evaluación y puntuación de vulnerabilidades que utiliza componentes basados en estándares para calificar y evaluar las vulnerabilidades descubiertas. sistema de gestión. ¿Cuál de los siguientes se utiliza más comúnmente para proporcionar una puntuación de gravedad para una vulnerabilidad? A.CCE B.CVSS СРЕ D.OVAL
B
•Vulnerabilidades y exposiciones comunes (CVE): proporciona un sistema de nombres para describir las vulnerabilidades de seguridad. •Sistema de puntuación de vulnerabilidades comunes (CVSS): proporciona un sistema de puntuación estandarizado que describe la gravedad de las vulnerabilidades de seguridad. •Enumeración de configuración común (CCE): proporciona un sistema de nombres para problemas de configuración del sistema. •Enumeración de plataforma común (CPE): proporciona un sistema de nombres para sistemas operativos, aplicaciones y dispositivos. •Formato de descripción de lista de verificación de configuración extensible (XCCDF): proporciona un lenguaje para describir listas de verificación de seguridad. •Lenguaje abierto de evaluación y vulnerabilidad (OVAL): proporciona un lenguaje para describir el proceso de prueba de seguridad.
Descripción de la vulnerabilidad •Protocolo de automatización de contenidos de seguridad (SCAP): SCAP es un estándar común para la descripción y evaluación de vulnerabilidades proporcionado por NIST a la comunidad de seguridad, promoviendo la automatización de las interacciones entre diferentes sistemas de seguridad. Los componentes de SCAP incluyen: •Vulnerabilidades y exposiciones comunes (CVE): proporciona un sistema de nombres para describir las vulnerabilidades de seguridad. •Sistema de puntuación de vulnerabilidades comunes (CVSS): proporciona un sistema de puntuación estandarizado que describe la gravedad de las vulnerabilidades de seguridad. •Enumeración de configuración común (CCE): proporciona un sistema de nombres para problemas de configuración del sistema. •Enumeración de plataforma común (CPE): proporciona un sistema de nombres para sistemas operativos, aplicaciones y dispositivos. •Formato de descripción de lista de verificación de configuración extensible (XCCDF): proporciona un lenguaje para describir listas de verificación de seguridad. •Lenguaje abierto de evaluación y vulnerabilidad (OVAL): proporciona un lenguaje para describir el proceso de prueba de seguridad.
8. A Jim se le encargó realizar pruebas de penetración en la sucursal principal de un banco. Para que la prueba fuera lo más realista posible, no se le proporcionó ninguna información sobre el banco principal excepto su nombre y dirección. ¿Qué tipo de prueba de penetración acepta realizar Jim? A. Prueba de penetración de la caja de cristal B. Pruebas de penetración de caja gris C. Pruebas de penetración de caja negra D. Pruebas de penetración de caja blanca
C
9. En respuesta a una solicitud de propuesta, Susen recibió un informe SOC SSAE 18. Si quiere que el informe incluya detalles sobre la efectividad de la operación, ¿sobre qué base y por qué debería hacerle preguntas de seguimiento a Susan? A. Un informe SOC 2 Tipo II porque el Tipo I no cubre la efectividad operativa B. Un informe SOC 1 Tipo I porque el SOC 2 no cubre la eficacia operativa C. Un informe SOC2 Tipo I porque el SOC2 Tipo II no cubre la eficacia operativa D. Un informe SOC3 porque los informes SOC1 y SOC2 están obsoletos
A
P563 Las declaraciones SSAE 18 e ISAE 3402 se conocen comúnmente como auditorías de controles de organizaciones de servicios (SOC) y se presentan en tres formas. Declaración SOC1: Evaluar los controles organizacionales que pueden afectar la precisión de los informes financieros. Declaración SoC2: Evaluar los controles de la organización que impactan la seguridad (confidencialidad, integridad y disponibilidad) y privacidad de la información almacenada en el sistema. Los resultados de la auditoría SOC2 son confidenciales y generalmente se comparten únicamente bajo un acuerdo de confidencialidad. Declaración SOC3: Evaluar los controles de la organización que impactan la seguridad (confidencialidad, integridad y disponibilidad) y privacidad de la información almacenada en el sistema. Sin embargo, los resultados de la auditoría SOC3 están destinados a ser divulgados públicamente.
•Informe tipo I Los informes Tipo I describen los controles proporcionados por la organización auditada y la opinión del auditor basada en esa descripción. Los informes Tipo I son para un momento determinado y no implican pruebas reales de los controles por parte del auditor. •Informes tipo II Los informes Tipo II cubren un período mínimo de 6 meses y también incluyen la opinión del auditor sobre la efectividad de esos controles con base en resultados reales de las pruebas. Los informes de Tipo II generalmente se consideran más confiables que los informes de Tipo I porque los informes de Tipo II incluyen pruebas independientes de controles. Los informes Tipo I simplemente permiten a la organización de servicios demostrar que los controles se han implementado como se describe.
10. Durante una prueba de penetración de la red inalámbrica, Suson usó un archivo de contraseña para ejecutar alrcrack-ng contra la red. ¿Cuál de los siguientes factores podría haber contribuido al fracaso en su intento de descifrar el código? A. Utilice cifrado WPA2 B. Ejecutar el modo empresarial en WPA2 C. Utilice cifrado WEP Puerto Ejecutando el modo PSK en WPA2.
C
11. Una vulnerabilidad de día cero apareció en un popular servidor web Apache durante el transcurso de un día laborable. Como analista de seguridad de la información, Jacob necesita escanear rápidamente su red para determinar qué servidores están afectados por el problema. Jacob ¿Cuál es la forma más rápida de identificar un sistema que es vulnerable a una vulnerabilidad? A Ejecute un análisis Nessus de todos los servidores inmediatamente para determinar qué sistemas son vulnerables. B. Consulte la base de datos CVE para obtener información sobre vulnerabilidades e información sobre parches. C. Cree una firma IDS o IPS personalizada. D. Determine la versión afectada y utilice una herramienta de escaneo automatizado para verificar el número de versión del sistema.
D
12. ¿Qué tipo de pruebas se utilizan para garantizar que los módulos de software desarrollados individualmente intercambien datos correctamente? A.Fuzzing (prueba de fuzz) B. Pruebas dinámicas C. Pruebas de interfaz Suma de comprobación D.API
C
13. Salen quiere proporcionar información de evaluación de seguridad a los clientes que quieran utilizar los servicios en la nube de la organización local. Cuál de los siguientes ¿Deben seleccionarse opciones para garantizar que el mayor número posible de clientes estén satisfechos con la información de la evaluación? A utiliza el Equipo de Auditoría Interna Cuatro para realizar autoevaluaciones basadas en métricas internas. B. Utilice un auditor externo. C. Utilice personal técnico interno que comprenda el sistema. D. Utilizar el equipo de auditoría interna para realizar autoevaluaciones según estándares comúnmente utilizados como COBIT.
B
14. Se pidió a Yasmine que considerara un sistema de simulación de ataques e intrusiones. ¿Qué tipo de sistema debería estar buscando? A. Un sistema de gestión de cambios y emisión de tickets diseñado para ayudar a gestionar incidentes. B. Un sistema para ejecutar simulaciones de respuesta a incidentes para que los equipos azules prueben sus habilidades C. Un sistema automatizado que combina las tecnologías del equipo rojo y del equipo azul. D. Un sistema de operaciones y respuesta de seguridad (SOAR)
C
15.Mónica quiere recopilar información sobre la conciencia de seguridad de la organización. Técnicas más comunes para evaluar la concienciación sobre la seguridad ¿Qué es? A. Simulador de pesca B. Aplicaciones gamificadas C. Prueba de evaluación D. Cuestionario
D
16. A Jim se le encargó realizar una prueba de penetración de caja gris y su cliente le proporcionó la siguiente información sobre su red para que pudiera escanearla: Centro de datos: 10.10.10.0/24 Ventas: 10.10.11.0/24 Facturación: 10.10.12.0/24 Red inalámbrica: 192.168.0.0/16 ¿Qué problemas encontraría si le confiaran el escaneo desde el exterior? R. El rango de IP es demasiado grande y no se puede escanear de manera eficiente. B. La dirección IP proporcionada no se puede escanear. C. Los rangos de IP duplicados causarán problemas de escaneo. D. La dirección IP proporcionada es una dirección RFC 1918.
D
17. Se notificó a la empresa de Mark que su aplicación web era vulnerable. Anónimo le informó , tienen dos semanas para solucionarlo antes de publicar detalles de la vulnerabilidad y código de explotación de muestra. conectar ¿Qué código industrial violó un individuo de la empresa de Mark? A. Informes de día cero B. Divulgación ética C. Hacking ético D.(SC)2 Declaración de ética de divulgación de vulnerabilidades
B
Para las preguntas 18 a 20, considere el siguiente escenario: La empresa de Jennifer ha implementado una infraestructura de registro centralizada, como se muestra en la siguiente figura. usar Utilice este diagrama y su conocimiento de los sistemas de registro para responder las siguientes preguntas. 18.Jennifer debe asegurarse de que todos los sistemas Windows proporcionen la misma información de registro al SIEM. ¿Cuál es la mejor manera de garantizar que todos los sistemas de escritorio de Windows tengan la misma configuración de registro? A. Realizar auditorías de configuración periódicas. B. Utilice la política de grupo. C. Utilizar políticas locales. D. Implementar el cliente syslog de Windows. 19. Durante las operaciones normales, el equipo de Jennifer utiliza un dispositivo SIEM para monitorear anomalías a través de syslog. ¿Qué sistema muestra una situación que no admite eventos de syslog? A. Punto de acceso inalámbrico empresarial B. Sistema de escritorio de Windows Servidor web C.Linux D.Equipo de firewall empresarial 20. Para cada dispositivo que se muestra en el diagrama, ¿qué técnicas debería utilizar la organización para garantizar un registro secuenciado en el tiempo en toda la infraestructura? A. registro del sistema B.NTP C.Logsync D. chasquido
B
B
P582 Windows necesita instalar un cliente de terceros para admitir syslog, política de grupo de Windows
B
21. Durante una prueba de penetración, hetele necesita identificar el sistema, pero aún no ha obtenido permisos suficientes para generar paquetes sin procesar en el sistema que se está utilizando. ¿Qué tipo de escaneo debería ejecutar para verificar los servicios más abiertos? A. Escaneo de conexión TCP B. Escaneo TCP SYN C. Escaneo UDP Escaneo D.ICMP
A
22. Mientras usaba nmap para realizar un escaneo de puertos, Josezoh encontró un sistema que mostraba dos puertos abiertos. boca, lo que inmediatamente le preocupó: 21/abierto 23/abierto ¿Qué servicios podrían estar ejecutándose en estos puertos? A.SSH y FTP B. FTP y Telnet C.SMTP y Telnet D. POP3 y SMTP
B
23.Aaron quiere verificar el cumplimiento de PCI-DSS por parte de su empresa. Su empresa es una gran organización empresarial con millones de dólares en transacciones al año. ¿Cuál es la forma más común para que las grandes organizaciones realicen este tipo de pruebas? A. Autoevaluación B. Realizar una evaluación de COBIT por parte de terceros C. Asociarse con otra empresa y realizar un intercambio de evaluación entre las dos organizaciones. D. Utilice un evaluador de seguridad calificado para realizar una evaluación de terceros
D
24. ¿Cuál es un método común utilizado para evaluar la cobertura de las pruebas de software para el uso potencial de una aplicación? A. Análisis de cobertura de pruebas B. Revisión del código fuente C. Análisis difuso D. Informe de revisión del código
A
25. ¿Las pruebas que se centran en la funcionalidad que el sistema no debería permitir son ejemplos de qué tipo de pruebas? A. Pruebas de casos de uso B. Pruebas manuales C. Pruebas de casos de uso indebido D.Pruebas dinámicas
C
26. ¿Qué tipo de monitoreo utiliza tráfico simulado a un sitio web para monitorear el desempeño? A. Análisis de registros B. Supervisión integral del desempeño C. Vigilancia pasiva D. Análisis de transacciones simuladas
B
27.Perek quiere asegurarse de que su organización realice un seguimiento de todos los cambios en todas las cuentas a lo largo de su ciclo de vida. ¿En qué tipo de herramientas debería invertir su organización? A. Servicio de directorio como LDAP Sistema B.IAM C.Sistema SIEM Sistema D.EDR
B
El protocolo ligero de acceso a directorios (inglés: protocolo ligero de acceso a directorios, abreviatura: LDAP) es un protocolo de aplicación abierto, neutral y estándar de la industria que proporciona control de acceso y mantiene información de directorio de información distribuida a través del protocolo IP. Plataforma unificada de gestión de autenticación de identidad (IAM) La gestión de eventos e información de seguridad (SIEM) es una solución de seguridad que ayuda a las organizaciones a identificar y resolver posibles amenazas y vulnerabilidades de seguridad antes de que tengan la oportunidad de interrumpir las operaciones comerciales. Los sistemas SIEM ayudan a los equipos de seguridad empresariales a detectar anomalías en el comportamiento de los usuarios y utilizar inteligencia artificial (IA) para automatizar muchos procesos manuales relacionados con la detección de amenazas y la respuesta a incidentes. La plataforma SIEM original es una herramienta de gestión de registros que combina la gestión de información de seguridad (SIM) y la gestión de eventos de seguridad (SEM) para permitir el monitoreo y análisis en tiempo real de eventos relacionados con la seguridad, así como el seguimiento y registro de datos de seguridad para cumplimiento o auditoría. propósitos. (Gartner acuñó el término SIEM en 2005 para referirse a la combinación de tecnologías SIM y SEM). El software SIEM ha evolucionado a lo largo de los años para incorporar análisis de comportamiento de usuarios y entidades (UEBA) y otros análisis de seguridad avanzados, inteligencia artificial y capacidades de aprendizaje automático. , utilizado para identificar comportamientos anómalos e indicadores avanzados de amenazas. Hoy en día, SIEM es un elemento básico en los centros de operaciones de seguridad (SOC) modernos para casos de uso de monitoreo de seguridad y gestión de cumplimiento. La detección y respuesta de endpoints (EDR) es una forma de tecnología que proporciona monitoreo y respuesta continuos a amenazas avanzadas de ciberseguridad contra redes y sistemas empresariales. EDR es un subconjunto de seguridad de terminales que adopta un enfoque holístico para proteger las redes y los datos corporativos cuando los empleados acceden a la red de forma remota a través de computadoras portátiles, teléfonos inteligentes y otros dispositivos móviles. Debido a que estos activos se encuentran al final de la cadena que conecta a los usuarios con la pila tecnológica de la empresa, se denominan puntos finales.
28.Jm utiliza una herramienta para escanear el sistema en busca de servicios disponibles y luego se conecta a esos servicios para recopilar información del banner para determinar la versión del servicio. Luego proporciona un informe que detalla lo que recopiló, basado en huellas digitales del servicio, información de pancartas y detalles similares, combinados con información CVE para los resultados. ¿Qué tipo de herramienta usa Jim? A. Escáner de puertos B. Validador de servicio C. Escáner de vulnerabilidades D. Herramientas de gestión de parches
C
29.Emily escribe un script para enviar datos a una aplicación web que está probando. Cada vez que se ejecuta el script, envía una serie de transacciones de datos que coinciden con los requisitos esperados de la aplicación web para verificar su Respuestas al comportamiento típico del cliente. ¿Qué tipo de transacción está utilizando y qué tipo de prueba es esta? A. Vigilancia pasiva e integral B. Pruebas integrales de casos de uso C. Vigilancia real y dinámica D. Pruebas difusas reales
B
30. ¿Qué tecnología de monitoreo pasivo registra todas las interacciones del usuario con una aplicación o sitio web para garantizar la calidad? y rendimiento? A. Pruebas Cliente/Servidor B. Monitoreo de usuarios reales C. Monitoreo integral de usuarios D. Grabación de usuario pasivo
B
31A principios de este año, el equipo de seguridad de la información del empleador de Jim descubrió una vulnerabilidad en el servidor web que él era responsable de mantener. Inmediatamente aplicó el parche y estuvo seguro de que se había instalado correctamente, pero los análisis de vulnerabilidad aún marcaban incorrectamente el sistema como vulnerable. ¿Resolver este problema para que ya no esté mal etiquetado? A. Desinstale y reinstale el parche. B. Solicitar al equipo de seguridad de la información que marque el sistema como reparado y que ya no alberga esa vulnerabilidad específica. C. Actualice la información de la versión en la configuración del servidor web. D. Revisar el informe de vulnerabilidad y utilizar otras opciones de solución.
B
32 Anools quiere utilizar herramientas automatizadas para probar el procesamiento de datos externos por parte de los navegadores web. ella debe establecer ¿Qué herramienta elegir? A.Nmapa B.zzuf C. Neso D. Nikto
B
Escáner de vulnerabilidad de red: •Nessus, un escáner de vulnerabilidades ampliamente utilizado. •QualysGuard, Corporación Qualys. •NeXpose, una empresa de Rapid7. •OpenVAS, un escáner de código abierto.
Las herramientas de escaneo de vulnerabilidades de aplicaciones web más utilizadas incluyen: • Neso •Escáner comercial Acunetix •Escáneres de código abierto Nikto y Wapiti • Escáner de código abierto Wapiti •Herramienta proxy BurpSuite
Escáner de descubrimiento de red: Nmapa escaneo de navidad
Escaneo de vulnerabilidad de la base de datos: mapa sql
Herramientas de penetración: metasploit
recordar
33. STRIDE significa Suplantación, Manipulación, Denegación, Divulgación de Información, Denegación de Servicio, Elevación de Privilegios. ¿En qué parte del modelado de amenazas de aplicaciones es útil? A. Evaluación de vulnerabilidad B. Pruebas de casos de uso indebido C.Clasificación de amenazas D. Planificación de pruebas de penetración
C
1. La suplantación de identidad es un disfraz. Por ejemplo, si uso la identificación de otra persona para hablar, es suplantación de identidad. Pensé en cambiar la IP, que es suplantación de identidad. 2. Manipulación significa manipulación. Por ejemplo, la forma en que uso la identificación de otra persona para hablar es manipular paquetes legítimos y su servidor no tiene las medidas de verificación correspondientes. 3. Repudio significa negarse a admitir. Por ejemplo, si realicé estos ataques y no sabían que lo hice, y no hay evidencia de que lo hice, no tengo que admitirlo. 4. Divulgación de información es la fuga de información. Por ejemplo, su serie de imágenes digitales no tiene ninguna protección y otros pueden obtener fácilmente la información de las imágenes. 5. Denegación de servicios es una denegación de servicio. Por ejemplo, mi publicación automática hace que no esté disponible para los usuarios normales. 6. Elevación de privilegios es la elevación de privilegios. Por ejemplo, cuando intento hacer cosas con privilegios de administrador, entra en esta categoría.
34. ¿Por qué debería realizarse un escaneo pasivo además de implementar tecnología de seguridad inalámbrica, como sistemas inalámbricos de detección de intrusos? R. Puede ayudar a identificar dispositivos no autorizados. B. Puede probar la seguridad de las redes inalámbricas mediante ataques de script. C. Permanecen en cada canal inalámbrico por un corto tiempo y pueden capturar más paquetes de datos. D. Pueden ayudar a probar sistemas IDS o IPS inalámbricos.
A
35.Paul está revisando el proceso de aprobación de una prueba de penetración y quiere asegurarse de que se someta a una revisión administrativa adecuada. ¿Quién debe asegurarse de que haya aprobado una solicitud para realizar una prueba de penetración de un sistema comercial? A. Comité Asesor de Cambio B. Alta dirección C. El administrador del sistema del sistema. D. Propietario del servicio
B
36. ¿Qué término describe las pruebas de software diseñadas para revelar nuevos errores introducidos por parches o cambios de configuración? A. Pruebas sin regresión B. Pruebas de evolución C. Prueba de humo D Prueba de regresión
D
37. ¿Cuál de las siguientes herramientas no identifica el sistema operativo de destino ante un probador de penetración? A.Nmapa B. Neso C. Nikto D. mapa sql
D
38 Susan necesita predecir áreas de alto riesgo para su organización y quiere usar métricas para evaluar las tendencias de riesgo. ¿Qué debería hacer ella para afrontar este problema? A Realizar evaluaciones de riesgos anualmente. B. Contrate una empresa de pruebas de penetración para que pruebe periódicamente la seguridad de su organización. C. Identificar y realizar un seguimiento de los indicadores clave de riesgo. D. Utilice un dispositivo SIEM para monitorear registros y eventos.
C
39. ¿Cuáles son las principales diferencias entre monitoreo integral y pasivo? R. El monitoreo integral solo funciona después de que ocurre un problema. B La supervisión pasiva no puede detectar problemas funcionales. C. El monitoreo pasivo solo funciona después de que ocurre un problema. D. El monitoreo integral no puede detectar problemas funcionales.
C
Para las preguntas 40 a 42, considere el siguiente escenario. Chris utilizó el método de prueba de penetración estándar que se muestra aquí. Utilice este método y sus conocimientos sobre pruebas de penetración para responder preguntas sobre el uso de herramientas durante las pruebas de penetración. 40. ¿Cuáles son las tareas más importantes en la planificación de la Fase 1? A. Construir un laboratorio de pruebas B. Obtener autorización C. Reunir las herramientas adecuadas D. Determinar si la prueba es de caja blanca, caja negra o caja gris. 41. ¿Cuál de las siguientes herramientas es más probable que se utilice durante la fase de descubrimiento? A. Neso b.john C.Nmapa D. Nikto 42. ¿Cuál de las siguientes cuestiones es más importante abordar durante la etapa de planificación para garantizar que no se produzcan problemas durante la etapa de presentación de informes? A. Qué formato CVE utilizar B. Cómo almacenar y enviar datos de vulnerabilidad C. ¿Qué goles están prohibidos? D. ¿Cuánto tiempo debería tardar el informe?
B
C
B
•La fase de planificación incluye un acuerdo sobre el alcance y las reglas de la prueba. La fase de planificación es una etapa extremadamente importante para garantizar que el equipo de pruebas y la dirección estén de acuerdo sobre la naturaleza de las pruebas y que quede claro que están autorizadas. •La fase de recopilación y descubrimiento de información combina herramientas manuales y automatizadas para recopilar información sobre el entorno de destino. Esta fase incluye la ejecución Reconocimiento básico para determinar la funcionalidad del sistema (como acceder a sitios web alojados en el sistema) y realizar escaneos de descubrimiento de red para identificar los puertos abiertos del sistema. •La etapa de escaneo de vulnerabilidades detecta vulnerabilidades del sistema, combinando escaneo de vulnerabilidades de red, escaneo de vulnerabilidades web y escaneo de vulnerabilidades de bases de datos. •La etapa de explotación de vulnerabilidades intenta utilizar herramientas de explotación de vulnerabilidades manuales y automatizadas para intentar romper las defensas de seguridad del sistema. •La fase de informes resume los resultados de las pruebas de penetración y hace recomendaciones para mejorar la seguridad del sistema.
43. ¿Qué cuatro tipos de criterios de cobertura se utilizan comúnmente al verificar el trabajo de un conjunto de pruebas de código? A. Cobertura de entrada, extracto, rama y condición B. Números occidentales, estados de cuenta, sucursales y cobertura de condiciones. C. Cobertura AP, sucursal, límites y condiciones D. Límites, ramas, bucles y cobertura de condiciones
B
44. Como parte de su función como director de seguridad, Jacob proporciona el siguiente cuadro al equipo directivo de la organización. ¿Qué tipo de medida les proporciona? A. Medición de la cobertura B. Indicadores clave de desempeño C. Indicador de tiempo de supervivencia D. Indicadores de importancia empresarial
B
45. Al revisar los registros, ¿qué proporciona el uso de una identificación de usuario única para todos los usuarios? A. Confidencialidad B.Integridad C. Disponibilidad D. Responsabilidad contable
D
46. Durante las pruebas de software, ¿cuál de las siguientes no es una interfaz que se prueba comúnmente? A.API B. Interfaz de red C. Interfaz de usuario D. Interfaz física
B
P580 Tres tipos: Interfaz de programación de aplicaciones API interfaz de usuario interfaz fisica
47.La organización de Alan utiliza el Protocolo de automatización de contenidos de seguridad (SCAP) para estandarizar sus procedimientos de gestión de vulnerabilidades. ¿Qué componente de SCAP puede utilizar Alan para conciliar las identidades de las vulnerabilidades generadas por diferentes herramientas de evaluación de seguridad? A.OVAL B.XCCDF C. CVE D. SCE
C
Descripción de la vulnerabilidad •Protocolo de automatización de contenidos de seguridad (SCAP): SCAP es un estándar común para la descripción y evaluación de vulnerabilidades proporcionado por NIST a la comunidad de seguridad, promoviendo la automatización de las interacciones entre diferentes sistemas de seguridad. Los componentes de SCAP incluyen: •Vulnerabilidades y exposiciones comunes (CVE): proporciona un sistema de nombres para describir las vulnerabilidades de seguridad. •Sistema de puntuación de vulnerabilidades comunes (CVSS): proporciona un sistema de puntuación estandarizado que describe la gravedad de las vulnerabilidades de seguridad. •Enumeración de configuración común (CCE): proporciona un sistema de nombres para problemas de configuración del sistema. •Enumeración de plataforma común (CPE): proporciona un sistema de nombres para sistemas operativos, aplicaciones y dispositivos. •Formato de descripción de lista de verificación de configuración extensible (XCCDF): proporciona un lenguaje para describir listas de verificación de seguridad. •Lenguaje abierto de evaluación y vulnerabilidad (OVAL): proporciona un lenguaje para describir el proceso de prueba de seguridad.
48. Susan está revisando los datos de cobertura de pruebas de software y ve la información que se muestra en el siguiente cuadro. ¿Qué puede determinar sobre este proceso de prueba? (Seleccione todas las que correspondan.) R. Las pruebas no están totalmente cubiertas. B. La prueba 4 no falló. C La prueba 2 no se ejecutó correctamente. D. Se requiere una quinta ejecución de la prueba.
ANTES DE CRISTO.
49. ¿Cuál de las siguientes estrategias no es un enfoque razonable para corregir las vulnerabilidades descubiertas por los escáneres de vulnerabilidades? A. Instale el parche. B. Utilice soluciones temporales. C. Actualizar banner o número de versión. D. Utilice la capa de aplicación
C
50. Durante la prueba de penetración, Selah llamó al servicio de asistencia técnica de la empresa objetivo y afirmó ser asistente de un asociado senior de la empresa. Pidió al servicio de asistencia técnica que restableciera la contraseña del asociado senior porque tenía problemas con su computadora portátil mientras viajaba, y la convencieron con éxito para que lo hicieran. ¿Qué tipo de ataque completó con éxito? A. Ataque de conocimiento cero B. Ayudar y engañar C. Ataques de ingeniería social D. Pruebas de caja negra
C
51. En esta imagen, ¿qué problemas pueden surgir debido a la configuración del procesamiento de registros? R. Los registros pueden perderse durante el archivado. B. Los datos de registro pueden sobrescribirse. C. Es posible que los datos de registro no contengan la información requerida. D. Los datos de registro pueden llenar el disco del sistema.
D
52. ¿Cuál de los siguientes no es un riesgo asociado con las pruebas de penetración? A. La aplicación falla B. Denegación de servicio C.Corte de energía D. Corrupción de datos
C
53. ¿Qué publicación especial del NIST cubre la evaluación de los controles de seguridad y privacidad? A.800-12 B.800-53A C.800-34 D. 800-86
B
54 Michelle está realizando una evaluación cuantitativa del impacto empresarial y quiere recopilar datos para determinar el costo del tiempo de inactividad. ¿Qué información necesita recopilar de los cortes del año anterior para calcular el costo de esos cortes para el negocio? (Seleccione todas las que correspondan.) A. Tiempo de inactividad total del negocio B. Número de horas de personal necesarias para recuperarse de la falla C. Negocios perdidos por hora durante la interrupción (en dólares estadounidenses) D. Salario promedio de los empleados por hora
A B C D
55. Si la principal preocupación de Kara es evitar ataques de escuchas, ¿qué puerto debería bloquear? R. 22 B.80 C.443 D. 1433
B
56. Si la principal preocupación de Kara es evitar conexiones administrativas al servidor, ¿qué puerto debería bloquear? R. 22 B.80 C.443 D. 1433
A
57. Durante el curso de una auditoría de terceros, la empresa de Jim recibió un descubrimiento. dice: "Los administradores deben revisar los registros de éxitos y errores de las copias de seguridad diariamente y tomar medidas inmediatas para resolver las anomalías reportadas. ¿De qué problema potencial es indicativo este hallazgo?" R. El administrador no tiene forma de saber si la copia de seguridad se realizó correctamente o falló. B. Es posible que la copia de seguridad no se haya registrado correctamente. Es posible que la copia de seguridad C no esté disponible. D. Es posible que los registros de respaldo no se hayan revisado correctamente.
C
58. Jim está ayudando a su organización a decidir qué normas de auditoría se utilizarán en su organización internacional. ¿Cuál de las siguientes no es ¿Qué estándares de TI podría utilizar la organización de Jim en su revisión? A.COBIT B.SSAE-18 C.ITIL D.ISO 27001
C
59 Nicole quiere realizar una auditoría basada en estándares de su organización. ¿Cuál de los siguientes se usa comúnmente para describir requisitos comunes para los sistemas de información? A.IEC B. COBIT C.FISA D.DMCA
B
60.El equipo de Kely realiza pruebas de regresión con cada parche lanzado. ¿Qué indicador clave de desempeño deberían mantener para medir la efectividad de sus pruebas? A. Tiempo de reparación de la vulnerabilidad B. Indicador de tasa de recurrencia de defectos C. Tendencias del riesgo ponderado D. Medición de la cobertura específica de las pruebas
B
61. ¿Cuál de los siguientes tipos de revisiones de código no suelen realizar humanos? A. Verificación del software B. Programación en pares C. análisis de programa estático D. Tutorial del software
C
Para las preguntas 62 a 64, considere el siguiente escenario: Susan es la líder del equipo de control de calidad de su empresa. El equipo recibió el encargo de realizar pruebas para una versión importante del producto de software principal de la empresa. 62.El equipo de pruebas de software de Susan necesita probar cada ruta de código, incluidas las rutas que se utilizan sólo cuando ocurren condiciones de error. ¿Qué tipo de entorno de prueba necesita su equipo para garantizar una cobertura completa del código? A. Prueba de caja blanca B. Prueba de caja gris C. Pruebas de caja negra D. Pruebas dinámicas 63. Como parte de las pruebas continuas de su nueva aplicación, el equipo de control de calidad de Susan diseñó un conjunto de casos de prueba para una serie de pruebas de caja negra. Luego se ejecutan estas pruebas funcionales y se prepara un informe explicando lo sucedido. ¿Qué tipo de informes se generan normalmente durante este proceso de prueba para indicar las métricas de la prueba? A. Informe de cobertura de pruebas B. Informe de prueba de penetración C. Informe de cobertura del código D. informe de cobertura de filas 64. Como parte de las pruebas de cobertura de código, el equipo de Susan utiliza herramientas de registro y rastreo para el análisis en un entorno que no es de producción. ¿Cuál de los siguientes tipos de problemas de codificación es probable que se pasen por alto debido a cambios en el entorno operativo? A. Comprobación de límites incorrectos B. Validación de entrada condición de carrera C operaciones de puntero D
A
A
C
65. Robin realizó recientemente un análisis de vulnerabilidades y descubrió una vulnerabilidad crítica en un servidor que maneja información confidencial. ¿Qué debería hacer Bobin a continuación? Un parche B. Informe C.Corrección D. Verificación
D
P574 Detectar---Verificar---Reparar
66. Las pruebas de código automatizadas y las integraciones que Andrea ejecuta en el proceso de CI/CD de su organización fallan. ¿Qué debería hacer Andrea si la empresa necesita publicar el código de inmediato? A. Omita la prueba manualmente. B. Verifique el registro de errores para determinar el problema. C. Vuelva a ejecutar la prueba para ver si funciona correctamente. D. Envíe el código al desarrollador para que lo corrija.
B
67. Michelle quiere comparar las vulnerabilidades que encuentra en su centro de datos en función de métricas como la explotabilidad de la vulnerabilidad, la presencia de código de explotación y la dificultad de remediación. ¿Qué sistema de puntuación debería utilizar para comparar estos indicadores de vulnerabilidad? A.CSV B. NVD C. VSS D.CVSS
D
Los componentes de SCAP incluyen: •Vulnerabilidades y exposiciones comunes (CVE): proporciona un sistema de nombres para describir las vulnerabilidades de seguridad. •Sistema de puntuación de vulnerabilidades comunes (CVSS): proporciona un sistema de puntuación estandarizado que describe la gravedad de las vulnerabilidades de seguridad. •Enumeración de configuración común (CCE): proporciona un sistema de nombres para problemas de configuración del sistema. •Enumeración de plataforma común (CPE): proporciona un sistema de nombres para sistemas operativos, aplicaciones y dispositivos. •Formato de descripción de lista de verificación de configuración extensible (XCCDF): proporciona un lenguaje para describir listas de verificación de seguridad. •Lenguaje abierto de evaluación y vulnerabilidad (OVAL): proporciona un lenguaje para describir el proceso de prueba de seguridad.
68. Mientras realizaba un escaneo de puertos en su red, Alex descubrió que los puertos TCP 80, 443, 515 y 9100 respondían en múltiples hosts en varias oficinas de la empresa. ¿Qué tipo de dispositivo podría haber descubierto Alex? Un servidor web B. Servidor de archivos C. Punto de acceso inalámbrico D.Impresora
D
69 ¿Qué tipos de herramientas son Nito, Burp Sure y Woot? A.Herramientas de escaneo de vulnerabilidades de aplicaciones web B. Herramientas de revisión de código C. Herramientas de escaneo de vulnerabilidades D.Herramienta de escaneo de puertos
A
70 El equipo de Frank está probando nuevas API que los desarrolladores de la empresa están creando para su infraestructura de aplicaciones. ¿Cuál de los siguientes no es un problema de API común que podría encontrar el equipo de Frank? A. Cifrado incorrecto B. Problemas de autorización a nivel de objeto C. Problemas de autenticación de usuarios D. Falta de limitación de tarifas
A
El cifrado no está en la capa de aplicación.
71Jim está trabajando con un contratista de pruebas de penetración que recomienda usar Metaploit. ¿Qué debería esperar Jim que suceda al usar Metasploit? A. Escaneará el sistema en busca de vulnerabilidades. B. Explotar vulnerabilidades conocidas en el sistema. C. Detectar desbordamientos de buffer y otros defectos desconocidos en el servicio. D. Realizar pruebas de vulnerabilidad de día cero en el sistema.
B
72 Susan necesita asegurarse de que las interacciones entre los diversos componentes de su aplicación de comercio electrónico se manejen correctamente. Su intención es validar las capacidades de comunicación, manejo de errores y gestión de sesiones en toda la infraestructura. ¿Qué tipo de pruebas planea realizar? A. Pruebas de casos de abuso B. Prueba de fuzz C. Pruebas de regresión D. Pruebas de interfaz
D
73. Jim está diseñando el sistema de gestión de registros de la organización y sabe que necesita planificar cuidadosamente el manejo de los datos de registro de la organización. ¿Cuál de los siguientes no es un factor que debería preocupar a Jim? A. Cantidad de datos de registro B. Falta de suficientes fuentes de registro C. Requisitos de seguridad para el almacenamiento de datos D.Ancho de banda de red
B
74. La organización de Ryan quiere garantizar una gestión adecuada de las cuentas, pero no tiene una herramienta centralizada de gestión de identidades y acceso. Rvan ¿Cuál es la mejor opción al realizar la verificación de los procesos de gestión de cuentas durante una auditoría interna? AVerifique todos los cambios de cuenta en los últimos 90 días. B. Seleccione verificar cuentas de administrador de alto valor. C. Verificar todos los cambios en la cuenta dentro de los últimos 180 días. D. Realizar verificación de cuentas por muestreo aleatorio.
D
75. ¿Qué tipo de registro se genera cuando se reinicia un sistema Windows? Un error B. Advertencia C. Información D. revisión fallida
C
76. Durante la investigación, Alex notó que Michelle iniciaba sesión en su estación de trabajo a las 8 a. m. cada mañana, pero iniciaba sesión en el servidor de aplicaciones web principal del departamento poco después de las 3 a. m. de ese día. ¿Qué problema de registro común podría estar experimentando Alex? A. Formato de registro inconsistente B. Registro modificado C. Marcas de tiempo inconsistentes D. Múltiples fuentes de registro
C
77. ¿Qué tipo de análisis de vulnerabilidad accede a la información de configuración obtenida del sistema en el que se ejecuta el análisis, así como a la información obtenida a través de los servicios disponibles en la red? A. Escaneo certificado B. Escaneo de aplicaciones web C. Escaneo no autenticado D. Escaneo de puertos
A
¿Qué tipos de escaneo de vulnerabilidades pueden proporcionar acceso a la información de configuración de los sistemas y servicios en ejecución proporcionados a través de la red? Escaneo autenticado (respuesta correcta) Escaneo de aplicaciones web Escaneo no certificado escaneo de puertos El escaneo autenticado utiliza acceso de cuenta de solo lectura a los archivos de configuración, lo que permite realizar pruebas más precisas de las vulnerabilidades. Los análisis de aplicaciones web, análisis no autenticados y análisis de puertos no tienen acceso a los archivos de configuración a menos que los archivos de configuración se expongan inadvertidamente.
Para las preguntas 78-80, considere el siguiente escenario: La organización de Ben ha comenzado a utilizar STRIDE para evaluar su software e identificar agentes de amenazas y el impacto comercial que estas amenazas pueden tener. Ahora están trabajando para identificar controles apropiados para abordar los problemas identificados. 78.El equipo de desarrollo de Ben necesita resolver un problema de autorización que podría provocar una amenaza de elevación de privilegios. ¿Cuál de los siguientes controles sería el más apropiado para este tipo de problema? A. Habilite la auditoría y el registro. B. Utilice control de acceso basado en roles para operaciones específicas. C. Habilite la verificación de tipo y formato de datos. D. Realizar pruebas de lista blanca según la entrada del usuario. 79. El equipo de Ben está intentando clasificar los problemas de identificación de transacciones causados por claves simétricas compartidas por múltiples servidores. ¿A cuál de las siguientes categorías de STRIDE debería pertenecer esto? A. Fuga de información B. Denegación de servicio C. Manipulación D. Negar 80. Inicie sesión con mayor tráfico durante un ataque de denegación de servicio. Ben Xizhao utiliza un servicio de terceros para ayudar a evaluar los ataques de denegación de servicio. Vulnerabilidad absoluta de ataque al servicio. ¿Qué tipo de compromiso debería recomendar a la organización? A. Participación en ingeniería social B. Pruebas de penetración C. Prueba de carga o estrés D. Prueba mediante pruebas difusas
B
D
C
81 Chris está resolviendo los problemas de informes de gestión de eventos e información de seguridad (SIEM) de la organización. Después de analizar el problema, creía que el tiempo de las entradas de registro en diferentes sistemas era inconsistente. ¿Qué protocolo puede utilizar para resolver este problema? A.SSH B.FTP C.TLS D.NTP
D
82.Ryan está considerando utilizar pruebas fuzz en su proyecto de prueba de aplicaciones web. Tomando una desición ¿Cuál de las siguientes afirmaciones sobre las pruebas fuzz debería considerar Ryan? R. Las pruebas fuzz sólo pueden encontrar fallas complejas. B. Los evaluadores deben generar entradas manualmente. C. Es posible que las pruebas Fuzz no cubran completamente el código. D. La prueba Fuzz no puede reproducir el error.
C Las pruebas fuzz generalmente no pueden cubrir completamente todo el código del programa y generalmente se limitan a detectar vulnerabilidades simples que no involucran una lógica empresarial compleja.
83.Ken está diseñando un proceso de prueba para el software que está desarrollando su equipo. Diseñó una prueba para verificar que cada línea de código se ejecutara durante la prueba. ¿Qué tipo de análisis está realizando Ken? A. Cobertura de sucursales B. Cobertura de condición C. Cobertura de funciones D. Cobertura de la declaración
D
Para las preguntas 84 a 86, considere el siguiente escenario. Al realizar un escaneo de puertos, Ben usó la configuración predeterminada de nmap y vio los siguientes resultados. 84. Si Ben está realizando una prueba de penetración, ¿cuál debería ser su siguiente paso después de recibir estos resultados? A. Utilice un navegador web para conectarse al servidor web. B. Utilice una conexión Telnet para probar la cuenta vulnerable. C. Identifique puertos interesantes para realizar análisis adicionales. D. Utilice sqlmap en la base de datos abierta. 85. Según los resultados del análisis, ¿cuál es el sistema operativo (SO) más probable que esté ejecutando el sistema analizado? A. Versión de escritorio de Windows B.Linux C. Equipo de red D. Servidor Windows 86. El gerente de Ben está preocupado por el alcance de su exploración. ¿Qué podría preocuparle a su manager? R. Ben no ha probado el servicio UDP. B.Ben no encontró más puertos que "puertos conocidos". C. Ben no tomó huellas digitales del sistema operativo. D.Ben solo probó un número limitado de puertos.
C
B
D
87.Lucca está revisando datos sobre el proceso de recuperación ante desastres de su organización y observa que el sitio web principal de la empresa El MTD es de dos horas. Mientras probaba y validaba, ¿qué aprendió sobre el RTO del sitio? R. Tarda menos de dos horas. B. Se necesitan al menos dos horas. C. El tiempo de MTD es corto y lleva más tiempo. D. El tiempo de RTO es demasiado corto y llevará más tiempo.
A
MTD es el tiempo de inactividad máximo tolerado. Si se va a realizar la verificación MTD, los resultados de la verificación solo le indicarán el tiempo máximo que el sistema puede estar fuera de línea.
88.Diana ha contratado a un auditor externo y desea emitir un certificado de auditoría al tercero sin contener los detalles de la auditoría. ¿Qué tipo de informe SSAE 18 SOC debería solicitar? A. SOC 1 B. SOC 2 C. SOC 3 D. SOC 4
C
89. Mientras revisaba los resultados de las pruebas de software para la nueva aplicación de la organización, Madhuri notó que la aplicación producía errores que contenían información de directorio y archivo que se mostraba a los evaluadores de aplicaciones web. ¿Qué pregunta debería incluirse en su informe? R. No realiza un manejo adecuado de excepciones. B. El software no maneja adecuadamente las pruebas de casos de uso indebido. C. Es necesario eliminar las declaraciones de depuración. D. El código no se probó completamente debido a errores.
A
90. ¿Cuál es el primer paso que debe darse antes de realizar una prueba de penetración? A. Recopilación de datos B. Escaneo de puertos C. Obtener permiso D.Plan
C
91.JOHn CEO está preocupado por el grave aumento del criptomalware en la industria. Pidió garantías de que los datos de la empresa podrían recuperarse si el malware atacara y cifrara sus sistemas de producción. ¿Qué proceso se requiere para decirle que la empresa está preparada? A. Cifre todos los datos confidenciales. B. Hash de todos los datos de una organización para detectar malware criptográfico. C. Realizar verificación de respaldo. D. Utilice tecnología anti-cifrado para evitar que el malware cifre la unidad.
C
92 Joanna es la CISO de la organización y desempeña una función de supervisión de las operaciones de seguridad. Quiere asegurarse de que la supervisión administrativa de los cambios relacionados con la seguridad esté continua. En la mayoría de las organizaciones, ¿en qué sistema debería centrarse para rastrear este tipo de datos? Un sistema SIEM B.Sistema IPS C. Herramientas CMS Banco de trabajo D.ITSM
D
93. Henry quiere verificar que su respaldo sea válido. ¿Cuál de las siguientes opciones es la mejor manera de garantizar que las copias de seguridad sean útiles en un escenario real de recuperación ante desastres? R. Restaure periódicamente un archivo aleatorio para garantizar que la copia de seguridad funcione correctamente. B. Verifique periódicamente la configuración y los ajustes para verificar la configuración de la copia de seguridad. C. Verifique el registro de respaldo para asegurarse de que no haya ocurrido ningún error. D. Realice periódicamente restauraciones completas a partir de copias de seguridad para verificar el éxito.
D
94. ¿Qué tipos de vulnerabilidades no pueden encontrar los escáneres? A. Vulnerabilidades locales B. Vulnerabilidades del servicio C. Vulnerabilidades de día cero D. Vulnerabilidades que requieren autenticación
C
95. A Jacinda le gustaría medir la eficacia de su formación en seguridad como uno de sus indicadores de seguridad. ¿Cuál de las siguientes medidas es más útil para evaluar la eficacia de la capacitación en concientización sobre seguridad? (Seleccione todas las que correspondan.) A. Número de personas que participan en la formación. B. Nivel de concienciación sobre la seguridad antes y después de la formación C. Duración de la formación (en horas) 口.Número de eventos de capacitación en los que ha participado cada persona este año
AB
En el año 96, Elaine descubre una vulnerabilidad crítica previamente desconocida en un producto utilizado por su organización. Su organización toma muy en serio la divulgación ética y Elaine sigue prácticas comunes de divulgación ética. ¿Qué debería hacer ella primero? A. Desarrollar medidas o controles internos de remediación y luego divulgar públicamente la vulnerabilidad para incitar a los proveedores a parchearla rápidamente. B. Desarrollar medidas o controles internos de remediación y luego notificar al proveedor sobre el problema. C. Notificar al proveedor y darle un tiempo razonable para solucionar el problema. D. Divulgar públicamente las vulnerabilidades para que los proveedores puedan parchearlas en el momento adecuado.
C
Para las preguntas 97 a 99, considere el siguiente escenario. NIST Specral Puolircatton 800-115, Guía técnica para pruebas de penetración y pruebas de penetración, proporciona el proceso probado por el NIST para pruebas de penetración. Utilice esta imagen y su conocimiento sobre pruebas de penetración para responder preguntas. 97. ¿Cuál de las siguientes no forma parte de la fase de descubrimiento? A. Recopilación de información sobre el nombre de host y la dirección IP B. Captura de información de servicio C. Búsqueda de papelera D. Escalada de privilegios 98. NIST especifica cuatro pasos de la fase de ataque: obtener acceso, escalar privilegios, explorar el sistema y entregar herramientas. Una vez que un atacante ha instalado herramientas adicionales: ¿a qué etapa suele regresar un probador de penetración? A. Descubrir B. Obtener acceso C. Escalada de privilegios D. Navegación del sistema 99. ¿Cuál de las siguientes no es una parte típica de un informe de prueba de penetración? A. Lista de vulnerabilidades identificadas B. Todos los datos confidenciales recopilados durante las pruebas C. Calificación de riesgo para cada problema descubierto D. Orientación sobre mitigación para problemas identificados
D
B
B
100. Alox está usando nmnao para realizar un escaneo de puertos en el sistema y recibió tres mensajes de estado de puerto diferentes en los resultados. Haga coincidir cada mensaje de estado numerado con la descripción del mensaje correspondiente. Cada elemento sólo se puede utilizar una vez. mensaje de estado 1.Abrir 2. Cerrar 3. Filtrar describir R. Se puede acceder al puerto del sistema remoto, pero ninguna aplicación acepta conexiones en el puerto. B. No se puede acceder al puerto del sistema remoto. C. Se puede acceder al puerto del sistema remoto y la aplicación acepta conexiones en ese puerto.
ACB