GIAC Network Forensic Analyst (GNFA) Practice Test

Se recomienda encarecidamente una experiencia práctica sustancial. Debe sentirse completamente cómodo con los fundamentos de TCP/IP, leer e interpretar encabezados de paquetes en Wireshark/TShark y comprender arquitecturas de red comunes. La experiencia en roles de administración de redes, operaciones de seguridad o respuesta a incidentes es muy beneficiosa. El examen evalúa habilidades aplicadas, no solo conocimientos teóricos.

Aunque no es un requisito formal, el curso FOR572: Advanced Network Forensics and Analysis es el vehículo de capacitación oficial para el GNFA. El esquema del examen se alinea directamente con su contenido. El autoestudio es posible para profesionales excepcionalmente experimentados, pero el curso proporciona el currículo estructurado, archivos de evidencia curados e instrucción experta que la mayoría de los candidatos considera esencial para el éxito.

El GNFA es un examen supervisado de 2 horas que consta de 65-75 preguntas. Una parte significativa implica preguntas basadas en el rendimiento (PBQs) donde debe analizar archivos de evidencia proporcionados (por ejemplo, PCAPs, registros) dentro de un entorno de laboratorio virtual para responder preguntas de investigación específicas. Este formato evalúa directamente su capacidad para realizar tareas, no solo recordar información.

Wireshark (y su contraparte de línea de comandos TShark) es la herramienta fundamental. También debe ser competente con herramientas para análisis de NetFlow (como SiLK o NFDUMP), análisis de registros y creación de cronologías. El examen se centra en el proceso analítico y conceptos independientes de herramientas, pero la fluidez en estas aplicaciones principales es necesaria para completar las tareas prácticas de manera eficiente.

El GIAC Certified Intrusion Analyst (GCIA) se centra en la monitorización de redes, detección de intrusiones y el análisis en tiempo real basado en firmas/anomalías del tráfico para identificar ataques. El GNFA se centra en la forensía post-incidente: el examen en profundidad de la evidencia de red capturada para reconstruir eventos, probar actividad maliciosa y determinar el alcance y el impacto. GCIA se trata de encontrar la aguja en el pajar; GNFA se trata de diseccionar la aguja para entender toda su historia.