Rutas / Analista de SOC / Prueba diagnóstica

Prueba diagnóstica: Analista de SOC

Quince preguntas sobre redes, registros de Windows, SIEM, endpoint y respuesta a incidentes. Sirven para ver por qué curso de la ruta te conviene empezar y qué repasar antes.

15 preguntas · unos 15 minutos · sin límite de tiempo · 4 opciones y 1 correcta

Esta prueba es orientativa: no es una evaluación, no da certificado ni te exime de ningún examen, y unas pocas preguntas no miden todo lo que sabes. Tus respuestas se comprueban en tu navegador y no se envían ni se guardan en ningún servidor; solo se guarda tu último resultado en este navegador, y puedes borrarlo cuando quieras.

Preguntas de la prueba

Redes y vocabulario SOC

Direccionamiento privado, DNS y la diferencia entre evento e incidente.

1.¿Cuál de estas direcciones IP está dentro de un rango privado definido por el RFC 1918?

8.8.8.8172.20.14.9198.51.100.7100.200.1.1

2.Un equipo escribe intranet.example.com en el navegador. ¿Qué servicio traduce ese nombre a una dirección IP?

DHCPNATSMTPDNS

3.En la guía de gestión de incidentes del NIST, ¿qué es un «evento»?

Cualquier suceso observable en un sistema o redUn ataque ya confirmado contra la organización, con daño demostradoUna alerta que el SIEM ha clasificado como crítica tras revisarlaUn incidente que ya ha interrumpido un servicio de la empresa

Registros, Windows y tiempo

Eventos de inicio de sesión de Windows y manejo de zonas horarias al unir registros.

4.¿Qué registra en Windows el evento de seguridad 4625?

Un inicio de sesión correctoLa creación de una cuenta de usuario en el dominioUn intento de inicio de sesión fallidoEl borrado del registro de auditoría

5.Un registro lleva la marca de tiempo 2026-07-14T14:30:00+02:00. ¿Qué hora es en UTC?

16:30:00Z14:30:00Z13:30:00Z12:30:00Z

6.Al unir en una línea temporal los registros de dos fuentes, una está en UTC y la otra en hora local sin indicar el desfase. ¿Cuál es el riesgo principal?

Que el SIEM descarte los eventos de la fuente local por considerarlos duplicadosOrdenar mal los hechos y deducir una causa o una secuencia equivocadasQue cambien los hashes de los ficheros que aparecen en los registrosQue caduquen las contraseñas de las cuentas implicadas en el incidente

SIEM, priorización y consultas

Ampliar el contexto de una alerta, priorizar y leer una consulta KQL.

7.Llega una alerta: 12 fallos de inicio de sesión (4625) contra la cuenta ana.lopez (ficticia) desde la IP 192.0.2.15. ¿Qué haces primero para ampliar el contexto?

Buscar si esa IP consiguió después un acceso correcto (4624) y qué hizo la cuenta tras élCerrar la alerta como falso positivo, porque doce fallos en total son pocos para preocuparse a nadieEliminar la cuenta cuanto antes para cortar cualquier intento de acceso posteriorReiniciar el controlador de dominio para que se cierren todas las sesiones abiertas

8.Dos alertas de severidad media llegan a la vez: una sobre un portátil de pruebas aislado y otra sobre una cuenta de administrador de dominio. ¿Cuál atiendes antes?

La del portátil de pruebas, para reducir cuanto antes el número de alertas en colaLa que haya entrado primero: el orden de llegada es el criterio más justoLa de la cuenta de administrador, porque su impacto potencial sobre el negocio es mayorNinguna de las dos hasta que la herramienta de detección suba su severidad

9.¿Qué devuelve esta consulta KQL sobre la tabla SigninLogs?

SigninLogs
| where ResultType != "0"
| summarize fallos = count() by UserPrincipalName
| order by fallos desc

Los usuarios que más inicios de sesión correctos han hecho, de mayor a menorLas direcciones IP de origen con más tráfico saliente, de mayor a menorLos cambios de rol más recientes en el directorio, de mayor a menorLos usuarios con más inicios de sesión fallidos, de mayor a menor

Amenazas, endpoint y respuesta

Reconocer macro maliciosa y password spraying, y contener un ransomware.

10.El EDR muestra que winword.exe lanza powershell.exe con un comando codificado en Base64 y la ventana oculta, dos minutos después de que un usuario abriera un adjunto .docm. ¿Qué haces?

Posible macro maliciosa: decodifico el comando, reviso red y persistencia, y aíslo el equipo si se confirmaEs el comportamiento normal de una actualización de Office, así que cierro la alerta sin investigar másEs una tarea de copia de seguridad programada por el usuario, así que la ignoro y sigo con la colaEs un fallo del antivirus, así que espero a ver si se repite antes de hacer nada más

11.Una IP externa genera un único fallo de inicio de sesión contra cada una de 90 cuentas distintas en diez minutos, sin llegar a bloquear ninguna. ¿Qué técnica sugiere?

Fuerza bruta contra una sola cuentaPassword spraying (pulverización de contraseñas)Beaconing periódico hacia un servidor externo de mando y controlRansomware en fase de cifrado

12.Un servidor de ficheros está cifrando documentos de una carpeta compartida en este momento. ¿Cuál es la primera acción más adecuada?

Apagarlo de golpe para conservar el disco intactoRestaurar la copia de seguridad encima de los ficheros cifradosAislarlo de la red sin apagarlo y conservar memoria, registros y artefactosReinstalar el sistema operativo desde cero para eliminar la amenaza antes de investigar

Preparación para los cursos 11 a 14

Reglas Sigma, registros de la nube y vigencia de las sesiones.

13.¿Cuándo salta esta regla Sigma (ficticia)?

detection:
  selection:
    Image|endswith: '\powershell.exe'
    CommandLine|contains:
      - '-enc'
      - '-EncodedCommand'
  condition: selection

Si el ejecutable termina en \powershell.exe y la línea de comandos contiene «-enc» o «-EncodedCommand»Solo si la línea de comandos contiene los dos textos a la vezEn cualquier proceso cuya línea de comandos contenga «-enc»Solo si la línea de comandos contiene «-EncodedCommand» escrito exactamente así

14.En un evento de AWS CloudTrail, ¿qué campo indica quién hizo la llamada a la API?

awsRegioneventTimereadOnlyuserIdentity

15.Han robado la sesión de una cuenta de la nube y se restablece su contraseña. ¿Por qué puede no ser suficiente?

Porque el token robado contiene la contraseña cifrada de la cuenta y permite recuperarla despuésPorque los tokens ya emitidos pueden seguir siendo válidos hasta que caduquen o se revoquenPorque el proveedor impide cambiar contraseñas mientras haya un incidente abiertoPorque la verificación en dos pasos se desactiva sola al cambiar la contraseña

Has respondido 0 de 15