// EXAMEN DE LA RUTA

🎯 Detection Engineering

8 preguntas; apruebas con 6. Se corrige en el servidor y solo verás la nota. Si apruebas, podrás emitir tu certificado. Repasa la ruta antes

1. ¿Qué es Sigma? Un antivirus de código abierto Un formato genérico (YAML) de reglas de detección sobre logs que se traduce a la consulta de cada SIEM Un lenguaje para describir malware en ficheros Un protocolo para enviar logs

2. ¿Qué es un falso positivo en una regla de detección? Un ataque que no genera ninguna alerta Una regla que no compila Un log duplicado Una alerta que salta con actividad legítima

3. «powershell -enc SQBFAFgA…»: ¿cómo va codificado el argumento? Base64 de un texto en UTF-16LE ROT13 Hexadecimal ASCII Cifrado con AES

4. ¿Qué registra el Event ID 4104 de PowerShell (Script Block Logging)? Los inicios de sesión Los cambios de contraseña Las conexiones de red El contenido de los bloques de script que se ejecutan, ya decodificado

5. En KQL (Sentinel, Defender), ¿qué operador filtra las filas que cumplen una condición? summarize project where extend

6. ¿Qué es MITRE ATT&CK? Una lista de vulnerabilidades Un estándar de cifrado Una base de conocimiento de tácticas y técnicas de atacantes observadas en incidentes reales Un SIEM comercial

7. ¿Qué Event ID registra la creación de un proceso (con la auditoría activada)? 4720 4104 4688 4624

8. ¿Y un falso negativo? Una alerta que salta con actividad legítima Una alerta que se cierra sin revisar Un ataque real que la regla no detecta Una regla desactivada a propósito