Objetivos del examen de certificación CompTIA Advanced Security Practitioner (CASP+) (CAS-004)

El examen de certificación CompTIA CASP+ es una credencial de ciberseguridad de nivel avanzado que abarca las habilidades técnicas requeridas en puestos de arquitectura de seguridad e ingeniería de seguridad sénior.

Esta guía cubrirá las cuatro áreas de conocimiento del examen de certificación CASP+ y los subtemas que puede esperar en el examen CAS-004.

¿Qué es el examen de certificación CompTIA CASP+?

CompTIA Advanced Security Practitioner (CASP+) es una certificación de ciberseguridad de nivel avanzado para arquitectos de seguridad e ingenieros de seguridad sénior. Valida las habilidades de riesgo y cumplimiento normativo, evaluando la preparación de una empresa en ciberseguridad.

La certificación CASP+ está aprobada por el Departamento de Defensa de EE. UU., cumple con los requisitos de la directiva 8140/8570.01-M y con la norma ISO 17024.

Como profesional certificado CASP+, debe implementar sus habilidades técnicas y pensamiento crítico para proponer y aplicar las soluciones de seguridad adecuadas, incluyendo las estrategias operativas de las organizaciones, evaluar el impacto de los riesgos y responder a los incidentes de seguridad. Un profesional certificado CompTIA CASP+ con éxito deberá poseer las siguientes habilidades:

• Diseñar, diseñar, integrar e implementar soluciones seguras en entornos complejos para respaldar una empresa resiliente.
• Utilizar la monitorización, la detección, la respuesta a incidentes y la automatización para respaldar proactivamente las operaciones de seguridad continuas en un entorno empresarial.
• Aplicar prácticas de seguridad a infraestructuras en la nube, locales, de endpoints y móviles, considerando las tecnologías y técnicas criptográficas.
• Considerar el impacto de los requisitos de gobernanza, riesgo y cumplimiento normativo en toda la empresa.

Detalles del examen CompTIA CASP+

Examen obligatorio: CAS-004 Número de preguntas: Máximo de 90 Tipos de preguntas: Opción múltiple y basadas en el rendimiento Duración del examen: 165 minutos Experiencia recomendada: Mínimo de diez años de experiencia práctica general en TI, con al menos cinco de ellos en amplia experiencia práctica en seguridad de TI. Certificaciones/conocimientos de Network+, Security+, CySA+, Cloud+ y PenTest+ o equivalentes. Puntuación para aprobar: Solo aprobado/reprobado (sin puntuación escalada).

Objetivos del examen CompTIA CASP+ (dominios)

A continuación, se desglosa cada dominio con su porcentaje de aprobación. Consulte brevemente los objetivos del examen CompTIA CASP+, divididos en cuatro partes principales:

1.0 Arquitectura de seguridad - 29% 2.0 Operaciones de seguridad - 30% 3.0 Ingeniería de seguridad y criptografía - 26% 4.0 Gobernanza, riesgo y cumplimiento - 15%

Dominio - 1.0 Arquitectura de seguridad 29%

1.1 Dado un escenario, analice los requisitos y objetivos de seguridad para garantizar una arquitectura de red adecuada y segura para una red nueva o existente.

• Servicios • Segmentación • Desperimetrización/Confianza cero • Fusión de redes de varias organizaciones • Redes definidas por software (SDN)

1.2 Dado un escenario, analizar los requisitos de la organización para determinar el diseño adecuado de seguridad de la infraestructura.

• Escalabilidad • Resiliencia • Automatización • Rendimiento • Contenedorización • Virtualización • Red de entrega de contenido • Almacenamiento en caché

1.3 Dado un escenario, integrar aplicaciones de software de forma segura en una arquitectura empresarial.

• Línea base y plantillas • Garantía de software • Consideraciones para la integración de aplicaciones empresariales • Integración de la seguridad en el ciclo de vida del desarrollo

1.4 Dado un escenario, implementar técnicas de seguridad de datos para proteger la arquitectura empresarial.

• Prevención de pérdida de datos • Detección de pérdida de datos • Clasificación, etiquetado y marcaje de datos • Ofuscación • Anonimización • Cifrado vs. sin cifrar • Ciclo de vida de los datos • Inventario y mapeo de datos • Gestión de la integridad de los datos • Almacenamiento, copias de seguridad y recuperación de datos

1.5. Dado un escenario, analice los requisitos y objetivos de seguridad para proporcionar los controles de autenticación y autorización adecuados.

• Gestión de credenciales • Políticas de contraseñas • Federación • Control de acceso • Protocolos • Autenticación multifactor (MFA) • Contraseña de un solo uso (OTP) • Raíz de confianza de hardware • Inicio de sesión único (SSO) • Token web de notación de objetos JavaScript (JSON) (JWT) • Certificación y verificación de identidad

1.6. Dados los requisitos, implemente soluciones seguras de nube y virtualización.

• Estrategias de virtualización • Aprovisionamiento y desaprovisionamiento • Middleware • Metadatos y etiquetas • Modelos de implementación y consideraciones • Modelos de alojamiento • Modelos de servicio • Limitaciones del proveedor de nube • Ampliación de los controles locales adecuados • Modelos de almacenamiento

1.7. Explique cómo la criptografía y la infraestructura de clave pública (PKI) respaldan los objetivos y requisitos de seguridad.

• Requisitos de privacidad y confidencialidad • Requisitos de integridad • No repudio • Requisitos de cumplimiento y políticas • Casos de uso comunes de criptografía • Casos de uso comunes de PKI

1.8. Explique el impacto de las tecnologías emergentes en la seguridad y la privacidad empresarial.

• Inteligencia artificial • Aprendizaje automático • Computación cuántica • Blockchain • Cifrado homomórfico • Big Data • Realidad virtual/aumentada • Impresión 3D • Autenticación sin contraseña • Nanotecnología • Aprendizaje profundo • Computación multipartita segura • Consenso distribuido • Suplantación biométrica

Dominio - Operaciones de seguridad 2.0

2.1. Dado un escenario, realizar actividades de gestión de amenazas.

• Tipos de inteligencia • Tipos de actores • Propiedades de los actores de amenazas • Marcos

2.2. Dado un escenario, analizar indicadores de vulnerabilidad y formular una respuesta adecuada.

• Indicadores de vulnerabilidad • Respuesta

2.3. Dado un escenario, realizar actividades de gestión de vulnerabilidades.

• Análisis de vulnerabilidades • Autoevaluación vs. evaluación de proveedores externos • Gestión de parches • Fuentes de información • Protocolo de Automatización de Contenido de Seguridad (SCAP)

2.4. Ante un escenario, utilizar los métodos y herramientas adecuados de evaluación de vulnerabilidades y pruebas de penetración.

• Métodos • Herramientas • Gestión de dependencias • Requisitos

2.5. Ante un escenario, analizar las vulnerabilidades y recomendar medidas de mitigación de riesgos.

• Vulnerabilidades • Sistema/aplicación inherentemente vulnerable • Ataques

2.6. Ante un escenario, utilizar procesos para reducir el riesgo.

• Proactividad y detección • Análisis de datos de seguridad • Preventivo • Control de aplicaciones • Automatización de la seguridad • Seguridad física

2.7. Ante un incidente, implementar la respuesta adecuada.

• Clasificación de eventos • Triaje de eventos • Tareas de preescalamiento • Proceso de respuesta a incidentes • Manuales/procesos de respuesta específicos • Plan de comunicación • Gestión de partes interesadas

2.8. Explicar la importancia de los conceptos forenses.

• Fines legales vs. fines corporativos internos • Proceso forense • Preservación de la integridad • Criptoanálisis • Estegoanálisis

2.9. Dado un escenario, utilizar herramientas de análisis forense.

• Herramientas de tallado de archivos • Herramientas de análisis binario • Herramientas de análisis • Herramientas de imágenes • Utilidades de hash • Herramientas de recopilación en vivo vs. herramientas post-mortem

Dominio - 3.0 Ingeniería de Seguridad y Criptografía

3.1. Dado un escenario, aplicar configuraciones seguras a la movilidad empresarial.

• Configuraciones administradas • Escenarios de implementación • Consideraciones de seguridad

3.2. Dado un escenario, configure e implemente controles de seguridad de endpoints.

• Técnicas de refuerzo • Procesos • Control de acceso obligatorio • Computación confiable • Controles de compensación

3.3. Explique las consideraciones de seguridad que afectan a sectores específicos y tecnologías operativas.

• Integrado • ICS/Control de supervisión y adquisición de datos (SCADA) • Protocolos • Sectores

3.4. Explique cómo la adopción de tecnología en la nube afecta la seguridad organizacional.

• Automatización y orquestación • Configuración de cifrado • Registros • Configuraciones de monitorización • Propiedad y ubicación de claves • Gestión del ciclo de vida de las claves • Métodos de copia de seguridad y recuperación • Infraestructura vs. computación sin servidor • Virtualización de aplicaciones • Redes definidas por software • Configuraciones incorrectas • Herramientas de colaboración • Configuraciones de almacenamiento • Agente de seguridad de acceso a la nube (CASB)

3.5. Dada una necesidad empresarial, implemente la solución PKI adecuada.

• Jerarquía de PKI • Tipos de certificados • Usos/perfiles/plantillas de certificados • Extensiones • Proveedores de confianza • Modelo de confianza • Certificación cruzada • Configuración de perfiles • Gestión del ciclo de vida • Claves públicas y privadas • Firma digital • Fijación de certificados • Grapado de certificados • Solicitudes de firma de certificados (CSR) • Protocolo de estado de certificados en línea (OCSP) vs. lista de revocación de certificados (CRL) • Seguridad de transporte estricta HTTP (HSTS)

3.6. Dada una necesidad empresarial, implemente los protocolos y algoritmos criptográficos adecuados.

• Hashing • Algoritmos simétricos • Algoritmos asimétricos • Protocolos • Criptografía de curva elíptica • Secreto directo • Cifrado autenticado con datos asociados • Extensión de claves

3.7. Dado un escenario, solucionar problemas con las implementaciones criptográficas.

• Problemas de implementación y configuración • Claves

Dominio - 4.0 Gobernanza, Riesgo y Cumplimiento

4.1. Dado un conjunto de requisitos, aplicar las estrategias de riesgo adecuadas.

• Evaluación de riesgos • Técnicas de gestión de riesgos • Tipos de riesgos • Ciclo de vida de la gestión de riesgos • Seguimiento de riesgos • Apetencia vs. tolerancia al riesgo • Políticas y prácticas de seguridad

4.2. Explicar la importancia de gestionar y mitigar el riesgo del proveedor.

• Modelo de responsabilidad compartida (roles/responsabilidades) • Dependencia y exclusión de proveedores • Viabilidad de los proveedores • Cumplimiento de los requisitos del cliente • Disponibilidad de soporte • Consideraciones geográficas • Visibilidad de la cadena de suministro • Requisitos de informes de incidentes • Depósitos de código fuente • Herramientas de evaluación continua de proveedores • Dependencias de terceros • Consideraciones técnicas

4.3. Explicar los marcos de cumplimiento normativo y las consideraciones legales, así como su impacto en la organización.

• Preocupaciones de seguridad al integrar diversas industrias • Consideraciones sobre los datos • Certificación de cumplimiento por parte de terceros • Regulaciones, acreditaciones y estándares • Consideraciones legales • Tipos de contratos y acuerdos • Consideraciones geográficas

4.4. Explicar la importancia de los conceptos de continuidad del negocio y recuperación ante desastres.

• Análisis del impacto en el negocio • Evaluación del impacto en la privacidad • Plan de recuperación ante desastres (PRD)/Plan de continuidad del negocio (PCN) • Plan de respuesta a incidentes • Planes de prueba