CertifyDeckCargando contenido…
Professional Security Operations Engineer · Preguntas de ejemplo
10 preguntas reales del banco de Professional Security Operations Engineer de CertifyDeck, repartidas por los dominios del temario oficial de Google Cloud Certified Professional Security Operations Engineer, con la respuesta correcta y la explicación completa de por qué las demás opciones no lo son. Son preguntas originales redactadas a partir del temario público, no dumps, y tienen el mismo estilo que encontrarás en los tests de práctica y en el simulador.
Respuesta correcta: D. log_id("cloudaudit.googleapis.com/activity") AND protoPayload.methodName="SetIamPolicy"
La función log_id selecciona un registro concreto, y cloudaudit.googleapis.com/activity es el registro de auditoría Admin Activity, que recoge las llamadas a la API que escriben configuración o metadatos, como fijar una política de IAM; filtrar protoPayload.methodName lo limita a SetIamPolicy. El registro data_access recoge lecturas y escrituras de datos de usuario, no cambios de políticas. La consulta de estilo UDM usa campos de Google SecOps que Logs Explorer no entiende, y filtrar entradas de error de Compute Engine por textPayload no encuentra los registros de auditoría, cuyo contenido está en protoPayload.
Respuesta correcta: B. Crear un ruleset de Livehunt con la regla, activarlo y revisar las coincidencias en el IoC Stream.
Livehunt aplica tus reglas YARA a cada archivo que analiza Google Threat Intelligence y genera un aviso cuando un archivo coincide, y la vista IoC Stream reúne estos avisos para estudiarlos o exportarlos. Lanzar Retrohunt a diario analiza el corpus histórico y añade trabajo repetitivo en lugar de vigilancia continua. Un retrohunt de SecOps busca en tu propia telemetría, no en los archivos que analiza Google Threat Intelligence, y un Threat Profile recomienda amenazas pero no ejecuta tu regla.
Respuesta correcta: A. Indica la cuenta de servicio como Workload Identity Email y concede a la identidad de la instancia de SecOps Service Account Token Creator sobre ella.
El método recomendado para esta integración es Workload Identity: la identidad de la instancia de Google SecOps recibe Service Account Token Creator sobre la cuenta de servicio y obtiene tokens de corta duración mediante suplantación, así que no se guarda ningún secreto. Una clave JSON funciona, pero es un secreto estático de larga duración que la política prohíbe. Una clave de API estándar no identifica a ningún principal, por lo que IAM no puede autorizar los cambios en los hallazgos, y el rol Owner rompe el mínimo privilegio y no resuelve la autenticación.
Respuesta correcta: C. Una condición de atributo en el proveedor, como assertion.attributes.ipaddr.startsWith('198.51.100.').
Una condición de atributo es una expresión CEL que se evalúa sobre la aserción, y solo los usuarios cuyos atributos la cumplen pueden iniciar sesión con ese proveedor de personal; la documentación usa precisamente una comprobación del prefijo de ipaddr como ejemplo. Un ámbito de data RBAC filtra qué eventos ve un usuario ya autenticado, pero no bloquea la autenticación. El registro de auditoría de valores de atributos solo deja constancia de los valores, y acortar la sesión limita la validez del token sin rechazar a nadie.
Respuesta correcta: A. Unir los eventos NETWORK_DNS con entidades DOMAIN_NAME y filtrar por un valor bajo de graph.entity.domain.prevalence.rolling_max.
El Entity Context Graph calcula la prevalencia como contexto derivado; para los dominios, rolling_max es el número diario máximo de direcciones IP internas únicas que acceden al dominio en los 10 días anteriores, así que una regla que una los eventos DNS con la entidad del dominio y filtre por un valor bajo encuentra dominios raros los liste o no algún feed. Las detecciones de Applied Threat Intelligence y la pestaña IoC Matches solo cubren indicadores que un feed ya conoce. Una lista de permitidos en una lista de referencia es justo el mantenimiento de listas que el equipo quiere evitar.
Respuesta correcta: C. Escribir para el gráfico una consulta YARA-L con match sobre el hash, count_distinct de los hosts y orden ascendente.
Los gráficos de los paneles se rellenan con consultas YARA-L, y la sintaxis estadística admite match para agrupar por un campo como target.process.file.sha256, agregaciones de outcome como count_distinct de principal.hostname y una sección order, así que el orden ascendente muestra los hashes más raros. El panel IoC Matches solo muestra indicadores que un feed ya ha marcado. Risk Analytics clasifica entidades por el riesgo de sus hallazgos, y el panel MITRE ATT&CK coverage muestra la cobertura de detección, no la prevalencia de binarios.
Respuesta correcta: A. En la página Feed management, abrir el menú de acciones del feed y seleccionar Debug with logs.
Debug with logs, en el menú de acciones de un feed de la página Feed management, abre Logs Explorer en una pestaña nueva ya filtrado por el ID de ese feed, así que ves sus entradas de actividad y los detalles de error. La búsqueda de registros sin procesar y la búsqueda UDM consultan los datos ingeridos, que es justo lo que falta, y no pueden mostrar por qué falló la recopilación. El panel Data Ingestion and Health muestra volúmenes y errores por tipo de registro, pero no las entradas de actividad del feed en Cloud Logging.
Respuesta correcta: B. Usa las claves que la autoextracción coloca en el campo de mapa extracted e incluye metadata.log_type en las búsquedas.
Cuando un tipo de registro no tiene parser, la autoextracción extrae automáticamente los pares clave-valor de los registros JSON al campo de mapa UDM extracted, que se puede usar en la búsqueda UDM, los paneles y las reglas YARA-L; incluir metadata.log_type mejora el rendimiento de la búsqueda. Un parser personalizado es la opción más completa a largo plazo, pero exige el código que el equipo quiere evitar. Log Replay vuelve a aplicar un parser activo y no crea asignaciones, y las etiquetas de ingesta son metadatos de los registros, no una forma de asignar claves JSON a campos UDM.
Respuesta correcta: C. Asignar a cada red un espacio de nombres de activos distinto durante la ingesta, ya que el enriquecimiento solo enlaza activos del mismo espacio de nombres.
Los espacios de nombres de activos clasifican los activos que comparten un entorno de red, por ejemplo para resolver rangos RFC 1918 solapados, y Google SecOps solo enriquece los eventos de activos con activos del mismo espacio de nombres, así que espacios separados mantienen aparte el alias de cada red. Las etiquetas de ingesta y las tablas de datos solo ayudan a acotar búsquedas; el alias subyacente seguiría mezclando los activos. Los ámbitos de data RBAC controlan quién ve los datos, no cómo se asocian los activos.
Respuesta correcta: C. Añadir un flujo Condition tras la acción, con If previous action fails apuntando a una rama que envíe un correo al equipo de identidad.
Un flujo Condition cuya opción If previous action fails apunta a una rama dedicada permite que el playbook continúe y ejecute otras acciones, como enviar un correo al equipo de identidad, cuando falla la búsqueda de la que depende; Google usa justo este ejemplo de Resolve User Owner. Detener el playbook incumple el requisito de seguir ejecutándose, Skip step continúa pero no avisa a nadie y los reintentos no sirven cuando el usuario sencillamente no existe.
Responde cada pregunta antes de abrir la explicación y anota por qué descartas las demás opciones. En Professional Security Operations Engineer, la mayoría de los fallos vienen de elegir una opción técnicamente posible que no cumple todos los requisitos del escenario.
Estas 10 preguntas sirven para conocer el formato, no como diagnóstico. Para saber en qué dominios fallas, practica por dominio gratis y haz un examen de prueba cronometrado con la ponderación y la duración oficiales.
Empieza gratis, sin registro ni tarjeta. Todas las preguntas llevan una explicación como las de arriba y el simulador reproduce el formato oficial de Professional Security Operations Engineer.