Tema 9: Seguridad en redes de comunicaciones. VPN

Seguridad perimetral

La seguridad perimetral es el proceso mediante el cual se asegura el perímetro de una red combinando software, dispositivos y técnicas. Constituye la primera línea de defensa de la red frente a las amenazas externas que pueden dañar los sistemas conectados. Sus objetivos básicos son detectar a los intrusos que intentan acceder a las instalaciones, y sus características de calidad son resistencia, identificación, cuarentena y filtros. Los sistemas perimetrales abiertos tienen como principal desventaja su falta de sensibilidad en condiciones ambientales adversas.

Cortafuegos (firewall)

Un cortafuegos es un elemento de seguridad perimetral: un dispositivo o software (un enrutador especializado en aplicar filtros) que filtra el tráfico de red entre distintas zonas de confianza. Su objetivo es prevenir actividades maliciosas. No es función suya asegurar que la red se use eficientemente. Se clasifican según la capa del protocolo en la que actúan:

• Cortafuegos de nivel de red: filtran por IP de origen/destino, puerto y protocolo.

• Cortafuegos de nivel de aplicación: operan por encima de la capa de red y controlan protocolos y aplicaciones específicas. Un firewall proxy actúa como gateway de una red a otra para una aplicación determinada.

• Firewall de inspección activa (stateful): permite o bloquea tráfico basándose en estado, puerto y protocolo, monitorizando toda la actividad desde la apertura hasta el cierre de la conexión, según las reglas del administrador y el contexto.

• NGFW (Next-Generation Firewall): añade escaneado y detección/respuesta de paquetes, políticas basadas en aplicaciones y usuarios y antivirus en continuo.

Arquitecturas: el firewall de host filtrado usa un único enrutador de filtrado; el firewall de subred filtrado usa dos enrutadores (el access router conecta la red externa con la perimetral y el choke router separa la red perimetral de la interna). La DMZ (zona desmilitarizada) es una red local situada entre la red interna y la externa que actúa como búfer asegurado; aloja servicios orientados al exterior (web, correo, FTP, VoIP). El CCN-CERT recomienda ubicar el servidor de correo en la DMZ. Los hosts bastión son equipos dedicados con seguridad reforzada, puntos clave auditados regularmente, preparados para soportar ataques externos.

Listas de control de acceso (ACL)

Las ACL son conjuntos de reglas para gestionar los paquetes que ingresan, se retransmiten o salen del router, filtrando el tráfico según necesidades de seguridad. Proporcionan un nivel básico de seguridad (permitir/denegar hosts) y mejoran el rendimiento restringiendo tráfico. No operan sobre los paquetes generados por el propio router. Las ACL de entrada son más eficaces cuando la interfaz es el único origen a examinar (y reducen sobrecarga si el paquete se descarta); las de salida, cuando un mismo filtro se aplica a varias interfaces de entrada.

IDS / IPS

Los IDS (detección) vigilan la red e identifican incidentes, generando registros; los IPS (prevención) detienen los incidentes detectados, rechazando el paquete automáticamente. El IPS es una extensión del cortafuegos. Tipos de detección: basada en firmas (patrones de cadenas específicas), basada en anomalías (línea base de comportamiento) y basada en políticas (reglas de seguridad muy específicas). Un honeypot es un señuelo/trampa diseñado para atraer y detectar actividad maliciosa, capturar atacantes o bots y aprender sus métodos, obteniendo datos de identificación (IP, geolocalización, plataforma).

Puertos IANA y escaneo

La IANA supervisa la asignación de recursos de Internet y clasifica los puertos en: bien conocidos (0–1023, reservados para protocolos bien conocidos y el sistema operativo), registrados (1024–49151, para cualquier aplicación) y dinámicos o privados (49152–65535, asignados dinámicamente al cliente al iniciar la conexión). El escaneo de puertos analiza el estado de los puertos para detectar servicios y vulnerabilidades; lo usan tanto administradores como atacantes (Nmap es el programa más conocido). Un puerto abierto responde con SYN/ACK al recibir un SYN; filtrado significa que no regresa el paquete o llega un ICMP Port Unreachable. En UDP se envía un paquete y se espera un ICMP Port Unreachable; si está filtrado por firewall, no es posible obtener información precisa.

Ataques

• DoS/DDoS: denegación de servicio que provoca pérdida de conectividad, comúnmente por consumo de recursos saturando puertos con múltiples flujos. El DDoS usa múltiples sistemas comprometidos (inundación de paquetes).

• Inundación SYN: flujo de paquetes TCP/SYN con dirección de origen falsificada; se mitiga con SYN cookies. La conexión TCP normal requiere una negociación de tres pasos (3-way handshake).

• Ataque Smurf: el atacante envía paquetes ICMP echo request; su efecto se amplifica según el número de equipos que responden. La inundación ICMP ralentiza el sistema según la relación de capacidad víctima/atacante.

• SACKPanic: manipula el tamaño máximo de segmento y la retransmisión, causando un desbordamiento de entero en el núcleo Linux.

• Spoofing: la suplantación IP altera la dirección de un paquete TCP/IP; MAC spoofing suplanta una dirección MAC. Man in the Middle: capacidad de leer, insertar y modificar el tráfico. DNS cache poisoning: inyecta datos no autoritativos, redirigiendo clientes a sitios maliciosos.

Herramientas y técnicas complementarias

Suricata monitoriza tráfico para detectar intrusiones (código abierto); Wireshark analiza tráfico; OpenVAS realiza evaluación de vulnerabilidades. Port forwarding redirige tráfico externo a un servicio interno; UPnP permite a los dispositivos configurar automáticamente reglas de redirección de puertos; un portal cautivo gestiona el acceso a redes inalámbricas; el DNS sinkholing redirige tráfico a IPs concretas para analizar comportamientos anómalos. SPF (Sender Policy Framework) combate la falsificación de correo verificando las IP autorizadas para un dominio. El STP (Spanning Tree Protocol, IEEE 802.1d) gestiona los enlaces de una red conmutada para evitar bucles lógicos.

Herramientas del CCN-CERT

El CCN-CERT ofrece soluciones de ciberseguridad a la Administración y clasifica la peligrosidad de los ciberincidentes en cinco niveles: bajo, medio, alto, muy alto y crítico. Los incidentes se notifican vía LUCIA o correo electrónico. No ofrece servicio de correo electrónico seguro. Catálogo principal:

El SAT (Sistema de Alerta Temprana) busca actuar antes de un incidente o detectarlo a tiempo para reducir su impacto. SIEM = Security Information and Event Management.

Otros conceptos

WPA2/WPA3 protegen los datos en las comunicaciones wifi (WPA3 es más robusto que WPA2). WPS admite configuración PIN, PBC, NFC y USB. En CPD, el estándar ANSI/TIA-942 define cuatro niveles TIER, siendo TIER I el de menor disponibilidad y TIER IV el de mayor. Según MÉTRICA v3, el diagrama de interacción describe en detalle un escenario de un caso de uso.

Fuentes

• CCN-CERT — Catálogo de Soluciones de Seguridad: https://www.ccn-cert.cni.es/es/soluciones-seguridad.html

• CCN-CERT — LUCIA: https://www.ccn-cert.cni.es/es/soluciones-seguridad/lucia.html

• CCN-CERT — Herramienta CLARA (cumplimiento ENS): https://www.ccn-cert.cni.es/es/seguridad-al-dia/actualidad-ccn/13041-el-ccn-actualiza-su-herramienta-clara-de-auditoria-para-el-ens-y-para-sistemas-clasificados.html

• IANA — Service Name and Transport Protocol Port Number Registry (RFC 6335): https://www.iana.org/assignments/service-names-port-numbers/service-names-port-numbers.xhtml

• IETF RFC 4987 — TCP SYN Flooding Attacks and Common Mitigations: https://datatracker.ietf.org/doc/html/rfc4987

• IEEE 802.1D — Spanning Tree Protocol: https://standards.ieee.org/standard/802_1D-2004.html

• ANSI/TIA-942 — Telecommunications Infrastructure Standard for Data Centers: https://tiaonline.org/products-and-services/tia942certification/

• administracionelectronica.gob.es — MÉTRICA v3: https://administracionelectronica.gob.es/pae_Home/pae_Documentacion/pae_Metodolog/pae_Metrica_v3.html

Redes privadas virtuales (VPN): concepto

Una VPN (Virtual Private Network, red privada virtual) es una conexión virtual entre dispositivos a través de Internet que permite crear una red local sin necesidad de estar físicamente conectados entre sí. Su propósito principal es establecer una red de transmisión de datos segura a través de Internet, protegiendo la privacidad en línea del usuario y garantizando la confidencialidad de la información. El componente "virtual" es precisamente esa red local lógica creada sobre una infraestructura pública compartida, sin cableado dedicado.

Los beneficios que aporta son mayor seguridad en la transmisión de datos, confidencialidad y la posibilidad de conectar varias redes privadas entre sí a través de Internet, con un menor coste que los vínculos punto a punto tradicionales (líneas dedicadas).

Tunneling (tunelización)

El tunneling es la técnica base de toda VPN: consiste en encapsular un protocolo de red sobre otro, creando un "túnel" de información dentro de una red de computadoras. Los paquetes originales (PDU, Unidades de Datos de Protocolo) se encapsulan dentro de otro protocolo para asegurar su confidencialidad y autenticidad. En escenarios de IP móvil, el tunneling se emplea para redirigir el tráfico hacia el nodo-móvil sin cambiar su estructura ni su contenido originales.

GRE (Generic Routing Encapsulation) es un protocolo de tunneling / de encapsulamiento (RFC 2784, actualizado por RFC 2890). GRE posibilita el uso de protocolos de enrutamiento especializados, respalda la secuencia ordenada de paquetes y la formación de túneles en redes de alta velocidad. Junto con PPTP, los protocolos GRE y PPTP conjuntamente pueden crear VPNs.

Tipos de VPN

Las dos categorías fundamentales son, por tanto, VPN de sitio a sitio y VPN de acceso remoto.

Protocolos VPN

Los protocolos comunes de comunicación VPN son IPSec, L2TP, PPTP, L2F y VPN SSL. El cifrado de una VPN se apoya típicamente en algoritmos de cifrado simétrico. Cadenas como "KSEC 1.1" o "P2TP" NO son protocolos reales (actúan como distractores).

IPSec

IPSec es el protocolo estándar de facto utilizado en VPN. Opera en dos modos:

• Modo transporte: solo se protege la carga útil del paquete IP.

• Modo túnel: todo el paquete IP es cifrado o autenticado y se encapsula en uno nuevo (uso típico VPN sitio a sitio).

El proyecto FreeS/WAN realizó la primera implementación completa y de código abierto de IPsec para Linux.

L2TP

L2TP (Layer 2 Tunneling Protocol) por sí solo no cifra; se combina con IPsec (L2TP/IPSec), de modo que se basa en la criptografía de IPSec para proporcionar seguridad y autenticar a los usuarios remotos.

PPTP

PPTP (Point-to-Point Tunneling Protocol) utiliza el puerto TCP 1723 para la conexión de control y GRE para los datos; asigna direcciones IP privadas al cliente. Emplea MS-CHAPv2 para la autenticación, método con vulnerabilidades conocidas, por lo que IPSec es una alternativa más segura.

VPN SSL

VPN SSL (Secure Sockets Layer) puede usarse de dos maneras: algunas soluciones ofrecen acceso directo a la web sin instalar cliente, y otras funcionan mediante un cliente instalado.

OpenVPN

OpenVPN es considerada una de las tecnologías más seguras para implementar VPNs. Sus características clave:

• Utiliza SSL/TLS (estándares de la industria) para cifrar las conexiones y ofrece conectividad punto-a-punto con validación jerárquica de usuarios y hosts remotos.

• Su gran ventaja es que permite la utilización de diferentes protocolos de seguridad; en cambio, OpenVPN no es compatible con IPSec, IKE, PPTP ni L2TP.

• Está publicado bajo licencia GPL, de software libre.

• Usa por defecto el puerto 1194 (UDP).

• Soporta redes inalámbricas IEEE 802.11.

• Su principal desventaja actual es un rendimiento inferior frente a protocolos más modernos (p. ej. WireGuard).

Configuración en Linux: el comando sudo apt-get install openvpn openssl instala el servidor VPN. El fichero a modificar es /etc/openvpn/server.conf. Los scripts de configuración para crear la carpeta easy-rsa se encuentran en /usr/share/doc/openvpn/examples/easy-rsa/2.0/. Para crear, firmar, emitir y revocar las claves de clientes y servidor se necesita una autoridad certificadora (CA) y un certificado raíz (ca.crt).

Herramientas y servicios VPN

Las soluciones VPN por hardware ofrecen mayor rendimiento y facilidad de configuración. Como servicios VPN comerciales (útiles, por ejemplo, en un ministerio) figuran NordVPN, CyberGhost e IPVanish. Respecto a Windows, ninguna de las aplicaciones VPN por software habituales es nativa del sistema.

Acceso remoto seguro: requisitos

Una solución de acceso remoto seguro debe ser independiente de la ubicación del usuario y exigir identificación de usuario para evitar accesos no autorizados. En cambio, NO es objetivo suyo "facilitar la movilidad internacional de los usuarios" (distractor típico).

Entrega de aplicaciones y escritorios (contexto Citrix / DaaS / VDI)

• Citrix XenApp: virtualización de aplicaciones y entrega de aplicaciones.

• Citrix ShareFile: compartición de ficheros.

• DaaS (Data as a Service): servicio que proporciona acceso a datos a través de una red.

• VDI vs DaaS: VDI es la práctica de hospedar un sistema operativo de escritorio en una máquina virtual que opera desde un servidor centralizado, mientras que DaaS se basa en la infraestructura de un proveedor y no en una propia.

Fuentes

• OpenVPN Community/Access Server Docs — puerto 1194 UDP por defecto: https://openvpn.net/community-docs/starting-up-the-vpn-and-testing-for-initial-connectivity.html

• IETF RFC 2637 — Point-to-Point Tunneling Protocol (PPTP), puerto TCP 1723 y GRE: https://datatracker.ietf.org/doc/html/rfc2637

• IETF RFC 2784 — Generic Routing Encapsulation (GRE): https://datatracker.ietf.org/doc/html/rfc2784

• IETF RFC 2890 — Key and Sequence Number Extensions to GRE: https://datatracker.ietf.org/doc/html/rfc2890

• IETF RFC 4301 — Security Architecture for the Internet Protocol (IPsec, modos transporte y túnel): https://datatracker.ietf.org/doc/html/rfc4301

• IETF RFC 3931 — Layer Two Tunneling Protocol version 3 (L2TP): https://datatracker.ietf.org/doc/html/rfc3931

• Microsoft Learn — Citrix / Virtual Desktop Infrastructure (VDI) y DaaS: https://learn.microsoft.com/en-us/azure/virtual-desktop/

Protocolos seguros de red

La seguridad en las redes de comunicaciones descansa sobre tres objetivos clásicos de la seguridad de la información: la confidencialidad (garantizar que los datos no puedan ser leídos por terceros no autorizados), la integridad (garantizar que los datos no puedan ser modificados durante la transmisión) y la autenticación. Los ataques a las redes se clasifican en pasivos (escucha sin alterar el tráfico, como el eavesdropping, en el que un individuo no autorizado usa herramientas —normalmente antenas de gran alcance— para capturar de forma pasiva el tráfico inalámbrico) y activos (modifican o inyectan tráfico, como el ataque Man-in-the-Middle (MitM), que intercepta y modifica el tráfico entre dos dispositivos). El cifrado de datos en tránsito protege la información mientras se transfiere de un dispositivo a otro; el cifrado integral garantiza la privacidad de los datos incluso si son interceptados. Los datos en reposo también resultan atractivos para los atacantes porque suelen contener información más valiosa.

IPsec

IPsec (Internet Protocol Security) es un conjunto de protocolos que asegura las comunicaciones sobre IP; opera en la capa de red (capa 3) del modelo OSI y utiliza el protocolo IP. Proporciona una capa adicional de seguridad que incluye cifrado, autenticación de usuarios y gestión de claves. Usa claves de cifrado simétricas para cifrar y descifrar los datos, y suele emplear sistemas de clave pre-compartida para establecer el secreto compartido de la sesión.

IPsec consta de tres protocolos, de los que dos son sub-protocolos de seguridad:

• Authentication Header (AH): proporciona integridad, autenticación y no repudio. Protege la carga útil IP y (a diferencia de ESP) todos los campos de la cabecera del datagrama IP; por ello, cuando AH se usa en modo transporte, las direcciones IP no pueden ser traducidas (incompatible con NAT). Emplea una ventana deslizante para protegerse frente a ataques de repetición. La longitud de su cabecera se mide en palabras de 32 bits. En su cabecera: los bits 8-15 almacenan el Payload length, los bits 16-31 están marcados como RESERVED, y el Security Parameters Index (SPI) indica los parámetros de seguridad que, en combinación con la dirección IP, identifican la asociación de seguridad del paquete.

• Encapsulating Security Payload (ESP): proporciona confidencialidad y, de forma altamente recomendable, autenticación y protección de integridad (proporciona confidencialidad y autenticación). Si se usa cifrado sin autenticación en ESP, el resultado es inseguro.

• Internet Key Exchange (IKE): emplea un intercambio de claves de tipo Diffie-Hellman para establecer el secreto compartido de la sesión. El protocolo Diffie-Hellman sin autenticación es especialmente vulnerable al ataque MitM.

Una asociación de seguridad (SA) es un paquete de algoritmos y parámetros para cifrar y autenticar un flujo particular en una dirección. En multicast, se proporciona una SA al grupo y se duplica para todos los receptores autorizados. IPsec funciona en dos modos: modo túnel y modo transporte (este último sí sirve para comunicaciones ordenador a ordenador).

Algoritmos e implementaciones

Los algoritmos criptográficos definidos para usar con IPsec incluyen HMAC-SHA-1 (integridad/autenticación) y Triple DES-CBC (cifrado); su detalle se recoge en la RFC 4305. RSA (cifrado asimétrico) no es un algoritmo de cifrado simétrico de datos compatible en este contexto. Las arquitecturas de procesadores de red con motores de cifrado integrados han cambiado el diseño de las pilas IPsec.

Históricamente: Alexey Kuznetsov y David S. Miller escribieron desde cero una implementación de IPsec de núcleo para Linux hacia finales de 2002; el proyecto OpenBSD desarrolló su propio demonio ISAKMP/IKE llamado isakmpd; el proyecto KAME usó el demonio de gestión de claves racoon (NetBSD/FreeBSD); strongSwan es continuación de FreeS/WAN; y QuickSec de SafeNet es una pila IPsec Fast Path para procesadores de red multinúcleo.

Kerberos

Kerberos es un protocolo de seguridad cuyo objetivo es autenticar usuarios y servicios en una red. Utiliza cifrado simétrico para proteger los tickets de autenticación y hashes criptográficos para garantizar la integridad. Su Servidor de ticket-granting (TGS) gestiona los tickets y genera la clave de sesión entre cliente y servidor; el proceso de pedir un ticket se denomina solicitud de ticket-granting. Kerberos no utiliza ningún protocolo de red concreto para autenticar a los usuarios (la respuesta es "ninguno de los anteriores").

Autenticación de acceso a la red

• 802.1x: estándar IEEE que controla que equipos invitados, no autorizados o no gestionados que no pueden autenticarse correctamente no se conecten a la red.

• RADIUS: protocolo de uso frecuente para la autenticación de usuarios en una red.

• TACACS: tecnología empleada en la verificación de la integridad de red para autenticar dispositivos y usuarios y permitirles el acceso.

Correo electrónico: SPF y S/MIME

La falta de autenticación del protocolo SMTP permite a los servidores remitentes identificarse falsamente. El SPF (Sender Policy Framework) es un protocolo de autenticación de direcciones de correo: un registro TXT en el DNS que lista los servidores autorizados a enviar correo de un dominio, protegiendo contra la suplantación y el spam. El servidor receptor verifica la autenticidad comparando la IP del remitente con la lista de direcciones autorizadas en los registros DNS; si la verificación es exitosa, añade una cabecera Received-SPF con el resultado positivo. En el registro, v=spf1 indica la versión; a autoriza el host del registro A; mx autoriza las máquinas con la IP de los registros MX; include: delega en otros dominios; y -all rechaza el resto (p. ej. v=spf1 a include:_spf.google.com -all). Los certificados digitales ofrecen protección limitada porque solo cifran el servidor, no los correos individuales; para acreditar la identidad del remitente y autenticar el origen se usa la firma digital con S/MIME.

SSL/TLS, SSH y redes inalámbricas

SSL/TLS es un mecanismo de cifrado de tráfico; los certificados SSL establecen una conexión cifrada entre el sitio web/servidor y el navegador mediante el handshake SSL. En Apache, los certificados para conexiones SSL se configuran en SSLCertificateFile y SSLCertificateKeyFile. SSH es el protocolo para acceder de forma segura a servidores remotos mediante una conexión cifrada. En la capa de enlace hay protocolos como WEP, WPA y BT PIN; WPA2 y WPA3 usan cifrado AES de 128 bits para la confidencialidad. WPA no significa "WiFi Protection Authentication" (es Wi-Fi Protected Access).

Otros conceptos

Los puertos del 0 al 1023 están reservados por el sistema para garantizar que los servicios críticos accedan a ellos sin interferencias. La suplantación de IP en sesiones TCP aprovecha el comportamiento del envío de paquetes SYN y ACK y la predicción del número de secuencia inicial (ISN). El DNS cache poisoning puede deberse a varias causas combinadas.

Fuentes

• IETF — RFC 4305, Cryptographic Algorithm Implementation Requirements for ESP and AH: https://datatracker.ietf.org/doc/html/rfc4305

• IETF — RFC 4302, IP Authentication Header (AH): https://datatracker.ietf.org/doc/html/rfc4302

• IETF — RFC 4303, IP Encapsulating Security Payload (ESP): https://datatracker.ietf.org/doc/html/rfc4303

• IETF — RFC 7208, Sender Policy Framework (SPF): https://datatracker.ietf.org/doc/html/rfc7208

• Wikipedia — IPsec (implementaciones históricas: Kuznetsov/Miller, isakmpd, racoon/KAME, strongSwan, QuickSec): https://es.wikipedia.org/wiki/IPsec

• strongSwan — Documentación oficial: https://strongswan.org/

• IEEE 802.1X — Port-Based Network Access Control: https://1.ieee802.org/security/802-1x/

Seguridad en el puesto del usuario

El puesto de usuario (estación de trabajo) es uno de los eslabones más expuestos de la cadena de seguridad, porque combina factores técnicos y humanos. Su protección exige medidas organizativas (normas y procedimientos) y medidas técnicas (antivirus, cifrado, control de acceso), complementadas por las soluciones que ofrecen organismos de referencia como el CCN-CERT y el INCIBE.

Medidas de carácter organizativo

Son la base de la gobernanza de la seguridad y no dependen de la tecnología, sino de las normas de conducta:

• Establecer una política de seguridad interna es la medida fundamental de carácter organizativo. Debe firmarse al comienzo de la relación laboral para asegurar el cumplimiento de las obligaciones de seguridad.

• Obligación de bloquear la sesión al ausentarse del puesto de trabajo.

• Prohibición de alterar la configuración del equipo y de instalar aplicaciones no autorizadas.

• Limitación en el uso de servicios de almacenamiento online y destrucción segura de la documentación mediante mecanismos adecuados.

• Normativa sobre dispositivos personales o BYOD (Bring Your Own Device).

Una de las principales causas de fugas de información son los errores al utilizar los sistemas; por ejemplo, el autocompletado de la dirección del destinatario en el correo puede provocar el envío accidental de información confidencial. Respecto a periféricos (USB, CD-ROM, disquetes), realizar el mayor número posible de copias en medios extraíbles de información sensible es una mala práctica, igual que usar teclados inalámbricos para manejar información confidencial.

Política de contraseñas (INCIBE)

Según la política de claves del INCIBE, una contraseña robusta debe contemplar la longitud y el uso de caracteres especiales. Los criterios de referencia son:

• Longitud mínima de 8 caracteres (cuanto más larga, mejor).

• Combinar al menos un número, una mayúscula y una minúscula, además de caracteres especiales.

• Bloqueo del usuario tras 5 intentos fallidos de acceso (el usuario queda bloqueado temporalmente).

• Cambio periódico de contraseña y forzar el cambio de la clave inicial, para evitar que se use la misma contraseña durante mucho tiempo.

Antivirus y EDR

Al implantar un antivirus en la empresa, los aspectos clave son la capacidad de análisis en tiempo real y la capacidad de análisis de páginas web. Además, el usuario final no debe poder desactivar el antivirus, y conviene realizar análisis periódicos de equipos y dispositivos móviles para detectar y eliminar amenazas en tiempo real. Una solución EDR (Endpoint Detection and Response) aporta detección avanzada, pero su inconveniente es que exige mayor conocimiento en la administración del software.

Amenazas: malware e ingeniería social

En la ingeniería social, el phishing engaña al usuario para obtener información confidencial (habitualmente mediante correos con enlaces maliciosos). Variantes:

• Spear phishing: phishing dirigido que emplea varios correos a la misma persona o empresa hasta ganarse su confianza.

• Whaling: ataque específico dirigido a CEOs y CFOs; se parece al phishing en que ambos persuaden, pero el atacante se hace pasar por un cargo importante.

• Vishing: suplantación de una entidad legítima mediante llamadas telefónicas.

Autenticación y control de acceso

El objetivo del control de acceso es garantizar que los datos solo sean accesibles por usuarios autorizados. La autenticación de un factor exige usuario y contraseña; la autenticación de doble factor (2FA) añade algo que el usuario tiene o es (por ejemplo, un código de verificación enviado al móvil). La autenticación de múltiples factores (AMF/MFA) concede acceso solo tras presentar dos o más pruebas de identidad. Un token físico de seguridad es un dispositivo electrónico entregado a un usuario autorizado para facilitar el proceso de autenticación.

Soluciones del CCN-CERT

El CCN-CERT es la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional. Su enfoque frente a ciberincidentes es actuar y responder para minimizar el impacto y limitar el alcance, y categoriza el riesgo en cinco niveles: Crítico, Muy Alto, Alto, Medio y Bajo. Los incidentes se reportan mediante la herramienta LUCIA o vía email.

Un objetivo del CCN-CERT es mejorar la ciberseguridad española, incluyendo la coordinación a nivel público estatal.

Virtualización del puesto de trabajo

• VDI (Virtual Desktop Infrastructure): práctica de hospedar un sistema operativo de escritorio en una máquina virtual que opera desde un servidor centralizado.

• DaaS (Desktop as a Service): escritorio como servicio basado en la infraestructura de un proveedor y no una propia.

• RDS (Remote Desktop Services): componente de Windows que permite acceder por red a aplicaciones y datos de otro ordenador.

Ejemplos de escritorio virtual: Amazon WorkSpaces (escritorio remoto en la nube), Oracle Secure Global Desktop, Citrix Provisioning (implementación centralizada de SO y aplicaciones) y Citrix EdgeSight (monitorización del rendimiento). En cambio, Citrix Secure Hub NO es un escritorio virtual.

Otros conceptos de seguridad en el puesto

• Informática forense: procedimiento de recolectar, conservar y examinar pruebas digitales con fines legales.

• DevSecOps: integra la seguridad de la aplicación y la infraestructura sin fricción en los procesos de desarrollo. Entre los análisis del ciclo de vida seguro NO existe el falso término S-SDLC entendido como "Secure Software Development Liability Control".

• OpenVAS: herramienta de análisis de vulnerabilidades.

• UPnP: conviene desactivarlo porque no incluye ningún protocolo de autenticación, lo que puede provocar vulnerabilidades.

Fuentes

• CCN-CERT (Centro Criptológico Nacional) — Soluciones de Ciberseguridad: https://www.ccn-cert.cni.es/es/soluciones-seguridad.html

• CCN-CERT — CLAUDIA: https://www.ccn-cert.cni.es/es/soluciones-seguridad/claudia.html

• CCN-CERT — LUCIA: https://www.ccn-cert.cni.es/es/soluciones-seguridad/lucia.html

• CCN-CERT — microCLAUDIA: https://www.ccn-cert.cni.es/es/soluciones-seguridad/microclaudia.html

• INCIBE — Gestión de contraseñas seguras (Ciudadanía): https://www.incibe.es/ciudadania/tematicas/contrasenas-seguras

• INCIBE — Contraseñas. Políticas de seguridad para la pyme (2024): https://www.incibe.es/empresas/blog/desempolvando-politicas-seguridad-las-contrasenas