CertifyDeckCargando contenido…
SC-100 · Preguntas de ejemplo
10 preguntas reales del banco de SC-100 de CertifyDeck, repartidas por los dominios del temario oficial de Microsoft Certified: Cybersecurity Architect Expert, con la respuesta correcta y la explicación completa de por qué las demás opciones no lo son. Son preguntas originales redactadas a partir del temario público, no dumps, y tienen el mismo estilo que encontrarás en los tests de práctica y en el simulador.
Respuesta correcta: C. Servidores habilitados para Azure Arc con el Azure Monitor Agent y reglas de recopilación de datos
Azure Arc da a cada máquina que no es de Azure una representación como recurso de Azure, y el Azure Monitor Agent recopila los datos del sistema operativo invitado para Microsoft Sentinel según reglas de recopilación de datos, que centralizan la configuración entre máquinas y entornos. El agente heredado de Log Analytics está siendo sustituido por el Azure Monitor Agent y no usa la configuración centralizada basada en DCR. La configuración de diagnóstico enruta registros de plataforma de recursos de Azure, no eventos invitados de servidores fuera de Azure, y el recopilador de Defender for Cloud Apps trata registros de tráfico para la detección de aplicaciones en la nube.
Respuesta correcta: D. Crear una unidad administrativa por facultad y limitar a ella las asignaciones de roles.
Las unidades administrativas restringen los permisos de un rol a una parte de la organización, así que el equipo de cada facultad puede tener un rol limitado a los usuarios de la unidad administrativa de su facultad. Una asignación en el ámbito del inquilino, sea apta en PIM o no, sigue dando alcance a todo el inquilino una vez activa; PIM limita cuándo se tiene el acceso, no dónde se aplica. Ser propietario de un grupo permite gestionar su pertenencia, pero no delega la administración de las propias cuentas de usuario.
Respuesta correcta: C. La definición Allowed locations asignada en el ámbito del grupo de administración
La definición integrada Allowed locations usa el efecto deny para restringir dónde pueden crearse recursos nuevos, y asignarla en el grupo de administración hace que todas las suscripciones hijas la hereden. Asignarla con audit solo informa de los recursos no compatibles y no los bloquea. Azure RBAC gestiona qué pueden hacer los usuarios en un ámbito, mientras que Azure Policy evalúa propiedades del recurso, como la ubicación, sin importar quién hace el cambio; las reglas de gobernanza solo impulsan la corrección de recomendaciones.
Respuesta correcta: D. Usar la federación de identidades de carga de trabajo para la conexión con Azure
La federación de identidades de carga de trabajo permite que las canalizaciones se autentiquen en Azure sin secretos almacenados, lo que la guía recomienda para eliminar credenciales codificadas y de larga duración. Trasladar el secreto a Key Vault es tentador porque centralizar los secretos también se recomienda, pero el secreto sigue existiendo y es de larga duración, así que no cumple el requisito. Una variable secreta de la canalización y un certificado en los agentes también son credenciales de larga duración almacenadas.
Respuesta correcta: B. Crear un marco de clasificación de datos y una taxonomía de etiquetas de confidencialidad
La guía de implementación de confianza cero para datos indica que, como paso previo a cualquier implementación de seguridad de datos, hay que crear un marco de clasificación de datos y una taxonomía de etiquetas de confidencialidad, que después simplifica el inventario, la gestión de directivas y la priorización de investigaciones. DLP, la gestión de riesgos internos y la minimización de datos son objetivos posteriores que dependen de saber qué datos son confidenciales. Implementar DLP primero supondría escribir directivas sin una definición acordada de los datos que protegen.
Respuesta correcta: A. Mantener STRIDE y complementarlo con MITRE ATLAS y las guías de riesgos de IA de OWASP
Cloud Adoption Framework indica que se empiece por el marco de modelado de amenazas ya establecido, como STRIDE, y que se consulten bases de conocimiento específicas de la IA, como MITRE ATLAS y los riesgos de IA generativa de OWASP, para complementarlo, no para sustituirlo. Reemplazar STRIDE contradice esa recomendación. El filtrado de contenido es un control en tiempo de ejecución, no un método para identificar riesgos, y el marco pide evaluaciones de riesgos periódicas porque los modelos, los usos y los atacantes evolucionan.
Respuesta correcta: B. Microsoft Purview Insider Risk Management con la plantilla de usuarios que se marchan
Insider Risk Management correlaciona señales para identificar riesgos internos malintencionados o involuntarios, como el robo de propiedad intelectual, ofrece una plantilla de directiva de robo de datos por usuarios que se marchan, seudonimiza a los usuarios por defecto y permite escalar casos a eDiscovery (Premium). Defender for Identity detecta ataques contra la infraestructura de identidad local, y Entra ID Protection evalúa usuarios e inicios de sesión de riesgo, así que ninguno detecta el robo de datos por parte de un empleado que inicia sesión legítimamente. Defender External Attack Surface Management cartografía los activos expuestos a Internet, una amenaza externa.
Respuesta correcta: C. Preparar un plan de recuperación que permita recuperarse sin pagar el rescate
Microsoft ordena los pasos de forma que preparar el plan de recuperación va primero: poder restaurar sin pagar elimina el incentivo económico del atacante. Proteger los roles con privilegios es el segundo paso, y dificultar la entrada es el tercero, que no debe frenar los dos primeros. Identificar los activos sensibles es importante, pero es un proceso más largo que no debe retrasar el trabajo de copias de seguridad y de acceso con privilegios.
Respuesta correcta: D. Implementar Microsoft Defender for Endpoint en Linux en los servidores.
Defender for Endpoint en Linux usa un sensor ligero basado en eBPF sin módulos de kernel y ofrece protección en tiempo real, funciones de EDR como el aislamiento de dispositivos y la respuesta en directo, y administración de vulnerabilidades. El análisis sin agente de Defender for Cloud puede evaluar vulnerabilidades y malware sin agente, pero no ofrece prevención en tiempo real ni acciones de respuesta de EDR. Recopilar syslog en Sentinel solo reúne registros, y el sensor de Defender for Containers protege cargas de trabajo de Kubernetes, no servidores independientes.
Respuesta correcta: C. Universal Tenant Restrictions en Global Secure Access
Universal Tenant Restrictions usa Global Secure Access para etiquetar el tráfico con la señal de restricciones de inquilino v2 sea cual sea el sistema operativo, el navegador o el tipo de dispositivo, mediante el cliente o las redes remotas, de modo que la directiva se aplica sin proxy corporativo. Las restricciones de inquilino v1 dependen de una lista de permitidos configurada en un proxy corporativo, algo que el requisito descarta, y las directivas de grupo de Windows solo cubren los dispositivos Windows corporativos. La configuración de acceso entre inquilinos entrante controla cómo acceden los usuarios externos a tu inquilino, no dónde pueden iniciar sesión tus propios usuarios.
Responde cada pregunta antes de abrir la explicación y anota por qué descartas las demás opciones. En SC-100, la mayoría de los fallos vienen de elegir una opción técnicamente posible que no cumple todos los requisitos del escenario.
Estas 10 preguntas sirven para conocer el formato, no como diagnóstico. Para saber en qué dominios fallas, practica por dominio gratis y haz un examen de prueba cronometrado con la ponderación y la duración oficiales.
Empieza gratis, sin registro ni tarjeta. Todas las preguntas llevan una explicación como las de arriba y el simulador reproduce el formato oficial de SC-100.