Repaso de los temas de examen más frecuentes

La criptografía es una de las áreas temáticas más evaluadas en Security+. Domine estas comparaciones: simétrica frente a asimétrica — la criptografía simétrica (AES y 3DES) es más rápida y se utiliza para cifrar grandes volúmenes de datos; la asimétrica (RSA y ECC) es más lenta, pero resuelve el problema de la distribución de claves (se utiliza para el intercambio de claves y las firmas). Tamaños de clave que debe conocer: RSA-2048 como mínimo para la seguridad actual y AES-128 o AES-256 para el cifrado simétrico. Algoritmos habituales: SHA-256/SHA-3 para hashing, HMAC para la autenticación de mensajes, ECDHE para el intercambio de claves y AES-GCM para el cifrado autenticado. A menudo, las preguntas le piden seleccionar el algoritmo correcto para un caso de uso específico; debe saber qué clase de algoritmo (simétrico, asimétrico, hash o MAC) corresponde a cada situación.

Las preguntas sobre PKI son frecuentes y a menudo se basan en situaciones. Conozca estas funciones con precisión: Root CA — nivel superior de la jerarquía de confianza, certificado autofirmado y normalmente mantenida sin conexión; Intermediate/Subordinate CA — firma certificados de entidades finales, está en línea y permite que Root CA permanezca sin conexión; Registration Authority (RA) — verifica la identidad antes de que una CA emita un certificado (puede ser independiente de la CA); CRL (Certificate Revocation List) — lista de certificados revocados que se publica periódicamente; OCSP (Online Certificate Status Protocol) — comprobación de revocación en tiempo real; OCSP Stapling — el servidor obtiene previamente la respuesta de OCSP y la incorpora al protocolo de enlace TLS, lo que reduce la latencia. Campos de los certificados: sujeto, emisor, periodo de validez, clave pública, SAN (Subject Alternative Names) y extensiones.

Las preguntas sobre modelos de control de acceso aparecen en situaciones prácticas; debe identificar qué modelo se utiliza o cuál se recomienda. DAC (Discretionary Access Control) — el propietario del recurso controla el acceso (permisos de Windows NTFS y permisos de archivos de Linux); es flexible, pero depende del criterio del usuario. MAC (Mandatory Access Control) — el sistema aplica el control de acceso según etiquetas (Top Secret/Secret/Confidential); se utiliza en sistemas gubernamentales y militares; los usuarios no pueden cambiar los permisos. RBAC (Role-Based Access Control) — el acceso se concede según la pertenencia a un rol; es el modelo más común en empresas y es escalable. ABAC (Attribute-Based Access Control) — el acceso se basa en atributos del usuario, del recurso y del entorno; es el más flexible y se utiliza en IAM en la nube. Rule-Based AC — el acceso se determina mediante reglas (ACL de firewalls y restricciones según la hora del día).

El ciclo de vida de la respuesta a incidentes de NIST SP 800-61 es un tema que aparece con seguridad en el examen. Las cuatro fases y sus actividades principales son: Preparación — plan de IR, playbooks, formación del CSIRT, implementación de herramientas y ejercicios de simulación; Detección y análisis — clasificación inicial de alertas, identificación de IoC, determinación del alcance, clasificación de la gravedad y preservación de evidencias; Contención, erradicación y recuperación — aislamiento de la red, bloqueo de cuentas, eliminación de malware, restauración de sistemas a partir de copias de seguridad limpias y supervisión para detectar reinfecciones; Actividad posterior al incidente — análisis retrospectivo sin culpabilización, análisis de la causa raíz, documentación de las lecciones aprendidas y mejoras de los procesos. A menudo se pregunta a qué fase pertenece una actividad concreta o en qué orden se suceden las fases.

Reconozca estos ataques a partir de descripciones de situaciones: DoS/DDoS — sobrecarga de un objetivo para impedir el acceso legítimo; SYN Flood — DDoS que envía numerosos paquetes SYN sin completar el protocolo de enlace y agota la tabla de conexiones del servidor; Smurf Attack — inundación ICMP amplificada que utiliza una dirección de broadcast; ARP Poisoning — envío de respuestas ARP falsas para redirigir el tráfico a través del atacante (permite un ataque MITM); DNS Poisoning — inyección de registros DNS falsos para redirigir a los usuarios a sitios maliciosos; VLAN Hopping — ataque a la segmentación de red mediante doble etiquetado 802.1Q o negociación fraudulenta de troncales; Replay Attack — captura y retransmisión de una sesión de autenticación válida; MITM — el atacante intercepta y, opcionalmente, modifica el tráfico entre dos partes.

Las preguntas sobre el cálculo del riesgo exigen conocer con exactitud las fórmulas de riesgo cuantitativo: SLE (Single Loss Expectancy) = valor del activo × factor de exposición (EF). Ejemplo: un servidor valorado en 100.000 $ con una pérdida prevista del 40 % por incidente tiene un SLE de 40.000 $. ARO (Annual Rate of Occurrence) = número de veces que ocurre la amenaza al año. ALE (Annual Loss Expectancy) = SLE × ARO. Ejemplo: SLE de 40.000 $ × ARO de 0,5 = ALE de 20.000 $ al año. ROI de un control = (ALE antes del control) − (ALE después del control) − (coste anual del control). Si el control cuesta al año más que la reducción del ALE, no resulta rentable. Estas fórmulas distinguen el análisis de riesgos cuantitativo (valores numéricos objetivos) del cualitativo (valoraciones Alta/Media/Baja).

Las preguntas sobre protocolos de autenticación se basan en situaciones; debe identificar el protocolo correcto para cada caso: RADIUS — autenticación para el acceso a la red (VPN y Wi-Fi 802.1X); utiliza UDP y cifra únicamente la contraseña; es habitual en redes inalámbricas empresariales; TACACS+ — alternativa desarrollada por Cisco; utiliza TCP y cifra toda la carga útil; se prefiere para la administración de dispositivos (routers y switches); SAML — estándar de SSO basado en XML para aplicaciones web entre IdP y SP; es habitual para el SSO empresarial en servicios SaaS en la nube; OAuth 2.0 — marco de autorización (no de autenticación) para el acceso delegado; es lo que utiliza Facebook cuando se selecciona «Log in with Facebook»; OpenID Connect (OIDC) — capa de autenticación basada en OAuth 2.0; añade un token de identidad (JWT) al token de acceso de OAuth.

La clasificación de controles es un tema frecuente del examen. Los controles se clasifican según dos dimensiones: Tipo (por implementación): Técnicos (firewalls, cifrado y MFA), Administrativos/gerenciales (políticas, procedimientos, formación y comprobaciones de antecedentes), Físicos/operativos (cerraduras, guardias, cámaras y vallas). Categoría (por función): Preventivos (evitan que ocurra un incidente; firewall y acceso mediante tarjeta), Detectivos (identifican un incidente que ha ocurrido o está ocurriendo; IDS, registros de auditoría y CCTV), Correctivos (reducen el impacto después de un incidente; copias de seguridad y gestión de parches), Disuasorios (desalientan los ataques; señales de advertencia y cámaras de seguridad), Compensatorios (control alternativo cuando no se puede implementar el principal; aislamiento físico en lugar de cifrado para un sistema heredado).

Las preguntas sobre seguridad inalámbrica comparan generaciones de protocolos: WEP — está vulnerado y nunca debe utilizarse; emplea RC4 con una clave estática y un IV débil, y se puede descifrar en cuestión de minutos; WPA2-Personal (PSK) — utiliza CCMP/AES; es seguro, pero una clave compartida débil es vulnerable a ataques de fuerza bruta; el ataque KRACK permite eludir WPA2 (ya corregido mediante parches); WPA2-Enterprise — 802.1X con RADIUS; autenticación individual para cada usuario y sin clave compartida; es la opción más segura para las organizaciones; WPA3-Personal — SAE (Simultaneous Authentication of Equals) sustituye a PSK; ofrece secreto perfecto hacia adelante y resistencia a ataques de diccionario sin conexión; WPA3-Enterprise — añade un modo de seguridad de 192 bits con AES-256 y HMAC-SHA384. Para el examen, debe saber qué versión recomendar en situaciones domésticas, de pequeñas empresas y empresariales.

El orden de volatilidad define la secuencia en la que deben recopilarse las evidencias para conservar primero los datos más perecederos. De mayor a menor volatilidad: 1. Registros y caché de la CPU (duración de nanosegundos); 2. RAM y procesos en ejecución (duración de minutos; la pérdida de alimentación los destruye); 3. Conexiones de red y caché ARP (cambian constantemente); 4. Archivo de intercambio/paginación (refleja el contenido reciente de la RAM); 5. Imágenes de disco (persistentes, pero se pueden modificar); 6. Datos de registro y supervisión remotos (externos al sitio y los más duraderos); 7. Medios de archivo (cintas y discos de copia de seguridad; los menos volátiles). Los investigadores forenses recopilan las evidencias empezando por la parte superior de esta lista: la RAM siempre se recopila antes de crear la imagen del disco.

El modelo de responsabilidad compartida se evalúa mediante situaciones basadas en modelos de servicio. En IaaS (Infrastructure as a Service; EC2 y Azure VM), el proveedor protege el centro de datos físico y el hipervisor; el cliente protege el sistema operativo, las aplicaciones, los datos, la configuración de red y la identidad. En PaaS (Platform as a Service; Heroku y RDS), el proveedor añade el sistema operativo y el middleware; el cliente protege el código de la aplicación, los datos y la gestión del acceso. En SaaS (Software as a Service; Microsoft 365 y Salesforce), el proveedor protege todo excepto el contenido de los datos, la gestión del acceso y el cumplimiento normativo. La regla es la siguiente: cuanto mayor sea la abstracción del servicio, más responsabilidad de seguridad pasa al proveedor; sin embargo, los datos y la identidad son siempre responsabilidad del cliente en todos los modelos.

Compruebe sus conocimientos sobre los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha repasado: la selección de algoritmos criptográficos (simétricos para datos en grandes volúmenes, asimétricos para el intercambio de claves y las firmas, y AEAD para el cifrado autenticado), las fórmulas de cálculo del riesgo (SLE = AV × EF y ALE = SLE × ARO), que distinguen el análisis cuantitativo del cualitativo, y los tipos y categorías de controles (técnicos, administrativos y físicos combinados con preventivos, detectivos, correctivos, disuasorios y compensatorios). Estos temas frecuentes aparecen en varias preguntas del examen y en distintos contextos. A continuación trataremos la gestión del tiempo y las estrategias para eliminar respuestas con el fin de maximizar su puntuación en el examen.