tatiana
/
taiage
1
0
Fork 0
Code Issues Pull Requests Packages Projects Releases Wiki Activity
taiage/bloque4/tema5.md

19 KiB
Raw Blame History

Bloque 4 · Tema 5

Conceptos de seguridad de los sistemas de información. Seguridad física. Seguridad lógica. Amenazas y vulnerabilidades. Técnicas criptográficas y protocolos seguros. Mecanismos de firma digital. Infraestructura física de un CPD: acondicionamiento y equipamiento. Sistemas de gestión de incidencias. Control remoto de puestos de usuario.

1. Esquema introductorio (visión rápida)

Seguridad de la información – tríada CIA

  • Confidencialidad: solo acceden los autorizados.
  • Integridad: la información no se altera sin autorización.
  • Disponibilidad: el sistema está accesible cuando se necesita.

Tipos de seguridad

  • Física: protección del hardware y las instalaciones.
  • Lógica: protección del software, datos y accesos.

Criptografía

  • Simétrica (clave única): AES, DES, 3DES.
  • Asimétrica (clave pública/privada): RSA, ECC.
  • Hash: SHA-256, MD5 (obsoleta).
  • Firma digital: autenticidad + integridad + no repudio.

2. Conceptos fundamentales de seguridad

2.1 Tríada CIA

Propiedad Descripción Medidas
Confidencialidad Solo los autorizados pueden acceder a la información Cifrado, control de acceso, VPN
Integridad La información no es alterada sin autorización Hash, firmas digitales, checksums
Disponibilidad El sistema funciona y da servicio cuando se necesita Redundancia, backups, monitorización

2.2 Otras propiedades de seguridad

Propiedad Descripción
Autenticidad Se puede verificar la identidad del emisor
No repudio El emisor no puede negar haber enviado un mensaje
Trazabilidad / Auditoría Se registra quién hizo qué y cuándo
Control de acceso Se gestiona quién puede acceder a qué recursos

2.3 Amenazas, vulnerabilidades y riesgos

Concepto Definición
Amenaza Evento que puede causar daño (ataque, catástrofe, error humano)
Vulnerabilidad Debilidad del sistema que puede ser explotada
Riesgo Probabilidad × Impacto de que una amenaza explote una vulnerabilidad
Impacto Consecuencia del incidente (económica, reputacional, operacional)
Contramedida Acción que reduce el riesgo

2.4 Tipos de amenazas

Amenazas externas

  • Malware: virus, gusanos (worms), troyanos, ransomware, spyware, rootkits.
  • Ataques de red: DoS/DDoS, Man-in-the-Middle (MitM), spoofing, sniffing.
  • Intrusión: acceso no autorizado a sistemas.
  • Ingeniería social: phishing, vishing, pretexting.

Amenazas internas

  • Empleados malintencionados.
  • Errores humanos.
  • Privilegios excesivos.

Amenazas físicas

  • Incendio, inundación, seísmo.
  • Robo de equipos.
  • Corte eléctrico.

2.5 OWASP Top 10 (principales vulnerabilidades web)

Las 10 vulnerabilidades de aplicaciones web más críticas, publicadas por OWASP:

  1. Control de acceso roto.
  2. Fallos criptográficos.
  3. Inyección (SQL, XSS, command injection).
  4. Diseño inseguro.
  5. Mala configuración de seguridad.
  6. Componentes vulnerables y desactualizados.
  7. Fallos de identificación y autenticación.
  8. Fallos en la integridad del software y los datos.
  9. Fallos en el registro y monitorización de seguridad.
  10. Server-Side Request Forgery (SSRF).

3. Seguridad física

La seguridad física protege el hardware, las instalaciones y las personas frente a amenazas físicas.

3.1 Control de acceso físico

  • Perímetro de seguridad: vallas, muros, control de acceso al edificio.
  • Control de acceso a las instalaciones: tarjetas de proximidad, biometría (huella, iris, facial), guardias de seguridad.
  • Zonas de seguridad: recepción, zona de trabajo, CPD (sala de servidores).
  • CCTV: videovigilancia con cámaras de seguridad.
  • Registro de visitas: quién entra y sale, y cuándo.

3.2 Protección contra desastres físicos

Incendios

  • Detectores de humo y temperatura.
  • Sistemas de extinción: agente limpio (gases inertes como FM-200, Novec) en CPD para no dañar los equipos; evitar agua o polvo.
  • Separación de zonas (cortafuegos físicos).

Suministro eléctrico

  • SAI / UPS (Sistema de Alimentación Ininterrumpida): batería que mantiene el sistema en marcha ante cortes breves.
  • Grupos electrógenos (generadores): energía de emergencia para cortes prolongados.
  • Redundancia de suministro: conexiones a distintas subestaciones eléctricas.
  • PDU redundantes: distribución de energía dentro del CPD.

Temperatura y humedad

  • Sistemas HVAC: climatización (aire acondicionado de precisión).
  • Temperatura recomendada en CPD: 18-27°C; humedad relativa 40-60%.
  • Monitorización continua de temperatura y humedad.

Otros riesgos físicos

  • Protección frente a inundaciones (drenaje, ubicación elevada).
  • Protección antisísmica.
  • Protección frente a interferencias electromagnéticas (jaula de Faraday).

4. Seguridad lógica

La seguridad lógica protege los sistemas de información frente al acceso, alteración o destrucción no autorizados a través de medios electrónicos.

4.1 Control de acceso lógico

Identificación y autenticación

Factor Descripción Ejemplo
Algo que sabes Contraseña, PIN, pregunta secreta Password
Algo que tienes Token físico, tarjeta inteligente, OTP DNIe, Google Authenticator
Algo que eres Biometría Huella dactilar, reconocimiento facial

MFA (Autenticación Multifactor): combina al menos dos factores distintos.
2FA: caso particular con exactamente dos factores.

Modelos de control de acceso

Modelo Descripción
DAC (Discretionary Access Control) El propietario del recurso decide quién accede (ej. permisos UNIX)
MAC (Mandatory Access Control) El sistema impone reglas según etiquetas de seguridad (clasificada/secreta)
RBAC (Role-Based Access Control) Los permisos se asignan a roles; los usuarios tienen roles
ABAC (Attribute-Based Access Control) Acceso basado en atributos del usuario, recurso y entorno

Principio de mínimo privilegio: cada usuario/servicio solo tiene los permisos estrictamente necesarios.

4.2 Gestión de contraseñas

Buenas prácticas:

  • Longitud mínima de 12 caracteres.
  • Combinación de mayúsculas, minúsculas, números y caracteres especiales.
  • No reutilizar contraseñas.
  • No almacenar contraseñas en texto claro → usar funciones de hash con sal (salt): bcrypt, Argon2, PBKDF2.
  • Política de caducidad y bloqueo tras intentos fallidos.

4.3 Antivirus y protección contra malware

  • Software que detecta, bloquea y elimina código malicioso.
  • Técnicas: firmas, heurística, análisis de comportamiento (sandbox).
  • Soluciones actuales: EDR (Endpoint Detection and Response).

4.4 Firewall (cortafuegos)

Filtra el tráfico de red basándose en reglas (IP, puerto, protocolo).

Tipo Descripción
Filtrado de paquetes Reglas por IP de origen/destino y puerto
Stateful inspection Rastrea el estado de las conexiones
Proxy / Application-level gateway Intermediario que entiende el protocolo de aplicación
NGFW (Next-Generation Firewall) Inspección profunda de paquetes, IDS/IPS integrado, control por aplicación

4.5 IDS/IPS

Sistema Función
IDS (Intrusion Detection System) Detecta y alerta sobre intrusiones
IPS (Intrusion Prevention System) Detecta y bloquea las intrusiones en tiempo real

Técnicas de detección:

  • Basada en firmas: compara con patrones de ataques conocidos.
  • Basada en anomalías: detecta desvíos del comportamiento normal.

5. Técnicas criptográficas y protocolos seguros

5.1 Criptografía simétrica

Utiliza la misma clave para cifrar y descifrar.

Ventaja: muy rápida.
Inconveniente: problema de distribución de claves (¿cómo compartir la clave de forma segura?).

Algoritmo Estado Descripción
DES Obsoleto 56 bits de clave; vulnerable a fuerza bruta
3DES En desuso Aplica DES tres veces; más lento y debilitándose
AES Estándar actual Claves de 128, 192 o 256 bits; muy eficiente
ChaCha20 Moderno Alternativa a AES en dispositivos sin hardware AES

Modos de operación de AES: ECB, CBC, CTR, GCM (autenticado; el más recomendado).

5.2 Criptografía asimétrica (de clave pública)

Utiliza un par de claves:

  • Clave pública: se distribuye libremente; cifra datos o verifica firmas.
  • Clave privada: se guarda en secreto; descifra datos o genera firmas.

Lo que cifra la clave pública solo lo descifra la clave privada (y viceversa).

Ventaja: no hay problema de distribución de claves.
Inconveniente: mucho más lenta que la simétrica.

Algoritmo Uso Notas
RSA Cifrado y firma Clave de 2048+ bits recomendada
DSA Solo firma digital
ECDSA / ECC Firma y cifrado Clave más corta con igual seguridad que RSA
Diffie-Hellman (DH) Intercambio de claves No cifra datos, acuerda clave simétrica entre dos extremos

Uso híbrido (habitual): la clave de cifrado simétrico (sesión) se intercambia con criptografía asimétrica → TLS, PGP.

5.3 Funciones hash criptográficas

Transforman una entrada de cualquier longitud en una cadena de longitud fija (resumen o digest).

Propiedades:

  • Deterministas: misma entrada → mismo hash.
  • Unidireccionales: imposible obtener la entrada a partir del hash.
  • Resistencia a colisiones: muy difícil encontrar dos entradas con el mismo hash.
  • Efecto avalancha: un pequeño cambio en la entrada cambia completamente el hash.
Algoritmo Longitud del hash Estado
MD5 128 bits Obsoleto (colisiones conocidas)
SHA-1 160 bits Obsoleto (colisiones demostradas)
SHA-256 256 bits Estándar actual (familia SHA-2)
SHA-3 Variable Más reciente, basado en Keccak

Usos: verificar integridad de archivos, almacenar contraseñas (con salt), firma digital.

5.4 Firma digital

La firma digital garantiza simultáneamente:

  • Autenticidad: el mensaje proviene realmente del firmante.
  • Integridad: el mensaje no ha sido modificado.
  • No repudio: el firmante no puede negar haber firmado.

Proceso de firma y verificación

FIRMA:
1. Calcular el hash del mensaje (e.g. SHA-256)
2. Cifrar el hash con la CLAVE PRIVADA del firmante
→ Resultado: firma digital

VERIFICACIÓN:
1. Descifrar la firma con la CLAVE PÚBLICA del firmante → hash original
2. Calcular el hash del mensaje recibido
3. Comparar ambos hashes → si son iguales, firma válida

5.5 Certificados digitales y PKI

Un certificado digital vincula una clave pública con la identidad de su propietario, avalado por una Autoridad de Certificación (CA).

Estándar: X.509.

PKI (Public Key Infrastructure)

Infraestructura que gestiona certificados digitales:

  • CA (Certification Authority): emite y firma certificados.
  • RA (Registration Authority): verifica la identidad del solicitante.
  • CRL (Certificate Revocation List): lista de certificados revocados.
  • OCSP (Online Certificate Status Protocol): verificación en tiempo real del estado del certificado.

En España

  • FNMT-RCM: Fábrica Nacional de Moneda y Timbre → emite certificados a ciudadanos.
  • DNIe: chip criptográfico con certificado de identidad y de firma.
  • @Firma: plataforma de validación de firmas de la AGE.

5.6 Protocolos seguros

Protocolo Capa Función
TLS (Transport Layer Security) Transporte Cifrado de comunicaciones (sustituyó a SSL)
SSL Transporte Obsoleto (vulnerabilidades POODLE, BEAST)
HTTPS Aplicación HTTP + TLS; protege la web
SSH Aplicación Acceso remoto seguro a servidores
S/MIME Aplicación Firma y cifrado de correo electrónico
PGP / GPG Aplicación Cifrado y firma de ficheros y correo
IPsec Red Cifrado a nivel de paquete IP; base de muchas VPN
SFTP / FTPS Aplicación Transferencia segura de ficheros

TLS (versiones)

  • TLS 1.0 y 1.1: obsoletos y desaconsejados.
  • TLS 1.2: ampliamente usado.
  • TLS 1.3: versión actual; más rápido y seguro (elimina algoritmos débiles).

6. Infraestructura física de un CPD

6.1 Concepto de CPD

Un CPD (Centro de Procesamiento de Datos) es la instalación física que alberga los sistemas informáticos de una organización: servidores, almacenamiento, equipos de red y telecomunicaciones.

6.2 Clasificación por disponibilidad (TIER)

Estándar del Uptime Institute:

Nivel Disponibilidad Tiempo de inactividad máximo/año Características
TIER I 99,671% 28,8 h Sin redundancia
TIER II 99,741% 22 h Componentes redundantes
TIER III 99,982% 1,6 h Concurrentemente mantenible
TIER IV 99,995% 26 min Tolerante a fallos

6.3 Acondicionamiento del CPD

Ubicación

  • Planta baja o sótano (riesgo de inundación) → mejor planta intermedia o elevada.
  • Lejos de áreas con riesgo de inundación, zonas sísmicas, etc.
  • Control de acceso físico estricto.

Suelo técnico

  • Suelo elevado (falso suelo) para el paso de cables y la distribución del aire frío.

Climatización

  • Precisión en temperatura (18-27°C) y humedad (40-60%).
  • Sistemas de pasillos fríos/calientes (hot aisle/cold aisle) para optimizar el flujo de aire.
  • Sistemas redundantes (N+1 o 2N).

Electricidad

  • SAI / UPS: protección ante microcortes y cortes breves.
  • Generadores diésel: cortes prolongados.
  • PDU (Power Distribution Unit) redundantes.
  • Doble circuito eléctrico para equipos críticos.

Contra incendios

  • Detección precoz: detectores de humo, temperatura, aspiración de partículas (VESDA).
  • Extinción con gases inertes (FM-200, Novec 1230, CO₂) que no dañan equipos.
  • Compartimentación con puertas y paredes cortafuegos.

Seguridad física

  • Control de acceso por zonas (tarjeta, biometría).
  • CCTV.
  • Doble puerta (SAS – Sistema de Acceso de Seguridad): antesala que impide acceso simultáneo desde exterior e interior.

6.4 Equipamiento del CPD

Equipo Función
Servidores rack Procesamiento; montados en armarios rack (unidades U)
Blade servers Muchos servidores en un chasis compartido; alta densidad
SAN / NAS Almacenamiento en red
Switches de core/distribución/acceso Conectividad de red
Routers / Firewalls Conectividad externa y seguridad perimetral
KVM Control de varios servidores con un solo teclado/monitor
DCIM Data Center Infrastructure Management: monitorización global

7. Sistemas de gestión de incidencias

7.1 Concepto

Un sistema de gestión de incidencias (ticketing system) es una herramienta que permite registrar, clasificar, priorizar, asignar y resolver los incidentes de soporte técnico de forma organizada.

7.2 Marco ITIL

ITIL (Information Technology Infrastructure Library) es un conjunto de buenas prácticas para la gestión de servicios de TI.

Conceptos clave de ITIL relacionados con incidencias:

Concepto Descripción
Incidente Interrupción no planificada o degradación de un servicio
Problema Causa raíz desconocida de uno o más incidentes
Workaround Solución temporal para restaurar el servicio
SLA (Service Level Agreement) Acuerdo de nivel de servicio: tiempo de respuesta y resolución
RCA (Root Cause Analysis) Análisis de la causa raíz del problema

7.3 Ciclo de vida de un incidente

  1. Detección y registro: el usuario reporta o el sistema detecta el incidente.
  2. Clasificación y priorización: según impacto y urgencia.
  3. Diagnóstico inicial: soporte de primer nivel intenta resolver.
  4. Escalado: si no se resuelve, pasa a segundo o tercer nivel.
  5. Resolución y restauración del servicio.
  6. Cierre: confirmación del usuario y documentación.

7.4 Herramientas de gestión de incidencias

Herramienta Descripción
Jira Service Management Muy extendida, basada en ITIL
ServiceNow Plataforma empresarial completa
Remedy (BMC) Muy usada en grandes organizaciones
Zammad / osTicket Open-source
Zendesk Orientada a soporte al cliente

8. Control remoto de puestos de usuario

8.1 Concepto

El control remoto permite acceder y gestionar un equipo desde otro equipo a través de la red, como si estuviera físicamente delante de él.

8.2 Protocolos y tecnologías

Tecnología Protocolo Puerto Descripción
RDP (Remote Desktop Protocol) Propietario Microsoft TCP 3389 Escritorio remoto en Windows
VNC (Virtual Network Computing) RFB TCP 5900 Multiplataforma; comparte el escritorio gráfico
SSH SSH TCP 22 Acceso remoto a la línea de comandos (Linux/Unix)
TeamViewer Propietario Vario Fácil de usar; muy extendido en soporte técnico
AnyDesk Propietario Vario Alternativa a TeamViewer
SPICE / RDP sobre VDI Vario Vario Virtual Desktop Infrastructure

8.3 Seguridad en el control remoto

Riesgos:

  • Acceso no autorizado si las credenciales son débiles.
  • Exposición del escritorio a través de la red.
  • Ataques de fuerza bruta al puerto RDP (3389).

Medidas:

  • Usar autenticación fuerte (MFA).
  • No exponer RDP directamente a Internet → acceder a través de VPN.
  • Cambiar puertos por defecto.
  • Cifrado TLS en todas las sesiones remotas.
  • Registro y auditoría de sesiones.
  • Listas de IPs autorizadas.

9. Resumen: conceptos clave para el examen

Concepto Dato clave
Tríada CIA Confidencialidad, Integridad, Disponibilidad
No repudio El emisor no puede negar haber firmado/enviado
AES Cifrado simétrico estándar; claves 128/192/256 bits
RSA Cifrado asimétrico; par de claves público-privada
SHA-256 Función hash estándar actual (familia SHA-2)
MD5 / SHA-1 Obsoletos; colisiones conocidas
Firma digital Hash del mensaje cifrado con clave privada
Certificado X.509 Vincula clave pública con identidad; emitido por CA
FNMT / @Firma / DNIe Infraestructura de PKI en la AGE española
TLS 1.3 Versión actual del protocolo de cifrado web
HTTPS HTTP + TLS; cifra la comunicación web
SSH Acceso remoto seguro a servidores (puerto 22)
SAI / UPS Alimentación ininterrumpida ante cortes eléctricos
TIER IV CPD 99,995% disponibilidad; tolerante a fallos
Pasillos fríos/calientes Optimización del flujo de aire en CPD
Gases inertes en CPD FM-200, Novec; extinción sin dañar equipos
ITIL Marco de buenas prácticas para gestión de servicios TI
SLA Acuerdo de nivel de servicio (tiempos de respuesta)
RDP Escritorio remoto Windows; puerto TCP 3389
MFA Autenticación multifactor; al menos dos factores
RBAC Control de acceso basado en roles