Analista de Inteligencia de Amenazas

Pregunta de muestra 1

Durante una revisión posterior a un incidente, un analista de inteligencia de amenazas de una red regional de servicios de salud examina una intrusión en la que el adversario permaneció inactivo durante seis horas después del acceso inicial obtenido por phishing, luego realizó un reconocimiento lento y metódico de los recursos compartidos de archivos, y solo escaló a un volcado agresivo de credenciales una vez que encontró un recurso compartido con registros de facturación sin cifrar. El analista está decidiendo dónde enfocar la siguiente ronda de contenido de detección. ¿Qué conclusión sobre el proceso de toma de decisiones del adversario debe guiar de manera más directa esa decisión?

1. A.El adversario contuvo las acciones agresivas hasta localizar datos de alto valor, por lo que las detecciones deben señalar como de alta prioridad la transición del reconocimiento al acceso a datos de alto valor.
2. B.La inactividad de seis horas demuestra que el adversario es lento y poco sofisticado, por lo que el esfuerzo de detección se aprovecha mejor en intrusiones más rápidas y ruidosas.
3. C.Dado que en este caso el volcado de credenciales siguió al reconocimiento, es probable que futuras intrusiones repitan esta misma línea de tiempo de seis horas, por lo que las revisiones pueden programarse alrededor de esa ventana.
4. D.La intrusión parece oportunista y no dirigida, por lo que el esfuerzo se aprovecha mejor en firmas genéricas de malware que en lógica de detección basada en comportamiento.

Pregunta de muestra 2

En 2026, un analista de inteligencia de amenazas de un despacho jurídico de tamaño medio revisa los logs de auditoría de la nube después de que un asistente jurídico reporta una notificación inesperada de carpeta compartida. Los logs muestran que a una aplicación de terceros llamada QuickScan PDF Tools se le otorgaron permisos delegados de Mail.Read y Files.ReadWrite.All mediante una solicitud de consentimiento que el asistente jurídico no recuerda haber aprobado, y que desde entonces la aplicación ha llamado a la API del buzón para recuperar mensajes de las cuentas de otros tres socios del despacho, todo sin ningún intento de inicio de sesión ni captura de contraseña desde esas cuentas. Aplicando el conocimiento de tácticas, herramientas y técnicas adversarias, ¿cuál es la explicación más probable y la respuesta apropiada?

1. A.La cuenta del asistente jurídico fue comprometida mediante credential stuffing, por lo que el analista debe forzar el restablecimiento de contraseña únicamente para el asistente jurídico.
2. B.Se trata de un otorgamiento ilícito de consentimiento OAuth que brinda acceso persistente por API sin contraseña, por lo que se debe revocar el registro de la aplicación e invalidar sus tokens para todas las cuentas afectadas.
3. C.Las cuentas de los tres socios fueron comprometidas mediante un ataque a la cadena de suministro en la infraestructura del proveedor del PDF, por lo que el analista debe bloquear los rangos de IP del proveedor en el firewall.
4. D.Un correo electrónico de phishing entregó una macro maliciosa que estableció un punto de apoyo en el endpoint del asistente jurídico, por lo que el analista debe aislar ese endpoint y ejecutar un escaneo de antivirus.

Pregunta de muestra 3

Usted es analista de inteligencia de amenazas en una empresa de logística en 2026 y evalúa si una nueva intrusión pertenece al Actor X, un grupo mencionado recientemente en múltiples reportes de prensa por una ola de ataques en su sector. Algunos indicadores técnicos de la intrusión coinciden con la familia de malware conocida del Actor X, pero el patrón de registro de la infraestructura de comando y control, la marca de tiempo y las cadenas de configuración regional del binario compilado, y las horas de operación acotadas de la actividad no corresponden con el perfil establecido del Actor X, y en cambio se asemejan a un actor distinto y menos publicitado que su equipo ya ha rastreado antes. Su gerente quiere un informe rápido de atribución que nombre al Actor X, citando la cobertura de prensa. Aplicando su conocimiento de herramientas y técnicas analíticas, ¿cuál es la manera más defendible de proceder?

1. A.Dado que el Actor X ya aparece nombrado en varios reportes de prensa recientes y una familia de malware coincide, redactar de todos modos la atribución formal como Actor X, y mencionar los detalles discordantes de infraestructura y de marca de tiempo solo como una salvedad menor enterrada en una nota final.
2. B.Aplicar una técnica estructurada como el Análisis de Hipótesis en Competencia, contrastando a ambos actores candidatos contra cada indicador, incluidos los que no encajan con el Actor X, y dejar que la hipótesis que mejor sobreviva a la evidencia en contra determine la atribución, aun si contradice la narrativa de la prensa.
3. C.Dado que algunos indicadores técnicos apuntan hacia el Actor X y otros en sentido contrario, tratar la atribución como incognoscible y omitir cualquier nombre de actor en la evaluación, en lugar de aplicar una técnica estructurada que podría ponderar sistemáticamente la evidencia en contra frente a ambas hipótesis candidatas.
4. D.Presentar a ambos actores posibles como candidatos igualmente probables en el informe final sin ponderar ninguno de los indicadores frente a cada hipótesis de manera individual, ya que la atención de la prensa por sí sola da al Actor X suficiente credibilidad para figurar junto al candidato alternativo sin mayor comparación analítica de la evidencia.