Analista SOC

Pregunta de muestra 1

Un analista de SOC de una red regional de servicios de salud revisa seis meses de historial de alertas del SIEM como parte del análisis de tendencias rutinario del equipo. Los intentos fallidos de inicio de sesión por VPN han aumentado 40 por ciento mes con mes, pero las fallas están dispersas entre muchas cuentas distintas, por lo que ninguna cuenta individual supera el umbral existente de alerta por fuerza bruta. ¿Qué debe hacer el analista a continuación?

1. A.Cerrar la observación sin mayor revisión, ya que ninguna cuenta individual superó el umbral de alerta y el SIEM habría detectado un ataque genuino.
2. B.Forzar un restablecimiento inmediato de contraseña para todos los usuarios de VPN de la organización antes de completar cualquier análisis adicional del patrón de inicios de sesión.
3. C.Agregar los inicios de sesión fallidos por cuenta y en el tiempo para verificar si se trata de un ataque distribuido de baja frecuencia contra credenciales, y reportar la tendencia a la dirección con evidencia de respaldo.
4. D.Reservar la observación para el siguiente informe trimestral de cumplimiento programado, ya que todavía no ha generado un ticket de incidente activo.

Pregunta de muestra 2

El administrador de bases de datos de Meridian Financial cuenta con autorización permanente para exportar cada noche extractos de informes a un proveedor mediante SFTP, normalmente de 1 a 3 GB por noche. Al revisar seis semanas de logs de exportación, un analista del SOC observa que el DBA ha añadido una segunda exportación casi todas las noches, con un tamaño consistente de entre 4.6 y 4.9 GB, apenas por debajo del umbral de alerta de 5 GB por transferencia de la herramienta de DLP, y que estas segundas exportaciones se cargan en un GitHub Gist personal en lugar de enviarse por la ruta SFTP del proveedor. ¿Qué hallazgo es el indicador más sólido de que se trata de una evasión deliberada de los controles de monitoreo y no de un cambio rutinario en el volumen de exportación?

1. A.El volumen nocturno combinado de exportaciones del DBA, sumando ambas transferencias, es mayor que el de hace seis meses.
2. B.La segunda exportación tiende a ocurrir en noches en las que el DBA también registró jornadas largas en el sistema de tickets.
3. C.El tamaño de la segunda exportación se mantiene apenas por debajo del umbral del DLP noche tras noche, mientras se mueve por un canal personal no monitoreado.
4. D.Tanto la exportación SFTP al proveedor como la segunda exportación provienen de las mismas tablas de informes financieros con las que el DBA trabaja normalmente.

Pregunta de muestra 3

Un feed de inteligencia de amenazas al que está suscrita la organización emite un boletín urgente que describe una nueva campaña dirigida contra servidores de orquestación de CI/CD basados en Java a través de un puerto de administración expuesto, y enumera ocho direcciones IP como infraestructura activa de command-and-control. El analista de SOC debe decidir cómo responder. El orquestador de CI/CD de la organización se ejecuta en una plataforma distinta, que no es Java, y noventa días de logs del firewall no muestran tráfico entrante ni saliente que involucre ninguna de las ocho IP enumeradas. Aplicando los principios y las prácticas de inteligencia de amenazas, ¿cuál es el siguiente paso más apropiado?

1. A.Registrar los ocho indicadores en la plataforma de inteligencia de amenazas para correlación futura, señalar que la plataforma atacada y el patrón de tráfico observado no coinciden con el entorno de la organización, y priorizar el boletín por debajo de la inteligencia que describe amenazas al stack tecnológico real de la organización.
2. B.Bloquear las ocho direcciones IP en el perímetro de la red de inmediato y tratar el boletín como máxima prioridad, aunque la campaña esté dirigida contra una plataforma distinta y no haya aparecido tráfico coincidente, ya que todo indicador de command-and-control de un feed suscrito debería atenderse de la misma manera sin importar su relevancia.
3. C.Descartar el boletín y no registrar los ocho indicadores en ningún lugar de la plataforma de inteligencia de amenazas, ya que la campaña está dirigida contra una plataforma de CI/CD distinta y no ha aparecido tráfico coincidente, y una discrepancia en ambos aspectos significa que la inteligencia no tiene ningún valor adicional que valga la pena conservar.
4. D.Reenviar las ocho direcciones IP al equipo de redes para su bloqueo, pero no hacer ningún cambio en las propias interfaces de administración expuestas del orquestador de CI/CD, ya que la discrepancia de plataforma y los noventa días sin tráfico coincidente en conjunto ya confirman que el entorno nunca estuvo expuesto a esta campaña.