Guía Maestra de Estudio: Certificación Cisco CCST Cybersecurity
Esta guía representa la síntesis definitiva para el aspirante a la certificación Cisco Certified Support Technician (CCST) Cybersecurity.
Como instructor certificado (CCAI), he estructurado este documento no solo para que memorices comandos, sino para que comprendas la
arquitectura de defensa necesaria en un entorno profesional. La seguridad no es un producto, es un proceso continuo.
1. Fundamentos de Seguridad Física y Desarrollo de Aplicaciones
La seguridad física es la base de la pirámide; sin perímetros controlados, las defensas lógicas más sofisticadas pueden ser anuladas por
un atacante con acceso directo al hardware. Paralelamente, la seguridad en el desarrollo es el pilar de la integridad. Un sistema es tan
fuerte como su eslabón más débil, y la interdependencia entre un centro de datos físicamente seguro y un código libre de vulnerabilidades
es lo que garantiza la resiliencia de la infraestructura moderna.
1.1 Seguridad Física y Biometría
La protección física se organiza en capas, comenzando por las barreras físicas (cercas perimetrales, pilones y refugios) que establecen
los límites visibles y encierran zonas seguras. La biometría añade una capa de autenticación basada en rasgos únicos (rostro, huellas,
iris, retina).
Puntos Críticos para el Examen:
1. Precisión y CER: El factor más crítico es la precisión. El Crossover Error Rate (CER) es el punto donde los errores de Tipo I y Tipo II
se igualan; cuanto más bajo el CER, más preciso es el sistema.
2. Error de Tipo I (Falso Rechazo): El sistema rechaza a un usuario legítimo. Afecta la productividad.
3. Error de Tipo II (Falsa Aceptación): El sistema permite el acceso a un impostor. Es el fallo de seguridad más grave.
4. Tasa de Aceptación: Porcentaje de errores de Tipo II sobre el total de casos de acceso.
5. Vigilancia Híbrida: Los sistemas electrónicos (CCTV, RFID) proporcionan cobertura, pero los guardias de seguridad son superiores
por su capacidad de adaptarse y tomar decisiones in situ.
Glosario de Seguridad Física
Término
Definición
Tasa de aceptación
Porcentaje de impostores aceptados como usuarios auténticos (Error Tipo II).
Error de Tipo II
Fallo crítico donde un intruso obtiene acceso no autorizado.
Cercado perimetral
Capa de defensa más externa y visible que encierra zonas seguras.
Preguntas de Práctica:
1. Un sensor de huellas dactilares rechaza repetidamente al Director de TI a pesar de estar registrado correctamente. ¿Qué
concepto describe este problema?
A) Error de Tipo II
B) Tasa de aceptación falsa
C) Error de Tipo I
D) Vulnerabilidad de proximidad
Justificación: El Error de Tipo I ocurre cuando el sistema deniega el acceso a un usuario autorizado, impactando la eficiencia.
2. Desde la perspectiva de un defensor de red, ¿cuál es el riesgo biométrico más peligroso?
A) Un CER extremadamente bajo.
B) Un Error de Tipo II.
C) Un tiempo de inscripción prolongado.
D) Un Error de Tipo I.
Justificación: El Error de Tipo II compromete la seguridad al permitir la entrada de personal no autorizado.
3. ¿Cuál es la ventaja táctica de emplear guardias humanos frente a cámaras de CCTV?
A) Menor costo de mantenimiento a largo plazo.
B) Eliminación de la necesidad de biometría.
C) Capacidad de diferenciar situaciones complejas y tomar decisiones en tiempo real.
D) Grabación continua de eventos sin errores.
Justificación: Los guardias pueden adaptarse a condiciones situacionales que los sistemas automáticos no pueden evaluar.
4. ¿Cuál es la primera línea de defensa física y la más visible en una instalación?
A) Escáner de retina.
B) Guardias con RFID.
C) Cercas y barreras físicas.
D) Cifrado de discos duros.
Justificación: Las barreras físicas como cercas y pilones constituyen la capa más externa de protección.
5. Si un atacante accede físicamente a un armario de cableado y conecta una Raspberry Pi con P4wnP1 a un switch, ¿qué ha
ocurrido?
A) El atacante explotó una vulnerabilidad de software.
B) El acceso físico invalidó las medidas de seguridad lógica de la red.
C) Se produjo un Error de Tipo II en el firewall.
D) Se realizó un ataque de inyección SQL exitoso.
Justificación: El acceso físico permite instalar hardware malicioso que evita firewalls y controles lógicos.
1.2 Seguridad en el Desarrollo de Software
El software debe madurar en entornos controlados: desde Desarrollo (creación/depuración) hasta Staging (Ensayo) —que debe ser
idéntico a Producción para validar configuraciones—, antes de su despliegue final.
Controles de Análisis de Seguridad
Herramienta
Enfoque
Uso Principal
SAST
Análisis estático del código fuente.
Identificar código inseguro (ej. SQLi) durante el desarrollo.
SCA
Análisis de composición de software.
Mitigar riesgos de SDKs y bibliotecas de terceros.
DAST
Análisis dinámico (en ejecución).
Probar la aplicación en Staging o Producción.
Puntos Críticos:
Riesgos de SDK: Las bibliotecas de terceros aceleran el desarrollo, pero heredan vulnerabilidades que pueden afectar a miles de
aplicaciones simultáneamente.
Técnicas de Codificación: La Normalización organiza datos para mantener la integridad; los Stored Procedures reducen tráfico y
previenen inyecciones de parámetros.
Validación de Entrada: Es el proceso obligatorio de limpiar datos antes de interactuar con la base de datos (la lista blanca o whitelist
es el método más seguro).
Glosario de Desarrollo Seguro
Término
Definición
Normalización
Proceso para garantizar que las cadenas tengan representaciones binarias únicas e íntegras.
Stored Procedure
Instrucciones SQL precompiladas que protegen contra inyecciones de parámetros.
Ofuscación
Ocultar datos originales con caracteres aleatorios para prevenir ingeniería inversa.
Camuflaje
Sustituir datos sensibles por datos ficticios realistas para protección.
Preguntas de Práctica:
1. ¿Qué herramienta debería utilizar un desarrollador para verificar si una biblioteca externa (SDK) contiene vulnerabilidades
conocidas?
A) SAST
B) Checksum
C) SCA (Software Composition Analysis)
D) Ofuscación
Justificación: SCA es específico para detectar vulnerabilidades en componentes de terceros.
2. Un atacante intenta inyectar comandos SQL mediante la URL de una aplicación. ¿Qué práctica mitiga esto de forma más
efectiva?
A) Ofuscación del código.
B) Validación de entrada mediante listas blancas.
C) Aprovisionamiento automático.
D) Uso de Cookies Seguras.
Justificación: La lista blanca solo acepta valores conocidos, bloqueando intentos de inyección.
3. ¿Cuál es la función principal de un "Checksum" (Suma de verificación)?
A) Cifrar datos sensibles para que no sean leídos.
B) Detectar errores accidentales o modificaciones (tampering) en los datos.
C) Realizar el borrado remoto de un dispositivo.
D) Acelerar el proceso de normalización.
Justificación: Funciona como una "huella digital simplificada" para garantizar que la información no ha cambiado.
4. ¿Por qué es vital que el entorno de "Staging" coincida con el de "Producción"?
A) Para ahorrar costos de licenciamiento.
B) Para verificar que el software se ejecute con la configuración de seguridad real requerida.
C) Para permitir que los usuarios finales realicen el desaprovisionamiento.
D) Para evitar el uso de funciones hash.
Justificación: La paridad entre entornos garantiza que las pruebas de seguridad sean válidas para el mundo real.
5. ¿Qué técnica sustituye datos confidenciales por datos ficticios realistas para evitar la ingeniería inversa?
A) Ofuscación
B) Normalización
C) Camuflaje
D) Firma de código
Justificación: El camuflaje usa datos ficticios realistas, a diferencia de la ofuscación que usa caracteres aleatorios.
"So What?" - Impacto Estratégico: El costo promedio del tiempo de inactividad es de $5,600 por minuto. Un plan de rollback y la
automatización del parcheo (vía Ansible o WSUS) no son lujos, son pilares de la Continuidad del Negocio (BCP). Ignorar
vulnerabilidades como Log4Shell puede paralizar una organización global.
Conexión Profesional: El código inseguro crea brechas que las defensas de red deben intentar filtrar; si el código falla, la red es nuestra
última esperanza.
2. Endurecimiento de Red, Servicios y Protocolos
Cada servicio que "escucha" en un puerto abierto expande la superficie de ataque. El endurecimiento (hardening) exige cerrar puertos
innecesarios y migrar hacia protocolos de administración que utilicen cifrado sólido para proteger las credenciales.
2.1 Protocolos de Infraestructura (DHCP, DNS, ICMP, NTP)
DHCP: El "recepcionista" de la red. Debe protegerse ubicándolo tras un firewall y monitoreando sus registros. Puertos UDP 67/68.
DNS: La "agenda telefónica". Vulnerable al envenenamiento de caché. DNSSEC utiliza firmas digitales para autenticar zonas y
transacciones. Puerto UDP/TCP 53.
ICMP: Protocolo de diagnóstico (Capa 3). Esencial para herramientas como ping .
Mensajes críticos: Echo reply, Source quench (control de flujo), Unreachable, Parameter problem, Packet too big
(descubrimiento de MTU).
NTP: Sincroniza relojes. La autenticación NTP es vital para que los logs de auditoría tengan marcas de tiempo legítimas y
coherentes. Puerto UDP 123.
Preguntas de Práctica:
1. ¿Qué mensaje ICMP se genera cuando un paquete es denegado administrativamente por una ACL?
A) Echo reply
B) Unreachable
C) Source quench
D) Packet too big
Justificación: El mensaje Unreachable informa que el destino no es alcanzable por razones técnicas o administrativas.
2. ¿Cuál es la función de DNSSEC en una infraestructura de red?
A) Cifrar el contenido de los correos electrónicos.
B) Proporcionar firmas digitales para autenticar las zonas DNS.
C) Asignar direcciones IP dinámicas de forma segura.
D) Sincronizar el tiempo entre servidores.
Justificación: DNSSEC protege contra el envenenamiento de caché autenticando la fuente de los datos DNS.
3. ¿Qué protocolo de enrutamiento de vector de distancia utiliza "saltos" (hops) como métrica?
A) OSPF
B) BGP
C) RIP
D) ICMP
Justificación: RIP calcula la mejor ruta sumando un salto por cada router vecino hasta la convergencia.
2.2 Administración Remota y Transferencia Segura
Protocolo Inseguro
Puerto
Protocolo Seguro
Puerto
Mejora Principal
Telnet
23
SSH
22
Cifrado sólido de datos y credenciales.
HTTP
80
HTTPS
443
Confidencialidad mediante SSL/TLS.
FTP
21
FTPS / SCP
Varía / 22
Soporte TLS/SSL o túnel SSH.
SNMPv1/v2
161
SNMPv3
161
Criptografía para integridad y autenticidad.
Glosario de Protocolos
SSH: Conexión remota cifrada de Capa de Aplicación.
SCP: Transferencia segura de archivos basada en SSH.
SNMPv3: Estándar actual de monitoreo que evita escuchas y manipulación.
S/MIME: Cifrado y firma digital para emails; proporciona no repudio.
Conexión Profesional: Los protocolos seguros son el requisito previo para la segmentación efectiva; sin ellos, el tráfico entre segmentos
es vulnerable al sniffing.
3. Segmentación de Red y el Modelo Zero Trust
El modelo antiguo de "Castillo y Foso" es obsoleto. La filosofía Zero Trust asume que la red interna ya está comprometida, utilizando la
segmentación para reducir el "radio de explosión" (blast radius) de un ataque.
3.1 VLANs y DMZ
VLAN: Segmentación lógica por función o proyecto. Regla de oro: Nunca usar la VLAN 1 para tráfico de usuario (es la
predeterminada y vulnerable).
DMZ (Zona Desmilitarizada): Zona de amortiguamiento para servidores públicos (Web, DNS, Mail).
Flujo de tráfico: Internet -> DMZ (Permitido a servicios específicos); DMZ -> LAN (Bloqueado por defecto).
3.2 Filosofía Zero Trust (Confianza Cero)
1. Verificar explícitamente: Autenticar siempre (identidad, dispositivo, ubicación).
2. Mínimo privilegio: Acceso justo a lo necesario (Just-in-time, Just-enough-access).
3. Asumir la vulneración: Segmentar y monitorear continuamente.
Escenario de Práctica:
¿Dónde colocaría un portal para socios comerciales externos? En una Extranet (riesgo medio-bajo, confianza medio-alta).
¿Qué técnica evita que un atacante "salte" entre servidores de la misma DMZ? La Microsegmentación.
4. Seguridad Inalámbrica y Dispositivos Móviles
4.1 Estándares Wi-Fi y Autenticación
WEP: Obsoleto. Claves estáticas rotas en minutos.
WPA2: Usa AES-CCMP. Vulnerable al ataque KRACK (reinstalación de claves).
WPA3: El estándar actual. Usa SAE (Simultaneous Authentication of Equals) para resistir ataques de fuerza bruta offline y proporciona
Forward Secrecy.
WPS: Vulnerabilidad crítica por PIN de 8 dígitos (rompible en horas); debe deshabilitarse.
Protocolos EAP: EAP-TLS es el más seguro (requiere certificados en cliente y servidor).
4.2 Administración de Dispositivos Móviles (MDM)
Contenedorización: Aísla datos corporativos de los personales.
Jailbreaking/Rooting: Eludir las restricciones del fabricante; aumenta el riesgo al dar acceso administrativo total.
Sideloading: Instalar aplicaciones desde fuentes no oficiales (riesgo de malware).
5. Resiliencia, Alta Disponibilidad y Sistemas Especializados
5.1 Alta Disponibilidad (RAID, STP, Redundancia N+1)
Cinco Nueves: 99.999% de disponibilidad (< 5.26 min de inactividad/año).
RAID (Redundant Array of Independent Disks):
RAID 0 (Striping): Velocidad, sin redundancia.
RAID 1 (Mirroring): Duplicación exacta.
RAID 5 (Striping con Paridad): Requiere al menos una tercera unidad para almacenar checksums de paridad.
STP (Spanning Tree Protocol): Elimina bucles lógicos. El Root Bridge es el switch con el BID más bajo.
5.2 IoT, SCADA y Tecnologías de Engaño
Amenazas Reales: Stuxnet (ataque a infraestructura crítica/SCADA) y la botnet Mirai (IoT usado para DDoS masivos).
RTOS: Sistemas operativos en tiempo real usados en IoT/médicos. Priorizan precisión temporal.
Ataques de Canal Lateral: Explotan información física (tiempo de respuesta, consumo de energía, sonido) para deducir claves.
Engaño: Honeypot (señuelo) y DNS Sinkhole (redirige URLs maliciosas a un sumidero seguro).
6. Listas de Control de Acceso (ACL) y Criptografía
6.1 Funcionamiento y Sintaxis de ACL
Ubicación Eficiente:
ACL Extendida: Lo más cerca posible del origen para ahorrar ancho de banda.
ACL Estándar: Lo más cerca posible del destino.
Máscara Wildcard: 0 = Coincidir; 1 = Ignorar. (Cálculo: 255.255.255.255 - Máscara Subred).
IPv6: No hay ACL estándar; todas son nombradas. Permiten implícitamente NDP (Neighbor Discovery Protocol). Cuidado con el Túnel
Teredo, que puede ser usado por atacantes para pivotar de IPv4 a IPv6.
6.2 Criptografía
Simétrica (AES, DES): Una clave compartida. Rápida, ideal para VPN. DES es obsoleto.
Asimétrica (RSA, Diffie-Hellman): Claves pública/privada. Lenta, para HTTPS/SSH.
Diffie-Hellman (DH): Permite generar un secreto compartido sin intercambiarlo previamente.
Hashing (SHA-256): Verifica integridad (no reversible).
7. Resumen General del Examen CCST Cybersecurity
Tabla de Dominios del Examen
Dominio
Peso
Dificultad
Foco del Examen
Seguridad de Red
30%
9
ACLs, Protocolos, STP, Hardening.
Seguridad de Datos
20%
7
Criptografía Simétrica/Asimétrica, Hashing.
Seguridad Móvil/IoT
20%
6
WPA3, MDM, Stuxnet, Mirai, RTOS.
Seguridad de Apps
15%
7
Ciclo de vida, SAST/SCA, SQL Injection.
Seguridad Física
15%
4
Errores Tipo I/II, CER, Barreras.
Top 10 Conceptos "Must-Know"
1. Zero Trust: "Nunca confíes, siempre verifica".
2. Error Tipo II: El sistema acepta a un impostor (el más peligroso).
3. ACL Extendida: Filtra por IP origen/destino y puerto; colocar cerca del origen.
4. WPA3-SAE: Resistente a ataques de fuerza bruta offline y KRACK.
5. RAID 5: Striping con paridad; sobrevive a la falla de un disco (requiere 3+ unidades).
6. STP Root Bridge: Switch con el BID (Prioridad + MAC) más bajo.
7. DNSSEC: Autentica zonas DNS con firmas digitales.
8. SCA vs SAST: SCA busca vulnerabilidades en bibliotecas de terceros; SAST en el código propio.
9. ICMP Unreachable: Mensaje generado por una ACL que bloquea tráfico.
10. Diffie-Hellman: Algoritmo asimétrico para acordar una clave secreta.
Consejos Tácticos para el Examen
1. Prioridad de Seguridad: Si una pregunta de biometría pregunta por el mayor riesgo, busca Tipo II.
2. Protocolos Obsoletos: Descarta siempre opciones que mencionen Telnet (**), HTTP (**), WEP o DES.
3. Ubicación de ACL: Recuerda el ahorro de ancho de banda: Extendida = Origen.
4. EAP-TLS: Si piden la máxima seguridad inalámbrica con certificados mutuos, es esta.
5. Deny Any Implícito: Si una ACL no tiene un permit , denegará absolutamente todo el tráfico.