// EXAMEN DE LA RUTA

🎯 Detection Engineering

8 preguntas; apruebas con 6. Se corrige en el servidor y solo verás la nota. Si apruebas, podrás emitir tu certificado. Repasa la ruta antes

1. ¿Y un falso negativo? Una regla desactivada a propósito Una alerta que salta con actividad legítima Una alerta que se cierra sin revisar Un ataque real que la regla no detecta

2. «powershell -enc SQBFAFgA…»: ¿cómo va codificado el argumento? Cifrado con AES ROT13 Base64 de un texto en UTF-16LE Hexadecimal ASCII

3. ¿Y un inicio de sesión fallido? 4625 7045 4624 4720

4. ¿Qué indica el Event ID 1102 en el registro de Seguridad? Que se ha creado un usuario Un inicio de sesión remoto Que se ha instalado un servicio Que alguien ha borrado el registro de auditoría

5. En el registro de Seguridad de Windows, ¿qué Event ID es un inicio de sesión correcto? 4625 4688 4624 1102

6. En KQL (Sentinel, Defender), ¿qué operador filtra las filas que cumplen una condición? where extend summarize project

7. ¿Qué Event ID registra la creación de un proceso (con la auditoría activada)? 4720 4624 4688 4104

8. ¿Qué es MITRE ATT&CK? Un SIEM comercial Un estándar de cifrado Una base de conocimiento de tácticas y técnicas de atacantes observadas en incidentes reales Una lista de vulnerabilidades