Professional Security Operations Engineer — Preguntas de práctica y simulacro de examen

El Health Hub expone el percentil 95 de la diferencia entre Last Event Time (cuándo ocurrió el evento en la fuente) y Last Ingested (cuándo lo recibió SecOps). Una diferencia alta sugiere latencia dentro del pipeline de ingesta de SecOps, mientras que una diferencia normal puede indicar que la fuente está enviando datos más antiguos o históricos (ref.: docs.cloud.google.com/chronicle/docs/reports/data-health-monitoring-and-troubleshooting-dashboard). Esta métrica responde directamente si el retraso de la ingesta es un problema del pipeline o de la fuente. ¿Por qué no las demás? El conteo de Total Ingested Logs mide volumen, no latencia. Config Last Updated ayuda a correlacionar cambios de configuración con fallas, pero no mide el retraso. Los errores de parser por hora indican la salud del parseo, no el timing de la ingesta. La diferencia entre Last Event Time y Last Ingested es el diagnóstico definitivo de latencia.

En YARA-L 2.0, los valores cero (cadenas vacías, 0, false) NO se filtran automáticamente en todos los campos. El Rules Engine filtra valores cero de forma implícita solo para los placeholders de la sección match; los demás campos de evento requieren una exclusión explícita con != "" (ref.: docs.cloud.google.com/chronicle/docs/detection/yara-l-best-practices). Sin $e.principal.user.userid != "", los campos userid omitidos toman "" por defecto y generan coincidencias falsas positivas. Es una buena práctica documentada para reducir falsos positivos. ¿Por qué no las demás? El filtrado automático NO se aplica de forma general — solo los placeholders de la sección match reciben la exclusión implícita de valores cero (ref.: docs.cloud.google.com/chronicle/docs/yara-l/match-syntax). Mover un campo a la sección outcome no evita que se generen coincidencias con valores vacíos en events. El modificador nocase cambia la sensibilidad a mayúsculas y minúsculas, no el manejo de valores nulos.

Para detectar fallas de fuentes de logs, crea una política de alertas en Cloud Monitoring usando la métrica Chronicle Collector > Ingestion > Total ingested log count (o Total ingested log size) con una condición Metric absence. Se dispara cuando no se reciben datos durante una duración determinada (ref.: docs.cloud.google.com/chronicle/docs/ingestion/ingestion-notifications-for-health-metrics). La configuración documentada: selecciona la métrica de ingesta, agrupa por collector_id, define un Rolling window de hasta 1 hora y configura Metric absence como tipo de condición con un tiempo de ausencia para el disparo. ¿Por qué no las demás? El backlog de Pub/Sub monitorea la profundidad de la cola, no la ingesta específica de SecOps. Que la CPU de Compute Engine caiga a cero es poco confiable y no indica directamente que el flujo de logs se haya detenido. Las entradas por segundo de Cloud Logging miden el throughput de Cloud Logging, no específicamente la salud de la ingesta de SecOps.