Especialista en Respuesta a Incidentes

Respuesta correcta: C

La opción C es correcta porque el análisis de tendencias y la elaboración de informes requieren agregar señales entre distintas cuentas y a lo largo del tiempo para detectar patrones invisibles para los umbrales de cuentas individuales, y después comunicar el hallazgo con evidencia para que la dirección pueda actuar. Cerrar la observación es incorrecto porque depender exclusivamente del umbral existente por cuenta ignora precisamente el patrón analizado: un ataque distribuido está diseñado para permanecer por debajo de esos umbrales. Forzar un restablecimiento de contraseñas en toda la organización es incorrecto porque constituye una respuesta disruptiva y de uso intensivo de recursos antes de que el análisis confirme si el patrón es malicioso, benigno o de otra naturaleza. Reservar la observación para el siguiente informe trimestral es incorrecto porque el análisis de tendencias y la elaboración de informes tienen como propósito exponer riesgos emergentes de manera proactiva. Posponerla hasta una fecha fija de presentación de informes anula ese propósito y podría permitir que continúe sin atención un ataque activo contra credenciales.

Esta pregunta mide: T0164: Perform cyber defense trend analysis and reporting

Respuesta correcta: C

Ante una vulneración activa de todo el dominio, en la que un intruso todavía conserva privilegios de administrador de dominio y crea cuentas en tiempo real, la práctica estándar de respuesta a incidentes consiste en contener de forma discreta mientras se determina rápidamente el alcance total de la vulneración, para después expulsar al intruso mediante una sola erradicación coordinada. Una respuesta evidente o parcial alerta al adversario, quien puede acelerar el daño, reforzar su persistencia o quedar inactivo y regresar más adelante. Por ello, la primera medida correcta consiste en aislar los hosts afectados y ampliar el monitoreo mientras un equipo reducido identifica el movimiento lateral y la persistencia antes de ejecutar una erradicación coordinada. Deshabilitar la cuenta y restablecer esa misma noche todas las credenciales de administrador de dominio implica actuar antes de conocer el alcance y constituye precisamente una expulsión visible y parcial que alerta al intruso mientras permanecen otros puntos de acceso, por lo que es incorrecto. Capturar imágenes forenses completas de todos los servidores accesibles antes de hacer cualquier otra cosa y aplazar la contención hasta terminar las imágenes prioriza excesivamente la preservación de evidencia frente a la contención oportuna de una intrusión que está escalando activamente. La evidencia volátil puede capturarse como parte de la contención sin detener la respuesta, por lo que esta opción es incorrecta. Apagar todos los servidores accesibles interrumpe el acceso, pero destruye la memoria volátil y la evidencia de los procesos en ejecución necesarias para comprender la intrusión, y además deja sin determinar su alcance, por lo que también es incorrecto.

Esta pregunta mide: K0724: Knowledge of incident response principles and practices

Respuesta correcta: C

La respuesta correcta sigue tanto el orden de volatilidad como la prioridad de detener el acceso activo del atacante sin destruir evidencia: el aislamiento de red mediante EDR contiene de inmediato el host y lo mantiene encendido, por lo que la evidencia más frágil, la memoria, todavía puede capturarse justo después; la creación de una imagen del disco se realiza únicamente una vez asegurada esa captura de memoria. Esta secuencia detiene la intrusión, preserva la evidencia volátil y persistente, y mantiene el servidor suficientemente disponible para sustentar una decisión posterior sobre el impacto en el cierre trimestral. La opción de «apagar de inmediato» refleja el instinto común, pero equivocado, de que cortar la energía detiene la intrusión y protege la evidencia; en realidad, el aislamiento mediante EDR ya detiene el acceso de red del atacante, y apagar el equipo antes de capturar la memoria destruye el contenido de la RAM, las conexiones abiertas y los datos de los procesos, los cuales no pueden recuperarse posteriormente. La opción de «capturar la memoria antes de la contención» acierta respecto del orden de volatilidad de manera aislada, pero invierte la prioridad más importante durante una intrusión activa: retrasar el aislamiento hasta después de capturar la memoria mantiene abierto el acceso de red del atacante durante más tiempo del necesario y, dado que el aislamiento mediante EDR no apaga el host ni altera su memoria, posponerlo no aporta ningún beneficio para la adquisición de evidencia. La opción de «crear primero una imagen del disco» invierte la secuencia: esperar a que se genere una imagen completa del disco antes de atender la memoria mantiene el contenido de la RAM, incluidas las conexiones de red activas y los procesos en ejecución, expuesto al riesgo de sobrescritura o pérdida, independientemente de la ponderación que reciba la evidencia del disco en procedimientos posteriores.

Esta pregunta mide: K0725: Knowledge of incident response tools and techniques