1. ¿Qué es la superficie de ataque en el contexto de los sistemas de software?

a) Los puntos de entrada posibles que un atacante puede usar para atacar un sistema.
b) La red o aplicación visible para un atacante y que puede ser atacada.
c) Los riesgos asociados a los sistemas de software actuales.
d) Todas las anteriores.

2. ¿Cuál de las siguientes estrategias ayuda a reducir la superficie de ataque del

software?
a) Reducir la cantidad de código en ejecución.
b) Reducir los puntos de entrada disponibles.
c) Desactivar servicios o funcionalidad con una demanda escasa.
d) Todas las anteriores.

3. ¿La reducción de la superficie de ataque mitiga el daño que un atacante podría

infligir?
a) Verdadero
b) Falso

4. ¿Cuál de las siguientes opciones es un ejemplo de la superficie de ataque de una

casa según el texto?
a) La puerta principal.
b) Las ventanas frontales.
c) Las ventanas del piso superior.
d) Todas las anteriores.

5. ¿Qué implican los puntos de entrada limitados a un acceso a nivel de administrador

en cuanto a la superficie de ataque?
a) Son más peligrosos que los accesos de usuarios sin privilegio.
b) Son menos peligrosos que los accesos de usuarios sin privilegio.
c) Tienen mayor vulnerabilidad a los ataques externos.
d) Ninguna de las anteriores.

6. ¿Cuál de las siguientes opciones no es una estrategia de reducción de la superficie

de ataque?
a) Desactivar funcionalidad innecesaria.
b) Filtrar la funcionalidad HTTP en uso.
c) Limitar los accesos por TCP en lugar de UDP.
d) Mantener la cantidad de código en ejecución.

7. ¿Cuál de las siguientes mejoras de seguridad se ha implementado en versiones

modernas de Windows?
a) Llamadas de procedimiento remoto sin autenticación.
b) Firewall desactivado por defecto.
c) Servidor web IIS activo por defecto.
d) Conexiones locales para SQL Server.
8. ¿Cuál de las siguientes afirmaciones describe mejor la relación entre seguridad y
privacidad?
a) La privacidad garantiza la integridad, disponibilidad y confidencialidad de la
información.
b) Se puede tener seguridad sin privacidad, pero no al revés.
c) La privacidad y la seguridad son conceptos intercambiables.
d) La seguridad se basa en el control de la información personal por parte de los
usuarios.

9. ¿Cuál de las siguientes legislaciones puede influir en el diseño del software en

relación con la privacidad?
a) COPPA
b) GLBA
c) HIPAA
d) Todas las anteriores

10. ¿Cuál de las siguientes afirmaciones describe mejor el modelado de amenazas?

a) Identificar, enumerar y entender las vulnerabilidades de un sistema.
b) Identificar, enumerar y entender las amenazas potenciales de un sistema.
c) Establecer un modelo de seguridad para un sistema.
d) Implementar controles de seguridad para mitigar amenazas.

11. ¿Qué herramienta proporciona Microsoft para el modelado de amenazas?

a) Microsoft Threat Modelling tool
b) Microsoft Security Essentials
c) Microsoft Defender
d) Microsoft Threat Analyzer

12. ¿Cuál es el propósito del modelado de amenazas en el desarrollo de software?

a) Identificar y comprender las vulnerabilidades del sistema.
b) Establecer una estrategia de seguridad efectiva.
c) Evaluar el riesgo asociado con un sistema.
d) Todas las anteriores.

13. ¿Cuál de las siguientes opciones no es una actividad del modelado de amenazas?
a) Identificación de activos del sistema.
b) Evaluación de riesgos y vulnerabilidades.
c) Implementación de controles de seguridad.
d) Análisis de impacto de amenazas.

14. ¿Qué es el análisis de riesgos en el contexto de la seguridad de software?

a) Identificar y evaluar las posibles amenazas y sus impactos en el sistema.
b) Determinar la probabilidad de ocurrencia de una amenaza.
c) Establecer medidas de mitigación para reducir los riesgos identificados.
d) Todas las anteriores.
15. ¿Cuál de las siguientes opciones es una medida de mitigación común en el análisis
de riesgos?
a) Implementar cortafuegos en la red.
b) Realizar copias de seguridad regulares.
c) Actualizar regularmente el software.
d) Todas las anteriores.

16. ¿Cuál es el objetivo principal de la seguridad en el ciclo de vida del desarrollo de

software?
a) Identificar y mitigar los riesgos de seguridad durante todo el proceso de desarrollo.
b) Garantizar la privacidad de los datos del usuario.
c) Cumplir con los estándares de seguridad establecidos por la industria.
d) Establecer un modelo de seguridad sólido para el sistema.

17. ¿Cuál de las siguientes opciones es un paso común en la implementación de la

seguridad en el ciclo de vida del desarrollo de software?
a) Pruebas de penetración del sistema.
b) Establecer políticas de privacidad.
c) Capacitación en seguridad para el equipo de desarrollo.
d) Todas las anteriores.

18. ¿Qué es la autenticación en el contexto de la seguridad de software?

a) Verificación de la identidad del usuario o sistema.
b) Protección de datos confidenciales.
c) Prevención de acceso no autorizado al sistema.
d) Todas las anteriores.

19. ¿Cuál de las siguientes opciones es una medida de autenticación fuerte?

a) Contraseña de solo números.
b) Pregunta de seguridad.
c) Tarjeta de identificación física.
d) Todos los anteriores.

20. ¿Qué es la autorización en el contexto de la seguridad de software?

a) Proceso de conceder o negar acceso a recursos específicos.
b) Protección de datos en tránsito.
c) Detección y prevención de intrusiones.
d) Todas las anteriores.
1. ¿Cuál es la principal diferencia entre un virus y un gusano?
a) Los virus requieren la acción de un usuario para propagarse, mientras que los
gusanos se propagan automáticamente.
b) Los gusanos requieren la acción de un usuario para propagarse, mientras que los
virus se propagan automáticamente.
c) Los virus y los gusanos se propagan de la misma manera, pero los virus son más
dañinos.
d) Los virus y los gusanos son sinónimos y se propagan de la misma manera.

2. ¿Cuál es el objetivo principal de un troyano?

a) Propagarse rápidamente a través de la red.
b) Controlar remotamente una red de máquinas infectadas.
c) Ocultar su actividad maliciosa a los usuarios y al sistema operativo.
d) Modificar el código de otros programas para beneficiarse económicamente.

3. ¿Qué es un rootkit?
a) Un malware que se ejecuta automáticamente al arrancar el sistema operativo.
b) Un programa que realiza una actividad oculta mientras realiza una función
aparentemente útil.
c) Un malware que oculta la actividad de otro malware frente a los usuarios y al
sistema operativo.
d) Una parte del código de un programa que permite el acceso ignorando las
restricciones de seguridad.

4. ¿Qué es una botnet?

a) Un programa malicioso que se propaga a través de la red y busca nuevos objetivos
vulnerables.
b) Un programa que realiza una actividad maliciosa cuando se cumple una condición
preestablecida.
c) Una red de máquinas infectadas con malware que permite el control remoto por
parte de un atacante.
d) Un programa que oculta su actividad maliciosa mediante técnicas de inserción en
otros programas.

5. ¿Cuál es una característica de los gusanos en comparación con los virus?

a) Los gusanos solo se propagan a través de dispositivos de almacenamiento, mientras
que los virus pueden propagarse por la red.
b) Los gusanos son programas autónomos y no requieren de la acción de un usuario
para propagarse, a diferencia de los virus.
c) Los gusanos siempre están activos y ejecutándose en el sistema, mientras que los
virus solo se activan cuando se ejecuta un programa infectado.
d) Los gusanos son más difíciles de detectar por los antivirus en comparación con los
virus debido a sus técnicas de inserción.
1. El spyware es un software que:
a) Protege la privacidad del usuario.
b) Recaba información privada sin permiso.
c) Bloquea el equipo si no se cumple una demanda.
d) Realiza publicidad no deseada al usuario.

2. El adware se diferencia del spyware en que:

a) Recaba información privada sin permiso.
b) Realiza publicidad no deseada al usuario.
c) Utiliza técnicas de criptografía para bloquear el equipo.
d) Almacena las pulsaciones de teclado.

3. ¿Cuál es una técnica empleada por el ransomware?

a) Capturar información mediante un keylogger.
b) Realizar publicidad no deseada al usuario.
c) Bloquear el equipo hasta que se cumpla una demanda.
d) Simular una fuente legítima para obtener información privada.

4. La ingeniería social se refiere a:

a) La utilización de imágenes de webcam para obtener información privada.
b) El aprovechamiento del engaño o debilidades del comportamiento humano para
realizar ataques de ciberseguridad.
c) El envío masivo de publicidad no solicitada.
d) La captura de información mediante un keylogger.

5. ¿Cuál de las siguientes técnicas de ingeniería social simula una fuente legítima para
obtener información privada?
a) Keylogger.
b) Phishing.
c) Spam.
d) Hoax.
1. ¿Qué tipo de ataque consiste en inyectar código JavaScript en una aplicación web
para atacar a los clientes?
a) Cross Site Scripting (XSS)
b) Inyección SQL
c) Inyección XML
d) Inyección de comandos

2. ¿Qué se debe hacer para proteger una aplicación web contra ataques XSS?
a) Validar y filtrar las entradas del usuario
b) Utilizar un Web Application Firewall (WAF)
c) Utilizar una red de distribución de contenidos (CDN)
d) Todas las anteriores

3. ¿Qué tipo de ataque consiste en ejecutar código SQL arbitrario en el servidor de

bases de datos?
a) Cross Site Scripting (XSS)
b) Inyección SQL
c) Inyección XML
d) Inyección de comandos

4. ¿Cuál es uno de los posibles efectos de una inyección SQL?

a) Obtener nombres de campos y tablas
b) Modificar datos en la base de datos
c) Obtener información sensible
d) Todas las anteriores

5. ¿Qué tipo de ataque utiliza información proveniente de archivos para realizar una
inyección SQL?
a) Cross Site Scripting (XSS)
b) Inyección SQL
c) Inyección XML
d) Inyección de comandos

6. ¿En qué consiste un ataque de inyección de comandos o de recorrido de directorios?

a) Intentar escapar de los directorios preestablecidos para documentos web
b) Lanzar comandos o abrir ficheros fuera del alcance del servidor web
c) Ambas opciones son correctas
d) Ninguna de las anteriores

7. ¿Qué se puede hacer para protegerse contra un ataque de inyección de comandos?

a) Limitar el acceso del servidor web a otras partes del sistema
b) Utilizar el comando jail en plataformas BSD
c) Utilizar el comando chroot en sistemas Unix
d) Todas las anteriores

8. ¿Cuál es el objetivo de los ataques en el cliente?

a) Explotar vulnerabilidades en las aplicaciones del cliente
 b) Sobrecargar un servidor
c) Manipular cabeceras HTTP
d) Ninguna de las anteriores

9. ¿Qué tipo de ataque se basa en la manipulación del campo "referer" en las

cabeceras HTTP?
a) Manipulación de cabeceras
b) Asalto de sesión
c) Desbordamiento (buffer overflow)
d) Denegación de servicio (DDoS)

10. ¿Qué tipo de cookies se almacenan en disco y sobreviven entre distintas sesiones
de navegación?
a) De primera mano
b) De terceros
c) De sesión
d) Persistente

11. ¿En qué consiste un asalto de sesión?

a) Robo del token o identificador de sesión
b) Capturar el tráfico si no está cifrado
c) Obtener el token de sesión mediante XSS
d) Todas las anteriores

12. ¿Cuál es una medida de seguridad recomendada para prevenir un asalto de sesión?
a) Utilizar tokens de sesión con tiempo de expiración corto.
b) Utilizar una conexión cifrada (HTTPS) para transmitir las credenciales de inicio de
sesión.
c) Implementar mecanismos de autenticación de dos factores.
d) Todas las anteriores.

13. ¿Cuál es el objetivo de un ataque de denegación de servicio (DDoS)?

a) Obtener acceso no autorizado a un sistema.
b) Robar información confidencial.
c) Sobrecargar un servidor o servicio para que no pueda responder a las solicitudes
legítimas.
d) Ninguna de las anteriores.

14. ¿Qué técnica se utiliza para prevenir los ataques DDoS?

a) Filtrado de paquetes.
b) Implementación de firewalls.
c) Utilización de servicios de mitigación de DDoS.
d) Todas las anteriores.

15. ¿Qué es el spoofing de IP?

 a) Manipulación de la dirección IP de origen en los paquetes de red para ocultar la
identidad real del remitente.
b) Manipulación de la dirección IP de destino en los paquetes de red para redirigir el
tráfico a un destino diferente.
c) Interceptación de paquetes de red para obtener información confidencial.
d) Ninguna de las anteriores.

16. ¿Cuál es el objetivo del ataque de fuerza bruta?

a) Adivinar contraseñas mediante la prueba sistemática de diferentes
combinaciones.
b) Explotar vulnerabilidades de software conocidas para obtener acceso no
autorizado.
c) Interceptar y modificar la comunicación entre un cliente y un servidor.
d) Ninguna de las anteriores.

17. ¿Cuál es una medida efectiva para prevenir los ataques de fuerza bruta?
a) Utilizar contraseñas largas y complejas.
b) Limitar el número de intentos de inicio de sesión.
c) Implementar un sistema de bloqueo temporal después de varios intentos fallidos.
d) Todas las anteriores.

18. ¿Qué es el phishing?

a) Un ataque en el que se intenta engañar a los usuarios para que revelen
información confidencial, como contraseñas o datos bancarios.
b) Un ataque en el que se intenta sobrecargar un servidor o servicio para que no
pueda responder a las solicitudes legítimas.
c) Un ataque en el que se manipulan las cabeceras HTTP para obtener acceso no
autorizado a una aplicación web.
d) Ninguna de las anteriores.

19. ¿Cuál es una medida de seguridad recomendada para prevenir el phishing?

a) No hacer clic en enlaces sospechosos en correos electrónicos o mensajes
desconocidos.
b) Verificar la autenticidad de los sitios web antes de ingresar información
confidencial.
c) Utilizar autenticación de dos factores.
d) Todas las anteriores.

20. ¿Cuál es la mejor estrategia para mantener la seguridad en las aplicaciones web?
a) Realizar pruebas de seguridad regulares.
b) Mantener el software y los sistemas actualizados.
c) Implementar mecanismos de autenticación y autorización robustos.
d) Todas las anteriores.
¿Qué tipo de ataque implica el envío de mensajes no deseados a través de Bluetooth?
a) Bluejacking.
b) Bluesnarfing.
c) War driving.
d) WEP.

4. ¿Cuál es uno de los problemas de seguridad del protocolo WEP?

a) Uso de cifrado AES.
b) Repetición de secuencia cifrante.
c) Autenticación débil.
d) Gestión de claves segura.

5. ¿Qué tecnología se utiliza comúnmente para descubrir redes inalámbricas?

a) Ethernet.
b) Piconet.
c) War driving.
d) Bluesnarfing.

6. ¿Cuál es una de las vulnerabilidades asociadas a las redes WiFi?

a) Inhibición de frecuencias.
b) Control de potencia.
c) Filtrado de MAC.
d) Descubrimiento de redes.

7. ¿Cuál es una mejora de seguridad de WPA2 en comparación con WEP?

a) Uso de cifrado RC4.
b) Repetición de secuencia cifrante.
c) Autenticación fuerte.
d) Gestión de claves débil.

8. ¿Qué factor es importante considerar al implementar redes WiFi seguras?

a) Disposición de antenas.
b) Uso de Bluetooth.
c) Bluejacking.
d) Descubrimiento de redes.

9. ¿Qué tipo de ataque consiste en emular un punto de acceso legítimo para obtener
información valiosa?
a) War driving.
b) Gemelo maligno.
c) Bluesnarfing.
d) Bluejacking.

10. ¿Cuál es el propósito principal del filtrado de MAC en las redes inalámbricas?
a) Bloquear direcciones MAC legítimas.
b) Limitar el acceso a redes ocultas.
 c) Evitar ataques de fuerza bruta.
d) Mejorar la velocidad de conexión.

11. ¿Cuál es la tecnología inalámbrica utilizada comúnmente para control remoto y

audio?
a) 3G.
b) Bluetooth.
c) Ethernet.
d) NFC.

12. ¿Qué tipo de ataque inalámbrico implica interferir intencionalmente con la

comunicación entre dispositivos?
a) Bluejacking.
b) Bluesnarfing.
c) War driving.
d) Inhibición de frecuencias.

13. ¿Cuál es una de las mejoras de seguridad de WPA en comparación con WEP?
a) Uso de cifrado RC4.
b) Repetición de secuencia cifrante.
c) Autenticación fuerte.
d) Gestión de claves débil.

14. ¿Cuál es una de las formas de proteger las redes WiFi de los ataques de fuerza
bruta?
a) Uso de cifrado WEP.
b) Filtrado de MAC.
c) Uso de claves débiles.
d) Uso de claves seguras y complejas.

15. Qué tipo de ataque se realiza al analizar las señales inalámbricas para descubrir
redes y sus configuraciones?
a) War driving.
b) Gemelo maligno.
c) Bluesnarfing.
d) Bluejacking.