CCNA Security v2.0 Examen Practico de Certificación Respuestas

Explicación: La autorización AAA se implementa inmediatamente después de que el usuario se autentica frente a una fuente de datos AAA específica.

Explicación: El algoritmo Diffie-Hellman (DH) es un método moderno de intercambio de claves que permite el intercambio de claves secretas de forma segura en una red que no es de confianza.

Explicación: SSH se habilita automáticamente después de que se generan las claves RSA. Establecer niveles de privilegios de usuario y configurar el acceso CLI basado en roles son buenas prácticas de seguridad, pero no son un requisito para implementar SSH.

Explicación: La palabra clave de conexión única mejora el rendimiento de TCP con TACACS + al mantener una única conexión de TCP durante la duración de la sesión. Sin la palabra clave de conexión única, se abre y se cierra una conexión TCP por sesión.

Explicación: La protección de raíz junto con PortFast y la protección de BPDU se utilizan para evitar un ataque de manipulación de STP.

Explicación: Los algoritmos simétricos utilizan la misma clave, una clave secreta, para cifrar y descifrar datos. Esta clave debe compartirse previamente antes de que se pueda producir la comunicación. Los algoritmos asimétricos requieren más potencia de procesamiento y sobrecarga en los dispositivos de comunicación porque estas claves pueden ser largas para evitar ser pirateadas.

Explicación: La autenticación TACACS + incluye los siguientes atributos:
Separa los procesos de autenticación y autorización
Cifra todas las comunicaciones, no solo las contraseñas
Utiliza el puerto TCP 49

Explicación: Una vista CLI no tiene jerarquía de comandos y, por lo tanto, no tiene vistas superiores o inferiores. Eliminar una supervista no elimina las vistas CLI asociadas. Solo un usuario de vista raíz puede configurar una nueva vista y agregar o eliminar comandos de las vistas existentes.

Explicación: El Protocolo de copia segura (SCP) se utiliza para copiar de forma segura imágenes de IOS y archivos de configuración a un servidor SCP. Para realizar esto, SCP utilizará conexiones SSH de usuarios autenticados a través de AAA.

Explicación: El objetivo tanto del marco Cisco NAC como del dispositivo Cisco NAC es garantizar que solo los hosts que estén autenticados y que tengan su postura de seguridad examinada y aprobada estén permitidos en la red. Proporcionan cuatro funciones importantes: autenticación, autorización y contabilidad; evaluación de la postura (evaluación de un dispositivo entrante con respecto a las políticas de seguridad), puesta en cuarentena de sistemas no compatibles y reparación de dispositivos no compatibles. No proporcionan conexión VPN ni servicios de detección / prevención de intrusiones.

Explicación: La autenticación RADIUS admite las siguientes funciones:
Autenticación y autorización RADIUS como un proceso
Cifra solo la contraseña
Utiliza UDP
Admite tecnologías de acceso remoto, 802.1X y Protocolo de inicio de sesión (SIP)

Explicación: El establecimiento de un túnel IPsec implica cinco pasos:
detección de tráfico interesante definido por una ACL
IKE Fase 1 en la que los pares negocian la política ISAKMP SA
IKE Fase 2 en la que los pares negocian la política IPsec SA
Creación del túnel IPsec
Terminación del túnel IPsec

Explicación: Los algoritmos asimétricos utilizan dos claves. si una clave pública cifra los datos, la clave privada correspondiente descifra los datos. Lo opuesto también es cierto. Si una clave privada cifra los datos, la clave pública correspondiente descifra los datos.

Explicación: Hay cuatro tipos de disparadores IPS:
detección basada en patrones detección basada en
anomalías detección basada en
políticas detección basada en
honeypot La detección basada en
anomalías compara la actividad de la red con un perfil predefinido de lo que se considera actividad normal.

Explicación: Hay cuatro alarmas IPS:
Falso positivo: ocurre cuando el tráfico normal activa una alarma
Falso negativo: ocurre cuando el tráfico malicioso conocido que debería activar una alarma no es
Verdadero positivo: ocurre cuando el tráfico que se sabe que es malicioso activa un ataque
Verdadero negativo: ocurre cuando el tráfico normal no activa una alarma.

Explicación: Cisco Express Forwarding, el filtrado de tráfico con ACL y la inspección del firewall de Cisco IOS son servicios de plano de reenvío que brindan seguridad. La seguridad del plano de gestión incluye estas características:
notificación legal mediante un banner,
contraseña segura y funciones de inicio de sesión,
NTP
seguro, acceso SSH seguro,
servicios de intercepción de TCP

Explicación: Un virus es un código malicioso que se adjunta a programas legítimos o archivos ejecutables. La mayoría de los virus requieren la activación del usuario final, pueden permanecer inactivos durante un período prolongado y luego activarse en una fecha o hora específicas. Por el contrario, un gusano ejecuta código arbitrario e instala copias de sí mismo en la memoria de la computadora infectada. El propósito principal de un gusano es la replicación automática para propagarse rápidamente a través de una red. Un gusano no requiere un programa anfitrión para ejecutarse.

Explicación: Hay varios mecanismos de estabilidad de STP recomendados para ayudar a mitigar los ataques de manipulación de STP:
PortFast: se utiliza para llevar inmediatamente una interfaz configurada como un puerto de acceso o troncal al estado de reenvío desde un estado de bloqueo. Se aplica a todos los puertos de usuario final.
Protección de BPDU: deshabilita inmediatamente un error en un puerto que recibe una BPDU. Se aplica a todos los puertos de usuario final. La recepción de BPDU puede ser parte de un intento no autorizado de agregar un conmutador a la red.
Protección de raíz: evita que un conmutador se convierta en el conmutador de raíz. Se aplica a todos los puertos donde no debería ubicarse el conmutador raíz.
Loop guard: detecta enlaces unidireccionales para evitar que los puertos alternativos o raíz se conviertan en puertos designados. Se aplica a todos los puertos que están o pueden quedar no designados.

Explicación: Como se ve en la figura 8.4.1.1, una conexión VPN IPsec crea dos SA: (1) al completar la Fase 1 de IKE una vez que los pares negocian la política de SA de IKE, y (2) al final de la Fase 2 de IKE después de la se negocian conjuntos de transformación.

Explicación: El componente de autenticación de AAA se establece mediante combinaciones de nombre de usuario y contraseña, preguntas de desafío y respuesta y tarjetas simbólicas. El componente de autorización de AAA determina a qué recursos puede acceder el usuario y qué operaciones puede realizar el usuario. El componente de contabilidad y auditoría de AAA realiza un seguimiento de cómo se utilizan los recursos de la red.

Explicación: Las diferencias entre los dispositivos ASA y los routers IOS de Cisco incluyen lo siguiente:
Un dispositivo ASA configurado con ACL se configura con una máscara de subred.
Un dispositivo ASA admite niveles de seguridad de interfaz.
Un dispositivo ASA configurado con un ACL siempre se nombra.
Los dispositivos ASA y los enrutadores Cisco IOS son similares en el sentido de que ambos admiten una denegación implícita dentro de una ACL.

Explicación: Hay tres objetos de configuración en el MPF; mapas de clases, mapas de políticas y políticas de servicio. El objeto de configuración de mapas de clase utiliza criterios de coincidencia para identificar el tráfico interesante.

Explicación: Las ACL de Cisco IOS se configuran con una máscara comodín y las ACL de Cisco ASA se configuran con una máscara de subred. Ambos dispositivos utilizan una denegación implícita, procesamiento secuencial de arriba hacia abajo y ACL numeradas o con nombre.

Explicación: El tercer paso para implementar IOS IPS es configurar la clave pública de Cisco IOS IPS que se encuentra en el archivo realm-cisco.pub.key.txt. Esta clave pública se utiliza para verificar la firma digital del archivo de firma maestro y se puede descargar de cisco.com. Para configurar la clave criptográfica IOS IPS, abra el archivo de texto y copie y pegue el contenido en el enrutador en el indicador de configuración global. Los pares de claves públicas / privadas para IPsec VPN y servidor SSH se generan utilizando diferentes métodos.

Explicación: En un ASA, tanto el conjunto de direcciones que se utilizarán como dirección global interna como el rango de direcciones privadas internas que deben traducirse se configuran a través de objetos de red.

Explicación: Las alarmas generadas por un IPS se pueden clasificar en 4 tipos:
Un falso positivo ocurre cuando un IPS genera una alarma sobre el tráfico normal de usuarios que no debería haber disparado una alarma.
Un falso negativo ocurre cuando un IPS no genera una alarma después de procesar el tráfico de ataque que el IPS está configurado para detectar.
Un verdadero positivo ocurre cuando un IPS genera una alarma en respuesta a un tráfico de ataque conocido.
Un verdadero negativo ocurre cuando el tráfico de red normal no genera una alarma.

Explicación: Las implementaciones de AAA basadas en servidor incluyen tanto RADIUS como TACACS +. TACACS + se considera más seguro porque todo el intercambio de protocolo está encriptado, mientras que RADIUS solo encriptará la contraseña del usuario.

Explicación: Hay varios mecanismos de estabilidad STP recomendados para ayudar a mitigar los ataques de manipulación de STP:
PortFast: se utiliza para llevar inmediatamente una interfaz configurada como un puerto de acceso o troncal al estado de reenvío desde un estado de bloqueo. Se aplica a todos los puertos de usuario final.
Protección de BPDU – Inmediatamente deshabilita por error un puerto que recibe una BPDU. Se aplica a todos los puertos de usuario final.
Protector de raíz: evita que un conmutador se convierta en el conmutador de raíz. Se aplica a todos los puertos donde no se debe ubicar el conmutador raíz.
Loop guard: detecta enlaces unidireccionales para evitar que los puertos alternativos o raíz se conviertan en puertos designados. Se aplica a todos los puertos que están o pueden convertirse en no designados.

Explicación: El conjunto de transformación se negocia durante la Fase 2 del proceso de conexión VPN IPsec. El propósito del conjunto de transformación es definir qué esquemas de autenticación y cifrado se pueden utilizar. El dispositivo que realiza la iniciación de VPN ofrece los conjuntos de transformación aceptables en orden de preferencia, en este caso, autenticación ESP usando DES para cifrado o autenticación ESP usando autenticación e integridad SHA-HMAC para la carga útil de datos. Recuerde que ESP proporciona confidencialidad con cifrado e integridad con autenticación. ESP-DES-SHA es el nombre del conjunto de transformación. Los parámetros que siguen (esp-des y esp-sha-hmac) son los tipos específicos de cifrado o autenticación que admite el ASA para el túnel VPN que utiliza este conjunto de transformación.

Explicación: El establecimiento de un túnel IPsec implica cinco pasos:
Detección de tráfico interesante definido por una ACL
IKE Fase 1 en la que los pares negocian la política ISAKMP SA
IKE Fase 2 en la que los pares negocian la política IPsec SA
Creación del túnel IPsec
Terminación del túnel IPsec

Explicación: Hay cuatro alarmas IPS:
Falso positivo: ocurre cuando el tráfico normal activa una alarma
Falso negativo: ocurre cuando el tráfico malicioso conocido que debería activar una alarma no es
Verdadero positivo: ocurre cuando el tráfico que se sabe que es malicioso activa un ataque
Verdadero negativo: ocurre cuando el tráfico normal no activa una alarma

Explicación: Por motivos de seguridad, todo el tráfico entre la computadora del administrador y el enrutador debe cifrarse mediante HTTPS o SSH en lugar de HTTP o Telnet.

Explicación: Hay dos métodos para mitigar los ataques de salto de VLAN:
deshabilitar la negociación automática de
enlaces troncales en puertos de conmutación; desactivar el enlace troncal en todos los puertos de conmutación no troncales no utilizados.

Explicación: Los ESA de Cisco controlan los mensajes salientes a través de la prevención de pérdida de datos (DLP), el cifrado de correo electrónico y la integración opcional con RSA Enterprise Manager. Este control ayuda a garantizar que los mensajes salientes cumplan con los estándares de la industria y estén protegidos en tránsito.

Explicación: Las alertas generadas por un IPS deben monitorearse de cerca para garantizar que se tomen las medidas adecuadas contra ataques maliciosos. Las soluciones IPS incorporan dos tipos de alertas, alertas atómicas y alertas resumidas. Las alertas atómicas se generan cada vez que se activa una firma. Una alerta resumida es una alerta única que indica múltiples ocurrencias de la misma firma desde la misma dirección o puerto de origen. Con un cambio de resumen, la primera detección del ataque desencadena una alerta normal. La detección posterior del mismo ataque se cuenta hasta el final del intervalo de resumen de firmas. Cuando ha transcurrido el tiempo especificado por el intervalo de resumen, se envía una alarma de resumen, indicando el número de alarmas que ocurrieron durante el intervalo de tiempo.

Explicación: DES utiliza claves de 56 bits. 3DES usa claves de 56 bits, pero encripta tres veces. AES usa claves de 128 bits. AES-256 usa claves de 256 bits y es el más fuerte.

Explicación: El mensaje que se muestra es un aviso de registro de nivel 5 y muestra que un usuario con una dirección IP 172.16.45.1 ha configurado este dispositivo de forma remota.

Explicación: Las firmas IPS tienen tres atributos distintivos:

• tipo
• disparador (alarma)
• acción

Explicación: Un ataque de desbordamiento de la tabla de direcciones MAC (CAM), el desbordamiento del búfer y la suplantación de direcciones MAC se pueden mitigar configurando la seguridad del puerto. Un administrador de red normalmente no querría deshabilitar STP porque evita los bucles de Capa 2. DTP está deshabilitado para evitar saltos de VLAN. Colocar puertos no utilizados en una VLAN no utilizada evita la conectividad por cable no autorizada.

Explicación: La seguridad del puerto es el método más eficaz para prevenir ataques de desbordamiento de tablas CAM. La seguridad del puerto le da al administrador la capacidad de especificar manualmente qué direcciones MAC deben verse en determinados puertos de conmutador. Proporciona un método para limitar la cantidad de direcciones MAC que se pueden aprender dinámicamente a través de un puerto de conmutador.

Explicación: La asignación de un comando como show ip route a un nivel de privilegio específico asigna automáticamente todos los comandos asociados con las primeras palabras clave al nivel de privilegio especificado. Por lo tanto, los comandos show y show ip se configuran automáticamente en el nivel de privilegio donde se configura show ip route, lo cual es necesario porque el comando show ip route no se puede ejecutar sin acceso a los comandos show y show ip. La asignación del comando show ip route permite al usuario ejecutar todos los comandos show, como show version.

Explicación: Un IPS se implementa en modo en línea, mientras que un IDS se implementa en modo promiscuo. Una implementación eficaz de IPS / IDS es colocar un IPS justo detrás del enrutador de borde para filtrar el tráfico entrante y saliente de la red interna corporativa. Las tecnologías IPS e IDS pueden complementarse entre sí. Aunque un IDS no detendrá un ataque de intrusión inmediatamente, se puede utilizar para validar el funcionamiento del IPS porque el IDS se puede configurar para una inspección más profunda de paquetes fuera de línea. Esto permite que el IPS se centre en menos patrones de tráfico en línea, pero más críticos. Colocar IPS e IDS en la red DMZ no protegerá la red interna corporativa.

Explicación: La implementación de la seguridad del puerto del conmutador ayudará a mitigar los ataques DoS. Para mitigar los ataques de reconocimiento, es mejor utilizar una autenticación sólida, una infraestructura conmutada, software antisniffer y cifrado.

Explicación: El modo silencioso evita nuevos intentos de inicio de sesión durante un período de tiempo. El modo silencioso se habilita mediante el comando de clase de acceso en modo silencioso de inicio de sesión. El comportamiento del modo silencioso se puede anular para redes específicas mediante la creación e implementación de una lista de control de acceso (ACL).

Explicación: Para analizar el tráfico de red que pasa a través de un conmutador, se puede utilizar el analizador de puertos conmutados (SPAN). SPAN puede enviar una copia del tráfico de un puerto a otro puerto en el mismo conmutador donde está conectado un analizador de red o dispositivo de monitoreo. SPAN no es necesario para syslog o SNMP. SPAN se utiliza para reflejar el tráfico, mientras que syslog y SNMP están configurados para enviar datos directamente al servidor apropiado.

Explicación: La función de configuración resistente de Cisco IOS permite almacenar localmente en un enrutador una copia segura del IOS y del archivo de configuración en ejecución. Si la memoria flash o la NVRAM se borran de forma inadvertida o maliciosa, el enrutador se puede restaurar rápidamente utilizando los archivos almacenados.

Explicación: TACACS + utiliza el puerto TCP 49, proporciona autorización por usuario o por grupo, cifra todo el paquete y no proporciona compatibilidad con protocolos TACACS anteriores.

Explicación: La autenticación y contabilidad RADIUS utilizan los siguientes números de puerto UDP:
puerto UDP 1645 o 1812 para autenticación El
puerto UDP 1646 o 1813 para contabilidad
TACACS + usa el puerto TCP 49.

Explicación: El uso de un sistema de prevención de intrusiones (IPS) y un firewall puede limitar la información que se puede descubrir con un escáner de puertos. La autenticación, el cifrado y las contraseñas no brindan protección contra la pérdida de información por el escaneo de puertos.

Explicación: Cuando un usuario AAA está autenticado, RADIUS usa el puerto UDP 1645 o 1812 para autenticación y el puerto UDP 1646 o 1813 para contabilidad. TACACS proporciona servicios de autorización y contabilidad independientes. Cuando un cliente RADIUS está autenticado, también está autorizado. TACACS proporciona conectividad segura mediante el puerto TCP 49. RADIUS oculta las contraseñas durante la transmisión y no cifra el paquete completo.

Explicación: Cisco NAC se utiliza en la arquitectura de red sin fronteras de Cisco para autenticar a los usuarios y garantizar que los dispositivos de los usuarios cumplan con las políticas de seguridad. Cisco NAC Agent es un software de agente opcional que se ejecuta en terminales y realiza una inspección profunda del perfil de seguridad de ese dispositivo.

Explicación: Los niveles de Syslog varían de 0 a 7: El
nivel 0 es Log_Emerg El
nivel 1 es Log_Alert El
nivel 2 es Log_Crit El
nivel 3 es Log_Err El
nivel 4 es Log_Warning El
nivel 5 es Log_Notice El
nivel 6 es Log_Info El
nivel 7 es Log_Debug

Explicación: Los dispositivos ASA tienen niveles de seguridad asignados a cada interfaz que no forman parte de una ACL configurada. Estos niveles de seguridad permiten que el tráfico de interfaces más seguras, como el nivel de seguridad 100, acceda a interfaces menos seguras, como el nivel 0. De forma predeterminada, permiten que el tráfico de interfaces más seguras (nivel de seguridad más alto) acceda a interfaces menos seguras (nivel de seguridad más bajo). nivel). El tráfico de las interfaces menos seguras no puede acceder a interfaces más seguras.

Explicación: Cuando se implementa el comando de bloqueo de inicio de sesión, automáticamente invoca un retraso de un segundo entre los intentos de inicio de sesión. El comando login block-for que se presenta significa que el inicio de sesión se desactivará durante 150 segundos, si se producen más de 5 errores de inicio de sesión en 60 segundos. Estas mejoras no se aplican a las conexiones de la consola. Cuando el modo silencioso está habilitado, se niegan todos los intentos de inicio de sesión, excepto los hosts permitidos en la ACL.