El examen de certificación CompTIA CASP+ es una credencial de ciberseguridad de nivel avanzado que cubre las habilidades técnicas requeridas en la arquitectura de seguridad y los trabajos de ingeniería de seguridad sénior.
Esta guía cubrirá los cuatro dominios de conocimiento del examen de certificación CASP+ y los subtemas que puede esperar en el examen CAS-004.
CompTIA Advanced Security Practitioner (CASP+) es una certificación de ciberseguridad de nivel avanzado para arquitectos de seguridad e ingenieros de seguridad sénior, que valida las habilidades de riesgo y cumplimiento y evalúa la preparación de una empresa en materia de ciberseguridad.
La certificación CASP+ está aprobada por el Departamento de Defensa de los EE. UU., cumple con los requisitos de la directiva 8140/8570.01-M y cumple con los estándares ISO 17024.
Como profesional certificado CASP+, debe implementar sus habilidades técnicas y pensamiento crítico para proponer y aplicar las soluciones de seguridad adecuadas, incluidas las estrategias operativas de las organizaciones, evaluar los impactos de los riesgos y responder a los incidentes de seguridad.
Un profesional certificado CompTIA CASP+ exitoso tendrá las siguientes habilidades necesarias para:
Examen obligatorio: CAS-004 Número de preguntas: Máximo de 90 Tipos de preguntas: Opción múltiple y basadas en el rendimiento Duración de la prueba: 165 minutos Experiencia recomendada: Mínimo de diez años de experiencia práctica general en TI, con al menos cinco de esos años de experiencia práctica amplia en seguridad de TI. Certificaciones/conocimientos Network+, Security+, CySA+, Cloud+ y PenTest+ o equivalentes. Puntuación para aprobar: solo aprobado/reprobado, sin puntuación escalada
A continuación, se muestra el desglose de cada dominio con el porcentaje de examen. Eche un vistazo rápido a los objetivos del examen CompTIA CASP+, divididos en cuatro partes principales:
1.0 Arquitectura de seguridad: 29 % 2.0 Operaciones de seguridad: 30 % 3.0 Ingeniería de seguridad y criptografía: 26 % 4.0 Gobernanza, riesgo y cumplimiento: 15 %
1.1 Dado un escenario, analice los requisitos y objetivos de seguridad para garantizar una arquitectura de red segura y apropiada para una red nueva o existente.
• Servicios • Segmentación • Desperimetrización/confianza cero • Fusión de redes de varias organizaciones • Redes definidas por software (SDN)
1.2 Dado un escenario, analizar los requisitos de la organización para determinar el diseño de seguridad de infraestructura adecuado.
• Escalabilidad • Resiliencia • Automatización • Rendimiento • Contenerización • Virtualización • Red de distribución de contenido • Almacenamiento en caché
1.3 Dado un escenario, integrar aplicaciones de software de forma segura en una arquitectura empresarial.
• Línea base y plantillas • Garantía de software • Consideraciones de la integración de aplicaciones empresariales • Integración de la seguridad en el ciclo de vida del desarrollo
1.4 Dado un escenario, implementar técnicas de seguridad de datos para proteger la arquitectura empresarial.
• Prevención de pérdida de datos • Detección de pérdida de datos • Clasificación, etiquetado y marcaje de datos • Ofuscación • Anonimización • Cifrado vs. no cifrado • Ciclo de vida de los datos • Inventario y mapeo de datos • Gestión de la integridad de los datos • Almacenamiento, respaldo y recuperación de datos
1.5. Dado un escenario, analice los requisitos y objetivos de seguridad para proporcionar los controles de autenticación y autorización adecuados.
• Gestión de credenciales • Políticas de contraseñas • Federación • Control de acceso • Protocolos • Autenticación multifactor (MFA) • Contraseña de un solo uso (OTP) • Raíz de confianza de hardware • Inicio de sesión único (SSO) • Token web de notación de objetos JavaScript (JSON) (JWT) • Certificación y comprobación de identidad
1.6. Dado un conjunto de requisitos, implemente soluciones de virtualización y nube seguras.
• Estrategias de virtualización • Aprovisionamiento y desaprovisionamiento • Middleware • Metadatos y etiquetas • Consideraciones y modelos de implementación • Modelos de alojamiento • Modelos de servicio • Limitaciones del proveedor de la nube • Ampliación de los controles locales adecuados • Modelos de almacenamiento
1.7. Explique cómo la criptografía y la infraestructura de clave pública (PKI) respaldan los objetivos y requisitos de seguridad.
• Requisitos de privacidad y confidencialidad • Requisitos de integridad • No repudio • Requisitos de cumplimiento y políticas • Casos de uso comunes de criptografía • Casos de uso comunes de PKI
1.8. Explique el impacto de las tecnologías emergentes en la seguridad y privacidad de la empresa.
• Inteligencia artificial • Aprendizaje automático • Computación cuántica • Blockchain • Cifrado homomórfico • Big Data • Realidad virtual/aumentada • Impresión 3D • Autenticación sin contraseña • Nanotecnología • Aprendizaje profundo • Computación multipartita segura • Consenso distribuido • Suplantación biométrica
2.1. Dado un escenario, realizar actividades de gestión de amenazas.
• Tipos de inteligencia • Tipos de actores • Propiedades de los actores de amenazas • Marcos
2.2. Dado un escenario, analizar indicadores de compromiso y formular una respuesta adecuada.
• Indicadores de compromiso • Respuesta
2.3. Dado un escenario, realizar actividades de gestión de vulnerabilidades.
• Análisis de vulnerabilidades • Autoevaluación vs. evaluación de proveedores externos • Gestión de parches • Fuentes de información • Protocolo de automatización de contenido de seguridad (SCAP)
2.4. Dado un escenario, utilizar los métodos y herramientas de evaluación de vulnerabilidades y pruebas de penetración adecuados.
• Métodos • Herramientas • Gestión de dependencias • Requisitos
2.5. Dado un escenario, analizar las vulnerabilidades y recomendar mitigaciones de riesgos.
• Vulnerabilidades • Sistema/aplicación inherentemente vulnerable • Ataques
2.6. Dado un escenario, utilizar procesos para reducir el riesgo.
• Proactividad y detección • Análisis de datos de seguridad • Preventivo • Control de aplicaciones • Automatización de la seguridad • Seguridad física
2.7. Dado un incidente, implementar la respuesta adecuada.
• Clasificaciones de eventos • Evento de triaje • Tareas de preescalamiento • Proceso de respuesta a incidentes • Manuales/procesos de respuesta específicos • Plan de comunicación • Gestión de partes interesadas
2.8. Explicar la importancia de los conceptos forenses.
• Fines corporativos legales vs. internos • Proceso forense • Preservación de la integridad • Criptoanálisis • Esteganálisis
2.9. Dado un escenario, utilizar herramientas de análisis forense.
• Herramientas de tallado de archivos • Herramientas de análisis binario • Herramientas de análisis • Herramientas de imágenes • Utilidades de hash • Herramientas de recopilación en vivo vs. herramientas post-mortem
3.1. Dado un escenario, aplicar configuraciones seguras a la movilidad empresarial.
• Configuraciones administradas • Escenarios de implementación • Consideraciones de seguridad
3.2. Dado un escenario, configure e implemente controles de seguridad de endpoints.
• Técnicas de endurecimiento • Procesos • Control de acceso obligatorio • Computación confiable • Controles de compensación
3.3. Explique las consideraciones de seguridad que afectan a sectores específicos y tecnologías operativas.
• Integrado • ICS/control de supervisión y adquisición de datos (SCADA) • Protocolos • Sectores
3.4. Explique cómo la adopción de tecnología en la nube afecta la seguridad organizacional.
• Automatización y orquestación • Configuración de cifrado • Registros • Configuraciones de monitoreo • Ubicación y propiedad de claves • Administración del ciclo de vida de claves • Métodos de respaldo y recuperación • Infraestructura vs. computación sin servidor • Virtualización de aplicaciones • Redes definidas por software • Configuraciones incorrectas • Herramientas de colaboración • Configuraciones de almacenamiento • Agente de seguridad de acceso a la nube (CASB)
3.5. Dado un requisito comercial, implemente la solución PKI adecuada.
• Jerarquía de PKI • Tipos de certificados • Usos/perfiles/plantillas de certificados • Extensiones • Proveedores de confianza • Modelo de confianza • Certificación cruzada • Configurar perfiles • Gestión del ciclo de vida • Claves públicas y privadas • Firma digital • Fijación de certificados • Grapado de certificados • Solicitudes de firma de certificados (CSR) • Protocolo de estado de certificado en línea (OCSP) frente a lista de revocación de certificados (CRL) • Seguridad de transporte estricta HTTP (HSTS)
3.6. Dado un requisito comercial, implemente los protocolos y algoritmos criptográficos adecuados.
• Hashing • Algoritmos simétricos • Algoritmos asimétricos • Protocolos • Criptografía de curva elíptica • Secreto de reenvío • Cifrado autenticado con datos asociados • Extensión de claves
3.7. Dado un escenario, solucionar problemas con implementaciones criptográficas.
• Problemas de implementación y configuración • Claves
4.1. Dado un conjunto de requisitos, aplicar las estrategias de riesgo adecuadas.
• Evaluación de riesgos • Técnicas de manejo de riesgos • Tipos de riesgos • Ciclo de vida de la gestión de riesgos • Seguimiento de riesgos • Apetencia de riesgo vs. tolerancia al riesgo • Políticas y prácticas de seguridad
4.2. Explicar la importancia de gestionar y mitigar el riesgo del proveedor.
• Modelo de responsabilidad compartida (roles/responsabilidades) • Bloqueo y exclusión de proveedores • Viabilidad de los proveedores • Cumplimiento de los requisitos del cliente • Disponibilidad de soporte • Consideraciones geográficas • Visibilidad de la cadena de suministro • Requisitos de informes de incidentes • Depósitos de código fuente • Herramientas de evaluación continua de proveedores • Dependencias de terceros • Consideraciones técnicas
4.3. Explicar los marcos de cumplimiento y las consideraciones legales, y su impacto organizacional.
• Preocupaciones de seguridad de la integración de diversas industrias • Consideraciones de datos • Certificación de cumplimiento por parte de terceros • Regulaciones, acreditaciones y estándares • Consideraciones legales • Tipos de contratos y acuerdos • Consideraciones geográficas
4.4. Explicar la importancia de los conceptos de continuidad empresarial y recuperación ante desastres.
• Análisis del impacto empresarial • Evaluación del impacto en la privacidad • Plan de recuperación ante desastres (DRP)/plan de continuidad empresarial (BCP) • Plan de respuesta a incidentes • Planes de prueba
Copyright © 2024 - Todos los derechos reservados.
