CompTIA Security+ (SY0-701) — Preguntas de práctica y simulacro de examen

La confusión aquí es real, y viene de que el switch usa dos sombreros. En el vocabulario de 802.1X hay tres roles: la estación de trabajo es el supplicant, el switch de acceso es el authenticator y el servidor central es el servidor de autenticación. En el vocabulario de RADIUS solo hay dos, y el network access server, que aquí es el switch, opera como cliente de RADIUS. Pasa la información del usuario a los servidores designados y luego actúa según la respuesta que recibe, lo que en la práctica significa abrir el puerto, asignar una VLAN o dejar el puerto sin autorizar.

Así que el mismo equipo es un servidor desde el punto de vista de la estación de trabajo y un cliente desde el punto de vista de la infraestructura de autenticación, y la pregunta pide específicamente la terminología de RADIUS.

Los distractores corresponden a los otros roles. El servidor de autenticación es el que valida las credenciales y devuelve atributos de configuración, algo que el switch nunca hace. El supplicant es la estación de trabajo que presenta las credenciales. La autoridad certificadora firma los certificados y responde por ellos de antemano, y no participa en absoluto en el intercambio en vivo, ni siquiera cuando se usa autenticación basada en certificados.

Consejo para el examen: cuando una pregunta nombra un vocabulario de forma explícita, traduce el dispositivo a ese vocabulario antes de responder. El mismo equipo tiene nombres distintos en 802.1X y en RADIUS, y el examen evalúa justamente esa costura.

La Pyramid of Pain de David Bianco (2013) clasifica los indicadores de amenaza según la dificultad que supone para los atacantes tener que cambiarlos. De abajo hacia arriba: valores hash → direcciones IP → nombres de dominio → artefactos de red/host → herramientas → TTP. Los valores hash están en la base porque cambiar un solo byte de un binario de malware produce un hash completamente distinto. Los atacantes pueden recompilar, reempaquetar o añadir datos basura para evadir al instante la detección basada en hashes, lo que hace que los IOC de tipo hash duren muy poco. En cambio, las TTP de la cúspide representan comportamientos fundamentales del atacante, y cambiarlas exige rehacer buena parte del instrumental. Una inteligencia de amenazas eficaz enfoca la detección en los niveles altos de la pirámide para lograr defensas más duraderas. Aunque los indicadores basados en hash sirven para bloquear de inmediato, aportan un valor defensivo mínimo a largo plazo. Ref: Bianco, D. (2013) The Pyramid of Pain; framework MITRE ATT&CK.

La capacitación en concientización existe para cambiar lo que hace una persona en los segundos posteriores a la llegada de un mensaje sospechoso, así que el tema tiene que ser uno donde el control sea el propio usuario. La identificación y el reporte de phishing es exactamente eso: los delincuentes envían mensajes diseñados para lograr que alguien abra un enlace o un archivo adjunto dañino, o entregue información personal, y ningún filtro técnico los detecta todos. Enseñarle a la gente las señales reconocibles, como la urgencia, una solicitud de credenciales o de datos de pago, y una dirección de remitente que es casi correcta pero no del todo, y enseñarle dónde reportarlo, le da al equipo de seguridad una alerta temprana en toda la organización.

Los otros tres temas pertenecen a un programa de seguridad, pero ninguno de ellos se trata de reconocer un mensaje de ingeniería social. La complejidad de contraseñas es una regla de higiene de credenciales, y cada vez se aplica más mediante políticas y gestores de contraseñas que por la vigilancia del usuario. Una política de escritorio limpio aborda la exposición física de la información en la oficina. Los procedimientos de gafetes abordan el acceso físico y el tailgating. Alguien capacitado solo en esos tres temas igual haría clic en el enlace.

Consejo para el examen: haz coincidir el control con el vector de ataque que nombra el enunciado. Cuando el enunciado dice ingeniería social y pregunta qué se les debe enseñar a los usuarios, el reporte es la mitad que los candidatos olvidan, porque el reconocimiento sin una vía de reporte deja ciega a la organización.

802.1X define tres roles en el control de acceso a la red basado en puertos: el supplicant es el dispositivo cliente (laptop, teléfono, dispositivo IoT) que ejecuta software que comunica credenciales de autenticación mediante EAP (Extensible Authentication Protocol). El software supplicant común incluye los clientes 802.1X integrados en Windows, macOS y Linux. El authenticator es el dispositivo de red (switch o wireless access point) que controla el acceso físico o lógico a la red. Antes de que la autenticación sea exitosa, el puerto solo permite tráfico EAP. Después de una autenticación exitosa, el puerto se abre para tráfico normal. El authentication server (normalmente un servidor RADIUS como FreeRADIUS, Cisco ISE o Microsoft NPS) recibe las credenciales del authenticator y las verifica contra un directorio (Active Directory, LDAP). Devuelve accept/reject al authenticator. El authenticator actúa como proxy: no evalúa las credenciales por sí mismo, sino que las reenvía al authentication server. Tip de examen: roles de 802.1X: supplicant (cliente que solicita acceso), authenticator (switch/AP que controla el puerto), authentication server (RADIUS que verifica credenciales).