Prepararti alla Cisco CyberOps Associate 200-201 (CBROPS) significa allenarti a ragionare come un analista SOC di primo livello: riconoscere i concetti fondamentali, interpretare i dati di security monitoring e applicare procedure standard di incident response. In questa pagina trovi 12 domande a risposta multipla commentate, distribuite sui cinque domini d’esame, con spiegazione dettagliata di ogni risposta corretta e del motivo per cui le altre opzioni sono sbagliate.

Queste domande sono materiale didattico originale pensato per farti allenare sui concetti chiave: non riproducono il pool reale dell’esame. Per uno studio strutturato dei cinque domini consulta la guida completa 200-201, e quando vuoi metterti alla prova in condizioni simili all’esame passa alla simulazione 200-201.

Dominio 1 — Security Concepts

1. Un attaccante cifra i file di un file server e ne rende impossibile la lettura da parte degli utenti autorizzati. Quale principio della CIA triad è stato principalmente violato?

  • A. Confidentiality (Riservatezza)
  • B. Integrity (Integrità)
  • C. Availability (Disponibilità)
  • D. Non-repudiation (Non ripudio)

Risposta: C. La CIA triad definisce i tre pilastri della sicurezza: Confidentiality, Integrity e Availability. Cifrare i dati rendendoli inaccessibili agli utenti legittimi colpisce direttamente la disponibilità, perché il servizio e i dati non sono più fruibili da chi ne ha diritto. La Confidentiality (A) riguarda l’accesso non autorizzato alla lettura dei dati, non il fatto che i legittimi proprietari non possano più leggerli. L’Integrity (B) riguarda l’alterazione non autorizzata del contenuto: qui i dati non vengono falsificati ma resi illeggibili. Il Non-repudiation (D) non fa parte della CIA triad classica: è un concetto correlato ma distinto, legato all’impossibilità di negare un’azione compiuta.

2. Un’organizzazione implementa firewall perimetrale, segmentazione VLAN, antivirus sugli endpoint, controllo degli accessi fisici e formazione degli utenti. Quale strategia di sicurezza sta applicando?

  • A. Least privilege
  • B. Defense in depth
  • C. Separation of duties
  • D. Zero trust as a single control

Risposta: B. La difesa in profondità (defense in depth) consiste nel disporre più livelli di controllo indipendenti (fisici, tecnici, amministrativi) così che, se un layer viene compromesso, gli altri continuino a proteggere l’asset. L’esempio descrive esattamente livelli sovrapposti dal perimetro all’utente. Il least privilege (A) è un principio che limita i permessi al minimo necessario: è utile ma è un singolo controllo, non la strategia a più livelli descritta. La separation of duties (C) divide compiti critici fra più persone per prevenire abusi, ma non descrive i controlli tecnici elencati. L’opzione D è concettualmente errata: lo zero trust non è “un singolo controllo”, è un modello architetturale, e comunque non descrive lo scenario dato.

3. Un sistema esegue una versione non aggiornata di un servizio con una falla nota. Un gruppo criminale sviluppa un codice per abusare di quella falla e c’è la probabilità concreta che venga usato. Quale abbinamento è corretto?

  • A. La falla è l’exploit, il codice è la vulnerability
  • B. La falla è la vulnerability, il codice è l’exploit, il gruppo è la threat, la probabilità di impatto è il risk
  • C. La probabilità di impatto è la threat, il gruppo è il risk
  • D. La falla è il risk, il gruppo è l’exploit

Risposta: B. Sono quattro concetti distinti che l’esame chiede di non confondere. La vulnerability è la debolezza (il servizio non aggiornato). L’exploit è il codice o la tecnica che sfrutta concretamente quella debolezza. La threat è l’agente o l’evento potenziale che può causare danno (il gruppo criminale). Il risk è la probabilità che una minaccia sfrutti una vulnerabilità, combinata con l’impatto potenziale. Le opzioni A, C e D invertono queste definizioni: A scambia vulnerability ed exploit, C confonde threat con risk, D chiama “risk” la vulnerabilità e “exploit” l’agente.

Dominio 2 — Security Monitoring

4. Un analista deve poter ricostruire il contenuto esatto di una sessione, incluso il payload applicativo di un download sospetto. Quale tipo di dato di security monitoring è indispensabile?

  • A. NetFlow / session data
  • B. Full packet capture (FPC)
  • C. Statistical data
  • D. Alert data dell’IDS

Risposta: B. Il full packet capture registra l’intero pacchetto, header e payload compresi, permettendo di ricostruire byte per byte il contenuto di una sessione e di estrarre file trasferiti. È l’unico dato che consente questo livello di analisi. NetFlow / session data (A) raccoglie solo i metadati del flusso (il 5-tuple sorgente/destinazione IP e porta, protocollo, byte, timestamp, durata) ma non contiene il payload, quindi non permette di ricostruire il contenuto. Gli statistical data (C) forniscono aggregati e trend, non il dettaglio della singola sessione. L’alert data dell’IDS (D) segnala che qualcosa è accaduto ma non trasporta l’intero contenuto trasferito. Da ricordare: l’FPC dà la massima visibilità ma richiede molto storage, mentre NetFlow è compatto e scala meglio nel tempo.

5. Un IDS genera un allarme per un traffico che, all’analisi, si rivela essere un normale backup pianificato. Come si classifica questo evento?

  • A. True positive
  • B. False positive
  • C. True negative
  • D. False negative

Risposta: B. Un false positive è un allarme generato in assenza di una reale attività malevola: il sensore ha “acceso la spia” ma non c’era un attacco. È esattamente il caso del backup legittimo scambiato per traffico sospetto. Il true positive (A) è un allarme corretto su un attacco reale. Il true negative (C) è l’assenza di allarme quando effettivamente non c’è nulla di malevolo. Il false negative (D) è il caso più pericoloso: un attacco reale che non genera alcun allarme e passa inosservato. Un eccesso di false positive causa “alert fatigue” e rischia di far ignorare gli allarmi veri.

Dominio 3 — Network Intrusion Analysis

6. Durante un’analisi, il team distingue tra un hash di file malevolo già trovato su un endpoint e la sequenza comportamentale “processo Office che avvia PowerShell che scarica un eseguibile”. Come si classificano rispettivamente i due elementi?

  • A. Entrambi sono IOC
  • B. Il primo è un IOA, il secondo è un IOC
  • C. Il primo è un IOC, il secondo è un IOA
  • D. Entrambi sono IOA

Risposta: C. Un Indicator of Compromise (IOC) è un artefatto forense che indica che una compromissione è già avvenuta: hash di file, indirizzi IP, domini, chiavi di registro. L’hash del file malevolo rientra qui. Un Indicator of Attack (IOA) si concentra invece sull’intento e sulla sequenza di azioni in corso, indipendentemente dallo strumento usato: la catena “Office → PowerShell → download” descrive un comportamento sospetto, quindi è un IOA. Le opzioni A e D appiattiscono la distinzione, mentre B inverte le due definizioni. In sintesi: gli IOC guardano al “cosa è già successo” (evidenza), gli IOA al “cosa sta accadendo” (comportamento/intento).

7. Un analista vuole modellare un intrusione dalla fase di ricognizione fino all’esfiltrazione, con sette stadi sequenziali che descrivono l’intero percorso dell’attaccante. Quale modello è più adatto e come si distingue dal MITRE ATT&CK?

  • A. La Cyber Kill Chain; ATT&CK descrive invece tattiche e tecniche (TTP) osservate
  • B. Il MITRE ATT&CK, perché ha esattamente sette fasi lineari
  • C. La CIA triad, che modella le fasi dell’attacco
  • D. Il CVSS, che scandisce le fasi di un’intrusione

Risposta: A. La Cyber Kill Chain (Lockheed Martin) descrive un’intrusione in sette fasi sequenziali: Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command & Control, Actions on Objectives. È il modello lineare adatto a ripercorrere il percorso end-to-end dell’attaccante. Il MITRE ATT&CK (B) non è un modello a sette fasi lineari: è una matrice di tattiche (l’obiettivo, il “perché”) e tecniche (il “come”) basata su comportamenti reali osservati, usata per mappare le TTP. La CIA triad (C) descrive i pilastri della sicurezza, non le fasi di un attacco. Il CVSS (D) è un sistema di scoring delle vulnerabilità, non un modello di attacco.

8. Analizzando l’header di un pacchetto, un analista nota il flag RST impostato e un campo TTL molto basso. In quali header si trovano rispettivamente questi due campi?

  • A. Entrambi nell’header IP
  • B. Il flag RST nell’header TCP, il TTL nell’header IP
  • C. Il flag RST nell’header IP, il TTL nell’header TCP
  • D. Entrambi nell’header TCP

Risposta: B. L’analisi degli header richiede di sapere quale campo appartiene a quale livello. I flag di controllo (SYN, ACK, FIN, RST, PSH, URG) fanno parte dell’header TCP, insieme a porte sorgente/destinazione, sequence number e acknowledgment number: RST segnala un reset brusco della connessione. Il TTL (Time To Live) appartiene invece all’header IP, insieme a indirizzi IP sorgente/destinazione e campo Protocol: un TTL anomalo può indicare spoofing o un percorso di rete inatteso. Le opzioni A, C e D collocano almeno un campo nel livello sbagliato. Ricordare la separazione TCP (trasporto) / IP (rete) è essenziale nell’intrusion analysis.

Dominio 4 — Host-Based Analysis

9. Durante l’analisi forense di un endpoint compromesso, un analista deve raccogliere artefatti host. Quale abbinamento tra sistema e artefatto è corretto?

  • A. Su Windows il Registry e la Master File Table (MFT); su Linux i log in /var/log e gli inode del filesystem
  • B. Su Windows i file in /var/log; su Linux il Registry di sistema
  • C. Su Windows solo il NetFlow; su Linux solo il full packet capture
  • D. Su entrambi i sistemi l’artefatto principale è la CIA triad

Risposta: A. Gli artefatti host cambiano con il sistema operativo. Su Windows sono tipici il Registry (configurazione e persistenza), la Master File Table (MFT) del filesystem NTFS, i file prefetch e gli Event Log. Su Linux l’analista guarda i log testuali in /var/log (es. syslog, auth), la struttura del filesystem con inode e i metadati ext4. L’opzione B inverte i due mondi: /var/log è Linux, il Registry è Windows. L’opzione C confonde artefatti host con dati di rete (NetFlow e FPC sono network-based, non host-based). L’opzione D è priva di senso: la CIA triad è un concetto, non un artefatto forense.

10. A una vulnerabilità viene assegnato un punteggio CVSS di 9.8. Cosa rappresenta questo valore e quali dimensioni concorrono al punteggio base?

  • A. È la probabilità in percentuale che la falla venga sfruttata
  • B. È un punteggio di severità da 0 a 10 basato su metriche come Attack Vector, Attack Complexity, Privileges Required, User Interaction, Scope e gli impatti su Confidentiality/Integrity/Availability
  • C. È il numero di sistemi vulnerabili nella rete
  • D. È l’identificativo univoco della vulnerabilità nel database

Risposta: B. Il CVSS (Common Vulnerability Scoring System) produce un punteggio di severità da 0 a 10, dove 9.8 indica una criticità molto alta. Il Base Score deriva da metriche di exploitability e di impatto: Attack Vector, Attack Complexity, Privileges Required, User Interaction, Scope e gli impatti su Confidentiality, Integrity e Availability. Esistono inoltre i gruppi Temporal ed Environmental che affinano il punteggio nel contesto. L’opzione A confonde il CVSS con una probabilità: il CVSS misura la gravità, non la probabilità di sfruttamento (concetto più vicino a metriche come l’EPSS). L’opzione C non ha attinenza con lo scoring. L’opzione D descrive un identificativo (tipo CVE), non il punteggio CVSS.

Dominio 5 — Security Policies and Procedures

11. Secondo il ciclo di incident response del NIST SP 800-61, in quale fase rientrano le attività di isolamento del sistema compromesso, rimozione del malware e ripristino dei servizi?

  • A. Preparation
  • B. Detection and Analysis
  • C. Containment, Eradication, and Recovery
  • D. Post-Incident Activity

Risposta: C. Il NIST SP 800-61 struttura l’incident response in quattro fasi: Preparation (predisporre strumenti, policy e formazione), Detection and Analysis (rilevare e qualificare l’incidente), Containment, Eradication, and Recovery e Post-Incident Activity. L’isolamento del sistema (containment), la rimozione del malware (eradication) e il ripristino dei servizi (recovery) appartengono chiaramente alla terza fase. La Preparation (A) precede l’incidente. La Detection and Analysis (B) riguarda l’individuazione, non la bonifica. La Post-Incident Activity (D) è la fase finale delle lezioni apprese e del miglioramento, successiva al ripristino.

12. Dopo aver acquisito un disco come prova, il team documenta chi lo ha raccolto, quando, dove è stato conservato e ogni passaggio di mano, calcolando un hash per verificarne l’integrità. Quale concetto sta applicando?

  • A. Chain of custody
  • B. Separation of duties
  • C. Defense in depth
  • D. Least privilege

Risposta: A. La chain of custody (catena di custodia) è la documentazione cronologica e ininterrotta che traccia chi ha maneggiato una prova, quando, dove e come è stata conservata, garantendo che l’evidenza non sia stata alterata. Il calcolo di un hash all’acquisizione e ai passaggi successivi serve proprio a dimostrarne l’integrità e ad assicurarne l’ammissibilità legale. La separation of duties (B) riguarda la divisione dei compiti critici tra più persone. La defense in depth (C) è la strategia a più livelli di controllo. Il least privilege (D) limita i permessi al minimo necessario: nessuno dei tre descrive la tracciabilità documentata di una prova forense.

Sei pronto?

Se hai risposto correttamente alla maggior parte di queste domande e, soprattutto, sai spiegare perché le altre opzioni erano sbagliate, hai basi solide su tutti e cinque i domini del CBROPS. Il passo successivo è allenarti su un set più ampio e in condizioni cronometrate: fai la simulazione 200-201 per misurare il tuo livello reale e individuare i domini su cui concentrare il ripasso. E se vuoi rivedere la teoria prima di riprovare, torna alla guida completa 200-201.