Cuestionario de Desarrollo Seguro 2

AI✦

Una empresa adopta microservicios "porque otras empresas exitosas los usan", sin evaluar su contexto. ¿Qué error conceptual comete?. Usar cifrado en exceso. No usar arquitectura en la nube. Implementar seguridad en todas las fases. Elegir una arquitectura sin validar si resuelve su problema específico.

¿Qué proceso se utiliza para identificar y mitigar riesgos asociados al nuevo uso de datos durante el desarrollo de modelos de IA?. Validación continua del modelo. Análisis de impacto de privacidad (PIA). Almacenamiento masivo de datos. Monitoreo de métricas clave.

Un usuario solicita corregir datos personales incorrectos, pero el desarrollador limita la petición por costos de sistema. ¿Qué derecho se está infringiendo?. Es recomendable / Es opcional. Viola el derecho de corrección. No afecta la precisión.

En un entorno de ejecución de contenedores, un equipo recibe alertas de seguridad automatizadas sobre vulnerabilidades críticas en uno o varios contenedores en uso. ¿Cuál debería ser la acción prioritaria e inmediata para mitigar el riesgo?. Ignorar las alertas si el contenedor parece funcionar bien. Actualizar todos los contenedores sin pruebas. Deshabilitar la red para prevenir accesos no autorizados. Rastrear y verificar las vulnerabilidades identificadas.

¿Qué enfoque de gestión de TI utiliza scripts y archivos de definición para automatizar el aprovisionamiento de servidores y bases de datos, garantizando la consistencia del entorno?. DevSecOps. Administración de artefactos. Infraestructura como Código (IaC). Consistencia operativa.

Para prevenir fugas de secretos en repositorios públicos durante la fase de pipeline DevSecOps, ¿qué control debe implementarse?. Aplicar análisis de vulnerabilidades en la etapa de prueba. Implementar controles Git para proteger las credenciales de seguridad. Utilizar claves SSL incrustadas en el código fuente.

¿Qué condición técnica, como la falta de límites en peticiones complejas o el uso excesivo de CPU, facilita la ejecución de un ataque DoS/DDoS contra una API?. La ausencia de mecanismos de autenticación en el servidor. Una validación deficiente o inexistente de las URLs. El uso de credenciales de acceso sin cifrado. Un volumen excesivo de solicitudes simultáneas provenientes de más de un solo origen provoca la saturación de los recursos disponibles en la API.

¿Cuando una aplicación móvil hereda una vulnerabilidad crítica de una dependencia de terceros (SDK de publicidad o una librería de parsing) y la usa para ejecutar código malicioso, qué vulnerabilidad está siendo explotada?. Configuración incorrecta de seguridad. Criptografía insuficiente. Autenticación insegura. Seguridad inadecuada de la cadena de suministro.

Un atacante manipula la aplicación móvil para obtener acceso a la red interna de la entidad y eludir los controles de seguridad de red. ¿Qué vulnerabilidad está explotando?. Autenticación insegura. Seguridad inadecuada de la cadena de suministro. Configuración incorrecta de seguridad. Protección binaria insuficiente.

Un atacante accede a datos almacenados en una base de datos local sin cifrar que corre en el dispositivo móvil. ¿Qué vulnerabilidad está siendo explotada por parte del atacante?. Almacenamiento inseguro de datos. Autenticación insegura. Configuración incorrecta de seguridad. Criptografía insuficiente.

Un atacante realiza ingeniería inversa sobre una aplicación móvil para analizar binarios compilados, logrando extraer una clave API embebida que permite el acceso a servicios sensibles... ¿Qué tipo de vulnerabilidad está siendo explotada?. Almacenamiento inseguro de datos. Protección binaria insuficiente: que permite a los atacantes analizar, modificar o descompilar el código de la aplicación, exponiendo credenciales, claves API u otros elementos sensibles embebidos en el binario. Autenticación insegura. Validación insuficiente.

¿Qué control de seguridad implementa verificaciones de integridad para detectar si el binario ejecutable o los recursos de la aplicación han sido manipulados o reempaquetados?. MASVS-RESILIENCE. MASVS-CRYPTO. MASVS-STORAGE. MASVS-NETWORK. MASVS-DEVOPS. MASVS-AUTH.

Verdadero o falso: La validación en el navegador mediante atributos HTML5 es suficiente por sí misma para proteger la integridad de los datos antes de su persistencia en la base de datos. Falso. Verdadero.

¿Cuál de las siguientes acciones es fundamental para mitigar de forma sistémica la configuración insegura o incorrecta en entornos de producción?. Aplicar buenas prácticas de hardening. Ignorar control de versiones. No actualizar bibliotecas. Deshabilitar el monitoreo.

¿Cuál es la medida técnica más robusta para neutralizar ataques relacionados de contraseñas y sesiones?. Implementar autenticación multi-factor. No invalidar sesiones. Permitir contraseñas débiles. Reutilizar credenciales conocidas.

Un desarrollador olvida desactivar el Modo Debug en un entorno de producción. Siguiendo el principio de Manejo Seguro de Excepciones, ¿qué tipo de hueco de seguridad se puede abrir?. Header injection. Error-based information leakage. SQLI. Enumeration fuzzing.

Cuando un sistema no implementa la invalidación de tokens en el lado del servidor tras el logout, una persona que haya capturado un JWT o una cookie de sesión puede seguir realizando peticiones válidas. ¿Qué vulnerabilidad presenta?. Clickjacking. Broken Session Invalidation. Token Reuse. Persistent Session.

En el contexto de seguridad, ¿qué abarca la seguridad de una base de datos?. Solo la protección de los datos. Solo el servidor de base de datos. Protección del software de la aplicación. Datos, motor/DBMS y componentes que interactúan con la BD.

Durante el desarrollo, el equipo detecta que ciertas decisiones de diseño generan mucha superficie de ataque y que corregirlas después implicará rehacer módulos completos. ¿Qué técnica debió aplicarse primero para reducir ese riesgo?. Actualización de la base de datos a una versión más reciente. Revisión ortográfica y de estilo del código fuente. Modelado de amenazas durante la fase de diseño. Ejecución de copias de seguridad diarias del repositorio.

¿Qué tipo de aplicaciones suele bloquearse o limitarse al detectar root o jailbreak en un dispositivo?. Mensajería y llamadas. Redes sociales y foros. Banca, pagos y finanzas. Juegos y entretenimiento.

Una vulnerabilidad se explota solo con ingresar una URL sin autenticación repetidamente. ¿Qué nivel encaja mejor?. Variable: depende de controles físicos del servidor. Alta: explotable con pasos mínimos y sin privilegios. Media: requiere permisos y múltiples pasos previos. Muy baja: requiere condiciones difíciles de replicar.

Antes de aplicar controles, una empresa clasifica información como "privada" y se define quién puede verla. ¿Qué medida de seguridad está abordando principalmente?. Confidencialidad. Disponibilidad. Auditoría. Integridad.

¿Cuál es una consecuencia común de una brecha de seguridad que involucra datos?. Mejora de la competitividad. Daño a la reputación de la marca. Ninguna de las anteriores. Aumento de ingresos.

Se detecta el uso de un algoritmo de cifrado obsoleto en un sistema. ¿Se considera qué?. Un riesgo aceptable. Una amenaza. Una vulnerabilidad. Un impacto técnico.

Aunque se aplicó cifrado fuerte, pruebas y parches frecuentes, un atacante compromete la app al encontrar credenciales en texto plano en un archivo .env. ¿Qué control preventivo se omitió?. Pruebas de penetración automatizadas. Evitar uso de microservicios. Protección física del servidor. Configuración segura y gestión de secretos/variables de entorno.

Un sistema mantiene cuentas predeterminadas habilitadas y servicios innecesarios activos. ¿Qué riesgo principal introduce esta configuración?. Incrementa el riesgo de compromiso/hackeo. Optimización de la memoria. Mejora la velocidad del sistema. Reduce el consumo de CPU.

Durante el diseño, se utiliza una técnica de modelado de amenazas que adopta el punto de vista del atacante para identificar requisitos y posibles abusos del sistema. ¿Cómo se llama esta técnica?. Historias de usuario. DRAA2. COCOMO. STRIDE. Diagrama de caso de abuso / mal uso.

¿Qué enfoque integra y verifica requisitos de seguridad a lo largo de todas las etapas del ciclo de desarrollo para asegurar su cumplimiento?. S-SDLC / DevSecOps. STRIDE. DevOps. COCOMO.

¿Cuál es la medida técnica más robusta para neutralizar ataques de suplantación de identidad y Credential Stuffing?. Reutilizar credenciales conocidas. No invalidar sesiones. Permitir contraseñas débiles. Implementar autenticación multi-factor.

Un cliente adopta nube pública, pero no define medidas para restringir acceso a datos sensibles. ¿Qué principio se compromete principalmente?. Auditoría. Disponibilidad. Integridad. Confidencialidad.

¿Qué dominio de seguridad exige que la aplicación implemente mecanismos de sanitización y validación para todas las entradas de datos externas, previniendo ataques de inyección?. MASVS-DEVOPS. MASVS-NETWORK. MASVS-CRYPTO. MASVS-STORAGE. MASVS-AUTH. MASVS-CODE.

Escenario: Un usuario de nivel básico accede a funciones de administrador en el servidor debido a una falla en la validación de permisos del lado del servidor. ¿Qué vulnerabilidad de control de acceso se describe?. Protecciones binarias insuficientes. Validación de entrada/salida insuficiente. Controles de privacidad inadecuados. Comunicación insegura. Autenticación/Autorización insegura. Uso inadecuado de credenciales.

¿Qué dominio de cumplimiento exige la implementación de un mecanismo de verificación de versiones para asegurar la distribución inmediata de parches de seguridad críticos?. MASVS-NETWORK. MASVS-AUTH. MASVS-DEVOPS. MASVS-CRYPTO. MASVS-STORAGE. MASVS-CODE.

¿Qué categorías o tipos específicos de vulnerabilidades pueden ser aprovechadas por un atacante durante la ejecución de un ataque dirigido a una Interfaz de Programación de Aplicaciones (API)?. Incluye la explotación de fallos como inyecciones SQL, configuraciones de seguridad incorrectas, y otros vectores de ataque. Vulnerabilidades solo en los servidores web. Vulnerabilidades conocidas como "fallos de seguridad". Ataques de fuerza bruta únicamente.

Cuando un usuario no autorizado logra acceder a recursos de la API como consecuencia de una falla en la autorización a nivel de objeto, ¿qué vulnerabilidad específica se encuentra presente?. Acceso no autorizado a flujos sensibles. Autorización de objeto rota. Autenticación rota. Consumo de recursos sin restricción.

Para prevenir la fuga de secretos en repositorios públicos durante la fase de codificación, ¿qué práctica de DevSecOps debe implementarse?. Usar herramientas SAST en la fase de despliegue. Implementar controles Git para proteger las credenciales de seguridad. Aplicar análisis de vulnerabilidades en la etapa de prueba. Utilizar claves SSH incrustadas en el código fuente.

¿Qué práctica de reducción de la superficie de ataque se recomienda implementar sobre la imagen del contenedor?. Cerrar o restringir el acceso al puerto. No cambiar nada si no afecta al rendimiento. Dejar el puerto abierto por conveniencia. Solo restringir el puerto para el contenedor afectado.

En un incidente de ciberseguridad, un atacante logra acceder a servidores corporativos y extraer información sensible de la organización. ¿Cómo se denomina este tipo de incidente?. Especificación de finalidad. Exfiltración de datos (brecha de datos). Auditoría periódica. Registro de base legal para el tratamiento.

Un atacante altera de forma sutil imágenes de usuarios autorizados para provocar que un sistema de reconocimiento facial falle al identificarlos. ¿Qué tipo de ataque es?. Ataque adversarial. Envenenamiento de datos. Inyección SQL. Robo de datos.

Una empresa recopila direcciones de correo para verificación de identidad, pero después las utiliza para enviar promociones sin informar al usuario. ¿Cuál es el problema principal?. No se aplicó cifrado AES-256. Se reutilizaron datos para un propósito distinto al acordado. Se excedió el tiempo de retención de datos. Se usó un algoritmo de compresión ineficiente.

¿Qué mecanismo ayuda principalmente a garantizar la integridad del software y a verificar que proviene de un editor legítimo antes de su ejecución o instalación?. Firmar digitalmente el software. Ejecutar pruebas de intrusión. Cifrar la base de datos. Ofuscar el código fuente.

Una vulnerabilidad. Una vulnerabilidad. Un impacto técnico.

¿Qué dominio de seguridad exige que la aplicación implemente mecanismos de sanitización y validación para todas las entradas de datos externas, previniendo ataques de inyección?. MASVS-DEVOPS. MASVS-NETWORK. MASVS-CRYPTO. MASVS-STORAGE. MASVS-AUTH. MASVS-CODE.

Un atacante logra acceder a información confidencial, como credenciales o datos financieros, almacenados directamente en el dispositivo móvil sin cifrado. ¿Qué vulnerabilidad es?. Autenticación insegura... Comunicación insegura... Almacenamiento inseguro de datos: que expone información sensible al guardarla sin cifrado ni controles de seguridad adecuados. Protección binaria insuficiente...

¿Por qué se considera a la API Gateway el punto crítico para realizar la validación de esquemas antes de que el tráfico sospechoso alcance los microservicios internos?. Optimizar la validación de entrada puede contribuir a que la API procese solicitudes con mayor rapidez. Con el fin de garantizar que todos los datos recibidos cumplan con los formatos, reglas y criterios de seguridad establecidos. Para favorecer una respuesta más ágil. Para conceder acceso indiscriminado a todas las solicitudes.

Un servicio API permite acceder a objetos que deberían estar restringidos para ciertos usuarios. ¿Qué tipo de problema está ocurriendo?. Función de autorización rota. Autenticación rota. Consumo de recursos sin restricción. Autorización de objeto rota.

¿Cuál es el impacto en la confidencialidad al almacenar datos sensibles en volúmenes persistentes sin aplicar Cifrado en Reposo?. Exposición de datos confidenciales y acceso no autorizado. El contenedor será más rápido. Los contenedores serán más fáciles de manejar. No habrá vulnerabilidades.

Una aplicación solicita a los usuarios aceptar términos de privacidad sin explicar para qué se utilizarán sus datos. ¿Por qué es incorrecto?. Es incorrecto porque el consentimiento debe ser informado y explícito. Es correcto si el modelo es seguro. Es válido si los datos son anonimizados. Es aceptable si se obtiene por correo después.

En soluciones de IA que tratan datos personales, ¿por qué es importante automatizar el registro y almacenamiento del consentimiento?. Porque puede omitirse si los datos provienen de internet. Porque el consentimiento no se requiere si la empresa usa IA. Porque solo aplica a empresas pequeñas o startups. Porque soporta trazabilidad/auditoría y ayuda a cumplir normativas como GDPR.

Una startup entrena un modelo para detección de fraude, pero reutiliza datos médicos recolectados para KYC. ¿Cuál es el problema principal?. La base de datos está incompleta. No se ha aplicado aprendizaje federado. El modelo no está optimizado para grandes volúmenes de datos. Se está usando información sensible para fines distintos sin permiso.

Se detecta que la API que maneja datos personales sensibles no cuenta con medidas específicas frente a registro y monitoreo seguro. ¿Qué acción debe priorizar el equipo?. Confiar únicamente en la configuración por defecto del servidor. Registro y monitoreo seguro, incorporando validaciones estrictas y monitoreo en tiempo real. Reducir el alcance de registro y monitoreo limitando endpoints. Delegar completamente la gestión a un tercero.

¿Qué práctica ayuda a asegurar que los datos de entrenamiento sean representativos de la población objetivo?. Uso de dashboards en tiempo real. Pruebas de caja negra. Implementación de OWASP ZAP. Validación de conjuntos de datos.

¿Cuál de las siguientes opciones NO corresponde a un tipo de control de seguridad?. Control de seguridad física. Control de hardware especializado. Control de seguridad en la nube. Control de ciberseguridad.

Los trabajadores de una empresa tienen un portal web donde pueden ver sus órdenes de pago, pero un trabajador genera y realiza los pagos, mientras su jefe directo autoriza. ¿A qué principio corresponde?. Mecanismo menos común. Menor privilegio. Economía de mecanismos. Separación de responsabilidades. Mediación completa.

El CTO decide no mitigar una amenaza por costo alto y bajo impacto esperado. ¿Qué estrategia aplica?. Evitación del riesgo. Transferencia del riesgo. Aceptación del riesgo. Mitigación del riesgo.

Un desarrollador identifica que la página de búsqueda recibe datos desde el usuario. Desde el enfoque de programación segura, ¿qué acción es prioritaria?. Cambiar el diseño gráfico para mejorar la experiencia de usuario. Desactivar la página temporalmente. Aumentar el tamaño de la base de datos. Tratarlo como punto de entrada y aplicar controles de validación/sanitización.

Una empresa trata la seguridad como una etapa única del proyecto. ¿Qué error conceptual comete?. Considera la seguridad como un estado finito, no como un proceso. Prioriza disponibilidad por encima de confidencialidad. Confunde controles preventivos con correctivos. Sustituye pruebas técnicas por auditorías.

¿Qué protocolo de aplicación, que opera sobre una capa de cifrado TLS 1.2 o 1.3, debe utilizarse mandatoriamente para la transmisión de credenciales y datos sensibles?. HTTP. HTTPS. Telnet. FTP.

¿Cuál es la estrategia técnica recomendada para garantizar la eficacia del monitoreo de seguridad en una infraestructura distribuida?. Generando registros en un formato procesable. No configurar alertas. Usar bases de datos sin integridad. Permitir modificaciones no controladas.

Escenario: Una aplicación cifra su tráfico mediante TLS pero no verifica la cadena de confianza del certificado del servidor. ¿Qué ataque facilita?. Protecciones binarias insuficientes. Controles de privacidad inadecuados. Uso inadecuado de credenciales. Validación de entrada/salida insuficiente. Comunicación insegura.

Un atacante modifica los binarios de la aplicación para eludir controles de seguridad y concederse accesos a funciones de pago sin haber pagado. ¿Qué vulnerabilidad explota?. Protección binaria insuficiente. Almacenamiento inseguro de datos.

¿Qué tipo de vulnerabilidad posibilita que un atacante acceda, modifique o elimine valores de las propiedades de los objetos gestionados por la API, comprometiendo la integridad y confidencialidad?. Acceso sin restricciones a flujos comerciales sensibles. Gestión inadecuada del inventario. Consumo de recursos sin restricciones. Falsificación de solicitudes del lado del servidor. Autorización de nivel de propiedad de objeto roto.

Un cliente crítico reporta problemas de auditoría de configuraciones y cumplimiento. ¿Cuál estrategia mitigaría de forma más robusta el problema?. Depender únicamente de auditorías anuales. Usar configuraciones por defecto. Reducir la funcionalidad afectada sin evaluar impactos. Implementar una solución integral para auditoría de configuraciones y cumplimiento con monitoreo continuo, validación automatizada y procedimientos de respuesta documentados.

Un equipo utiliza herramientas de automatización en la nube. ¿Qué deberían proteger para evitar ataques?. Las claves SSH solamente. Los contenedores únicamente. Los scripts de automatización y las herramientas de aprovisionamiento. Las bases de datos en la nube.

Un equipo realiza una revisión de seguridad de sus contenedores. ¿Qué aspecto deben evaluar primero?. La seguridad del host del contenedor. La cantidad de tráfico de red. El tamaño de las imágenes. El número de contenedores utilizados.

Un equipo entrena un modelo de clasificación con ejemplos que incluyen pequeñas perturbaciones diseñadas para engañarlo, con el fin de hacerlo más resistente. ¿Qué práctica están aplicando?. Entrenamiento adversarial. Redundancia de modelos. Evaluación de riesgos. Análisis de vulnerabilidades.

Una IA médica presenta diagnósticos incorrectos con mayor frecuencia en ciertos grupos minoritarios debido a subrepresentación en el entrenamiento. ¿Qué debió hacerse para prevenir este sesgo?. Aplicar almacenamiento federado. Entrenar sin supervisión. Usar solo datos sintéticos. Usar conjuntos de datos diversos y balanceados.

En una auditoría se detecta que un sistema de IA conserva datos personales durante mucho más tiempo del necesario y no cuenta con eliminación automática. ¿Qué principio se incumplió?. Defensa adversarial. Especificación de finalidad. Precisión del modelo. Limitación de almacenamiento.

Se detecta que una API crítica no válida entradas. El gerente sugiere revisarlo recién en pruebas. ¿Cuál es el problema principal?. Se debe usar microservicios para evitar vulnerabilidades. La validación no es necesaria si se usa cifrado. No es un problema: las pruebas siempre encuentran todo. La seguridad debe revisarse en etapas tempranas para evitar costos y retrasos.

Una empresa usa TLS y MFA en producción, pero no define procesos para responder a vulnerabilidades. ¿Qué tipo de control se omitió?. Detectivo. Preventivo. Planes de recuperación/continuidad ante incidentes y desastres. Correctivo.

Un sistema de e-commerce guarda claves de licencia dentro de binarios. ¿Qué riesgo introduce esta práctica?. Menor velocidad de ejecución. Que se extraigan mediante depuración o ingeniería inversa. Menor uso de memoria. Mejor rendimiento.

¿Qué estrategia de tratamiento del riesgo consiste en eliminar la exposición, por ejemplo, retirando o descontinuando un software vulnerable?. Ignorar el riesgo. Evitar el riesgo. Mitigar el riesgo. Aceptar el riesgo.

En criptografía asimétrica, ¿cuál es la clave que se comparte libremente?. Clave privada. Clave maestra. Clave de sesión. Clave pública.

¿Qué práctica reduce de forma más efectiva el riesgo de inyección SQL al procesar datos ingresados por usuarios?. Cifrado de datos. Validación de entrada. Hashing/cifrado de contraseñas. Consultas parametrizadas (prepared statements).

Un desarrollador libera una aplicación sin controles sobre datos recibidos desde formularios web, observando comportamientos inesperados después. ¿Cuál fue el fallo más probable?. No implementar validación y sanitización de entradas. Usar HTTP en lugar de HTTPS. No actualizar el diseño de la interfaz. Aplicar control de acceso solo a usuarios anónimos.

¿Cuál es el propósito principal de realizar una lluvia de ideas de amenazas durante el modelado de amenazas?. Identificar amenazas relevantes pensando como un atacante. Definir ataques únicamente mediante notación formal. Calcular el impacto económico como único criterio. Establecer límites de confianza como único objetivo.

¿Cómo se categoriza técnicamente la vulnerabilidad que ocurre cuando una operación de escritura excede los límites de un bloque de memoria asignado, sobrescribiendo direcciones adyacentes?. Denegación de servicio. Keylogger. Inyección. XSS. Falsificación de solicitudes del lado del servidor. Buffer overflow.

Desde la perspectiva de la integridad de datos, ¿por qué la falta de bloqueos de fila o niveles de aislamiento adecuados permite que two hilos lean el mismo valor inicial de saldo?. Confusión de estados. Race conditions. Doble hashing. Subida de datos.

¿Cuál es el propósito primordial de una Prueba de Penetración (Pentest) en el marco de una auditoría de seguridad?. Probar la funcionalidad del código. Medir la resistencia frente a ataques. Evaluar el diseño de interfaz.

Se permite acceso directo a funciones criptográficas que pueden descifrar datos. ¿Riesgo crítico?. Autenticación multifactor con baja usabilidad. Uso de cifrado fuerte en bases de datos. Control de acceso insuficiente a operaciones criptográficas sensibles. Falta de parches en el sistema operativo del servidor.

Una aplicación valida datos solo del lado del cliente, asumiendo que el usuario no manipulará el formulario. ¿Cuál es la principal falla?. Mejora la experiencia del usuario al reducir fricción. Reduce la carga del servidor. Permite omitir o alterar las validaciones desde el cliente. Aumenta la eficiencia del backend.

Un atacante modifica una solicitud para asignarse el rol de administrador y poder crear/editar/eliminar recursos (sin leer datos cifrados). ¿Qué categorías STRIDE aplican mejor? (Seleccione 2). Spoofing. Information Disclosure. Denial of Service. Repudiation. Tampering. Elevation of privileges.

Cuando un backend está configurado para aceptar el algoritmo none en la cabecera del JWT, ¿qué puede hacer un atacante?. Data harvesting. Reutilización de tokens. Suplantación de identidad. Token injection.

¿Cuál es el valor técnico primordial de las aplicaciones web bajo el paradigma SaaS (Software as a Service)?. Servicios accesibles exclusivamente desde dispositivos móviles. Herramientas para crear aplicaciones sin programación. Acceso exclusivo a bases de datos empresariales. Servicios accesibles mediante navegadores.

¿Cuál es la metodología de pruebas de seguridad (Análisis de Caja Blanca) que consiste en el examen sistemático del código fuente o binarios sin ejecutarla?. Escaneo dinámico. Escaneo estático. Análisis de diccionario. Revisión de pares.

Un servidor permite ejecutar scripts de mantenimiento sin autenticación. ¿Qué tipo de riesgo representa?. Cache poisoning. Seguridad por oscuridad. Timeout prolongado. Fallo en control de acceso.

En el contexto de un SDLC seguro, ¿qué técnica de prueba activa es responsable de detectar vulnerabilidades de inyección mediante la manipulación de peticiones HTTP?. Prueba de regresión. Prueba funcional. Prueba de penetración. Prueba de rendimiento.

Para asegurar una videoconsulta médica, ¿qué combinación de protocolos de transporte seguro (SRTP) y políticas de prevención de captura de pantalla garantiza la privacidad total?. Permitir acceso con enlaces públicos sin restricción. Usar cifrado débil para mejorar rendimiento. Cifrado de extremo a extremo, autenticación de participantes y bloqueo de grabaciones no autorizadas. Permitir videollamadas sin autenticación previa.

Si una aplicación de pagos detecta que el sistema operativo ha perdido su integridad (Root/Jailbreak), ¿cuál debería ser la respuesta automática?. Bloquear el acceso desde dispositivos rooteados y activar monitoreo de integridad. Confiar en que el usuario mantenga el dispositivo seguro. Desactivar verificaciones de seguridad. Permitir el uso en dispositivos rooteados.

Una aplicación hace uso de HTTPS entre una app móvil y un backend, pero se detecta que los datos sensibles pueden ser interceptados y manipulados. ¿Qué vulnerabilidad específica es?. Ataques de intermediario (MITM) debido a una validación insuficiente de certificados o mala implementación de TLS. Falta de validación de entrada. Vulnerabilidad de inyección en la base de datos. Comunicación insegura por ausencia de protocolos.

En una app móvil, datos sensibles como credenciales o archivos privados son guardados en un directorio de acceso público donde otras apps pueden leerlos. ¿Qué vulnerabilidad es?. Almacenamiento inseguro de datos: al guardar información en ubicaciones accesibles públicamente. Comunicación insegura. Protección binaria insuficiente. Autenticación insegura.

Un atacante explota una vulnerabilidad en una biblioteca de software externa para inyectar código malicioso en la aplicación móvil. ¿A qué vulnerabilidad se refiere?. Seguridad inadecuada de la cadena de suministro. Autenticación insegura. Almacenamiento inseguro de datos. Criptografía insuficiente.

Si un sistema API procesa un volumen excesivo de solicitudes que saturan los recursos del servidor y degradan el rendimiento, ¿qué vulnerabilidad o ataque se presenta?. Acceso no autorizado a flujos sensibles. Consumo de recursos sin restricción. Autorización de función rota. Autenticación rota.

¿Qué vulnerabilidad de Gestión de Sesiones Insegura se explota cuando un atacante captura un token de acceso activo para suplantar la identidad de un usuario legítimo?. Consumo de recursos sin restricción. Autenticación rota. Autorización de objeto rota. Acceso no autorizado a flujos sensibles.

En el diseño de arquitectura de seguridad, el objetivo es evitar que las amenazas se materialicen desde el inicio. ¿Qué enfoque describe esto?. Proactivo. Correctivo. Detectivo. Reactivo.

En una revisión de arquitectura se busca que las operaciones del negocio no se interrumpan. ¿Qué requisito se prioriza?. Integridad. Confidencialidad. Antipiratería. Disponibilidad.