Seguridad y protección en redes de comunicaciones. Seguridad perimetral. Acceso remoto seguro a redes. Redes privadas virtuales (VPN). Seguridad en el puesto del usuario.

Índice

1. Por qué este tema se estudia con la consola abierta
2. Principios de la seguridad en red
3. El marco normativo aplicable
4. Amenazas sobre la red
5. Denegación de servicio
6. Seguridad perimetral: cortafuegos y arquitecturas
7. La DMZ y la segmentación
8. Detección y prevención de intrusiones
9. Señuelos, correlación y vigilancia
10. Acceso remoto seguro
11. Redes privadas virtuales
12. Seguridad en redes inalámbricas
13. Seguridad en el puesto del usuario
14. Cortafuegos en la práctica: firewalld y netsh
15. Las herramientas del CCN-CERT
16. Vulnerabilidades: CVE, CVSS y bases de datos
17. Endurecimiento de la infraestructura de red
18. Registro, auditoría y sincronización
19. Gestión y notificación de incidentes
20. Seguridad de red en la nube y continuidad
21. Protección del correo y de la navegación
22. Identidades y credenciales de acceso a la red
23. Redes industriales, cámaras y dispositivos no gestionados
24. Cuadros para memorizar
25. Los errores que más caen
26. Lo que ya ha preguntado el tribunal
27. Autoevaluación

1. Por qué este tema se estudia con la consola abierta

Este tema aporta 51 preguntas del corpus oficial, y su reparto por convocatorias es de los más estables de todo el temario: entre cinco y ocho preguntas en cada examen, sin altibajos. No es el tema de más volumen, pero sí uno de los más predecibles, y eso lo vuelve muy rentable.

Su forma tiene tres rasgos medidos sobre el corpus:

• Comandos de cortafuegos, y sobre todo de Windows. Seis preguntas del corpus piden la orden exacta: activar el cortafuegos del perfil actual, activarlo en todos los perfiles, consultar el estado del perfil activo, añadir una regla entrante para un puerto, listar los servicios de una zona en Linux o escribir una regla enriquecida persistente. Las cuatro opciones son siempre órdenes que existen con un verbo o un ámbito cambiado.
• Siglas de producto y de categoría. Qué es un señuelo, qué herramienta es un detector de intrusiones basado en equipo, qué tipo de prevención analiza el comportamiento de la red, qué base de datos recoge vulnerabilidades, qué herramienta del CCN analiza código dañino. Se responde reconociendo, no razonando.
• Afirmaciones en negativo sobre VPN y Wi-Fi. Qué protocolo NO sirve para cifrar una VPN, qué protocolo NO se usa en una VPN de nivel de enlace, qué afirmación sobre redes inalámbricas es incorrecta, qué recomendación de acceso remoto NO lo es. En tres de esas cuatro, el distractor correcto es una sigla inventada que suena bien.

Y una advertencia sobre el solapamiento: este tema comparte frontera con el de seguridad de los sistemas de información —donde viven el ENS, la criptografía y el CPD— y con el de Internet, donde están el cortafuegos de aplicación web y TLS. Aquí se estudia la red: el perímetro, el tránsito y el puesto que se conecta desde fuera.

2. Principios de la seguridad en red

Antes del catálogo de tecnologías conviene fijar los principios, porque son los que permiten descartar opciones cuando la pregunta no da datos concretos.

• Defensa en profundidad: varias capas de control independientes, de modo que el fallo de una no deje el sistema expuesto. Un cortafuegos perimetral no exime de endurecer el servidor.
• Mínimo privilegio: cada usuario, servicio y equipo recibe los permisos estrictamente necesarios, y nada más. De aquí sale la respuesta a la pregunta de acceso remoto del apartado 10.
• Segmentación: dividir la red para que un compromiso no se propague lateralmente. Su versión fina es la microsegmentación, hasta el nivel de carga de trabajo.
• Denegación por defecto: lo que no está expresamente permitido, se bloquea. Es la política de partida de todo cortafuegos bien configurado.
• Confianza cero: no se concede confianza por estar dentro de la red. Cada acceso se autentica, se autoriza y se verifica, con independencia de su origen.
• Vigilancia continua: sin registro y sin correlación no hay detección; un control que no se supervisa es una falsa sensación de seguridad.
• Simplicidad y trazabilidad: una regla que nadie entiende acaba en un permiso amplio. Toda excepción debe estar documentada, justificada y con fecha de revisión.

Sobre esos principios se articulan los tres objetivos clásicos —confidencialidad, integridad y disponibilidad—, a los que el Esquema Nacional de Seguridad añade la autenticidad y la trazabilidad, que son las cinco dimensiones con las que se valora un sistema.

3. El marco normativo aplicable

El Esquema Nacional de Seguridad

El Real Decreto 311/2022, de 3 de mayo, regula el Esquema Nacional de Seguridad y es la norma de cabecera para cualquier sistema del sector público. De su anexo II interesan aquí, en particular, las medidas de protección de las comunicaciones: perímetro seguro, protección de la confidencialidad y de la autenticidad e integridad, segregación de redes y protección frente a la denegación de servicio. La declaración de conformidad y la auditoría bienal en categoría media y alta completan el marco.

La ciberseguridad de los servicios esenciales, y el dato que hay que tener al día

El resto del marco

• Ley 8/2011, de protección de las infraestructuras críticas, y su reglamento, con el catálogo de operadores críticos y los planes de seguridad.
• Reglamento (UE) 2016/679 y Ley Orgánica 3/2018: la seguridad del tratamiento del artículo 32 y la notificación de brechas en 72 horas.
• ISO/IEC 27001 y 27002: sistema de gestión de la seguridad de la información y catálogo de controles; la 27005 para el análisis de riesgos.
• Guías CCN-STIC: la serie 400 de guías generales, la 500 para entornos Windows, la 600 para otros entornos y productos, y la 800 para el Esquema Nacional de Seguridad. Son el material de referencia que cita el tribunal cuando pregunta «según las recomendaciones del CCN».

4. Amenazas sobre la red

Conviene tener el catálogo ordenado por fase del ataque, porque así se responde también a las preguntas de detección.

Reconocimiento

• Escaneo de puertos y de servicios: descubre qué hay expuesto y con qué versión. Se detecta por el patrón de conexiones y se limita con filtrado y con limitación de tasa.
• Enumeración: consultas al servicio de nombres, a directorios o a repositorios públicos para levantar el mapa de la organización.

Escucha y suplantación

• Captura de tráfico: leer lo que pasa por el segmento. En una red conmutada exige colocarse en medio o duplicar el puerto, y su defensa real es el cifrado, no la topología.
• Suplantación de dirección IP: falsificar el origen de los paquetes. Se mitiga con filtrado de ruta inversa y con filtrado en el borde.
• Envenenamiento ARP: contestar peticiones de resolución ajenas para colocarse en medio de dos equipos del mismo segmento. Se mitiga con inspección de ese protocolo en el conmutador y con entradas estáticas en los casos críticos.
• Suplantación y envenenamiento de la caché de nombres: dirigir a la víctima a un servidor falso. La defensa es la firma de las respuestas y el transporte cifrado de las consultas.
• Hombre en medio: el resultado de los anteriores. Con TLS bien validado, el atacante puede ver volumen y destino, pero no contenido.
• Secuestro de sesión: robar el identificador de sesión para continuar una conversación autenticada. Se ataja con cookies inaccesibles al script, marca de sesión renovada al autenticarse y caducidad corta.

Acceso y persistencia

• Fuerza bruta y relleno de credenciales: contra servicios expuestos, en especial administración remota. Defensa: segundo factor, bloqueo progresivo, claves en lugar de contraseñas y no publicar el servicio.
• Explotación de vulnerabilidades: de servicios sin parchear o mal configurados. Defensa: gestión de parches y de configuración, con inventario al día.
• Código dañino: desde el correo o la web hacia el puesto, y de ahí a la red. El rescate de datos —cifrado del equipo y extorsión— es hoy el incidente más frecuente y más caro, y su vector de entrada habitual es el puesto del usuario o un acceso remoto mal protegido.
• Amenaza persistente avanzada: intrusión dirigida, sigilosa y prolongada, con movimiento lateral y exfiltración. Es el escenario para el que están pensadas las herramientas del apartado 15.

5. Denegación de servicio

La denegación de servicio persigue la disponibilidad, y se clasifica por la capa a la que ataca. Esa clasificación es la que decide la defensa, y por eso se pregunta.

Tipo	Cómo tumba el servicio	Ejemplos
Volumétrico	Agota el ancho de banda del acceso	Inundación de datagramas, amplificación por reflexión
De protocolo	Agota tablas y estructuras de estado	Inundación de sincronización, fragmentación maliciosa
De aplicación	Agota recursos de cómputo con pocas peticiones	Peticiones costosas, conexiones lentas mantenidas abiertas

La variante distribuida reparte el ataque entre miles de equipos comprometidos, lo que hace inútil bloquear direcciones una a una. Y la amplificación es el truco que multiplica el daño: el atacante envía consultas pequeñas con origen falsificado a servicios que responden con mucho más volumen —resolución de nombres, sincronización horaria o memorias caché mal expuestas— y la respuesta llega a la víctima. De ahí dos medidas que caen: no exponer resolutores abiertos y filtrar el origen falsificado en el borde.

Las defensas, de menor a mayor: limitación de tasa y control de conexiones en el propio servicio; galletas de sincronización en el sistema operativo; depuración del tráfico en el operador o en un servicio especializado, que es la única que sirve frente a un ataque volumétrico, porque el enlace se satura antes de llegar al cortafuegos; y red de distribución de contenido delante de lo publicado. En el nivel de aplicación, el control de peticiones por periodo, que responde con el código de estado previsto para el exceso.

6. Seguridad perimetral: cortafuegos y arquitecturas

El cortafuegos es el elemento que separa dos redes de distinta confianza y aplica una política de control de tráfico. Sus generaciones, que se preguntan por lo que cada una es capaz de ver:

Tipo	Qué examina	Límite
Filtrado de paquetes sin estado	Direcciones, protocolo y puertos de cada paquete por separado	No sabe si el paquete pertenece a una conexión establecida
Inspección de estado	Lo anterior más la tabla de conexiones	No entiende el contenido de aplicación
Pasarela de aplicación o proxy	El protocolo de aplicación completo, actuando de intermediario	Un proxy por protocolo, y más carga
Nueva generación	Identifica aplicaciones y usuarios, inspecciona contenido y consulta reputación	Requiere descifrar TLS para ver dentro
Gestión unificada de amenazas	Agrupa cortafuegos, antivirus, filtrado web y detección en un equipo	Punto único de fallo y de cuello de botella
Cortafuegos de aplicación web	Peticiones web: direcciones, parámetros y cuerpo	Solo protege lo publicado por web

Dos reglas de configuración que el tribunal da por sabidas: la política por defecto es denegar, y el orden de las reglas importa porque se evalúan en secuencia hasta la primera coincidencia. Y una advertencia conceptual que cae en forma de distractor: la traducción de direcciones no es una medida de seguridad; oculta el direccionamiento interno, pero no filtra nada por sí misma.

7. La DMZ y la segmentación

La zona desmilitarizada es la subred donde se colocan los sistemas que deben ofrecer servicio al exterior. Su razón de ser es la que dio por buena el tribunal: aislar esos servidores mediante cortafuegos que segmenten el tráfico, de modo que una intrusión en ellos no comprometa directamente la red interna.

Las dos arquitecturas clásicas

• Cortafuegos de tres patas: un solo equipo con tres interfaces —exterior, zona desmilitarizada e interior—. Es más barato y más simple, pero concentra toda la política en un dispositivo.
• Doble cortafuegos: la zona queda entre dos equipos, preferiblemente de fabricantes distintos, para que una misma vulnerabilidad no abra los dos. Es la arquitectura recomendada en sistemas de categoría alta.

La regla que ordena el tráfico es la dirección de las conexiones: de Internet a la zona desmilitarizada, solo los puertos publicados; de la zona a la red interna, lo mínimo imprescindible y a ser posible iniciado desde dentro; y de la red interna a la zona, lo necesario para administrar. Un servidor publicado que puede abrir conexiones hacia cualquier equipo interno convierte la zona en un trampolín.

Segmentación y bastión

Más allá del perímetro, la red se divide por funciones: usuarios, servidores de aplicaciones, bases de datos, administración, invitados y dispositivos industriales o de vigilancia. Cada frontera se controla, y no se permite que el segmento de invitados alcance el de servidores. La microsegmentación lleva esto al extremo: la política acompaña a la carga de trabajo y no al cable.

Para administrar se usa un equipo bastión o de salto: el único que puede abrir sesiones administrativas contra los servidores, endurecido, registrado y con segundo factor. Así el compromiso de un puesto no da acceso administrativo, y queda traza de quién entró y cuándo.

Un caso concreto que ha preguntado el tribunal, y que ilustra el papel de los equipos de frontera: si el circuito cerrado de televisión que vigila el centro de proceso de datos usa red coaxial y hay que integrarlo con la red local Ethernet para monitorizarlo, el dispositivo que lo permite es una pasarela, porque traduce entre dos tecnologías distintas. Un conmutador o un repetidor no traducen nada, y esa integración conviene hacerla en un segmento propio y aislado, porque las cámaras son de los equipos peor actualizados de cualquier organización.

8. Detección y prevención de intrusiones

El cortafuegos decide si un tráfico pasa; el detector decide si un tráfico es un ataque. La distinción entre las dos familias se pregunta por su ubicación y por su capacidad de actuar:

Sistema	Dónde vive	Qué hace
NIDS	En la red, escuchando un segmento	Detecta y avisa
HIDS	En el equipo final	Vigila ficheros, registros y procesos del sistema
NIPS	En la red, en línea con el tráfico	Detecta y bloquea
HIPS	En el equipo final	Bloquea comportamientos en el propio sistema
WIPS	En la red inalámbrica	Detecta puntos de acceso no autorizados y gemelos malignos

Por método de detección hay tres, y de aquí sale una respuesta literal:

• Por firmas: compara con patrones conocidos. Muy preciso y ciego ante lo nuevo.
• Por anomalías: aprende el comportamiento normal y avisa de lo que se desvía. Detecta lo desconocido a cambio de falsos positivos.
• Análisis del comportamiento de la red, conocido por sus siglas inglesas NBA: examina el tráfico inusual para detectar denegaciones de servicio, propagación de código dañino y exfiltración. Es la categoría que el tribunal pidió cuando describió un sistema que «analice el comportamiento de la red y examine el tráfico inusual».

Los productos que conviene reconocer: Snort y Suricata como detectores de red por firmas, Zeek como analizador de tráfico orientado a eventos, y OSSEC como detector basado en equipo, que fue respuesta literal. En el puesto, la evolución del antivirus es la detección y respuesta en el punto final, y su versión extendida a red y nube, con capacidad de aislar el equipo y deshacer cambios.

9. Señuelos, correlación y vigilancia

Señuelos

Un señuelo —en inglés honeypot— es un sistema creado para ser atacado: no presta servicio real, así que cualquier interacción con él es sospechosa por definición. Su objetivo es el que describió el tribunal: atraer al atacante para aprender sus técnicas y poder prevenirlas o defenderse en el futuro. Tiene dos sabores —de baja interacción, que solo simula servicios, y de alta interacción, que ofrece un sistema real y por tanto exige aislamiento estricto— y su conjunto en red se llama honeynet. Variante moderna: los testigos trampa, ficheros o credenciales falsas cuyo uso delata al intruso.

Correlación y centro de operaciones

Un SIEM recoge registros de todas las fuentes, los normaliza y correlaciona eventos para convertir miles de líneas en unas pocas alertas con sentido. Sobre él trabaja un centro de operaciones de seguridad, con su escalado de niveles, y lo que automatiza respuestas es un SOAR. La cadena completa es: registro, correlación, alerta, triaje, contención y lecciones aprendidas.

La vigilancia que ofrece el CCN-CERT

Para los organismos públicos existe el sistema de alerta temprana. En su vertiente de Internet, la sonda SAT INET vigila el tráfico de la conexión del organismo, y su arquitectura responde a un requisito de seguridad que el tribunal preguntó: las comunicaciones de la sonda con el sistema central se hacen por un túnel cifrado iniciado desde la sonda hacia el sistema central, nunca al revés, para no obligar al organismo a publicar ningún servicio entrante. La vertiente equivalente para la red interadministrativa vigila el tráfico de la red SARA.

10. Acceso remoto seguro

El acceso remoto es hoy la puerta principal, y por tanto el objetivo principal. El tema se pregunta desde dos ángulos: las tecnologías y las recomendaciones.

Administración remota

• SSH, en el puerto 22, es el estándar en sistemas de tipo Unix, y comparte puerto con la copia segura y con la transferencia segura de ficheros. Su endurecimiento básico: autenticación por pareja de claves en lugar de contraseña, prohibir la entrada directa del administrador, limitar los usuarios permitidos, segundo factor y exposición solo a través del equipo de salto.
• Escritorio remoto, en el 3389, es el protagonista de buena parte de los incidentes de rescate de datos cuando se publica directamente en Internet. Nunca se expone: se alcanza por la red privada virtual o por una pasarela con segundo factor.
• Telnet, en el 23, va en claro y no debe usarse.

Las recomendaciones que se preguntan

El resto de la lista, que conviene poder recitar: acceso solo desde equipo gestionado y con cifrado de disco; segundo factor obligatorio; canal cifrado con versiones vigentes; túnel completo en lugar de túnel partido cuando se manejen datos sensibles, para que todo el tráfico pase por los controles corporativos; segmentación de lo que alcanza el usuario remoto; registro y revisión de accesos; y revocación inmediata al cesar la necesidad.

La evolución de este modelo es el acceso a la red de confianza cero: en lugar de meter al usuario en la red, se le publica solo la aplicación concreta que necesita, tras verificar identidad, estado del dispositivo y contexto en cada sesión. Reduce el problema clásico de la red privada virtual, que es que quien entra queda dentro.

El segundo factor

Enviar un código al móvil del trabajador, además de la contraseña, es autenticación de doble factor, y así lo preguntó el tribunal dos veces con el mismo enunciado. Los tres tipos de factor son algo que se sabe, algo que se tiene y algo que se es; combinar dos contraseñas no es doble factor, porque las dos son del mismo tipo. Y conviene saber la jerarquía de calidad: el mensaje de texto es el factor más débil de los aceptables —es interceptable y vulnerable al duplicado de tarjeta—, por delante están la aplicación de códigos temporales y la notificación validada, y el más robusto es la llave física con criptografía de clave pública, que además resiste el engaño de páginas falsas.

11. Redes privadas virtuales

Una red privada virtual crea un canal cifrado y autenticado sobre una red que no es de confianza. Se clasifica por dos criterios, y el tribunal pregunta por los dos.

Por su finalidad

• De acceso remoto: un usuario con su cliente se conecta a la red de la organización. Es el teletrabajo.
• De sede a sede: dos pasarelas unen dos redes de forma permanente, y los equipos no se enteran.
• Entre proveedores o servicios: túneles de interconexión con terceros, acotados a los sistemas concretos que se comparten.

Por la capa en la que trabajan

Capa	Protocolos	Notas que caen
Enlace (2)	PPTP, L2TP, L2F	El de punto a punto está definido en la RFC 2637 y se considera inseguro; el de capa dos, en la RFC 2661, no cifra por sí mismo y se combina con IPsec
Red (3)	IPsec, WireGuard	IPsec con AH e ESP y sus modos transporte y túnel; el intercambio de claves, con IKEv2
Transporte (4)	TLS	Es el más empleado en este nivel: atraviesa cortafuegos y traducción de direcciones por ir en el puerto 443

IPsec por dentro

• AH da autenticación del origen e integridad, pero no confidencialidad.
• ESP añade el cifrado, y es el que se usa en la práctica.
• Modo transporte: protege la carga útil y conserva la cabecera original; sirve para extremo a extremo.
• Modo túnel: encapsula el paquete completo en otro nuevo; es el de las uniones entre sedes.
• IKEv2 negocia el material criptográfico y establece la asociación de seguridad; admite reanudación rápida y movilidad, lo que lo hace apto para clientes móviles.

WireGuard

Según las recomendaciones del CCN-CERT sobre seguridad en redes privadas virtuales, es el túnel seguro que opera en la capa de red y se implementa como una interfaz virtual de red en el núcleo de Linux —esa es la definición que dio por correcta el tribunal—. Sus rasgos: muy poco código, criptografía fija sin negociación de suites, claves públicas por par y establecimiento rápido. A cambio, su modelo de direccionamiento es más rígido y la gestión de usuarios hay que construirla alrededor.

12. Seguridad en redes inalámbricas

La red inalámbrica es un perímetro que se escapa por las paredes, así que su seguridad es cifrado y control de acceso, no ocultación. Las generaciones, con su estado verificado:

Mecanismo	Año	Estado
WEP	1997	Roto: clave estática y vector de inicialización corto y reutilizado
WPA con TKIP	2003	Superado; fue un parche de transición sobre el equipamiento existente
WPA2 (802.11i)	2004	Vigente en equipos antiguos, con AES en modo CCMP; ya no es la generación más moderna
WPA3	2018	La generación vigente: obligatoria en toda certificación nueva desde julio de 2020 y la única admitida en la banda de 6 GHz

Una afirmación que el tribunal usó como incorrecta: «la seguridad del protocolo WEP es superior a la del protocolo WPA2». Es falsa de plano, y conviene tener claro el orden completo de menor a mayor robustez: WEP, WPA, WPA2 y WPA3.

Personal y empresarial

• Personal: clave compartida. En WPA3 el mecanismo es la autenticación simultánea de iguales, que sustituye la clave precompartida clásica y resiste el ataque de diccionario contra la captura del acuerdo.
• Empresarial: cada usuario con credenciales propias, mediante 802.1X. La pregunta literal del tribunal: para acceder a una red con WPA3 empresarial hace falta un servidor RADIUS o una solución equivalente que permita EAP-TLS. Los tres papeles son el cliente, el autenticador —el punto de acceso o el conmutador— y el servidor de autenticación.

El ataque KRACK, con precisión

El ataque de reinstalación de clave —conocido por sus siglas inglesas KRACK, publicado en 2017— explota el acuerdo en cuatro pasos de WPA2: manipulando la retransmisión de mensajes del acuerdo, obliga al cliente a reinstalar una clave que ya estaba en uso, con lo que se reinician los contadores de secuencia y los valores de un solo uso. El resultado es que la MISMA clave se emplea con valores de un solo uso ya utilizados, y esa reutilización permite descifrar, reinyectar o falsificar paquetes.

De ahí la afirmación que el tribunal marcó como incorrecta: decir que «se utiliza una clave de cifrado distinta con valores ya usados» invierte el mecanismo. Lo grave del ataque es justo lo contrario: no hay clave nueva, se repite la vieja. Se corrigió con parches en clientes y puntos de acceso, y WPA3 lo cierra por diseño.

El resto de los riesgos inalámbricos

• WPS: el mecanismo de configuración rápida por número de identificación es atacable por fuerza bruta y debe estar desactivado.
• Gemelo maligno y punto de acceso no autorizado: se detectan con vigilancia inalámbrica y se mitigan con autenticación mutua del servidor en EAP-TLS.
• Red de invitados: en red virtual propia, con aislamiento entre clientes y sin acceso a la red interna.
• Lo que no protege: ocultar el identificador de red y filtrar por dirección física. Ambas se sortean escuchando el tráfico, y dan una falsa sensación de control.

13. Seguridad en el puesto del usuario

El epígrafe cierra con el puesto, que es donde empieza la mayoría de los incidentes. Las medidas, en el orden en que se implantan:

• Inventario y gestión de configuración: no se protege lo que no se sabe que existe. Configuración endurecida según las guías del CCN para el sistema operativo correspondiente.
• Actualización: sistema, navegador y aplicaciones, con ventana de despliegue y control de excepciones.
• Protección frente a código dañino: antivirus con detección por comportamiento, o mejor, solución de detección y respuesta en el punto final con capacidad de aislar el equipo.
• Cifrado del disco: es la medida que convierte un portátil perdido en un problema administrativo y no en una brecha de datos. En Windows, BitLocker; en Linux, el cifrado de bloque del propio sistema; en equipos móviles, el cifrado del dispositivo.
• Mínimo privilegio local: el usuario no es administrador de su equipo, y las tareas que lo exijan se elevan de forma controlada.
• Control de aplicaciones: lista de lo permitido, que es más eficaz que la lista de lo prohibido.
• Dispositivos extraíbles: bloqueo o cifrado obligatorio, y análisis al conectar.
• Cortafuegos local activado con perfiles distintos para red corporativa y red pública.
• Bloqueo de sesión por inactividad y arranque seguro.
• Copias de seguridad de lo que viva en el puesto, con copia fuera de línea o inmutable frente al rescate de datos.
• Formación y simulaciones: el correo sigue siendo el vector principal, y la concienciación es una medida técnica más, no un adorno.

14. Cortafuegos en la práctica: firewalld y netsh

Esta es la sección que más preguntas literales aporta del tema. Conviene teclear cada orden una vez.

Linux con firewalld

Orden	Qué hace
firewall-cmd --zone=public --list-services	Comprueba qué servicios permite una zona: es la verificación de si HTTPS está autorizado
firewall-cmd --permanent --zone=public --add-rich-rule=...	Regla persistente y condicional. La forma completa lleva familia, dirección de origen, protocolo, puerto y acción: rule family ipv4 source address 172.19.50.0/27 port protocol tcp port 3306 accept
firewall-cmd --reload	Aplica lo permanente al tiempo de ejecución
firewall-cmd --get-active-zones	Qué zonas están activas y con qué interfaces

Las dos reglas de oro de esta herramienta: sin --permanent la regla se pierde al reiniciar, y con --permanent pero sin recargar no entra en vigor. Y cuando la condición incluye un origen concreto, no basta con abrir el puerto: hace falta la regla enriquecida, que es la única que admite dirección de procedencia junto al puerto y la acción. Por debajo, el motor actual es nftables, que sustituyó a la familia de herramientas anterior.

Windows con netsh advfirewall

Orden	Qué hace
netsh advfirewall show currentprofile	Muestra el estado del perfil activo
netsh advfirewall set currentprofile state on	Activa el cortafuegos del perfil actual
netsh advfirewall set allprofiles state on	Lo activa en todos los perfiles: dominio, privado y público
netsh advfirewall firewall add rule name="X" dir=in action=allow protocol=TCP localport=8443	Añade una regla entrante que permite un puerto
netsh advfirewall reset	Devuelve la configuración a los valores de fábrica

Los cuatro puntos donde el tribunal pone la trampa: el verbo (show consulta, set cambia, add crea), el ámbito (currentprofile frente a allprofiles), el sentido del tráfico (dir=in frente a dir=out) y el tipo de puerto (localport, el del equipo que recibe, frente a remoteport). En despliegues grandes esto no se hace máquina a máquina, sino por directiva de grupo, y con PowerShell existen las órdenes equivalentes de la familia de reglas del cortafuegos.

17. Endurecimiento de la infraestructura de red

Los apartados anteriores protegen el perímetro y el puesto. Queda lo de en medio: los conmutadores, los puntos de acceso y los enrutadores, que son equipos con sistema operativo y credenciales y que casi nadie endurece.

Control de acceso a la red

El 802.1X no es solo cosa del Wi-Fi: en red cableada hace lo mismo, dejando el puerto del conmutador cerrado hasta que el equipo se autentica. Sus tres papeles son el solicitante —el equipo—, el autenticador —el conmutador o el punto de acceso— y el servidor de autenticación, normalmente RADIUS. Con el método EAP-TLS la autenticación es por certificado a ambos lados, que es la forma robusta; los métodos basados en contraseña túnel adentro son más cómodos y algo más débiles.

Alrededor se construye el control de acceso a la red, que además de autenticar evalúa el estado del equipo —antivirus al día, parches, cifrado— y lo coloca en la red virtual que le corresponde, o en una de cuarentena si no cumple. Para lo que no puede autenticarse, como impresoras o cámaras, se usa la autenticación por dirección física con perfilado del dispositivo, sabiendo que es un control débil que solo se sostiene si esos equipos viven en su propio segmento.

Protecciones del conmutador

Protección	Ataque que ataja
Seguridad de puerto	Inundación de la tabla de direcciones físicas para forzar el reenvío por todos los puertos
Inspección de concesiones de dirección	Servidor de configuración dinámica falso que reparte una puerta de enlace propia
Inspección de resolución de direcciones	Envenenamiento de la caché de resolución para situarse en medio
Guardia de raíz y de bucles	Manipulación del árbol de expansión para atraer el tráfico o tumbar la red
Protección del plano de control	Saturación de la CPU del equipo con tráfico dirigido a él
Desactivar puertos no usados y la negociación de troncales	Salto de red virtual conectándose a una toma libre

Y tres reglas de gestión que valen para cualquier equipo de red: plano de administración separado —una red virtual de gestión a la que no llega el usuario—, acceso solo por protocolo cifrado con credenciales nominales y a ser posible contra un servidor central, y configuración versionada con copia fuera del equipo, porque recuperar un conmutador sin su configuración es rehacerlo a mano.

La red virtual nativa y otros detalles que se cuelan

Dos configuraciones por defecto que conviene cambiar: la red virtual nativa del troncal, que viaja sin etiqueta y permite saltar de una red a otra si coincide con la de los usuarios, y la red virtual de gestión número uno, que es la que todo el mundo conoce. Ninguna de las dos debe quedarse como viene de fábrica.

18. Registro, auditoría y sincronización

Sin registro no hay detección ni investigación posible, y el Esquema Nacional de Seguridad lo exige expresamente en su medida de registro de la actividad. Los puntos que se preguntan y los que importan en la práctica:

• Qué se registra: accesos concedidos y denegados, uso de privilegios, cambios de configuración, arranques y paradas de servicios, y el tráfico rechazado por el cortafuegos. Registrar todo el tráfico permitido suele ser inviable y poco útil; lo que rinde es el metadato del flujo.
• Dónde se guarda: en un servidor central al que los equipos envían sus registros, porque un atacante que compromete una máquina borra sus rastros locales. El protocolo clásico es el de registro remoto, en el puerto 514, y hoy se prefiere su variante cifrada.
• Integridad: el registro debe ser difícil de alterar. Medidas típicas: envío inmediato fuera del equipo, almacenamiento que solo permita añadir y firma o sellado de los ficheros.
• Retención: el plazo se fija en la política, y debe cuadrar con las obligaciones de auditoría y con la realidad de las investigaciones, donde un incidente se detecta semanas después de empezar.
• Sincronización horaria: sin relojes sincronizados con el protocolo de tiempo, correlacionar dos registros es imposible y su valor probatorio se desmorona. Es una medida de seguridad, aunque no lo parezca.
• Revisión: un registro que nadie mira no es un control. De ahí la correlación y las alertas del apartado 9.

Auditoría técnica y pruebas de intrusión

Conviene distinguir tres cosas que el tribunal puede confundir a propósito:

• Análisis de vulnerabilidades: automatizado, amplio y sin explotación. Contesta «qué agujeros hay».
• Prueba de intrusión: manual y con explotación controlada, con alcance y reglas de enfrentamiento pactadas. Contesta «hasta dónde se llega».
• Ejercicio de equipo rojo: simula un adversario real durante semanas, sin avisar al equipo de defensa, para medir la capacidad de detección y respuesta, no solo la superficie expuesta.

Las modalidades por conocimiento previo son de caja negra, gris y blanca; y para el sector público el marco de referencia son las guías de la serie 800 del Centro Criptológico Nacional, con su propia metodología de auditoría de conformidad con el Esquema Nacional de Seguridad.

Análisis forense de red

Cuando el incidente ya ha ocurrido, lo que permite reconstruirlo es el rastro que dejó en la red. Las tres fuentes, de la más ligera a la más costosa:

• Registros de los equipos de frontera: qué conexiones se permitieron y se denegaron, con su hora y su origen. Es lo primero que se mira y casi siempre lo único que hay.
• Registros de flujo: metadatos de cada conversación —origen, destino, puertos, bytes y duración— sin el contenido. Ocupan poco, se guardan meses y responden a la pregunta clave de un incidente: con quién ha hablado este equipo y cuánto ha sacado.
• Captura completa de paquetes: el contenido íntegro. Es la fuente más rica y la más cara de almacenar, así que se limita a los segmentos críticos y a ventanas cortas, con retención de horas o días.

Con eso se construye la línea temporal: primera conexión sospechosa, credencial utilizada, equipos alcanzados después, volumen enviado al exterior y momento de la contención. Dos cautelas: trabajar siempre sobre copia de las evidencias, dejando el original intacto y con su resumen criptográfico calculado, y anotar la hora con su zona, porque mezclar husos horarios es el error que arruina la mitad de las cronologías.

19. Gestión y notificación de incidentes

La gestión de incidentes tiene un ciclo que se pregunta por fases y una obligación jurídica de notificar que se pregunta por plazos.

El ciclo

1. Preparación: procedimientos, contactos, herramientas y copias probadas antes de que pase nada.
2. Detección y notificación: de la alerta al registro del incidente, con su clasificación.
3. Triaje y análisis: qué ha pasado, desde cuándo, qué alcance tiene y qué activos están implicados.
4. Contención: aislar el equipo o el segmento, cortar la comunicación con el exterior, revocar credenciales.
5. Erradicación y recuperación: eliminar la causa, reconstruir desde origen limpio, restaurar servicio y vigilar la reaparición.
6. Lecciones aprendidas: informe, cambios de configuración y actualización de los controles. Es la fase que más se salta y la que evita la repetición.

Dos advertencias operativas que valen doble en un examen práctico: apagar el equipo destruye evidencia volátil, así que la decisión de aislar o apagar se toma con criterio y se documenta; y la cadena de custodia de las evidencias se mantiene desde el primer minuto si el incidente puede acabar en un juzgado.

A quién y cuándo se notifica

Supuesto	Destinatario	Plazo
Incidente en un sistema del sector público	CCN-CERT, como equipo de referencia	Sin demora, según la clasificación de la guía correspondiente
Operador de servicios esenciales o proveedor digital	El equipo de respuesta competente, a través del canal del RD 43/2021	Según el impacto, con notificación inicial e informes de seguimiento y final
Brecha de datos personales	Autoridad de protección de datos, y a los afectados si hay alto riesgo	72 horas desde que se tiene constancia
Incidente en una infraestructura crítica	El centro nacional competente en la materia	Según el plan de protección específico

La clasificación del incidente combina peligrosidad —de la amenaza en sí— e impacto en el organismo, y de ese cruce sale el nivel, que va de bajo a crítico y determina tanto el plazo como quién debe enterarse. Y una nota que conviene tener presente: notificar no exime de contener; son dos trabajos en paralelo, no consecutivos.

20. Seguridad de red en la nube y continuidad

Responsabilidad compartida

En la nube la seguridad se reparte, y saber dónde está la línea evita la mitad de los errores: el proveedor responde de la seguridad de la infraestructura —centros, hipervisor, red física—, y el cliente, de la seguridad en la infraestructura: configuración, identidades, cifrado, redes virtuales y datos. Cuanto más alto es el nivel de servicio contratado, más se desplaza el reparto hacia el proveedor, pero los datos y los accesos siguen siendo del cliente en los tres modelos.

Las piezas de red que hay que configurar

• Red virtual privada con sus subredes públicas y privadas, y tabla de rutas propia.
• Grupos de seguridad y listas de control de acceso: el cortafuegos distribuido de la nube, con la misma regla de denegación por defecto.
• Pasarela de salida para que las subredes privadas alcancen Internet sin ser alcanzables.
• Puntos finales privados para consumir servicios del proveedor sin salir a Internet.
• Bastión gestionado para administrar sin publicar puertos de sesión remota.
• Interconexión con la sede: túnel de capa de red sobre Internet o enlace dedicado.
• Registro y detección gestionados: los servicios propios de trazas y de detección de amenazas, activados desde el primer día y enviados al sistema de correlación corporativo.

El error más frecuente aquí no es técnico sino de configuración: almacenamiento expuesto públicamente y credenciales de programación con permisos amplios y sin rotación. En el sector público se añade la exigencia de conformidad con el Esquema Nacional de Seguridad del servicio contratado y el control de la ubicación de los datos.

Continuidad del servicio

La disponibilidad es una de las cinco dimensiones, y el tema de red aporta sus piezas:

• Redundancia de equipos: cortafuegos en clúster activo-pasivo o activo-activo, con sincronización de la tabla de conexiones para que un relevo no corte las sesiones.
• Redundancia de caminos: dos accesos de operadores distintos, con encaminamiento dinámico o reparto por políticas.
• Redundancia de servicio: balanceadores con comprobaciones de estado, y despliegue en varias zonas.
• Copias de seguridad con la regla de las tres copias en dos soportes y una fuera de la instalación, con al menos una inmutable o fuera de línea, que es la única defensa real frente al cifrado extorsivo.
• Plan de continuidad y de recuperación, con sus dos objetivos medidos: el tiempo máximo de recuperación y el punto de recuperación, es decir, cuántos datos se acepta perder. Y la regla de oro: una copia que no se ha restaurado nunca no es una copia, es una esperanza.

21. Protección del correo y de la navegación

El puesto se compromete casi siempre por dos puertas: un mensaje y una página. Por eso el epígrafe de seguridad en el puesto del usuario se estudia mal si se reduce al antivirus.

La pasarela de correo

Delante del servidor de correo se coloca una pasarela que aplica, en este orden, cuatro capas de filtro:

• Reputación y comprobaciones de dominio: se rechaza lo que viene de servidores no autorizados por el dominio remitente, lo que no lleva firma válida o lo que incumple la política publicada. Son los tres mecanismos de autenticación del correo, que se apoyan en el sistema de nombres.
• Antivirus y análisis de adjuntos, incluido el bloqueo de tipos peligrosos y de ficheros comprimidos con contraseña, que son la forma habitual de colar un ejecutable.
• Entorno aislado de pruebas: el adjunto o el enlace se abren en una máquina desechable para ver qué hacen antes de entregarlos. Es lo que detecta lo que ninguna firma conoce.
• Reescritura de enlaces y aviso visible en los mensajes de origen externo, que es la medida más barata contra la suplantación de identidad interna.

Del lado del usuario, la defensa que funciona no es «no abrir adjuntos», sino poder equivocarse sin consecuencias: macros desactivadas por política, sin privilegios locales, aplicaciones permitidas por lista y copias de seguridad recuperables.

Navegación

• Filtrado web por categorías y por reputación, en el proxy o en el propio puesto, con registro de accesos conforme a la política de uso y la normativa de protección de datos.
• Filtrado de resolución de nombres: bloquear el dominio dañino antes de que el navegador abra la conexión. Es una de las medidas con mejor relación entre coste y eficacia, y la que corta buena parte de la comunicación del código dañino con su servidor de control.
• Inspección del tráfico cifrado: para ver dentro hay que terminar el cifrado en el proxy, lo que exige instalar una autoridad propia en los equipos y tiene implicaciones jurídicas y de privacidad que deben estar documentadas y comunicadas. Hay tráfico que se excluye por obligación, como el bancario o el sanitario.
• Aislamiento del navegador: ejecutar la sesión en un entorno remoto o contenido, de modo que lo que ocurra no toque el sistema del usuario.
• Extensiones y configuración: catálogo controlado por política, bloqueo de complementos obsoletos y navegador siempre actualizado, porque es el programa que más código ajeno ejecuta de todo el puesto.

22. Identidades y credenciales de acceso a la red

Casi todos los controles anteriores se apoyan en saber quién es cada uno. Esa es la pieza que el tribunal pregunta con siglas y que conviene tener ordenada por función.

Pieza	Función
Directorio	El almacén de identidades, grupos y políticas. Se consulta con el protocolo de acceso a directorios, en su variante cifrada por el puerto 636
Kerberos	Autenticación por tiques dentro del dominio, sin enviar la contraseña por la red. Depende de que los relojes estén sincronizados
RADIUS	Autenticación, autorización y contabilidad de accesos a la red: es el servidor que está detrás del 802.1X y de la red inalámbrica empresarial
TACACS+	Equivalente orientado a la administración de equipos de red, con separación de autenticación y autorización y cifrado de todo el cuerpo del mensaje
Federación	Delegación de la autenticación a un proveedor de identidad, con aserciones o con testigos de identidad
Bóveda de credenciales privilegiadas	Custodia, rotación y grabación del uso de las cuentas con privilegios; el administrador no conoce la contraseña que usa

Las reglas sobre credenciales que se preguntan

• Cuentas nominales: cada persona con su identidad. Las cuentas compartidas impiden atribuir una acción, que es justo lo que exige la trazabilidad.
• Separación de la cuenta administrativa: no se navega ni se lee correo con la cuenta con la que se administra, y la administración se hace desde el equipo de salto.
• Cuentas de servicio: sin interactividad, con permisos mínimos, contraseña larga y rotación automatizada, y documentadas con su responsable. Son el rincón donde se acumulan los privilegios olvidados.
• Contraseñas: la recomendación actual es longitud frente a complejidad, comprobación contra listas de credenciales filtradas y sin caducidad forzada periódica si hay segundo factor, porque la rotación obligatoria empeora la calidad de las contraseñas. En el servidor se guardan con funciones de derivación lentas y con sal.
• Revisión de permisos: recertificación periódica de quién tiene qué, y retirada inmediata al cambiar de puesto o cesar. El permiso que sobra es el que acaba usándose en un incidente.
• Segundo factor en todo acceso desde fuera, y a ser posible resistente a la suplantación de páginas, es decir, con llave física o con credenciales vinculadas al dominio.

El marco de referencia para medir todo esto en el sector público son las medidas de control de acceso del anexo II del Esquema Nacional de Seguridad: identificación, requisitos de acceso, segregación de funciones y tareas, gestión de derechos de acceso y mecanismos de autenticación, cuyo nivel de exigencia crece con la categoría del sistema.

23. Redes industriales, cámaras y dispositivos no gestionados

En cualquier organismo hay una parte de la red que no la administra el departamento de informática: cámaras de vigilancia, control de accesos, climatización del centro de proceso de datos, ascensores, sistemas de alimentación ininterrumpida y sensores varios. Son los equipos peor actualizados y los que más veces aparecen en los supuestos del examen.

Por qué son distintos

• Vida útil larguísima: un autómata o una cámara duran quince años, y su firmware se dejó de mantener hace diez.
• Disponibilidad por encima de todo: en un entorno industrial no se reinicia un equipo para aplicar un parche, así que la ventana de mantenimiento es escasa o inexistente. La prioridad de las dimensiones se invierte respecto a la informática de gestión: primero disponibilidad, después integridad y por último confidencialidad.
• Protocolos sin seguridad de origen: los protocolos de control industrial se diseñaron para redes aisladas y muchos no autentican ni cifran nada. Lo mismo ocurre con los protocolos de vídeo y con los de domótica.
• Credenciales de fábrica: usuarios y contraseñas por defecto, documentados en Internet, y en ocasiones imposibles de cambiar.

Lo que se hace con ellos

Como no se pueden endurecer, se aísla y se vigila:

• Segmento propio, en su red virtual, sin acceso a la red de usuarios ni a la de servidores, y con la política más restrictiva posible.
• Un único punto de paso hacia el resto, controlado por cortafuegos, y cuando hace falta traducir entre tecnologías distintas —el caso del circuito cerrado de televisión sobre cable coaxial que hay que integrar con la red local— se usa una pasarela, que es el dispositivo que convierte entre dos mundos que no se entienden.
• Sin acceso directo desde Internet: el mantenimiento del fabricante entra por acceso remoto controlado, temporal y supervisado, no por un puerto abierto permanentemente.
• Inventario y perfilado: identificar qué hay conectado y qué comportamiento es normal para cada tipo de equipo, porque una cámara que empieza a hablar con un servidor extranjero es una alerta evidente si se conoce su patrón.
• Vigilancia pasiva: en estos entornos no se escanea de forma agresiva, porque un escaneo puede tumbar un autómata; se escucha el tráfico. Para el ámbito industrial del sector público, el Centro Criptológico Nacional ofrece una herramienta específica de gestión de eventos en estos entornos.
• Cambio de credenciales de fábrica y desactivación de servicios innecesarios, que en muchos de estos equipos incluye interfaces web sin cifrar y protocolos de descubrimiento abiertos.

El modelo por niveles

La referencia clásica para ordenar una red industrial la divide en niveles, del proceso físico a la gestión empresarial, con una zona desmilitarizada industrial entre el mundo de control y el corporativo. Ahí se colocan los servidores que ambos lados necesitan —historiadores de datos, servidores de saltos, réplicas de lectura— de modo que el tráfico nunca cruce directamente de la oficina al proceso. La idea es la misma de la zona desmilitarizada del apartado 7, aplicada a un entorno donde una parada no es una molestia, sino un incidente de seguridad física.

Para el internet de las cosas de consumo la receta es la misma reducida a tres decisiones: red separada, sin acceso a lo corporativo y actualización automática cuando el fabricante la ofrezca. Y una regla de compra que ahorra disgustos: exigir en el pliego la capacidad de actualizar el equipo y de cambiar sus credenciales, porque lo que no se pide antes de comprar no se puede arreglar después.

15. Las herramientas del CCN-CERT

El CCN-CERT es la capacidad de respuesta a incidentes del Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia, y es el equipo de referencia para el sector público. Publica guías, presta servicios y ofrece un catálogo de herramientas cuyos nombres pregunta el tribunal tal cual:

Herramienta	Para qué sirve
MARIA	Análisis estático de código dañino con múltiples motores antivirus y antimalware, para plataformas Windows y Linux. Fue respuesta literal
CARMEN	Detección de compromiso por amenazas persistentes avanzadas a partir del tráfico de red
CLAUDIA	Agente en el equipo final, integrado con la anterior, para detectar código dañino complejo y movimiento lateral
microCLAUDIA	Centro de vacunación: despliega vacunas frente a código dañino conocido en los puestos
GLORIA	Gestión de incidentes y amenazas mediante correlación de eventos: es el sistema de gestión de información y eventos de seguridad de la casa
LUCIA	Gestión federada del ciclo de vida de los incidentes entre organismos
REYES	Intercambio de información de amenazas e indicadores de compromiso
ANA	Automatización del análisis y normalización de la información del sistema
PILAR	Análisis y gestión de riesgos según la metodología de la casa
INES	Informe del estado de la seguridad en el sector público: recogida de indicadores
CLARA	Auditoría del cumplimiento de la configuración endurecida en equipos Windows
ATENEA	Plataforma de retos y entrenamiento en ciberseguridad
VANESA	Emisiones y formación en línea
ELENA y ADA	Simulación de técnicas de ataque y análisis avanzado de muestras
MÓNICA y OLVIDO	Gestión de eventos en entornos industriales y borrado seguro de soportes

El truco para no perderse: los nombres son de persona y la pista está en la función, no en la sigla. Conviene memorizar al menos las seis que más caen —análisis de código dañino, detección de amenazas avanzadas en red y en puesto, correlación, gestión de incidentes y análisis de riesgos— porque son las que aparecen en los supuestos con el nombre puesto y la definición cambiada.

16. Vulnerabilidades: CVE, CVSS y bases de datos

La gestión de vulnerabilidades tiene un vocabulario propio que se pregunta por siglas:

• CVE: el identificador único y público de una vulnerabilidad concreta, con el formato del año y un número secuencial. No dice nada de su gravedad: solo la nombra.
• CVSS: el sistema de puntuación que valora la gravedad de 0 a 10, a partir de métricas de base —vector de ataque, complejidad, privilegios, interacción e impacto en las tres dimensiones—, más las temporales y las de entorno. Las franjas habituales son baja, media, alta y crítica.
• CWE: la clasificación del tipo de debilidad —desbordamiento, inyección, control de acceso roto—, que es lo que se corrige en el código.
• CPE: la nomenclatura normalizada de productos y versiones, que permite cruzar inventario con vulnerabilidades.
• NVD: la base de datos de vulnerabilidades del instituto de normalización estadounidense, que enriquece los identificadores públicos con puntuación, referencias y productos afectados. Fue respuesta literal a la pregunta de qué es una base de datos de vulnerabilidades, y su distractor típico es el catálogo de explotación conocida o un repositorio de exploits.
• KEV: el catálogo de vulnerabilidades explotadas activamente, que es la lista por la que conviene empezar a parchear cuando no se puede con todo.

El proceso, que es lo que de verdad importa: inventario, detección con escáner autenticado, priorización por gravedad y por exposición real, parcheo o mitigación temporal, y verificación. Una vulnerabilidad crítica en un servicio que no está publicado puede esperar más que una media en el portal de Internet: el contexto manda sobre la puntuación.

24. Cuadros para memorizar

Cada problema con su pieza

Necesidad	Pieza
Aislar los servidores publicados de la red interna	DMZ con cortafuegos que segmenten
Detectar intrusiones en el propio equipo	HIDS, por ejemplo OSSEC
Prevenir ataques analizando el comportamiento de la red	NBA
Aprender las técnicas del atacante	Señuelo o conjunto de señuelos
Filtrar tráfico web hacia los servidores publicados	WAF
Unir dos tecnologías de red distintas	Pasarela
Reforzar el teletrabajo además de la contraseña	Doble factor
Túnel de capa de red integrado en el núcleo de Linux	WireGuard
Red privada virtual de nivel de transporte	TLS
Correlacionar eventos de todas las fuentes	SIEM; en el catálogo del CCN, GLORIA
Analizar una muestra con varios motores	MARIA
Consultar la gravedad y los productos afectados de una vulnerabilidad	NVD, con su puntuación CVSS

Comandos de cortafuegos, uno por fila

Quiero…	Orden
Ver el estado del perfil activo en Windows	netsh advfirewall show currentprofile
Activarlo en el perfil actual	netsh advfirewall set currentprofile state on
Activarlo en todos los perfiles	netsh advfirewall set allprofiles state on
Abrir un puerto entrante	netsh advfirewall firewall add rule ... dir=in action=allow localport=N
Ver los servicios permitidos en una zona en Linux	firewall-cmd --zone=public --list-services
Permitir un puerto solo desde una subred, de forma persistente	firewall-cmd --permanent --zone=public --add-rich-rule=...

Las citas y cifras del tema

Dato	Valor
Esquema Nacional de Seguridad	RD 311/2022
Seguridad de las redes y sistemas de información, vigente en España	RDL 12/2018 y RD 43/2021; la NIS2 sigue sin transponer
Protocolo de túnel punto a punto	RFC 2637, y se considera inseguro
Protocolo de túnel de capa dos	RFC 2661, sin cifrado propio
Generación inalámbrica vigente	WPA3, obligatoria en certificación nueva desde julio de 2020
Acuerdo que explota el ataque de reinstalación de clave	El de cuatro pasos de WPA2
Puertos de administración remota	22 para sesión segura y copia; 3389 para escritorio remoto; 23 en claro y proscrito
Puertos seguros de correo	995, 465 y 993

25. Los errores que más caen

• Dar por transpuesta la NIS2. A día de hoy no lo está: lo aplicable es el Real Decreto-ley 12/2018 con su reglamento de 2021.
• Creer que la traducción de direcciones protege. Oculta el direccionamiento, no filtra tráfico.
• Confundir detector y preventor. El primero avisa; el segundo va en línea y bloquea. Y el basado en equipo vigila el sistema, no el segmento.
• Pensar que un señuelo defiende. No defiende: informa, y por eso cualquier interacción con él es una alerta.
• Invertir el mecanismo de KRACK. No usa una clave distinta: fuerza a reinstalar la misma clave y reutilizar valores de un solo uso.
• Sostener que WEP supera a WPA2. El orden de robustez es WEP, WPA, WPA2 y WPA3.
• Creer que ocultar el identificador de la red o filtrar direcciones físicas es seguridad. Ambas se sortean escuchando.
• Dar al teletrabajador los mismos privilegios que en local. El acceso remoto se concede por mínimo privilegio.
• Aceptar siglas inventadas entre protocolos de VPN: ni «KSEC 1.1» ni «P2TP» existen.
• Olvidar --permanent, o recargar. Sin lo primero la regla no sobrevive al reinicio; sin lo segundo no entra en vigor.
• Usar currentprofile cuando piden todos los perfiles, o show cuando piden activar.
• Publicar el escritorio remoto en Internet. Se alcanza por red privada virtual o pasarela con segundo factor.
• Creer que dos contraseñas son doble factor. Hacen falta dos factores de tipo distinto.
• Guardar la clave de recuperación del cifrado solo en el equipo cifrado. Se custodia centralizadamente.

26. Lo que ya ha preguntado el tribunal

• Configuración perimetral que aísla los servidores expuestos: DMZ con cortafuegos que segmenten el tráfico.
• Herramienta de detección y prevención de intrusiones basada en equipo: OSSEC. Tipo de prevención que analiza el comportamiento de la red: NBA. Señuelo para aprender del atacante: honeypot.
• Módulo que filtra y monitoriza el tráfico web hacia los servidores: WAF. Dispositivo que une la red coaxial del circuito cerrado con la Ethernet: pasarela.
• Base de datos de vulnerabilidades: NVD. Herramienta del CCN para análisis estático de código dañino con varios motores: MARIA. Sonda SAT INET: túnel cifrado iniciado desde la sonda.
• Túnel de capa de red implementado como interfaz virtual en el núcleo de Linux, según el CCN: WireGuard. Protocolo más empleado por las VPN de nivel de transporte: TLS. RFC del protocolo de túnel punto a punto: 2637.
• Protocolo que NO cifra una VPN: «KSEC 1.1», que no existe. Protocolo que NO se usa en VPN de nivel de enlace: «P2TP», que tampoco.
• Código enviado por mensaje al móvil además de la contraseña: doble factor de autenticación. Recomendación que NO lo es: mantener los mismos privilegios en remoto que en local.
• Para acceder a una red con WPA3 empresarial: servidor RADIUS o solución equivalente con EAP-TLS. Afirmación incorrecta sobre redes inalámbricas: que WEP supere a WPA2. Afirmación incorrecta sobre KRACK: que use una clave distinta con valores ya usados.
• Práctica que previene de forma directa la inyección: validación y saneamiento de las entradas del usuario.
• Para restaurar la copia de un equipo cifrado: la clave de BitLocker.
• Comandos: firewall-cmd --zone=public --list-services, firewall-cmd --permanent con regla enriquecida, netsh advfirewall show currentprofile, set currentprofile state on, set allprofiles state on y firewall add rule con dir=in y localport.

27. Autoevaluación

1. ¿Qué diferencia hay entre un cortafuegos de inspección de estado y una pasarela de aplicación?
2. Describe las dos arquitecturas de DMZ y di cuál se prefiere en categoría alta, y por qué.
3. ¿En qué se distinguen un detector de red, un detector de equipo y un preventor en línea?
4. ¿Qué es un señuelo y por qué cualquier interacción con él es una alerta?
5. Sitúa PPTP, L2TP, IPsec, WireGuard y TLS en su capa, y di cuál no cifra por sí mismo.
6. ¿Qué explota exactamente el ataque KRACK y qué ocurre con las claves y los valores de un solo uso?
7. ¿Qué hace falta para entrar en una red con WPA3 empresarial, y qué papeles intervienen?
8. ¿Cuál es la recomendación sobre privilegios en el acceso remoto, y cuál es el error que pregunta el tribunal?
9. Escribe la orden que activa el cortafuegos de Windows en todos los perfiles.
10. Escribe la orden que permite el puerto 3306 solo desde una subred, de forma persistente, en RHEL.
11. ¿Qué norma regula hoy en España la seguridad de las redes y sistemas de información, y en qué situación está la NIS2?
12. ¿Qué distingue a CVE, CVSS, CWE y NVD?

Las diez primeras se contestan con los cuadros del apartado 23; las dos últimas exigen haber leído los apartados 3 y 24, que son los que más rápido envejecen y los que conviene repasar con la convocatoria delante, porque la situación de la directiva europea puede haber cambiado cuando se lea esto.