Unidad Didáctica 1 · Gestión de la seguridad informática
01Objetivo de la Seguridad y Términos Relacionados
El objetivo de la seguridad informática es proteger la información y los sistemas que la tratan para que el negocio pueda funcionar, preservando tres propiedades básicas, la tríada CIA, a las que se suman otras dos.
Confidencialidad
Solo acceden a la información quienes están autorizados.
Integridad
La información es exacta y completa, y no se modifica sin autorización.
Disponibilidad
La información y los servicios están accesibles cuando se necesitan.
Autenticidad
Se puede asegurar la identidad de quien accede o de quien origina la información.
Trazabilidad (no repudio)
Se puede saber quién hizo qué y cuándo, y no se puede negar después.
| Término | Definición | Ejemplo |
|---|---|---|
| Activo | Cualquier cosa con valor para la organización | Servidor de nóminas, base de datos de clientes, reputación |
| Amenaza | Posible causa de un incidente que puede dañar un activo | Ransomware, incendio, empleado descontento |
| Vulnerabilidad | Debilidad de un activo que una amenaza puede aprovechar | Sistema sin parchear, contraseña débil, sala sin extinción |
| Riesgo | Posibilidad de que una amenaza aproveche una vulnerabilidad y cause un impacto | Probabilidad × impacto |
| Impacto | Consecuencia de que la amenaza se materialice | Dos días sin facturar, multa, pérdida de clientes |
| Salvaguarda o control | Medida que reduce el riesgo | Copia de seguridad, antivirus, MFA, formación |
| Incidente de seguridad | Suceso que compromete alguna de las propiedades de la información | Fuga de datos, infección, caída por ataque |
| Riesgo residual | El que queda tras aplicar las salvaguardas | Siempre existe; la dirección debe aceptarlo |
02Procesos y Objetivos de la Gestión de la Seguridad
La seguridad no es un producto que se compra, sino un proceso continuo. El modelo de referencia es el Sistema de Gestión de Seguridad de la Información (SGSI) de la norma ISO/IEC 27001, que sigue el ciclo de mejora continua PDCA.
- Planificar (Plan): definir el alcance, la política, analizar los riesgos y elegir los controles.
- Hacer (Do): implantar los controles, formar al personal, gestionar las operaciones.
- Verificar (Check): monitorizar, medir, auditar y revisar.
- Actuar (Act): corregir las desviaciones y mejorar.
Objetivos de la gestión de la seguridad
- Conocer los activos y sus riesgos.
- Reducir los riesgos a un nivel aceptable por la dirección.
- Cumplir la legislación (RGPD, LOPDGDD, Esquema Nacional de Seguridad, NIS2) y los contratos.
- Detectar y responder a los incidentes con rapidez.
- Garantizar la continuidad del negocio.
| Beneficios | Dificultades |
|---|---|
| Menos incidentes y de menor impacto | Coste de implantación y de mantenimiento |
| Cumplimiento legal y menos sanciones | Resistencia al cambio de los usuarios |
| Confianza de clientes y socios; requisito en concursos públicos | Falta de implicación de la dirección |
| Decisiones de inversión basadas en riesgos | Falta de personal cualificado |
| Mejora de la organización de TI | Sensación de que «a nosotros no nos va a pasar» |
Normas y marcos de referencia
ISO/IEC 27001 y 27002Esquema Nacional de Seguridad (RD 311/2022)Directiva NIS2NIST CSF 2.0CIS ControlsMAGERIT
03Política de Seguridad y Protección de Datos Personales
La política de seguridad es el documento, aprobado por la dirección, que declara los objetivos de seguridad de la organización, los principios que se siguen y las responsabilidades. De ella cuelgan normas más concretas (uso del correo, contraseñas, teletrabajo, dispositivos personales) y procedimientos técnicos.
| Nivel documental | Contenido | Ejemplo |
|---|---|---|
| Política | Qué se quiere proteger y por qué; compromiso de la dirección | Política de seguridad de la información |
| Normas | Reglas obligatorias para todos | Norma de uso aceptable de los equipos; norma de contraseñas |
| Procedimientos | Cómo se hace una tarea paso a paso | Alta y baja de usuarios; respuesta ante un incidente |
| Guías e instrucciones técnicas | Configuraciones concretas | Bastionado de Windows Server; configuración del cortafuegos |
La protección de datos personales
El BOE cita la Ley Orgánica 15/1999 (LOPD) y su reglamento, el RD 1720/2007. Ambos han sido sustituidos: desde el 25 de mayo de 2018 se aplica el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, RGPD), complementado en España por la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). La autoridad de control es la Agencia Española de Protección de Datos (AEPD).
| Concepto del RGPD | Qué significa para el operador |
|---|---|
| Dato personal | Cualquier información de una persona identificada o identificable: nombre, DNI, correo, IP, imagen, matrícula |
| Categorías especiales | Salud, ideología, biometría, origen étnico, orientación sexual… Requieren protección reforzada |
| Responsable y encargado del tratamiento | La empresa que decide para qué se usan los datos, y el proveedor que los trata por su cuenta (por ejemplo, la empresa de mantenimiento informático) |
| Principios | Licitud, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad, responsabilidad proactiva |
| Seguridad del tratamiento (art. 32) | Medidas técnicas y organizativas adecuadas al riesgo: cifrado, seudonimización, copias, control de accesos, pruebas periódicas |
| Brecha de seguridad (arts. 33-34) | Notificar a la AEPD en 72 horas si hay riesgo para las personas, y a los afectados si el riesgo es alto |
| Derechos de las personas | Acceso, rectificación, supresión, oposición, limitación, portabilidad |
| Deber de confidencialidad (art. 5 LOPDGDD) | Afecta a todo el que trata datos, también al personal técnico, incluso tras dejar el puesto |
Operador y RGPDEl operador de sistemas accede constantemente a datos personales: buzones, carpetas de usuarios, copias de seguridad, registros. Solo debe acceder a lo necesario para su tarea, nunca por curiosidad, y debe comunicar inmediatamente cualquier posible brecha a su responsable.
04Esquema Nacional de Seguridad y Directiva NIS2
Además del RGPD, que protege los datos personales, hay normas que obligan a proteger los sistemas y servicios en sí. Al operador le afectan porque fijan medidas concretas que tendrá que aplicar y evidenciar.
| Norma | A quién obliga | Qué exige |
|---|---|---|
| Esquema Nacional de Seguridad (RD 311/2022) | Todo el sector público y las empresas privadas que le prestan servicios o soluciones tecnológicas | Categorizar los sistemas (básica, media, alta), aplicar las medidas del anexo II, auditar (cada dos años en categorías media y alta) y obtener la certificación de conformidad |
| Directiva (UE) 2022/2555 (NIS2) | Entidades esenciales e importantes de sectores como energía, transporte, salud, agua, infraestructura digital, servicios TIC gestionados, administración pública, fabricación crítica, servicios postales… | Gestión de riesgos, notificación de incidentes significativos (aviso temprano en 24 h, notificación en 72 h, informe final en un mes), seguridad de la cadena de suministro, responsabilidad de la dirección |
| Ley 8/2011 de infraestructuras críticas | Operadores críticos designados | Planes de seguridad del operador y de protección específicos |
| Grupo de medidas del ENS | Ejemplos |
|---|---|
| Marco organizativo (org) | Política de seguridad, normativa, procedimientos, proceso de autorización |
| Marco operacional (op) | Análisis de riesgos, control de acceso, explotación (inventario, configuración segura, mantenimiento, registro de actividad), servicios externos, continuidad, monitorización |
| Medidas de protección (mp) | Instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información, servicios |
Para el operadorEn una organización con ENS o NIS2 casi todo lo que hace el operador (altas de usuarios, parches, copias, revisión de registros) debe seguir un procedimiento escrito y dejar evidencia. «Lo hice, pero no está registrado» equivale, en una auditoría, a no haberlo hecho.
05Análisis de Riesgos
- 1. Identificación de recursos (activos): información, servicios, aplicaciones, equipos, comunicaciones, instalaciones y personas, con su valor en confidencialidad, integridad y disponibilidad.
- 2. Identificación de amenazas: qué puede afectar a cada activo.
- 3. Identificación de vulnerabilidades: qué debilidades tiene cada activo frente a esas amenazas.
- 4. Estimación del riesgo: probabilidad × impacto, para cada pareja activo-amenaza.
- 5. Tratamiento: mitigar con medidas de protección, transferir (seguro, proveedor), evitar (dejar de hacer la actividad) o aceptar.
- 6. Revisión periódica: al menos una vez al año o cuando haya cambios importantes.
Amenazas: atacante externo e interno
| Origen | Ejemplos | Particularidad |
|---|---|---|
| Externo | Ciberdelincuentes (ransomware, phishing, robo de credenciales), hacktivistas, competidores, bots automatizados | Hay que cruzar el perímetro; buscan la vulnerabilidad más fácil |
| Interno | Empleado descontento, error humano, curiosidad, exempleado con acceso que no se ha retirado, proveedor con acceso | Ya está dentro y tiene credenciales; difícil de detectar |
| Naturales y del entorno | Incendio, inundación, corte eléctrico, fallo de climatización | Se tratan con seguridad física (UF1354) |
| Fallos técnicos | Avería de disco, error de software, caída del proveedor | Redundancia, copias, mantenimiento |
| Probabilidad \ Impacto | Bajo | Medio | Alto |
|---|---|---|---|
| Alta | Medio | Alto | Crítico |
| Media | Bajo | Medio | Alto |
| Baja | Bajo | Bajo | Medio |
Medidas de protección
| Tipo de medida | Ejemplos |
|---|---|
| Preventivas | MFA, parches, cortafuegos, formación, mínimo privilegio, cifrado |
| Detectivas | Monitorización de accesos, IDS, revisión de registros, antivirus |
| Correctivas | Copias de seguridad, plan de respuesta, restauración, desinfección |
| Disuasorias | Avisos legales de inicio de sesión, cámaras visibles |
Metodología españolaMAGERIT, del Consejo Superior de Administración Electrónica, es la metodología de análisis de riesgos de referencia en la Administración; su herramienta asociada es PILAR, del CCN.
06Caso Práctico Resuelto: Análisis de Riesgos de un Despacho
Despacho de 12 personas: servidor NAS con los expedientes, correo en la nube, portátiles que salen a juicios, Wi-Fi única para personal y clientes, y copias en un disco USB que se cambia los viernes. Escala de probabilidad e impacto de 1 a 3; riesgo = probabilidad × impacto.
| Activo | Amenaza | Vulnerabilidad | P | I | Riesgo | Medida | Riesgo residual |
|---|---|---|---|---|---|---|---|
| Expedientes en el NAS | Ransomware | Copias conectadas; usuarios con permisos de escritura en todo | 3 | 3 | 9 · crítico | Copia inmutable diaria a la nube + permisos por área + instantáneas del NAS | 3 · medio |
| Correo | Phishing con robo de credenciales | Sin MFA | 3 | 3 | 9 · crítico | MFA obligatorio + formación + filtro antiphishing | 2 · bajo |
| Portátiles | Pérdida o robo | Disco sin cifrar | 2 | 3 | 6 · alto | BitLocker + datos en el NAS, no en local + borrado remoto | 2 · bajo |
| Wi-Fi | Acceso de un cliente a la red interna | Red única con la misma clave | 2 | 3 | 6 · alto | Red de invitados separada (VLAN) + WPA3 Enterprise o clave distinta | 1 · bajo |
| NAS | Fallo de hardware | RAID 1 sin monitorización | 2 | 2 | 4 · medio | Alertas por correo del NAS + copia (ya prevista) | 2 · bajo |
| Datos de clientes | Envío por error a otra persona | Sin revisión de destinatarios | 2 | 2 | 4 · medio | Retraso de envío de 1 minuto + etiquetado de confidencialidad | 2 · bajo |
- Priorización: primero los críticos (ransomware y phishing), que además se mitigan con poco coste.
- Presupuesto: unos 1.200 € el primer año (almacenamiento inmutable, licencias con MFA, formación) frente a un impacto estimado de semanas sin trabajar y posible sanción por brecha.
- Aceptación: la dirección firma la aceptación de los riesgos residuales y fecha la revisión en 12 meses.
07Plan de Seguridad, Relación con Otros Procesos, Seguridad Física y Lógica
El plan de seguridad
- Resultado del análisis de riesgos: qué medidas se van a implantar, con qué prioridad, quién es responsable, con qué presupuesto y en qué plazo.
- Incluye un plan de formación y concienciación de los usuarios.
- Define indicadores para medir su avance y su eficacia.
- Se revisa y actualiza periódicamente.
Interrelación con otros procesos de TI
| Proceso | Relación con la seguridad |
|---|---|
| Gestión de incidencias (UF1350) | Los incidentes de seguridad son un tipo especial de incidencia con su propio procedimiento |
| Gestión de cambios (UF1351) | Cada cambio debe evaluar su impacto en la seguridad |
| Gestión de la configuración e inventario (UF1349) | No se puede proteger lo que no se sabe que existe |
| Gestión de la capacidad y la disponibilidad | La disponibilidad es una de las propiedades de seguridad |
| Continuidad del negocio y copias de seguridad (UF1354) | Recuperación tras un incidente grave |
| Gestión de proveedores | Contratos con cláusulas de seguridad y de encargo del tratamiento |
| Seguridad física | Seguridad lógica | |
|---|---|---|
| Protege | Las instalaciones y el hardware | Los datos, el software y los accesos |
| Frente a | Robo, incendio, inundación, cortes eléctricos, accesos no autorizados a las salas | Malware, accesos no autorizados, robo o alteración de datos |
| Medidas | Control de acceso a salas, CPD, extinción, SAI, climatización, cámaras | Usuarios y contraseñas, permisos, cifrado, antivirus, cortafuegos, registros |
| Se estudia en | UF1354 (entorno físico y CPD) | Esta unidad formativa (UD2 y UD3) |
Unidad Didáctica 2 · Seguridad lógica del sistema
08Acceso al Sistema: Usuario, Cuenta, Grupo, Permisos y ACL
| Concepto | Definición | Ejemplo |
|---|---|---|
| Usuario | Persona (o proceso) que accede al sistema | María García, de Contabilidad |
| Cuenta | Identidad en el sistema con su nombre, credenciales y atributos | mgarcia@empresa.local |
| Grupo | Conjunto de cuentas a las que se dan los mismos permisos | GG_Contabilidad |
| Permiso | Lo que se puede hacer sobre un objeto concreto | Leer y escribir en la carpeta \\SRV\Contabilidad |
| Derecho (privilegio) | Lo que se puede hacer sobre el sistema en general | Iniciar sesión localmente, cambiar la hora, hacer copias de seguridad |
| ACL (lista de control de acceso) | Lista asociada a un objeto con las entradas (ACE) que indican qué usuario o grupo tiene qué permiso | Contabilidad: Modificar; Dirección: Lectura; Administradores: Control total |
Tipos de cuentas
- Cuentas de usuario normales: para el trabajo diario, sin privilegios de administración.
- Cuentas de administración: separadas de la cuenta personal (mgarcia y adm-mgarcia), usadas solo para administrar.
- Cuentas de servicio: para que los servicios y las aplicaciones se ejecuten; sin inicio de sesión interactivo (en AD, mejor cuentas de servicio administradas gMSA).
- Cuentas integradas: Administrador, Invitado (desactivada), SYSTEM, root.
- Cuentas compartidas o genéricas: se deben evitar, porque impiden saber quién hizo qué.
Modelos de control de acceso
| Modelo | Quién decide los permisos | Ejemplo |
|---|---|---|
| Discrecional (DAC) | El propietario del recurso | Permisos NTFS y de Linux por defecto |
| Obligatorio (MAC) | El sistema, según etiquetas de seguridad | SELinux, AppArmor, entornos militares |
| Basado en roles (RBAC) | Se asignan permisos a roles y los usuarios reciben roles | Grupos de AD por puesto de trabajo, roles de la consola de GLPI |
| Basado en atributos (ABAC) | Reglas con atributos del usuario, el recurso y el contexto | Acceso condicional: solo desde equipos de la empresa y en horario laboral |
Buena práctica: AGDLPEn Active Directory: las cuentas (A) van a grupos globales por función (G); estos, a grupos de dominio local por recurso (DL), y a estos últimos se les dan los permisos (P). Así, cuando alguien cambia de puesto basta con moverlo de grupo, sin tocar las ACL.
09Políticas de Seguridad Respecto de los Usuarios
| Política | Recomendación actual |
|---|---|
| Mínimo privilegio | Cada usuario tiene solo los permisos necesarios para su trabajo; los usuarios no son administradores de sus equipos |
| Segregación de funciones | Que una sola persona no pueda hacer y aprobar una operación crítica |
| Contraseñas | Longitud antes que complejidad (al menos 12-15 caracteres, frases de paso), sin caducidades arbitrarias salvo sospecha de compromiso, comprobación contra listas de contraseñas filtradas (NIST SP 800-63B, guías del CCN) |
| Autenticación multifactor (MFA) | Obligatoria para acceso remoto, correo, cuentas de administración y servicios en la nube |
| Bloqueo de cuenta | Tras un número de intentos fallidos (por ejemplo, 5-10), durante un tiempo |
| Bloqueo de sesión | Bloqueo automático de pantalla tras unos minutos de inactividad |
| Ciclo de vida de la cuenta | Alta solo con petición autorizada; revisión periódica de permisos; baja inmediata al terminar la relación laboral |
| Cuentas inactivas | Deshabilitar las que no se usan en 30-90 días |
| Uso aceptable | Norma firmada por el usuario sobre el uso de los equipos, el correo e Internet |
| Formación y concienciación | Phishing, ingeniería social, manejo de información |
REM Windows: directiva de contraseñas y bloqueo del dominio o del equipo
net accounts
Get-ADDefaultDomainPasswordPolicy
REM Cuentas habilitadas sin inicio de sesión en 90 días
Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly | Where Enabled
# Linux: caducidad y bloqueo
sudo chage -l usuario
sudo faillock --user usuario # intentos fallidos (pam_faillock)
lastlog | grep -v 'Nunca' # último acceso de cada cuenta
10Autenticación de Usuarios
La identificación es decir quién eres (el nombre de usuario); la autenticación es demostrarlo; la autorización es decidir qué puedes hacer una vez autenticado. Los factores de autenticación se agrupan en tres tipos.
Algo que sabes
Contraseña, PIN, respuesta secreta.
Algo que tienes
Móvil con app de autenticación (TOTP o notificación), llave de seguridad FIDO2, tarjeta inteligente, certificado digital, DNIe.
Algo que eres
Huella, cara, iris, voz (biometría).
| Sistema | Fortaleza | Comentario |
|---|---|---|
| Solo contraseña | Débil | Vulnerable a phishing, reutilización y fuerza bruta |
| Contraseña + código por SMS | Media | Mejor que nada, pero el SMS se puede interceptar o duplicar la SIM |
| Contraseña + app TOTP o notificación con número | Fuerte | Muy extendido; cuidado con la fatiga de notificaciones |
| Llave FIDO2 o passkeys | Muy fuerte | Resistente al phishing: la llave comprueba el dominio real |
| Tarjeta inteligente o certificado (DNIe, tarjeta corporativa) | Fuerte | Común en la Administración |
| Biometría | Depende | Cómoda; no se puede cambiar si se compromete; es un dato de categoría especial según el RGPD |
Sistemas biométricos: conceptos
- Tasa de falsa aceptación (FAR): proporción de impostores aceptados.
- Tasa de falso rechazo (FRR): proporción de usuarios legítimos rechazados.
- Detección de vida (liveness): evita engaños con fotos o moldes.
- En los equipos modernos (Windows Hello), la plantilla biométrica no sale del dispositivo y desbloquea una clave protegida por el TPM.
Acceso local, remoto y Single Sign-On
| Tipo | Descripción | Tecnologías |
|---|---|---|
| Local | En el propio equipo, contra su base de cuentas (SAM, /etc/shadow) | Inicio de sesión de Windows o Linux |
| En red o de dominio | Contra un servidor central de autenticación | Kerberos (AD), NTLM (heredado), LDAP |
| Remoto | Desde fuera de la red o a otro equipo | VPN con MFA, RDP a través de una pasarela, SSH con claves, RADIUS para Wi-Fi corporativa (802.1X) |
| Single Sign-On (SSO) | Una sola autenticación da acceso a muchas aplicaciones | Kerberos en dominio, SAML 2.0, OpenID Connect (Microsoft Entra ID, Google, Keycloak) |
SSO y riesgoEl SSO mejora la comodidad y reduce el número de contraseñas, pero concentra el riesgo: si se roba esa credencial, se accede a todo. Por eso el SSO siempre debe ir con MFA.
11El Servicio de Directorio: Conceptos, Protocolos e Implementaciones
Un servicio de directorio es una base de datos jerárquica, optimizada para lecturas, que guarda información de la organización (usuarios, grupos, equipos, impresoras) y la ofrece para autenticar y autorizar de forma centralizada.
| Estándar o producto | Descripción |
|---|---|
| X.500 | Conjunto de estándares de la UIT de los años 80 que define el modelo de directorio: árbol de información (DIT), nombres distinguidos (DN) y el protocolo DAP, muy pesado |
| LDAP (Lightweight Directory Access Protocol) | Versión ligera para acceder a directorios sobre TCP/IP (puerto 389; LDAPS 636). Es el protocolo estándar de hoy |
| Active Directory (AD DS) | Directorio de Microsoft: LDAP + Kerberos + DNS + directivas de grupo (GPO). Estándar de facto en empresas con Windows |
| OpenLDAP, 389 Directory Server | Implementaciones libres de LDAP |
| Samba AD DC | Controlador de dominio compatible con Active Directory sobre Linux |
| FreeIPA / Red Hat IdM | Directorio, Kerberos, DNS y políticas para entornos Linux |
| Microsoft Entra ID (antes Azure AD) | Directorio en la nube para Microsoft 365 y SSO con aplicaciones SaaS; no es LDAP |
Conceptos de LDAP y Active Directory
| Concepto | Ejemplo |
|---|---|
| Nombre distinguido (DN) | CN=María García,OU=Contabilidad,DC=empresa,DC=local |
| Componentes: DC, OU, CN | Componente de dominio, unidad organizativa, nombre común |
| Atributos | sAMAccountName, mail, memberOf, userPrincipalName |
| Esquema | Define las clases de objetos y sus atributos |
| Dominio, árbol y bosque (AD) | empresa.local; varios dominios con raíz común; varios árboles con relación de confianza |
| Controlador de dominio (DC) | Servidor que guarda una copia del directorio y autentica |
| Unidad organizativa (OU) | Contenedor para organizar objetos y aplicar GPO |
12Herramientas y Administración Básica del Directorio
| Herramienta | Uso |
|---|---|
| Usuarios y equipos de Active Directory (dsa.msc) | Crear y modificar usuarios, grupos, equipos y OU |
| Centro de administración de AD (dsac.exe) | Lo mismo, más papelera de reciclaje de AD y directivas de contraseña específicas |
| Administración de directivas de grupo (gpmc.msc) | Crear y vincular GPO |
| Módulo ActiveDirectory de PowerShell | Administración por línea de comandos y en masa |
| ldapsearch, ldapadd, ldapmodify | Clientes LDAP de línea de comandos |
| Apache Directory Studio, phpLDAPadmin | Clientes gráficos LDAP |
| samba-tool | Administración de un dominio Samba AD |
# PowerShell (RSAT o en el controlador de dominio)
New-ADOrganizationalUnit -Name 'Contabilidad' -Path 'DC=empresa,DC=local'
New-ADUser -Name 'María García' -SamAccountName mgarcia -UserPrincipalName mgarcia@empresa.local `
-Path 'OU=Contabilidad,DC=empresa,DC=local' -AccountPassword (Read-Host -AsSecureString) -Enabled $true
New-ADGroup -Name GG_Contabilidad -GroupScope Global -Path 'OU=Contabilidad,DC=empresa,DC=local'
Add-ADGroupMember GG_Contabilidad -Members mgarcia
Disable-ADAccount mgarcia # baja: deshabilitar, no borrar de inmediato
Unlock-ADAccount mgarcia # desbloquear tras intentos fallidos
# LDAP desde Linux
ldapsearch -x -H ldap://dc1.empresa.local -D 'mgarcia@empresa.local' -W -b 'DC=empresa,DC=local' '(sAMAccountName=mgarcia)' memberOf
Tareas básicas de administración del directorio
- Altas, bajas y modificaciones de usuarios según un procedimiento con autorización.
- Restablecimiento de contraseñas verificando la identidad del solicitante.
- Mantenimiento de los grupos y revisión periódica de sus miembros (sobre todo los grupos privilegiados: Admins. del dominio).
- Unión de equipos al dominio y organización en OU.
- Aplicación de directivas de seguridad por GPO.
- Supervisión de la replicación entre controladores (repadmin /replsummary) y de los registros de seguridad.
13Gestión de Cuentas Privilegiadas
La mayoría de los ataques graves terminan con el atacante usando una cuenta de administrador. Proteger esas cuentas es la medida de seguridad lógica con más impacto.
| Medida | En qué consiste | Herramienta o ejemplo |
|---|---|---|
| Cuentas separadas | Cada administrador usa una cuenta normal para el día a día y otra solo para administrar | ana.lopez / adm-ana.lopez |
| Modelo por niveles (tiering) | Las cuentas que administran controladores de dominio (nivel 0) nunca inician sesión en servidores (nivel 1) ni puestos (nivel 2) | Evita que robar credenciales en un PC dé acceso al dominio |
| Contraseña única de administrador local por equipo | Cada PC tiene una contraseña de administrador local distinta, aleatoria y que rota | Windows LAPS (integrado en Windows), gestionado desde AD o Entra ID |
| Acceso justo a tiempo (JIT) | El privilegio se concede solo durante el tiempo de la tarea y caduca solo | Pertenencia temporal a grupos, PIM de Entra ID |
| Estaciones de administración seguras (PAW) | Equipos dedicados y endurecidos solo para administrar | Sin correo ni navegación |
| PAM | Bóveda de credenciales privilegiadas con grabación de sesiones | Productos comerciales y libres (Teleport, JumpServer) |
| Grupo Usuarios protegidos y MFA | Restricciones adicionales de autenticación para cuentas sensibles | Grupo Protected Users de AD |
REM Miembros de los grupos más sensibles del dominio (revisión periódica)
Get-ADGroupMember 'Admins. del dominio' -Recursive | Select Name,SamAccountName
Get-ADGroupMember 'Administradores de empresas' -Recursive | Select Name
REM Windows LAPS: leer la contraseña de administrador local de un equipo (requiere permiso)
Get-LapsADPassword -Identity PC-CONTA02 -AsPlainText
Regla prácticaNadie navega, lee correo ni abre documentos con una cuenta de administración. Si una cuenta privilegiada abre un adjunto malicioso, el malware se ejecuta con esos privilegios.
14Confidencialidad y Disponibilidad en el Puesto: Sistemas de Ficheros y Permisos
Permisos NTFS (Windows)
| Permiso | Permite |
|---|---|
| Lectura | Ver el contenido y los atributos |
| Lectura y ejecución | Además, ejecutar programas |
| Mostrar el contenido de la carpeta | Ver los nombres de los ficheros |
| Escritura | Crear ficheros y escribir |
| Modificar | Leer, escribir y borrar |
| Control total | Todo, incluido cambiar permisos y tomar posesión |
- Herencia: los objetos heredan los permisos de la carpeta superior; se puede deshabilitar.
- Denegar prevalece sobre Permitir cuando son del mismo nivel.
- Permisos de recurso compartido (SMB) más permisos NTFS: se aplica el más restrictivo de los dos. Práctica habitual: compartido con Control total para Usuarios autenticados y afinar con NTFS.
- Propietario: quien creó el objeto; puede cambiar sus permisos.
Permisos en Linux
| Notación | Significado |
|---|---|
| r (4), w (2), x (1) | Lectura, escritura, ejecución (en carpetas, x permite entrar) |
| Propietario / grupo / otros | rwxr-x--- = 750 |
| setuid, setgid, sticky bit | Ejecutar como el propietario; heredar el grupo en carpetas; en /tmp solo borra el propietario |
| ACL POSIX | Permisos para usuarios y grupos adicionales (setfacl, getfacl) |
| umask | Permisos por defecto de lo que se crea |
REM Windows
icacls D:\Datos\Contabilidad
icacls D:\Datos\Contabilidad /grant "EMPRESA\GG_Contabilidad:(OI)(CI)M"
icacls D:\Datos\Contabilidad /inheritance:d
# Linux
ls -l /srv/contabilidad ; getfacl /srv/contabilidad
sudo chown -R root:contabilidad /srv/contabilidad && sudo chmod 2770 /srv/contabilidad
sudo setfacl -m g:direccion:rx /srv/contabilidad
Confidencialidad y disponibilidad en el puesto final
- Cifrado de disco completo: BitLocker (Windows), FileVault (macOS), LUKS (Linux). Imprescindible en portátiles.
- Cifrado de ficheros o contenedores: EFS, VeraCrypt, 7-Zip con AES-256.
- Bloqueo de soportes extraíbles por directiva.
- Guardar los datos en el servidor o en la nube corporativa, no en el disco local, para que estén incluidos en las copias.
- Historial de archivos o versiones anteriores para recuperar borrados.
- Pantallas con filtro de privacidad y política de mesa limpia.
15Bastionado del Puesto y del Servidor
Bastionar (hardening) es reducir la superficie de ataque de un sistema: quitar lo que no se usa, cerrar lo que no hace falta abierto y configurar lo demás de forma segura. Se parte de guías reconocidas y no de la intuición.
| Guía | Organismo | Uso |
|---|---|---|
| CIS Benchmarks | Center for Internet Security | Configuraciones recomendadas por producto (Windows 11, Windows Server, Ubuntu, navegadores) en dos niveles |
| Guías CCN-STIC (series 500 y 600) | Centro Criptológico Nacional | Configuración segura de sistemas para el ENS |
| Security Baselines de Microsoft | Microsoft | Plantillas de GPO listas para importar (Security Compliance Toolkit) |
| Ámbito | Medidas típicas |
|---|---|
| Cuentas | Desactivar Invitado, renombrar o desactivar el administrador integrado, LAPS, sin usuarios administradores |
| Servicios y protocolos | Desactivar los que no se usan; quitar SMBv1, LLMNR y NetBIOS sobre TCP/IP si no hacen falta; exigir firma SMB |
| Red | Cortafuegos activo en todos los perfiles; solo los puertos necesarios; escritorio remoto solo desde la red de administración |
| Sistema | Arranque seguro (Secure Boot), TPM, BitLocker, protección LSA, Credential Guard, reglas ASR |
| Aplicaciones | Macros de Office de Internet bloqueadas, control de aplicaciones (AppLocker o WDAC), navegador actualizado |
| Linux | SSH sin root y con claves, sin servicios innecesarios, actualizaciones automáticas de seguridad, permisos correctos en /etc, AppArmor o SELinux activo |
| Registro | Auditoría configurada y registros enviados al servidor central (UD3) |
REM Windows: algunas comprobaciones rápidas
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
Get-NetFirewallProfile | Select Name,Enabled
Get-BitLockerVolume | Select MountPoint,ProtectionStatus
Confirm-SecureBootUEFI
# Linux: SSH y servicios
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
systemctl list-unit-files --state=enabled --type=service
sudo ss -tulpn # qué está escuchando
Medir el cumplimientoHerramientas como el módulo SCA de Wazuh, CIS-CAT, Lynis (Linux) o el Security Compliance Toolkit comparan un equipo con la guía y dan un porcentaje de cumplimiento. Así el bastionado se puede auditar y repetir.
16Seguridad en el Puesto de Usuario: Tipología de Software Malicioso
Virus
Se replica infectando- Se adjunta a ficheros o programas
- Necesita que el usuario lo ejecute
Gusano
Se propaga solo- Aprovecha vulnerabilidades de red
- Se extiende sin intervención (WannaCry, 2017)
Troyano
Se disfraza- Parece un programa legítimo
- Abre una puerta trasera o descarga más malware
Ransomware
Secuestra datos- Cifra ficheros y pide rescate
- Hoy además roba los datos (doble extorsión)
Spyware y keylogger
Espía- Roba contraseñas y datos
- Registra pulsaciones o capturas de pantalla
Rootkit
Se oculta- Se esconde en el sistema o el firmware
- Muy difícil de detectar y eliminar
Botnet
Red de zombis- Equipos controlados a distancia
- Envían spam o hacen ataques de denegación de servicio
Adware, criptominero y PUP
Molesto o abusivo- Publicidad, uso de CPU para minar
- Programas potencialmente no deseados
Vías de entrada más habituales
- Correo electrónico: adjuntos y enlaces de phishing (la vía principal).
- Descargas de software pirata o de fuentes no oficiales.
- Vulnerabilidades sin parchear en servicios expuestos (VPN, escritorio remoto, servidores web).
- Credenciales robadas o débiles.
- Memorias USB.
- Anuncios y webs comprometidas (malvertising, descargas no solicitadas).
- Proveedores con acceso a nuestros sistemas (cadena de suministro).
17Ingeniería Social y Phishing
La ingeniería social ataca a las personas en lugar de a las máquinas: engaña para conseguir que alguien entregue sus credenciales, abra un adjunto o haga un pago. Es la puerta de entrada de la mayoría de los incidentes.
| Técnica | Descripción |
|---|---|
| Phishing | Correo masivo que suplanta a un banco, a Correos o a un servicio en la nube |
| Spear phishing | Correo dirigido a una persona concreta con datos reales de su trabajo |
| Fraude del CEO / BEC | Supuesto directivo o proveedor pide una transferencia urgente o cambiar la cuenta bancaria de cobro |
| Smishing y vishing | Por SMS o por teléfono, a menudo suplantando al soporte técnico («soy de informática, dame el código que te ha llegado») |
| Fatiga de MFA | Bombardeo de notificaciones de aprobación hasta que la víctima acepta una |
| Códigos QR (quishing) | Enlace malicioso escondido en un QR para saltarse los filtros de correo |
| Pretexting y tailgating | Historia inventada para obtener información; colarse detrás de alguien por una puerta con acceso controlado |
Señales de alerta
- Urgencia o amenaza («su cuenta se cerrará hoy»).
- Remitente que no coincide con el dominio real (micr0soft-soporte.com) o respuesta a otra dirección.
- Enlaces cuyo destino real (pasando el ratón por encima) no es el esperado.
- Adjuntos inesperados: .zip, .iso, .html, documentos que piden «habilitar contenido».
- Peticiones fuera de procedimiento: cambiar datos bancarios, comprar tarjetas regalo, dar códigos MFA.
- Si el usuario sospecha: no hacer clic, no responder y reportarlo con el botón de notificación o reenviándolo al CSU.
- Si ya hizo clic o introdujo credenciales: avisar de inmediato; el CSU cambia la contraseña, revoca las sesiones abiertas, revisa reglas de reenvío creadas en el buzón y busca el mismo correo en otros buzones para eliminarlo.
- Medidas técnicas: MFA resistente al phishing, SPF, DKIM y DMARC en el dominio propio, etiquetado de correos externos, filtrado de enlaces y adjuntos.
- Medidas humanas: formación periódica y simulaciones de phishing sin culpabilizar a quien cae.
18Software de Protección, Recuperación y Desinfección
| Herramienta | Función |
|---|---|
| Antivirus / antimalware | Detección por firmas, heurística y comportamiento; Microsoft Defender viene integrado en Windows |
| EDR / XDR | Detección y respuesta en el puesto: registra la actividad, detecta comportamientos sospechosos y permite aislar el equipo y revertir cambios |
| Antispyware | Hoy integrado en el antimalware |
| Cortafuegos personal (firewall) | Filtra el tráfico entrante y saliente del equipo (Firewall de Windows Defender, ufw o nftables) |
| Filtros antispam y antiphishing | En la pasarela de correo o en el servicio en la nube: reputación, SPF, DKIM, DMARC, análisis de adjuntos en entorno aislado (sandbox) |
| Filtrado web y DNS | Bloquea dominios maliciosos o categorías |
| Control de aplicaciones | Solo se ejecuta lo autorizado (AppLocker, WDAC) |
| Gestión de parches | Elimina las vulnerabilidades que aprovecha el malware |
Técnicas de recuperación y desinfección
- 1. Aislar: desconectar el equipo de la red (cable y Wi-Fi) o aislarlo desde la consola del EDR, sin apagarlo si se va a hacer análisis forense.
- 2. Avisar: al responsable de seguridad y abrir el incidente; si puede haber datos personales afectados, valorar la notificación a la AEPD.
- 3. Identificar: qué malware es (nombre de la detección, VirusTotal con el hash, sin subir documentos confidenciales) y su alcance (otros equipos con los mismos indicadores).
- 4. Desinfectar: análisis completo y sin conexión (Microsoft Defender Offline, discos de rescate de los fabricantes); eliminar la persistencia (tareas programadas, servicios, claves Run).
- 5. Recuperar: si hay dudas sobre la limpieza, reinstalar el sistema desde una imagen limpia y restaurar los datos desde una copia anterior a la infección.
- 6. Cambiar credenciales: de los usuarios que usaron el equipo.
- 7. Lecciones aprendidas: cómo entró y qué medida lo habría evitado.
REM Microsoft Defender desde PowerShell
Get-MpComputerStatus | Select AMServiceEnabled,AntivirusSignatureLastUpdated,RealTimeProtectionEnabled
Update-MpSignature
Start-MpScan -ScanType FullScan
Get-MpThreatDetection
Start-MpWDOScan :: análisis sin conexión (reinicia el equipo)
RansomwareNo pagues: no garantiza recuperar los datos y financia nuevos ataques. Consulta en nomoreransom.org si existe un descifrador, denuncia, notifica y restaura desde copias. La mejor defensa es tener copias desconectadas o inmutables (UF1354).
Herramientas de gestión remota de incidencias
Las consolas centralizadas de antivirus y EDR (Microsoft Defender for Endpoint, Bitdefender GravityZone, ESET PROTECT, Sophos Central) permiten ver el estado de todos los equipos, lanzar análisis, poner ficheros en cuarentena, aislar un equipo y abrir una sesión remota de respuesta sin desplazarse.
19Glosario de la Parte I
- Tríada CIA
- Confidencialidad, integridad y disponibilidad.
- Activo / amenaza / vulnerabilidad
- Lo que tiene valor / lo que puede dañarlo / la debilidad que se aprovecha.
- Riesgo residual
- El que queda tras aplicar las medidas y que la dirección acepta.
- SGSI
- Sistema de gestión de seguridad de la información (ISO/IEC 27001).
- RGPD / LOPDGDD
- Reglamento europeo y ley orgánica española de protección de datos.
- Brecha de seguridad
- Incidente que afecta a datos personales; notificación a la AEPD en 72 h si hay riesgo.
- ENS
- Esquema Nacional de Seguridad, obligatorio en el sector público y sus proveedores.
- ACL
- Lista de control de acceso con los permisos de un objeto.
- RBAC
- Control de acceso basado en roles.
- MFA
- Autenticación con dos o más factores de tipos distintos.
- SSO
- Inicio de sesión único para varias aplicaciones.
- LDAP
- Protocolo estándar de acceso a servicios de directorio.
- GPO
- Directiva de grupo de Active Directory.
- LAPS
- Gestión de contraseñas únicas de administrador local por equipo.
- Bastionado
- Reducción de la superficie de ataque de un sistema.
- EDR
- Detección y respuesta en el equipo final.
- Phishing
- Engaño por correo para robar credenciales o instalar malware.
20Autoevaluación de la Parte I
Un empleado copia la base de clientes a un USB personal. ¿Qué propiedades de la seguridad se ven afectadas?
Sobre todo la confidencialidad. Además es una posible brecha de datos personales que hay que comunicar al responsable para valorar su notificación a la AEPD.
¿Qué diferencia hay entre amenaza y vulnerabilidad? Pon un ejemplo.
La amenaza es lo que puede causar daño (un ransomware); la vulnerabilidad es la debilidad que aprovecha (copias de seguridad conectadas a la red y sin protección).
¿Por qué un usuario normal no debe ser administrador de su equipo?
Porque cualquier malware que ejecute tendrá privilegios para instalarse, desactivar protecciones y moverse por la red; además podría instalar software sin licencia.
¿Qué modelo de grupos se recomienda en Active Directory para asignar permisos a carpetas?
AGDLP: cuentas en grupos globales por función, estos en grupos de dominio local por recurso, y los permisos a los grupos de dominio local.
¿Qué factor de autenticación resiste mejor al phishing?
Las llaves FIDO2 o passkeys, porque comprueban criptográficamente el dominio real del sitio.
Permiso de recurso compartido: Lectura. Permiso NTFS: Modificar. ¿Qué puede hacer el usuario al acceder por la red?
Solo leer: por la red se aplica el más restrictivo de los dos.
¿Qué indica el permiso 2770 en una carpeta de Linux?
Propietario y grupo con lectura, escritura y acceso; otros sin nada; y el bit setgid, que hace que lo que se cree dentro herede el grupo de la carpeta.
Un usuario introdujo su contraseña en una página falsa. ¿Qué hace el CSU?
Cambiar la contraseña, revocar sesiones activas, revisar MFA y reglas de reenvío del buzón, buscar el correo en otros buzones y registrar el incidente.
¿Qué es LAPS y qué ataque dificulta?
La gestión de una contraseña de administrador local única y rotatoria en cada equipo; impide que, con la contraseña de un equipo, el atacante entre en todos los demás (movimiento lateral).