Tema 39: Seguridad en el puesto de trabajo: malware, XDR, EDR y políticas de cumplimiento

Confidencialidad y disponibilidad en el puesto de usuario final

El puesto de usuario final (ordenador de sobremesa, portátil corporativo, teléfono o tableta desde el que un empleado accede a los sistemas) es uno de los eslabones más expuestos de la cadena de seguridad. Proteger la información que se maneja en él exige combinar medidas técnicas, organizativas y de concienciación que garanticen los pilares clásicos de la seguridad de la información.

Los tres principios básicos: la tríada CIA

La seguridad en el acceso a la información se sustenta en tres principios básicos, conocidos como la tríada CIA por sus siglas en inglés (Confidentiality, Integrity, Availability):

• Confidencialidad

• Integridad

• Disponibilidad

Estos tres son los tres pilares fundamentales. En marcos como la norma ISO/IEC 27001 se manejan precisamente estas tres propiedades, mientras que el Esquema Nacional de Seguridad (RD 311/2022) amplía el modelo a cinco dimensiones, añadiendo la autenticidad y la trazabilidad. Los tres principios básicos son Confidencialidad, Integridad y Disponibilidad.

Confidencialidad

La confidencialidad garantiza que la información solo sea accesible para las personas, entidades o procesos autorizados, protegiéndola frente a accesos, divulgación o revelación no autorizados. Es importante entender que la confidencialidad no garantiza por sí misma que los datos no se alteren (eso es integridad) ni que estén siempre accesibles (eso es disponibilidad): se limita a controlar quién puede ver la información. Una definición de confidencialidad que no recoja la protección frente al acceso no autorizado es incompleta.

Integridad

La integridad es la dimensión de la tríada CIA que determina que los datos deben mantenerse libres de modificaciones o alteraciones por terceros. Garantizar la integridad de los datos significa evitar modificaciones o alteraciones en la información por terceros no autorizados, asegurando que la información permanece exacta y completa a lo largo de su ciclo de vida. Se apoya en mecanismos como funciones hash, sumas de verificación (checksums), firmas digitales y controles de acceso de escritura.

Disponibilidad

La disponibilidad garantiza que la información y los servicios estén accesibles y utilizables por los usuarios autorizados cuando los necesiten. En el puesto de usuario se protege con copias de seguridad, alimentación redundante, antimalware, actualizaciones y medidas frente a la denegación de servicio o la pérdida de datos.

Firma electrónica múltiple: cofirma y contrafirma

Cuando un documento debe ser firmado por varios firmantes hablamos de firma múltiple, que admite dos modalidades:

Por tanto, cuando en una aplicación de firma electrónica intervienen múltiples usuarios (solicitantes y responsables) y el orden es relevante porque cada firma refrenda o certifica la del firmante anterior, se está describiendo una contrafirma.

Buenas prácticas en la gestión de la información en el puesto de trabajo

La protección de la confidencialidad y la disponibilidad depende en gran medida del comportamiento del usuario. Son buenas prácticas, entre otras:

• Bloquear la sesión al ausentarse y aplicar la política de mesa limpia (clean desk).

• Emplear contraseñas robustas y no compartir credenciales.

• Cifrar la información sensible y los dispositivos portátiles.

• Realizar copias de seguridad y clasificar la información según su criticidad.

• Trasladar y difundir la normativa de utilización de internet y correo corporativo a TODOS los empleados, no únicamente a la dirección.

En consecuencia, NO es una buena práctica trasladar la normativa de utilización de internet y correo corporativo solo al director de la empresa: la política de uso aceptable debe conocerla toda la plantilla, ya que cualquier usuario puede comprometer la seguridad.

Ejemplos de mala praxis (y de praxis correcta)

Son ejemplos de mala praxis con los equipos informáticos: dejar la sesión abierta sin bloquear, apuntar las contraseñas en notas visibles, conectar dispositivos USB no autorizados, instalar software sin control o compartir cuentas de usuario.

En cambio, conectar un portátil corporativo a la red de la empresa es el uso previsto y legítimo del equipo, por lo que NO constituye una mala praxis: se trata de un dispositivo gestionado que se conecta a la red para la que está autorizado.

Medidas técnicas para reforzar los pilares de seguridad

Entre las medidas técnicas que sostienen la confidencialidad, la integridad y la disponibilidad en el puesto de usuario destacan el cifrado de disco, la autenticación robusta, el antivirus/EDR, el cortafuegos, las actualizaciones de seguridad y el control de dispositivos extraíbles.

Ahora bien, una medida incorrecta —que no refuerza los pilares de seguridad— sería "restringir la utilización de los puertos USB y obligar a utilizar otro tipo de interfaces más seguras como lectores de tarjeta SD". El razonamiento es que una tarjeta SD no es intrínsecamente más segura que un USB: ambos son soportes extraíbles con el mismo riesgo de fuga de información o de introducción de malware. Bloquear el USB para forzar otro soporte extraíble no aporta seguridad real; la medida correcta sería controlar o cifrar todos los soportes extraíbles, no sustituir uno por otro equivalente.

Fuentes

• Gobierno de España — Portal de la Firma Electrónica. Formatos de firma (firma múltiple: cofirma y contrafirma): https://firmaelectronica.gob.es/content/firmaelectronica/es/ciudadanos/cosas-deberias-saber/formatos-firma.html

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (dimensiones de seguridad: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad). BOE-A-2022-7191: https://www.boe.es/buscar/act.php?id=BOE-A-2022-7191

• ISO/IEC 27001 — Information security management systems (tríada confidencialidad, integridad y disponibilidad): https://www.iso.org/standard/27001

Amenazas y vulnerabilidades

La seguridad de los sistemas de información se articula sobre un conjunto de conceptos que conviene delimitar con precisión, porque son la base tanto del análisis de riesgos como de la respuesta ante incidentes.

Conceptos fundamentales

• Activo: componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización.

• Amenaza: causa que, en potencia de un incidente, puede generar daños a un sistema de información o a una organización.

• Vulnerabilidad: aspecto que influye negativamente en un activo y que posibilita la materialización de una amenaza. En el ámbito web se identifica con debilidades explotables del software.

• Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios.

• Ataque: evento, exitoso o no, que atenta sobre el buen funcionamiento del sistema. (Nótese que un ataque no es lo mismo que una amenaza: la amenaza es la causa potencial, mientras que el ataque es el evento en sí.)

• Control (salvaguarda): acción, dispositivo o procedimiento que elimina o reduce una vulnerabilidad.

Las dimensiones de seguridad clásicas son confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Cada dimensión se ve degradada por tipos concretos de amenaza: por ejemplo, la disponibilidad se ve afectada por la interrupción.

Análisis de riesgos y MAGERIT

El análisis de riesgos es la utilización sistemática de la información disponible para identificar peligros y estimar los riesgos. Sus actividades esenciales son identificar los activos de información y evaluar amenazas y vulnerabilidades. No forma parte del análisis de riesgos, en cambio, una medida operativa como "mantener el antivirus actualizado" (eso es una salvaguarda, no una fase del análisis).

MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información) es la metodología desarrollada por el Consejo Superior de Administración Electrónica, orientada a las Administraciones Públicas. La herramienta PILAR (Entorno de Análisis de Riesgos, EAR) del CCN soporta el análisis siguiendo MAGERIT de forma automatizada.

Herramientas del CCN-CERT

El CCN-CERT dispone de una familia de herramientas con nombres femeninos:

Malware y códigos maliciosos

• Rootkit: conjunto de herramientas maliciosas diseñadas para otorgar acceso y control encubierto (total) sobre un sistema. Los rootkits de hardware o firmware afectan directamente a la parte física / al software que da instrucciones de máquina a los componentes. Su presencia se manifiesta en cambios no autorizados en las configuraciones de Windows. Un ejemplo famoso es Stuxnet. Entre las técnicas habituales de instalación NO figuran los ataques de phreaking; la medida preventiva más eficaz es mantener el software actualizado.

• Ransomware: código malicioso que secuestra datos: el atacante cifra la información de la víctima y exige un pago (rescate) a cambio de la clave de descifrado.

• EMOTET: software malicioso que infecta los ordenadores y permite ejecutar acciones como el robo de información o la instalación de malware adicional.

• Cryptojacking: uso no detectado de un dispositivo informático ajeno para extraer (minar) monedas digitales.

• Hoax: mensaje falso e inofensivo, normalmente distribuido por correo electrónico, que alerta de un problema informático inexistente para causar, mediante una serie de instrucciones, problemas en el sistema.

• Virus de acción directa: virus que no se mantienen en memoria, cuyo objetivo prioritario es reproducirse y actuar en el mismo momento de ser ejecutados.

Amenazas sobre el puesto de usuario y la red

• Phreaker: persona que intenta usar o abusar del teléfono ajeno a su antojo.

• Spoofing: uso de técnicas de suplantación de identidad, generalmente con fines maliciosos.

• Pharming: explotación de una vulnerabilidad en los servidores DNS o en los equipos del usuario (fichero hosts o caché DNS) que altera la resolución de nombres para redirigir al usuario a una página web falsa, aunque escriba la dirección correcta.

• Clickjacking: un usuario malicioso secuestra las pulsaciones de ratón dirigidas a un sitio aparentemente inocente y las redirige a otro sitio, engañando a los usuarios.

• DoS (Denegación de Servicio): su impacto principal es hacer que un servicio o recurso sea inaccesible para los usuarios legítimos, saturando los puertos con múltiples flujos de información.

• DDoS (distribuido): se lleva a cabo generando un gran flujo de información desde varios puntos de conexión. Una técnica avanzada es el ataque de inundación SYN, que aprovecha el protocolo TCP enviando numerosas solicitudes SYN sin completar el saludo a tres vías (three-way handshake), agotando los recursos del servidor.

• Barrido (escaneo) de puertos: ataque que trata de obtener información básica sobre qué servicios ofrece un sistema y otros detalles técnicos.

Vulnerabilidades web

• SQL injection: ejecución de un comando malicioso de acceso o modificación de una base de datos como parte de una petición.

• CSRF (Cross Site Request/Reference Forgery): el atacante se hace pasar por cliente legítimo utilizando datos parciales del mismo.

• Insecure Deserialization: vulnerabilidad de deserialización insegura; se reduce significativamente empleando métodos no lingüísticos para la deserialización como JSON, XML o YAML (no permite "acceder y manipular BBDD", eso sería inyección).

Medidas de protección y herramientas de detección

• Firewall (cortafuegos): barrera de seguridad situada entre una red interna y una externa (Internet) para controlar y filtrar el tráfico. El firewall de hardware está integrado en un dispositivo físico; el de software se instala en un sistema operativo.

• Bastion host: servidor especialmente configurado y fortificado, con configuración mínima, que reduce la superficie de ataque y controla el acceso a otros recursos internos.

• NIDS: dispositivo para la detección de intrusiones en la red, colocado en lugares clave para controlar el flujo de datos.

• SIEM: sistema que recopila y analiza datos de seguridad de toda la infraestructura de TI.

• Detección heurística: identifica malware por su comportamiento sospechoso y sus características, no por firma.

• Snort: herramienta de detección de intrusiones cuyo propósito principal es el análisis del tráfico de red en tiempo real y el registro/captura de paquetes.

• Suricata: Sistema de Detección y Prevención de Intrusiones de red (IDPS) de alto rendimiento y código abierto (desarrollado por la OISF). Es compatible con IPv6; opera en dos modos, pasivo (observa y analiza el tráfico sin intervenir en la entrega de datos) y activo (ejecuta acciones correctivas automáticas ante amenazas, prevención en línea). Ofrece análisis de protocolos, inspección de contenido y captura de archivos, analizando la carga útil de los paquetes.

• Security Onion: distribución basada en Linux para la supervisión de la seguridad de red y la gestión de logs.

• Open Source Tripwire: especializada en la detección de cambios en los objetos del sistema de archivos (integridad).

• IronPort / Sophos: soluciones de protección de sistemas de correo electrónico.

• NVD (National Vulnerability Database): base de datos de vulnerabilidades.

• IBM AppScan: herramienta para la realización de pruebas de seguridad.

El objetivo de una auditoría de seguridad es identificar debilidades, vulnerabilidades y riesgos en los sistemas y redes informáticas.

Fuentes

• CCN-CERT, Soluciones de seguridad (LUCIA, CLARA, MARTA, REYES, PILAR): https://www.ccn-cert.cni.es/es/soluciones-seguridad.html

• CCN-CERT, herramienta CLARA (auditoría ENS/STIC): https://www.ccn-cert.cni.es/es/soluciones-seguridad/clara.html

• CCN-CERT, LUCIA (gestión de ciberincidentes): https://www.ccn-cert.cni.es/es/soluciones-seguridad/lucia.html

• MAGERIT v3.0, Libro I - Método (CCN/Consejo Superior de Administración Electrónica): https://www.ccn-cert.cni.es/documentos-publicos/1789-magerit-libro-i-metodo/file.html

• OISF, proyecto Suricata (IDS/IPS/NSM, IPv6, análisis de protocolos): https://suricata.io/ y https://github.com/OISF/suricata

• OWASP (referencia de vulnerabilidades web: SQL Injection, CSRF, Insecure Deserialization): https://owasp.org/www-project-top-ten/