Quiz de Validación - MÓDULO 6
Este quiz de 30 preguntas le permite validar sus conocimientos sobre la seguridad de red en AWS antes de pasar al laboratorio práctico.
Pregunta 1
¿Cuál es la diferencia principal entre un Security Group y una NACL?
A) Ninguna diferencia
B) Security Group es stateful a nivel de instancia, NACL es stateless a nivel de subred
C) NACL es más seguro
D) Security Group es gratuito, NACL es de pago
Ver la respuesta
Respuesta: B
Los Security Groups son stateful (las respuestas al tráfico autorizado se permiten automáticamente) y se aplican a nivel de instancia. Las NACLs son stateless (se requieren reglas explícitas para el tráfico entrante Y saliente) y se aplican a nivel de subred.
Pregunta 2
¿Qué significa "stateful" para un Security Group?
A) Conserva el estado de las reglas
B) Si el tráfico entrante está permitido, el tráfico de respuesta saliente se permite automáticamente
C) Las reglas son permanentes
D) No puede ser modificado
Ver la respuesta
Respuesta: B
Stateful significa que el Security Group sigue el estado de las conexiones. Si usted permite una solicitud HTTP entrante (puerto 80), la respuesta HTTP saliente se permite automáticamente sin necesidad de una regla outbound explícita.
Pregunta 3
¿Qué significa "stateless" para una NACL?
A) No tiene estado
B) Se requieren reglas explícitas para el tráfico entrante Y para el tráfico saliente
C) Es más rápida
D) No soporta TCP
Ver la respuesta
Respuesta: B
Stateless significa que la NACL no sigue las conexiones. Para permitir una conexión HTTP, se necesita una regla inbound para el puerto 80 Y una regla outbound para los puertos efímeros (1024-65535) de la respuesta. Cada dirección se evalúa de forma independiente.
Pregunta 4
¿Cuál es el comportamiento por defecto de un Security Group para el tráfico entrante?
A) Todo está permitido
B) Todo está denegado
C) Solo SSH está permitido
D) Solo HTTP está permitido
Ver la respuesta
Respuesta: B
Por defecto, un Security Group deniega todo el tráfico entrante (inbound). Se deben agregar reglas explícitas para permitir el tráfico deseado. En cambio, el tráfico saliente (outbound) está permitido por defecto.
Pregunta 5
¿Cuál es el comportamiento por defecto de una NACL personalizada para el tráfico entrante?
A) Todo está permitido
B) Todo está denegado
C) Depende de la configuración del VPC
D) Mismas reglas que el Security Group
Ver la respuesta
Respuesta: B
Una NACL personalizada (custom) deniega todo el tráfico por defecto (entrante y saliente) hasta que se agregan reglas. La NACL por defecto del VPC permite todo el tráfico. Es importante distinguir entre ambas.
Pregunta 6
¿Cuál es el comportamiento por defecto de la NACL por defecto del VPC?
A) Todo está denegado
B) Todo está permitido (entrante y saliente)
C) Solo el tráfico interno está permitido
D) Solo SSH está permitido
Ver la respuesta
Respuesta: B
La NACL por defecto creada con el VPC permite todo el tráfico entrante y saliente. Esto es diferente de una NACL personalizada que usted crea, la cual deniega todo por defecto. Cuidado de no confundir ambas.
Pregunta 7
¿Cómo se evalúan las reglas de una NACL?
A) Todas las reglas se evalúan
B) Por orden de número de regla, la primera que coincide se aplica
C) La regla más específica gana
D) Aleatoriamente
Ver la respuesta
Respuesta: B
Las reglas de NACL se evalúan en orden numérico ascendente (de la más baja a la más alta). En cuanto una regla coincide con el tráfico, se aplica y las siguientes se ignoran. Por eso el orden de los números es importante.
Pregunta 8
¿Cómo se evalúan las reglas de un Security Group?
A) Por orden de prioridad
B) Todas las reglas se evalúan y si una permite el tráfico, este es permitido
C) La primera regla que coincide se aplica
D) Por orden alfabético
Ver la respuesta
Respuesta: B
A diferencia de las NACLs, todas las reglas de un Security Group se evalúan. Si al menos una regla permite el tráfico, este es permitido. No existe el concepto de prioridad u orden. Los Security Groups solo permiten reglas "allow" (no hay reglas deny).
Pregunta 9
¿Se pueden crear reglas DENY en un Security Group?
A) Sí
B) No, los Security Groups solo soportan reglas ALLOW
C) Solo para el tráfico saliente
D) Solo para ciertos puertos
Ver la respuesta
Respuesta: B
Los Security Groups solo soportan reglas ALLOW. Todo lo que no está explícitamente permitido es denegado por defecto. Para crear reglas DENY explícitas, debe usar las NACLs que soportan reglas ALLOW y DENY.
Pregunta 10
¿Se pueden crear reglas DENY en una NACL?
A) No
B) Sí, las NACLs soportan ALLOW y DENY
C) Solo para el tráfico entrante
D) Solo para UDP
Ver la respuesta
Respuesta: B
Las NACLs soportan reglas ALLOW y DENY, lo que permite bloquear explícitamente ciertos tipos de tráfico o ciertas direcciones IP. Esto es útil para bloquear IPs maliciosas conocidas a nivel de subred.
Pregunta 11
¿A qué nivel se aplica un Security Group?
A) A nivel de VPC
B) A nivel de subred
C) A nivel de instancia (ENI)
D) A nivel de región
Ver la respuesta
Respuesta: C
Un Security Group se aplica a nivel de la interfaz de red elástica (ENI), es decir, a nivel de instancia. Cada instancia puede tener varios Security Groups, y un Security Group puede estar asociado a varias instancias.
Pregunta 12
¿A qué nivel se aplica una NACL?
A) A nivel de instancia
B) A nivel de subred
C) A nivel de VPC
D) A nivel de AZ
Ver la respuesta
Respuesta: B
Una NACL se aplica a nivel de subred. Todo el tráfico entrante o saliente de la subred es evaluado por la NACL. Una subred solo puede estar asociada a una NACL, pero una NACL puede estar asociada a varias subredes.
Pregunta 13
¿Qué número de regla NACL representa la regla por defecto (deny all)?
A) 0
B) 100
C) * (asterisco)
D) 999
Ver la respuesta
Respuesta: C
La regla con el número * (asterisco) es la regla por defecto que deniega todo el tráfico que no coincide con ninguna otra regla. No puede ser modificada ni eliminada. Siempre se evalúa al final.
Pregunta 14
¿Cuál es la mejor práctica para numerar las reglas de NACL?
A) Usar 1, 2, 3, 4...
B) Dejar intervalos (100, 200, 300...) para poder insertar reglas
C) Usar números aleatorios
D) Siempre comenzar por 1000
Ver la respuesta
Respuesta: B
Se recomienda dejar intervalos entre los números de las reglas (por ejemplo 100, 200, 300) para poder insertar nuevas reglas entre las existentes sin tener que renumerar todo.
Pregunta 15
¿Qué son los puertos efímeros y por qué son importantes para las NACLs?
A) Puertos reservados para AWS
B) Puertos temporales (1024-65535) usados para respuestas, necesarios en las reglas outbound de NACL
C) Puertos para cifrado
D) Puertos para monitoreo
Ver la respuesta
Respuesta: B
Los puertos efímeros son puertos temporales asignados dinámicamente por el sistema para recibir respuestas. Para las NACLs (stateless), se deben permitir los puertos efímeros (1024-65535) en salida para que las respuestas a las solicitudes entrantes puedan pasar.
Pregunta 16
¿Se puede referenciar un Security Group en una regla de otro Security Group?
A) No
B) Sí, se puede permitir el tráfico proveniente de otro Security Group
C) Solo en la misma subred
D) Solo para SSH
Ver la respuesta
Respuesta: B
Se puede referenciar un Security Group como origen en una regla de otro Security Group. Por ejemplo, el Security Group de la base de datos puede permitir el tráfico en el puerto 3306 proveniente del Security Group de los servidores de aplicación, sin especificar direcciones IP.
Pregunta 17
¿Cuál es la ventaja de referenciar un Security Group en vez de una dirección IP?
A) Es más rápido
B) La regla se aplica automáticamente a todas las instancias del SG referenciado, incluso si sus IPs cambian
C) Es más barato
D) Ninguna ventaja
Ver la respuesta
Respuesta: B
Al referenciar un Security Group, la regla se aplica automáticamente a todas las instancias que tengan ese SG, independientemente de sus direcciones IP. Es más dinámico y mantenible, especialmente con Auto Scaling donde las IPs cambian frecuentemente.
Pregunta 18
¿Cuántos Security Groups se pueden adjuntar a una instancia por defecto?
A) 1
B) 5
C) Ilimitado
D) 10
Ver la respuesta
Respuesta: B
Por defecto, se pueden adjuntar hasta 5 Security Groups a una interfaz de red (por lo tanto, a una instancia). Este límite puede aumentarse mediante una solicitud de cuota. Todas las reglas de todos los SG adjuntos se evalúan en conjunto.
Pregunta 19
¿Dónde se evalúan las NACLs en relación con los Security Groups para el tráfico entrante?
A) Security Group primero, luego NACL
B) NACL primero, luego Security Group
C) En paralelo
D) Solo la NACL
Ver la respuesta
Respuesta: B
Para el tráfico entrante: la NACL se evalúa primero (a nivel de subred), luego el Security Group (a nivel de instancia). Para el tráfico saliente: Security Group primero, luego NACL. El tráfico debe ser permitido por ambos.
Pregunta 20
Una instancia no puede recibir tráfico HTTP. El Security Group permite el puerto 80 y la NACL deniega el puerto 80. ¿Qué sucede?
A) El tráfico es permitido gracias al Security Group
B) El tráfico es denegado porque la NACL lo bloquea antes de llegar a la instancia
C) El tráfico es parcialmente permitido
D) Depende de la prioridad
Ver la respuesta
Respuesta: B
El tráfico es denegado. La NACL se evalúa primero, antes del Security Group. Si la NACL deniega el tráfico, nunca llega a la instancia y el Security Group ni siquiera se evalúa. El tráfico debe ser permitido por AMBOS para pasar.
Pregunta 21
¿Qué comando de diagnóstico permite probar la conectividad en un puerto específico?
A) ping
B) telnet o nc (netcat)
C) solo traceroute
D) nslookup
Ver la respuesta
Respuesta: B
telnet IP PORT o nc -vz IP PORT permiten probar si un puerto específico es accesible. ping solo prueba ICMP (y puede estar bloqueado). Estas herramientas ayudan a distinguir problemas de Security Group/NACL de problemas de aplicación.
Pregunta 22
¿El tráfico ICMP (ping) está permitido por defecto en los Security Groups?
A) Sí
B) No, se debe agregar una regla explícita
C) Solo para tráfico interno
D) Solo desde el VPC
Ver la respuesta
Respuesta: B
Por defecto, el tráfico ICMP (ping) no está permitido en los Security Groups. Se debe agregar una regla inbound específica para ICMP (Tipo: All ICMP - IPv4 o Echo Request) si desea poder hacer ping a las instancias.
Pregunta 23
¿Cómo permitir que una instancia en una subred privada acceda a Internet para actualizaciones?
A) Agregar una ruta hacia el IGW
B) Usar un NAT Gateway y agregar una ruta 0.0.0.0/0 hacia el NAT
C) Abrir el puerto 80 en el Security Group
D) No es posible
Ver la respuesta
Respuesta: B
Para que una instancia privada acceda a Internet, se necesita un NAT Gateway en una subred pública y una ruta en la tabla de ruteo de la subred privada: 0.0.0.0/0 -> nat-xxx. El Security Group también debe permitir el tráfico saliente (por defecto, así es).
Pregunta 24
¿Cuál es la mejor práctica para asegurar el acceso SSH a instancias de producción?
A) Abrir el puerto 22 a 0.0.0.0/0
B) Limitar el puerto 22 a IPs específicas o usar un bastion host
C) Desactivar SSH completamente
D) Usar el puerto 2222 en lugar del 22
Ver la respuesta
Respuesta: B
Nunca abra SSH (puerto 22) a 0.0.0.0/0 en producción. Limite el acceso a rangos de IP específicos (su oficina, VPN) o use un bastion host en una subred pública. AWS Systems Manager Session Manager es una alternativa sin puerto SSH abierto.
Pregunta 25
¿Qué es un bastion host (jump box)?
A) Un servidor de base de datos
B) Un servidor en una subred pública que sirve como punto de entrada SSH seguro
C) Un tipo de load balancer
D) Un servicio gestionado de AWS
Ver la respuesta
Respuesta: B
Un bastion host es una instancia EC2 reforzada en una subred pública que sirve como punto de entrada único para conexiones SSH. Los administradores se conectan primero al bastion y luego desde allí a las instancias privadas. Esto reduce la superficie de ataque.
Pregunta 26
¿Qué herramienta de AWS permite analizar los logs de tráfico de red VPC?
A) CloudWatch Logs
B) VPC Flow Logs
C) AWS Config
D) Solo GuardDuty
Ver la respuesta
Respuesta: B
VPC Flow Logs captura información sobre el tráfico IP hacia y desde las interfaces de red del VPC. Los logs pueden enviarse a CloudWatch Logs o S3. Son esenciales para la solución de problemas y el análisis de seguridad.
Pregunta 27
¿Qué significa ACCEPT en un log de VPC Flow Logs?
A) El paquete fue aceptado por AWS
B) El paquete fue aceptado por el Security Group y/o la NACL
C) La aplicación respondió
D) El paquete estaba cifrado
Ver la respuesta
Respuesta: B
ACCEPT en los Flow Logs significa que el tráfico fue permitido por los Security Groups y NACLs. REJECT significa que fue denegado. Atención: ACCEPT no garantiza que la aplicación haya respondido, solo que las reglas de red lo permitieron.
Pregunta 28
Usted ve muchos REJECT en los Flow Logs para un puerto específico. ¿Qué indica esto?
A) La aplicación tiene bugs
B) El tráfico está siendo bloqueado por los Security Groups o NACLs
C) El servidor DNS no responde
D) El VPC está mal configurado
Ver la respuesta
Respuesta: B
REJECTs repetidos indican que el tráfico está siendo bloqueado por las reglas de seguridad. Puede ser tráfico legítimo mal configurado (revise las reglas) o intentos de acceso no autorizados (normal y esperado para tráfico malicioso).
Pregunta 29
¿Qué regla NACL se debe agregar para permitir las respuestas HTTP (puerto 80)?
A) Inbound: Allow TCP 80
B) Outbound: Allow TCP 1024-65535 (puertos efímeros)
C) Outbound: Allow TCP 80
D) Ninguna, es automático
Ver la respuesta
Respuesta: B
Para una NACL (stateless), se necesita una regla inbound para el puerto 80 Y una regla outbound para los puertos efímeros (1024-65535) porque las respuestas usan puertos efímeros asignados dinámicamente. Es un error frecuente al configurar NACLs.
Pregunta 30
¿En qué orden debe verificar los problemas de conectividad de red?
A) Aplicación, luego Security Group, luego NACL
B) NACL, luego Security Group, luego Aplicación, luego Tabla de ruteo
C) Tabla de ruteo, luego NACL, luego Security Group, luego Aplicación
D) Todo al mismo tiempo
Ver la respuesta
Respuesta: C
El orden lógico de verificación sigue el camino del tráfico: 1) Tabla de ruteo (¿el tráfico puede llegar a la subred?), 2) NACL (¿la subred permite el tráfico?), 3) Security Group (¿la instancia permite el tráfico?), 4) Aplicación (¿el servicio está escuchando?).
Resultado
Cuente sus respuestas correctas:
- 27-30 : Excelente - Usted domina la seguridad de red en AWS
- 22-26 : Bien - Algunos puntos a repasar
- 17-21 : Medio - Repase el curso antes del laboratorio
- Menos de 17 : Insuficiente - Revise el curso desde el principio
Pase al Lab Diagnóstico VPC una vez que haya alcanzado al menos 22 respuestas correctas.