SIMULADOR DE FORMULACIÓN Y EVALUACIÓN DEL TRABAJO DE TITULACIÓN 1

P1. En una investigación pericial, ¿cuál es el propósito fundamental de crear una imagen forense bit a bit antes de iniciar el análisis?. Aumentar la velocidad de búsqueda mediante la compresión automática del disco original. Reparar los sectores defectuosos del soporte original antes de examinar sus particiones. Eliminar malware del dispositivo para impedir que las herramientas forenses se infecten. Analizar una copia exacta y preservar el dispositivo original frente a alteraciones o sobrescrituras.

P2. ¿Cuál es la función principal del especialista que interviene en la escena de un incidente informático?. Analizar en profundidad todos los datos y emitir de inmediato el informe pericial definitivo. Gestionar exclusivamente órdenes judiciales y representar legalmente a la organización afectada. Redactar por sí solo la sentencia y defender la decisión jurídica ante el tribunal competente. Delimitar y documentar la escena, identificar las fuentes de evidencia y recolectarlas sin alterarlas.

P3. En un disco duro sin sobrescritura posterior, ¿por qué puede recuperarse un archivo después de vaciar la papelera de reciclaje?. Porque todos los archivos eliminados se sincronizan obligatoriamente con una cuenta de almacenamiento en la nube. Porque se elimina su referencia lógica y el espacio se marca como disponible, aunque los datos pueden permanecer físicamente. Porque el MBR duplica automáticamente el contenido de cada archivo dentro del sector de arranque. Porque el sistema operativo crea siempre una copia íntegra en una partición oculta de recuperación.

P4. Un disco utiliza un esquema con capacidad direccionable típica de hasta 2 TiB y un máximo de cuatro particiones primarias. ¿Qué esquema es?. a. GUID Partition Table (GPT). b. Master Boot Record (MBR). c. File Allocation Table 32 (FAT32). d. New Technology File System (NTFS).

P5. ¿Qué tecnología explica que la recuperación de archivos borrados sea generalmente más difícil en un SSD moderno que en un HDD?. a. GPT, que sobrescribe de forma obligatoria todo el espacio libre del dispositivo con ceros. b. La fragmentación extrema de la memoria flash, que impide cualquier recuperación por firmas. c. TRIM, que informa al SSD qué bloques ya no se necesitan y permite que su controlador los depure posteriormente. d. El cifrado obligatorio de la interfaz SATA, que oculta todos los bloques sin la tabla de archivos.

P6. ¿Qué elemento es esencial para demostrar la trazabilidad y preservar la autenticidad e integridad de una evidencia digital?. a. La presencia continua de un notario durante todas las actividades realizadas en el laboratorio. b. El empleo exclusivo de programas comerciales certificados por el fabricante del sistema operativo. c. La cadena de custodia, con el registro de cada transferencia, acceso, responsable, fecha y procedimiento. d. La eliminación de los metadatos para impedir que terceras personas conozcan el origen del archivo.

P7. En Windows, ¿qué fuente permite investigar el historial de dispositivos USB conectados al equipo?. a. La tabla MBR del disco principal, porque almacena el listado de periféricos conectados. b. El Registro de Windows, especialmente claves como USBSTOR y MountedDevices. c. Los metadatos EXIF, que registran automáticamente cada memoria USB utilizada. d. El proceso explorer.exe, que conserva indefinidamente todo el historial de conexiones.

P8. El modelo de cámara, la fecha de captura y las coordenadas GPS almacenadas en una fotografía se clasifican como: a. Clústeres de datos. b. Firmas de archivo. c. Metadatos. d. Imagen forense.

P9. Tras un formateo rápido, los índices del sistema de archivos han desaparecido, pero parte de los datos continúa en el soporte. ¿Qué técnica resulta adecuada?. a. File carving o recuperación por firmas de archivo. b. Cálculo de hashes únicamente sobre el soporte original. c. Reconfiguración de UEFI para reconstruir automáticamente los archivos. d. Análisis proactivo del tráfico de red de la organización.

P10. ¿Cuál es la diferencia principal entre el análisis forense de redes reactivo y el enfoque proactivo?. a. El reactivo investiga un incidente detectado; el proactivo monitorea y conserva información para identificar amenazas tempranamente. b. El reactivo recupera archivos borrados; el proactivo analiza únicamente metadatos de imágenes. c. El reactivo utiliza solo hardware; el proactivo se limita a revisar disposiciones jurídicas. d. El reactivo se aplica a móviles; el proactivo se usa exclusivamente en servicios de nube.

P11. ¿Cuál es el propósito central de un análisis forense informático?. a. Eliminar los registros de acceso con el fin de proteger la privacidad de la organización investigada. b. Identificar, preservar, analizar y presentar evidencia digital para reconstruir hechos de forma técnicamente sustentada. c. Buscar únicamente vulnerabilidades futuras sin examinar las acciones ocurridas en el incidente. d. Sustituir inmediatamente todo el hardware comprometido para reducir las pérdidas económicas.

P12. Durante la preservación, ¿cuál es la función principal de la cadena de custodia?. a. Acelerar el borrado de datos temporales para disponer de más espacio en los servidores examinados. b. Cifrar todos los discos incautados para impedir incluso el acceso de los peritos autorizados. c. Documentar la identidad, integridad, ubicación, transferencia y responsables de la evidencia durante todo su ciclo de vida. d. Asignar obligatoriamente un agente para vigilar físicamente cada equipo durante las veinticuatro horas.

P13. Si los hashes SHA-1 o MD5 del original y de la copia son distintos, ¿qué conclusión técnica corresponde?. a. El archivo está protegido por contraseña y por eso ningún algoritmo puede calcular el mismo valor. b. La diferencia corresponde a un redondeo normal del procesador y no afecta la integridad. c. La copia es necesariamente correcta porque los hashes cambian al utilizar otro sistema operativo. d. El contenido comparado no es idéntico y debe investigarse una posible alteración, error de adquisición o diferencia de origen.

P14. ¿Por qué el informe pericial debe explicar los hallazgos con lenguaje claro y evitar tecnicismos innecesarios?. a. Porque un vocabulario sencillo reduce automáticamente el tamaño digital del documento final. b. Porque los modelos forenses internacionales prohíben mencionar conceptos o herramientas técnicas. c. Porque sus destinatarios pueden ser jueces, fiscales, abogados o directivos sin formación técnica especializada. d. Porque así otros peritos no podrán conocer ni reproducir los procedimientos empleados.

P15. ¿Cuál es la utilidad principal de realizar simulacros dentro de un plan de respuesta a incidentes?. a. Comprobar el protocolo, entrenar a los participantes e identificar fallas antes de un incidente real. b. Convertir a todos los usuarios en peritos capaces de efectuar investigaciones judiciales completas. c. Justificar obligatoriamente la adquisición anual de nuevos equipos para el laboratorio. d. Cifrar automáticamente todas las bases de datos durante cada ejercicio de entrenamiento.

P16. ¿Por qué puede ser perjudicial apagar o reiniciar un equipo comprometido sin un plan de adquisición previo?. a. Porque pueden perderse datos volátiles, como procesos activos, conexiones, claves y contenido de la memoria RAM. b. Porque se invalidarán de forma automática todos los hashes calculados sobre archivos del disco. c. Porque el disco duro se desmagnetizará inmediatamente cuando deje de recibir corriente eléctrica. d. Porque el sistema instalará necesariamente actualizaciones que eliminarán todos los registros de red.

P17. ¿Cuál es la principal ventaja de utilizar un modelo estructurado de proceso forense digital?. a. Organiza la investigación en fases definidas, repetibles y documentables, desde la identificación hasta la presentación. b. Permite omitir la preservación cuando la evidencia se encuentra almacenada en servicios de nube. c. Restringe la investigación a delitos cometidos físicamente dentro de una oficina o laboratorio. d. Elimina la necesidad de presentar conclusiones y de conservar registros de las acciones realizadas.

P18. Durante el preanálisis, ¿qué debe hacer el perito si no logra acceder a una evidencia cifrada con los medios legalmente autorizados?. a. Forzar el acceso mediante cualquier herramienta, aunque no exista autorización o respaldo jurídico. b. Eliminarla del caso para impedir que retrase el análisis de los demás elementos recolectados. c. Preservarla y documentar en el informe la limitación, los métodos utilizados y el contenido que no pudo examinarse. d. Inferir su contenido únicamente por el nombre y la extensión mostrados en el sistema operativo.

P19. ¿Qué extensiones se asocian habitualmente con discos virtuales de Microsoft Hyper-V?. a. .EXE y .COM. b. .XVA y .OVA. c. .VMDK y .VMX. d. .VHD y .VHDX.

P20. ¿Por qué es relevante buscar cuentas de usuario anómalas durante el análisis forense de un sistema operativo?. a. Porque demuestran por sí solas que los empleados comparten sus contraseñas personales. b. Porque permiten cambiar el idioma del sistema operativo sin dejar registros de la modificación. c. Porque todas las cuentas poco utilizadas consumen necesariamente una cantidad excesiva de memoria RAM. d. Porque pueden haber sido creadas o modificadas por un atacante para mantener acceso, persistencia o privilegios.

P21. ¿Quién debe manipular y adquirir evidencia digital en una escena para reducir el riesgo de comprometer su validez?. a. Personal pericial competente, autorizado y capacitado en preservación y cadena de custodia. b. El administrador de red de la empresa, aunque sea parte interesada en el caso. c. Cualquier técnico de soporte, sin necesidad de documentar sus acciones. d. Cualquier guardia de seguridad física disponible en el lugar del incidente.

P22. Según el orden de volatilidad, ¿qué información debe priorizarse por ser especialmente efímera?. a. Los registros y cachés del procesador, junto con la memoria RAM y el estado activo del sistema. b. El espacio no asignado de un disco duro que permanece apagado y protegido. c. Los respaldos archivados de forma redundante en la nube corporativa. d. Los documentos impresos almacenados en un archivador de acceso restringido.

P23. ¿Cuál es una ventaja práctica de una imagen forense almacenada en un archivo contenedor frente a un clonado directo de disco a disco?. a. Puede encapsular la copia, metadatos y verificaciones de integridad, facilitando su almacenamiento, transferencia y análisis controlado. b. Repara automáticamente los sectores dañados y modifica el sistema de archivos del original. c. Elimina en todos los casos la necesidad de utilizar controles de bloqueo contra escritura. d. Copia únicamente los archivos visibles y descarta todo el espacio no asignado para reducir el tamaño.

P24. Para intentar recuperar archivos borrados presentes en sectores no asignados de un disco, ¿qué tipo de adquisición resulta más apropiado?. a. Extracción lógica selectiva del perfil del usuario. b. Adquisición física del soporte. c. Adquisición exclusiva de la configuración de red del equipo. d. Copia manual de los archivos visibles mediante el explorador.

P25. ¿Cuál es el propósito de sanitizar o borrar de forma segura un disco de destino antes de almacenar una nueva adquisición forense?. a. Cifrar automáticamente el contenedor forense sin utilizar claves de acceso. b. Aumentar la velocidad de captura de la memoria RAM del sistema investigado. c. Evitar que datos residuales anteriores se mezclen con la nueva evidencia y produzcan contaminación cruzada. d. Reparar físicamente todos los sectores defectuosos del disco antes de iniciar la copia.

P26. En versiones actuales de Google Chrome para Windows, ¿dónde se almacena habitualmente la base de datos de cookies de un perfil?. a. En C:\Windows\System32\System.log, como un registro de texto plano del sistema. b. En el archivo SQLite Network\Cookies dentro de % LOCALAPPDATA%\Google\Chrome\User Data\. c. En las entradas de partición del MBR, junto con los datos de inicio del disco. d. En Program Files\Common Files, como un archivo compartido por todos los usuarios del equipo.

P27. ¿Qué información pueden aportar el HLR y el VLR en una investigación relacionada con una red celular?. a. El contenido descifrado de aplicaciones de mensajería almacenado dentro del teléfono móvil. b. Las claves universales necesarias para omitir directamente los códigos PIN y PUK. c. Datos de registro del abonado y de la zona o entidad de red en la que el terminal está registrado actualmente o recientemente. d. La imagen física de todos los bloques borrados de una tarjeta microSD externa.

P28. ¿Qué plataforma es ampliamente utilizada para la extracción y el análisis forense de teléfonos móviles?. a. Wireshark. b. Cellebrite UFED. c. DB Browser for SQLite. d. Process Monitor.

P29. En los registros de un firewall aparecen intentos consecutivos y rechazados contra varios puertos, entre ellos 21 y 22. ¿Qué actividad puede indicar?. a. La pérdida de la caché del procesador causada por una variación eléctrica. b. Una captura local de memoria RAM realizada con una herramienta de adquisición. c. Un reconocimiento o escaneo de puertos para identificar servicios accesibles. d. La ejecución de un método de borrado seguro sobre los discos del servidor.

P30. ¿Qué controlador de captura se utiliza actualmente en Windows para que Wireshark pueda capturar tráfico en vivo?. a. Npcap. b. Sysinternals Live Extension. c. SQLite Engine. d. EnCase Container Tool.

P31. ¿Cuál puede ser la consecuencia procesal de una ruptura o deficiencia no justificada en la cadena de custodia?. a. Puede cuestionar la autenticidad e integridad de la evidencia y afectar su admisibilidad o valor probatorio, según la valoración de la autoridad. b. Obliga al juez a considerar la evidencia verdadera, aunque reconozca que está incompleta. c. Permite corregir el problema solicitando una copia nueva sin explicar lo ocurrido anteriormente. d. Genera automáticamente una recompensa para el perito que informó la deficiencia.

P32. ¿Qué ocurre normalmente con un hash criptográfico si se modifica un solo bit del archivo?. a. El hash permanece igual y únicamente se añade una marca de archivo corrupto. b. El algoritmo corrige automáticamente el bit y conserva el valor anterior. c. Solo se modifica el último carácter hexadecimal del hash calculado. d. El valor resultante cambia de manera amplia e impredecible por el efecto avalancha.

P33. ¿Cuál es la diferencia general entre la recogida y la captura o adquisición de evidencia digital?. a. La recogida se refiere al aseguramiento y traslado del objeto físico; la captura o adquisición obtiene una copia de sus datos, en vivo o en estado estático. b. Ambos términos describen exactamente la misma actividad y no requieren diferenciación documental. c. La captura consiste en trasladar el servidor y la recogida se limita a fotografiar el lugar. d. La recogida solo se aplica a teléfonos y la captura únicamente a computadoras de escritorio.

P34. Como regla general, ¿por qué el análisis no debe realizarse directamente sobre el soporte original?. a. Para que el propietario continúe utilizando el equipo durante toda la investigación. b. Para conservarlo intacto y reducir el riesgo de modificaciones accidentales, automáticas o irreversibles. c. Porque cualquier soporte original contiene malware capaz de destruir el laboratorio. d. Porque las herramientas forenses solo pueden abrir archivos con extensión E01.

P35. Un cliente solicita omitir deliberadamente un hallazgo relevante del informe. ¿Qué debe considerar el perito?. a. Que la decisión corresponde exclusivamente al cliente porque es quien contrató el servicio. b. Que solo recibiría una observación verbal si el archivo no constituye el objeto principal del proceso. c. Que puede omitirlo sin riesgo cuando el cliente firma una cláusula adicional de confidencialidad. d. Que aceptar comprometería su objetividad e integridad y podría generar responsabilidades disciplinarias, civiles o penales.

P36. En una adquisición estática de un dispositivo de almacenamiento, ¿qué mecanismo ayuda a impedir escrituras sobre el original?. a. Un adaptador universal de corriente conectado al dispositivo examinado. b. Un router con filtrado de paquetes y traducción de direcciones habilitada. c. Un periférico de entrada configurado con alta precisión y baja latencia. d. Un bloqueador de escritura, preferentemente de hardware o mediante un método validado.

P37. ¿Qué función de FTK Imager permite adquirir la memoria RAM de un sistema encendido?. a. Add Evidence Item. b. Capture Memory. c. Create Disk Image. d. Decrypt AD1 Image.

P38. Según el Reglamento del Sistema Pericial Integral de la Función Judicial de Ecuador, ¿qué diferencia existe entre excusa y recusación?. a. La excusa la presenta de forma fundamentada el propio perito; la recusación puede solicitarla una parte procesal en los casos legalmente procedentes y la decide el juez. b. No existe diferencia jurídica entre ambas porque constituyen exactamente el mismo procedimiento. c. La excusa siempre es opcional, mientras que la recusación la formula obligatoriamente el propio perito. d. La recusación se aplica únicamente por falta de pago y la excusa exclusivamente por enfermedad.

P39. Durante la delimitación de una escena, ¿por qué deben examinarse y documentarse notas adhesivas y otros documentos físicos?. a. Porque deben entregarse al área de talento humano como prueba automática de abandono laboral. b. Porque su finalidad principal es comprobar el cumplimiento de las normas de limpieza de la oficina. c. Porque pueden contener credenciales, contraseñas, nombres, instrucciones o pistas sobre otras fuentes de evidencia. d. Porque cualquier anotación en papel es auténtica y no puede falsificarse ni interpretarse incorrectamente.

P40. Dentro de la gestión segura de evidencia digital, ¿qué principio asegura que la información pueda ser consultada por las personas autorizadas cuando sea necesaria?. a. Trazabilidad. b. Disponibilidad. c. Confidencialidad. d. Integridad.

P41. En el contexto de la seguridad de la información, ¿qué se entiende por activo de una organización?. a. El conjunto de cortafuegos, antivirus y herramientas criptográficas instaladas en la red. b. Cualquier recurso tangible o intangible que tenga valor para la organización y necesite protección. c. Únicamente los datos digitales almacenados en servidores y bases de datos institucionales. d. Solamente los recursos financieros, las cuentas bancarias y el dinero disponible de la entidad.

P42. ¿Qué consecuencia de seguridad puede producir directamente el robo o daño físico del hardware de un sistema?. a. La ejecución automática de ataques de phishing contra todos los usuarios de la organización. b. La pérdida de disponibilidad de los servicios y de los recursos alojados en el equipo. c. La modificación lógica de los datos sin que exista acceso al dispositivo o a sus interfaces. d. La interceptación obligatoria de todas las comunicaciones inalámbricas cercanas al equipo afectado.

P43. ¿Qué conjunto corresponde a anomalías de calidad del suministro eléctrico que pueden afectar a los equipos informáticos?. a. Malware, ransomware y ataques de fuerza bruta. b. Bajo voltaje, sobrevoltaje y ruido eléctrico. c. Phishing, suplantación de identidad y fraude electrónico. d. Escaneo de puertos, sniffing y secuestro de sesión.

P44. Dentro del concepto de Amenaza Persistente Avanzada, ¿qué describe específicamente el término persistente?. a. La obligación de que el ataque sea ejecutado únicamente por personal interno de la organización. b. La imposibilidad absoluta de eliminar el ataque mediante antivirus o controles de seguridad. c. La capacidad del malware para copiarse automáticamente en cualquier dispositivo de la red. d. La continuidad del ataque durante un periodo prolongado para alcanzar y mantener sus objetivos.

P45. ¿Por qué un ataque pasivo suele ser difícil de detectar en una red?. a. Porque genera grandes cantidades de registros falsos que saturan inmediatamente los sistemas de auditoría. b. Porque solo puede realizarse durante la fabricación de los componentes físicos de una computadora. c. Porque observa o intercepta información sin modificar los datos ni interactuar de forma evidente con el sistema. d. Porque siempre combina malware avanzado con llamadas telefónicas y otras técnicas de ingeniería social.

P46. ¿Qué caracteriza a un ataque de distribución o de cadena de suministro?. a. El envío masivo de mensajes no solicitados para promocionar productos o recolectar direcciones de correo. b. El acceso indebido realizado exclusivamente por un empleado que ya posee credenciales válidas en la red. c. La alteración de hardware o software en su origen o durante el tránsito, antes de que llegue al usuario final. d. La saturación de un servicio mediante miles de solicitudes enviadas desde varios equipos comprometidos.

P47. En un modelo cuantitativo simplificado, ¿cómo suele expresarse el nivel de riesgo?. a. Riesgo = probabilidad de ocurrencia × impacto esperado. b. Riesgo = vulnerabilidad − amenaza + disponibilidad del servicio. c. Riesgo = costo del hardware × velocidad de la conexión de red. d. Riesgo = cantidad de activos ÷ número de controles instalados.

P48. ¿Qué tratamiento requiere normalmente un riesgo clasificado como alto o extremo?. a. Posponer cualquier acción hasta el siguiente ciclo anual de mantenimiento preventivo. b. Aplicar medidas prioritarias e inmediatas para reducir su probabilidad, su impacto o ambos. c. Limitarse a documentarlo, porque los riesgos elevados no pueden ser tratados mediante controles. d. Ignorarlo cuando el costo del control sea superior al valor de un solo equipo informático.

P49. Además de restringir el acceso y la divulgación no autorizados, ¿qué incluye la definición de confidencialidad utilizada por NIST?. a. La protección de la privacidad personal y de la información de propiedad exclusiva. b. La comprobación de que los datos no hayan sido modificados de forma accidental o maliciosa. c. La garantía de que todos los servicios estén disponibles de manera continua para sus usuarios. d. La validación biométrica obligatoria de toda persona que intente utilizar un sistema informático.

P50. ¿Qué secuencia representa adecuadamente un ciclo simplificado de gestión de riesgos?. a. Cifrado, autenticación, respaldo y eliminación de activos. b. Compra, instalación, actualización y reemplazo de equipos. c. Identificación, evaluación, tratamiento y seguimiento o revisión. d. Prevención, denuncia, sanción y cierre administrativo.

P51. ¿Cuál es la diferencia principal entre seguridad física y seguridad lógica?. a. La seguridad física protege instalaciones y equipos, mientras la lógica protege sistemas, datos y accesos digitales. b. Ambas protegen los mismos elementos y se diferencian únicamente por el fabricante de las herramientas. c. La seguridad física se limita a desastres naturales y la lógica se aplica solamente a ataques de malware. d. La seguridad física protege únicamente bases de datos y la lógica protege exclusivamente edificios y oficinas.

P52. ¿Por qué el footprinting activo presenta mayor posibilidad de detección que el footprinting pasivo?. a. Porque produce información menos precisa y obliga a repetir permanentemente todas las consultas realizadas. b. Porque interactúa directamente con sistemas del objetivo y puede generar eventos visibles para IDS, firewalls o registros. c. Porque exige que el investigador ingrese físicamente en las instalaciones antes de recopilar información. d. Porque solo utiliza documentos públicos y fuentes abiertas que no tienen relación con la infraestructura objetivo.

P53. ¿Qué técnica podría revelar numerosos nombres de host y registros de un dominio cuando un servidor DNS está mal configurado?. a. La enumeración de recursos compartidos mediante NetBIOS. b. La consulta de objetos en un directorio mediante LDAP. c. Una transferencia de zona DNS no autorizada. d. El uso del comando VRFY de un servidor SMTP.

P54. ¿Cómo se denomina el phishing dirigido específicamente a altos ejecutivos o personas con gran capacidad de decisión?. a. Whaling. b. Watering hole. c. Scareware. d. Pharming.

P55. ¿Cuál es la diferencia entre escalación de privilegios horizontal y vertical?. a. La horizontal obtiene privilegios administrativos; la vertical solo permite acceder a datos de un usuario equivalente. b. La horizontal accede a recursos de otro usuario con nivel similar; la vertical obtiene permisos de un nivel superior. c. Ambas técnicas producen exactamente el mismo nivel de acceso y solo cambia el sistema operativo atacado. d. La horizontal se ejecuta únicamente con hardware; la vertical se realiza exclusivamente mediante software.

P56. ¿Para qué se utiliza principalmente Maltego durante una fase de reconocimiento autorizada?. a. Para bloquear en tiempo real llamadas fraudulentas y mensajes utilizados en campañas de ingeniería social. b. Para recopilar y visualizar relaciones entre personas, correos, dominios, organizaciones y otras fuentes OSINT. c. Para explotar automáticamente vulnerabilidades de inyección SQL en cualquier formulario de una aplicación web. d. Para sustituir un escáner de vulnerabilidades y aplicar parches directamente sobre todos los servidores examinados.

P57. ¿Qué distingue a un análisis de vulnerabilidades autenticado de uno no autenticado?. a. Es necesariamente ilegal, mientras que cualquier análisis no autenticado se considera permitido por definición. b. Obtiene automáticamente todas las contraseñas de los usuarios y las descifra antes de iniciar la evaluación. c. Se ejecuta sin conexión a la red y solo examina la información pública disponible en motores de búsqueda. d. Utiliza credenciales autorizadas para revisar configuraciones internas, versiones, permisos y parches con mayor profundidad.

P58. ¿Qué vulnerabilidad web consiste en introducir instrucciones maliciosas para alterar las consultas ejecutadas por una base de datos?. a. Cross-Site Scripting o XSS. b. Inyección SQL o SQLi. c. Secuestro de cookies de sesión. d. Cross-Site Request Forgery o CSRF.

P59. ¿Qué diferencia general existe entre OpenVAS y Nikto?. a. OpenVAS solo revisa páginas web estáticas; Nikto analiza de manera integral redes, routers y sistemas operativos. b. OpenVAS evalúa vulnerabilidades en hosts y servicios de una infraestructura; Nikto se especializa en servidores web. c. OpenVAS es exclusivamente una herramienta manual; Nikto instala automáticamente todos los parches recomendados. d. OpenVAS y Nikto realizan exactamente las mismas pruebas, utilizan la misma base de datos y generan resultados idénticos.

d. OpenVAS y Nikto realizan exactamente las mismas pruebas, utilizan la misma base de datos y generan resultados idénticos. a. El atacante cifra todos los datos del sistema y solicita un rescate como cierre de cualquier interacción social. b. El atacante realiza obligatoriamente un escaneo de puertos para identificar todos los servicios de la víctima. c. El atacante termina el contacto procurando no despertar sospechas ni dejar señales evidentes de su objetivo. d. El atacante inicia el acercamiento y busca establecer confianza con la persona seleccionada como objetivo.

P61. ¿Cuál es la característica esencial de la criptografía de clave simétrica?. a. No requiere que las partes establezcan ni protejan ningún secreto compartido. b. Utiliza la misma clave secreta para cifrar y descifrar la información. c. Emplea siempre una clave pública para cifrar y otra clave privada para descifrar. d. Se basa exclusivamente en dividir una clave pública entre varias entidades independientes.

P62. En el cifrado de Vernam y en la operación XOR, ¿qué resultado se obtiene al combinar dos bits iguales?. a. Cero. b. Un valor aleatorio. c. Uno. d. Diez.

P63. ¿Qué expresa el efecto avalancha esperado en un cifrador de bloque seguro?. a. Que el texto cifrado permanezca idéntico para evitar que pequeñas variaciones afecten la integridad del mensaje. b. Que únicamente cambie en la salida el bit que ocupa la misma posición que el bit modificado en la entrada. c. Que cambiar un bit de la entrada invierta obligatoriamente todos los bits del bloque cifrado resultante. d. Que cambiar un bit de la entrada provoque, en promedio, cambios en cerca de la mitad de los bits de salida.

P64. ¿Por qué DES ya no se considera seguro para proteger información moderna?. a. Porque trabaja con bloques de 128 bits que pueden ser descifrados sin conocer la clave correspondiente. b. Porque carece completamente de sustituciones no lineales y solo aplica desplazamientos simples a los datos. c. Porque su clave efectiva de 56 bits permite ataques exhaustivos con recursos computacionales actuales. d. Porque utiliza una clave pública y una privada que pueden intercambiarse accidentalmente durante el cifrado.

P65. En una ronda de la red de Feistel utilizada por DES, ¿cómo se calcula el nuevo bloque derecho?. a. R(r+1) = L(r) multiplicado directamente por la subclave K(r). b. R(r+1) = la clave original sometida únicamente a una permutación inversa. c. R(r+1) = L(r) XOR f(R(r), K(r)). d. R(r+1) = R(r) sin aplicar ninguna función ni subclave.

P66. ¿Qué diferencia describe mejor el diseño de las cajas S de AES frente a las de DES?. a. Las cajas S de AES reciben seis bits y producen cuatro, mientras que las cajas S de DES reciben ocho y producen ocho. b. AES utiliza sus cajas S únicamente para expandir la clave; DES las utiliza exclusivamente durante el descifrado. c. La caja S de AES se construye mediante operaciones algebraicas definidas; DES utiliza tablas fijas diseñadas con criterios criptográficos. d. DES genera una caja S aleatoria para cada mensaje, mientras que AES emplea una tabla distinta para cada usuario.

P67. En criptografía de clave pública, ¿qué utiliza el destinatario para descifrar un mensaje cifrado con su clave pública?. a. La clave privada del emisor. b. Una nueva clave pública temporal. c. Su propia clave privada. d. La contraseña del sistema operativo.

P68. ¿Qué ventaja de gestión de claves ofrece la criptografía de clave pública?. a. Permite que cada usuario conserve secreta su clave privada y distribuya solamente su clave pública. b. Impide por sí sola que un atacante sustituya una clave pública por otra sin necesidad de certificados. c. Utiliza siempre claves más cortas y operaciones más rápidas que cualquier algoritmo de clave simétrica. d. Genera claves idénticas para todos los usuarios, lo que simplifica el intercambio de mensajes cifrados.

P69. ¿Cuál es un paso inicial esencial en la generación básica de claves RSA?. a. Seleccionar dos números primos grandes p y q y calcular n = p × q. b. Intercambiar una semilla idéntica con todos los participantes de la red. c. Aplicar una permutación fija de 512 bits sobre el nombre de usuario. d. Obtener la clave privada copiando directamente la clave pública del destinatario.

P70. ¿Qué es un protocolo criptográfico?. a. Un procedimiento judicial que exige siempre la intervención de un notario para validar cada mensaje. b. Un algoritmo destinado exclusivamente a borrar de forma segura discos y memorias de almacenamiento. c. Un conjunto de pasos entre dos o más entidades que utiliza criptografía para alcanzar objetivos de seguridad. d. Una secuencia aleatoria de bits utilizada únicamente como contraseña de acceso a un dispositivo.

P71. ¿Cuál es la diferencia principal entre un análisis de vulnerabilidades y una prueba de penetración?. a. El análisis se limita al hardware y la prueba de penetración se aplica exclusivamente a programas y aplicaciones web. b. El análisis siempre es manual, mientras que una prueba de penetración se ejecuta completamente mediante herramientas automáticas. c. El análisis identifica y prioriza debilidades; la prueba de penetración intenta explotarlas de forma controlada para evaluar su impacto. d. El análisis no requiere autorización, pero una prueba de penetración puede realizarse legalmente sin permiso del propietario.

P72. En un sistema de detección de intrusos, ¿qué es un falso negativo?. a. Una actividad legítima que el sistema interpreta erróneamente como maliciosa y reporta como alerta. b. Una actividad maliciosa que ocurre, pero el sistema no la detecta ni genera una alerta. c. Una dirección legítima que un administrador elimina manualmente de una lista de control de acceso. d. Un ataque que el sistema identifica correctamente y bloquea antes de que produzca cualquier impacto.

P73. En una arquitectura WLAN, ¿cuál es la función del sistema de distribución o DS?. a. Cifrar por sí solo cada trama transmitida entre un cliente y el punto de acceso sin usar protocolos de seguridad. b. Regular exclusivamente la potencia de radio emitida por los dispositivos clientes de una red inalámbrica. c. Interconectar puntos de acceso y conjuntos de servicio, y facilitar su integración con redes cableadas. d. Reemplazar todos los conmutadores y routers de la red corporativa mediante un único enlace inalámbrico.

P74. ¿Qué distingue principalmente a una WWAN de una WLAN?. a. La WWAN funciona únicamente en una habitación, mientras que la WLAN cubre ciudades y regiones completas. b. La WLAN necesita obligatoriamente un centro de conmutación móvil para localizar a todos sus usuarios. c. La WWAN cubre áreas geográficas mucho mayores y suele apoyarse en infraestructura de operadores móviles. d. La WWAN utiliza exclusivamente enlaces ad hoc y no requiere estaciones base ni sistemas de conmutación.

P75. ¿Qué mejora introduce WPA3-Personal frente al mecanismo de clave precompartida utilizado tradicionalmente por WPA2-Personal?. a. Obliga a todas las redes personales a utilizar certificados digitales y una infraestructura empresarial completa. b. Elimina la autenticación y permite que cualquier dispositivo se conecte sin contraseña a una red protegida. c. Emplea SAE, que mejora la resistencia frente a intentos de adivinación de contraseñas capturados para análisis fuera de línea. d. Recupera el algoritmo RC4 para reducir el consumo de energía durante el intercambio inicial de claves.

P76. ¿Cuál de las siguientes acciones constituye un ataque inalámbrico activo?. a. Modificar mensajes o tramas para alterar una comunicación legítima. b. Escuchar silenciosamente transmisiones sin alterar su contenido. c. Observar los canales utilizados por los puntos de acceso cercanos. d. Analizar patrones de tráfico sin interactuar con los dispositivos.

P77. ¿Por qué es importante aplicar filtrado de salida en un cortafuegos?. a. Para limitar conexiones no autorizadas hacia el exterior y reducir fugas de datos o comunicaciones maliciosas. b. Para garantizar que ninguna amenaza pueda originarse desde Internet ni alcanzar los servicios publicados. c. Para permitir que cualquier aplicación interna envíe información sin restricciones a destinos desconocidos. d. Para sustituir completamente el filtrado de entrada y eliminar la necesidad de otros controles de seguridad.

P78. Si un host no responde a solicitudes ICMP de ping, ¿cómo puede ayudar un escaneo de puertos autorizado?. a. Puede demostrar que el host está apagado cuando cualquier puerto aparece filtrado o no responde. b. Puede cifrar automáticamente los servicios vulnerables encontrados durante la exploración de la red. c. Puede generar las contraseñas de todos los servicios que se encuentran escuchando en el sistema. d. Puede inferir que el host está activo al recibir respuestas de puertos TCP o UDP específicos.

P79. ¿Qué función cumple TKIP en las primeras implementaciones de WPA?. a. Utiliza AES con claves de 256 bits y reemplaza completamente todos los mecanismos heredados de WEP. b. Autentica a los dispositivos únicamente por su dirección MAC y evita cualquier intercambio de claves. c. Deriva claves por paquete mediante mezcla de claves e incorpora controles de integridad para mejorar las limitaciones de WEP. d. Proporciona una suite de seguridad de 192 bits equivalente a la utilizada por WPA3-Enterprise.

P80. ¿Qué tecnología se utiliza principalmente para supervisar la seguridad de una WLAN mediante sensores que muestrean bandas y canales?. a. Un escáner de puertos diseñado para instalar parches automáticamente en los equipos. b. Un sistema inalámbrico de detección y prevención de intrusiones o WIDPS. c. Un sistema de bases de datos destinado exclusivamente a registrar cuentas de usuarios. d. Un servidor proxy configurado únicamente para filtrar navegación web cableada.