Seguridad Informática: Conceptos, Amenazas y Herramientas

1. Conceptos fundamentales de seguridad

SGSI — Sistema de Gestión de la Seguridad de la Información

Según la norma ISO/IEC 27000, el Sistema de Gestión de la Seguridad de la Información (SGSI) es el conjunto de elementos interrelacionados o interactuantes que utiliza una organización para:

• Establecer una política y unos objetivos de seguridad de la información.

• Alcanzar dichos objetivos, basándose en un enfoque de gestión del riesgo y de mejora continua.

No debe confundirse con el «Sistema de Información» ni con el «Sistema de Seguridad de la Información» (que no son términos ISO).

Insider (amenaza interna)

Un insider en ciberseguridad es una persona perteneciente a la propia organización que provoca un incidente de seguridad de forma intencionada o fortuita (no es una persona ajena a la organización).

---

2. Tipos de amenazas y ataques

Phishing

Es la denominación que recibe la estafa cometida a través de medios telemáticos mediante la cual el estafador intenta conseguir, de usuarios legítimos, información confidencial (contraseñas, datos bancarios, etc.) de forma fraudulenta, habitualmente suplantando la identidad de una entidad de confianza.

No confundir con:

• Spyware — malware que recopila información del ordenador y la envía a una entidad remota sin conocimiento del propietario.

• Botnet — conjunto de ordenadores (bots) controlados por un hacker para actividades maliciosas.

Malvertising

Técnica que consiste en manipular publicidad en línea con el objetivo de conseguir infectar dispositivos. Cuando el usuario accede a alguno de esos anuncios, instala software malicioso en su ordenador sin ser consciente de ello.

Crimeware y warshipping

• Crimeware: software malicioso diseñado para cometer delitos con ánimo de lucro (robo de credenciales bancarias, fraude, ransomware); el término engloba programas y kits, no una técnica concreta de difusión.

• Warshipping: técnica descrita por los investigadores de IBM X-Force Red (2019) que consiste en enviar por paquetería un pequeño dispositivo con conexión inalámbrica a la sede de la víctima para atacar su red wifi desde dentro.

• Ninguna de las dos usa anuncios: la que manipula publicidad en línea es el malvertising.

Cortafuegos / Firewall

Es un elemento que controla el tráfico de datos entre dos redes u ordenadores de una misma red (no solo descifra tráfico, no es un elemento de DMZ exclusivamente).

En Windows 10, el cortafuegos sirve para bloquear accesos no autorizados a un ordenador mientras permite la comunicación con otros servicios autorizados (no protege exclusivamente contra spyware, no monitoriza DNS).

Controlar el tráfico significa decidir, según unas reglas, qué comunicaciones se permiten y cuáles se deniegan: por eso el cortafuegos es la pieza que deja pasar o bloquea el acceso a determinados equipos, servicios o destinos. No cifra ni descifra el tráfico (eso lo hacen protocolos como TLS o una VPN).

• INCIBE (https://www.incibe.es/ciudadania/tematicas/configuraciones-dispositivos/cortafuegos): «Su principal función es la prevención de accesos no permitidos a un sistema informático, aunque, al mismo tiempo, debe facilitar la comunicación con dispositivos que sí están autorizados.»

• NIST SP 800-41 Rev. 1, Guidelines on Firewalls and Firewall Policy (https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-41r1.pdf): «Firewalls are devices or programs that control the flow of network traffic between networks or hosts that employ differing security postures.»

---

3. Certificados digitales y archivos PFX

Los archivos con extensión PFX (Personal Information Exchange) son archivos de certificado digital que:

• Contienen la clave privada del certificado.

• No contienen exclusivamente la clave pública (eso sería un archivo .CER o similar).

• Cumplen la sintaxis PKCS #12 (no PKCS #21).

• Son archivos en formato binario (no en formato no binario).

---

4. Sellado de tiempo (Time Stamping)

Según el Portal de Administración Electrónica de la Junta de Andalucía, el sellado de tiempo o time stamping es un método para probar que un «dato electrónico» existió en un momento determinado y además que no ha sido modificado desde entonces.

No confundir con:

• Notific@ — sistema de notificaciones electrónicas fehacientes de la Junta de Andalucía.

• @ries — registro telemático unificado de la Junta de Andalucía.

• Copia autenticada electrónica de documentos en papel (eso es otro servicio distinto).

---

5. Seguridad en redes inalámbricas

Para obtener la mayor seguridad posible en un dispositivo inalámbrico, se debe utilizar el protocolo WPA2 (Wi-Fi Protected Access 2).

Comparativa de protocolos:

---

6. Resumen de conceptos

Amenazas, contraseñas, navegación segura y buenas prácticas

Los virus informáticos son programas o códigos maliciosos que se diseñan para replicarse y propagarse de un dispositivo a otro, con el objetivo de dañar el sistema, robar información, o incluso tomar el control de este.

Tipos de malware

• Gusano: tipo de malware que, una vez ejecutado en un sistema, puede modificar el código o las características de este. Su objetivo es replicarse e infectar otros dispositivos.

• Troyano: se presenta como un software legítimo, pero al ejecutarlo permite al atacante tomar el control del dispositivo infectado.

• Adware: software que ofrece publicidad no deseada o engañosa; en ocasiones cambia el buscador predilecto del usuario por otro.

• Keylogger: registra y rastrea todas las pulsaciones de teclas realizadas en un dispositivo infectado. Puede estar basado en un software o en un hardware, como por ejemplo un dispositivo USB.

• Rootkit: conjunto de herramientas utilizadas por los ciberdelincuentes para acceder de forma ilícita a un sistema. Su propósito es la ocultación de elementos del sistema infectado, como archivos, procesos o credenciales.

• Ransomware: malware que toma por completo el control del dispositivo bloqueando o cifrando la información del usuario para, a continuación, pedir dinero a cambio de liberar o descifrar los ficheros.

La mayoría de los ataques por ransomware se producen cuando el usuario ejecuta un archivo infectado. La mejor defensa son las copias de seguridad en soportes que no estén conectados al ordenador de forma permanente. INCIBE aconseja no pagar el rescate y remite al portal No More Ransom, lanzado por Europol y la policía holandesa en 2016. Ante una infección, lo primero es desconectar el dispositivo de la red para evitar que la amenaza se propague.

Variantes del phishing

• Smishing: el engaño llega por mensajes de texto (SMS) que incorporan enlaces fraudulentos.

• Vishing: el engaño se produce a través de llamadas de teléfono fraudulentas.

• Spear phishing: modalidad de phishing dirigida contra un objetivo específico, al que se intenta sacar información confidencial mediante un correo electrónico.

Contraseñas seguras

Una contraseña robusta debe tener una longitud de entre 8 y 10 caracteres, combinar caracteres y no incluir información personal. Hay que evitar utilizar la misma contraseña para todas las cuentas. Un gestor de contraseñas ayuda: solo hay que recordar la contraseña maestra y genera contraseñas robustas de manera aleatoria.

Autenticación multifactor (MFA)

Todo sistema de autenticación se basa en uno o varios factores: algo que sabes (contraseñas, preguntas personales), algo que tienes (tokens criptográficos, tarjeta de coordenadas) y algo que eres (huellas digitales, iris o retina, voz). La verificación en dos pasos (2FA) es una medida de seguridad adicional a la contraseña: al primer factor se suma algo que el usuario posee, como un dispositivo móvil, al que se envía un código único temporal conocido como OTP (One-Time Password).

Navegación segura: HTTPS y navegación privada

HTTPS es la combinación del protocolo HTTP con el protocolo SSL/TLS usado para establecer comunicaciones cifradas en sitios web. El navegador comprueba la integridad del certificado, su vigencia y la confianza en el emisor. Los certificados autofirmados, firmados por la propia organización sin un emisor de confianza, son muy utilizados para fraudes online. Antes de facilitar datos bancarios o personales hay que revisar que la URL comienza por HTTPS y hacer clic sobre el candado para comprobar que no se trata de una suplantación.

La navegación privada o incógnito impide que se almacenen el historial, las cookies y los datos de inicio de sesión, de modo que la sesión no deja rastro en el dispositivo. Para cifrar la conexión y ganar privacidad, INCIBE recomienda una red privada virtual (VPN).

Buenas prácticas generales

• Copias de seguridad: la regla 3-2-1 consiste en disponer siempre de tres copias de seguridad de un mismo tipo de información, en dos dispositivos distintos y una de ellas en un lugar diferente a los demás.

• Actualizaciones: mantener el sistema operativo y los programas actualizados con las últimas actualizaciones de seguridad.

• Wi-Fi públicas: suelen carecer de medidas suficientes de seguridad y cualquiera puede conectarse a ellas. Conviene usar una VPN, evitar acceder a información confidencial y desactivar la opción de compartir archivos o impresoras.

Fuentes: https://www.incibe.es/ciudadania/tematicas/virus-amenazas · https://www.incibe.es/ciudadania/blog/principales-tipos-de-virus-y-como-protegernos-frente-ellos · https://www.incibe.es/sites/default/files/docs/guia-ciberataques/osi-guia-ciberataques.pdf · https://www.incibe.es/ciudadania/blog/no-pagues-ningun-rescate-si-un-ransomware-ha-cifrado-tu-informacion · https://www.incibe.es/node/53390 · https://www.incibe.es/aprendeciberseguridad/spear-phishing · https://www.incibe.es/ciudadania/blog/contrasenas-seguras-te-explicamos-como-conseguirlo · https://www.incibe.es/empresas/tematicas/autenticacion · https://www.incibe.es/ciudadania/tematicas/contrasenas-seguras/autenticacion-de-dos-factores · https://www.incibe.es/ciudadania/blog/https-y-certificados-digitales-me-debo-fiar-de-todos · https://www.incibe.es/ciudadania/tematicas/navegacion · https://www.incibe.es/ciudadania/blog/como-navegar-con-mayor-privacidad · https://www.incibe.es/ciudadania/blog/definiendo-mi-estrategia-de-copias-de-seguridad · https://www.incibe.es/ciudadania/tematicas/conexiones

Spam y virus informáticos: definiciones y protección del equipo personal

Spam o correo no deseado

Definición. INCIBE (Instituto Nacional de Ciberseguridad) lo define así: «El término mensaje basura o spam se ha incorporado a nuestro vocabulario en los últimos años para referirnos a aquellos mensajes no deseados, con remitente no conocido o incluso falso. Normalmente tienen un objetivo publicitario, y suelen ser enviados de forma masiva perjudicando de alguna forma a sus destinatarios» (https://www.incibe.es/ciudadania/blog/evita-el-spam-con-unas-sencillas-pautas). No es solo cosa del correo: el spam «afecta a cualquier tipo de comunicación: llamadas telefónicas, SMS, correos electrónicos, etc.».

En la taxonomía de incidentes de INCIBE-CERT, el SPAM es «correo electrónico masivo no solicitado. El receptor del contenido no ha otorgado autorización válida para recibir un mensaje colectivo» (https://www.incibe.es/incibe-cert/incidentes/taxonomia). Es la misma definición de la taxonomía europea de referencia (ENISA, https://github.com/enisaeu/Reference-Security-Incident-Taxonomy-Task-Force/blob/master/working_copy/humanv1.md): «'Unsolicited Bulk Email', this means that the recipient has not granted verifiable permission for the message to be sent and that the message is sent as part of a larger collection of messages, all having a functionally comparable content».

Por qué es un riesgo y no solo una molestia (misma fuente de INCIBE):

• satura los canales de comunicación y sobrecarga las infraestructuras de red que lo reciben (servidores, routers, cortafuegos);

• hace perder tiempo, y los filtros pueden equivocarse y mandar mensajes legítimos a la carpeta de spam, así que el usuario acaba siendo «un segundo filtro»;

• se ha convertido en vehículo de otras amenazas, como el phishing: los ciberdelincuentes usan los servicios de spam «para distribuir malware, a menudo colocando enlaces a sitios infectados en un correo diseñado para atraer a los usuarios no concienciados».

Por qué llega. INCIBE enumera, entre otras causas: la filtración de datos de empresas y servicios en línea, la venta de direcciones a terceros, los registros en páginas fraudulentas, la publicación de la dirección en foros o blogs, el reenvío en cadena de correos con los destinatarios a la vista (sin usar el campo CCO) y la infección del equipo con malware que recopila datos (https://www.incibe.es/ciudadania/blog/filtros-de-correo-antispam-para-que-sirven-y-como-configurarlos).

Filtros antispam. Un filtro clasifica el correo entrante con reglas: por el dominio del remitente, por palabras del asunto o del cuerpo, por llevar adjuntos o superar un tamaño, o porque el remitente no está en la libreta de direcciones o no es un remitente seguro. Sus ventajas: menos correo no deseado en la bandeja de entrada, un buzón más ordenado y menos riesgo de abrir correos fraudulentos. Sus inconvenientes: «en ocasiones se envía correo legítimo a la carpeta de no deseado», y «no se elimina al 100% la recepción de correo no deseado» (misma fuente).

El filtro de correo no deseado de Outlook. Microsoft lo explica así: el filtro «no detiene la entrega de mensajes de correo electrónico no deseado», sino que «mueve los mensajes sospechosos de ser correo no deseado a la carpeta Email de correo no deseado»; por eso recomienda revisar esa carpeta periódicamente por si hay mensajes legítimos mal clasificados (https://support.microsoft.com/es-es/outlook/overview-of-the-junk-email-filter-in-classic-outlook · https://support.microsoft.com/en-us/outlook/overview-of-the-junk-email-filter-in-classic-outlook: «The Outlook Junk Email Filter doesn't stop delivery of junk email messages but does the next best thing—it moves suspected spam to the Junk Email folder»). Se completa con dos listas:

• Lista de remitentes seguros: las direcciones y dominios que contiene nunca se tratan como correo no deseado, sea cual sea el contenido del mensaje.

• Lista de remitentes bloqueados: los mensajes de esas direcciones o dominios van siempre a la carpeta de correo no deseado.

Recomendaciones ante el spam (INCIBE, mismas fuentes):

• no hacer clic en ningún enlace o archivo adjunto de un correo no solicitado o de dudosa fiabilidad, y no descargar adjuntos de remitentes desconocidos;

• no intentar darse de baja del correo basura, porque los ciberdelincuentes lo usan para comprobar que la cuenta está activa y seguir enviando spam (otra cosa es la publicidad de un anunciante identificado, de cuya base de datos sí se puede pedir la baja, revisando bien el enlace);

• no publicar la dirección en foros o blogs, usar una dirección alternativa para registrarse en ellos y reenviar siempre con copia oculta (CCO);

• en España, inscribirse en la Lista Robinson, un registro gratuito de exclusión publicitaria.

Virus y otros tipos de malware

Malware es, según Microsoft, «un término que se usa para describir aplicaciones malintencionadas y código que puede causar daños e interrumpir el funcionamiento normal de los dispositivos» (https://learn.microsoft.com/es-es/defender-endpoint/malware/understanding-malware · https://learn.microsoft.com/en-us/defender-endpoint/malware/understanding-malware: «Malware is a term used to describe malicious applications and code that can cause damage and disrupt normal use of devices»). El virus es uno de sus tipos (ver su definición más arriba). Microsoft distingue además:

• Gusano: «es un tipo de malware que puede copiarse a sí mismo y, a menudo, se propaga a través de una red aprovechando las vulnerabilidades de seguridad» (https://learn.microsoft.com/es-es/defender-endpoint/malware/worms-malware · https://learn.microsoft.com/en-us/defender-endpoint/malware/worms-malware: «A worm is a type of malware that can copy itself and often spreads through a network by exploiting security vulnerabilities»).

• Troyano: a diferencia de los virus, no puede propagarse por sí mismo: tiene que descargarse manualmente, o descargarlo otro malware, y suele usar los mismos nombres de archivo que aplicaciones legítimas (https://learn.microsoft.com/es-es/defender-endpoint/malware/trojans-malware · https://learn.microsoft.com/en-us/defender-endpoint/malware/trojans-malware: «unlike viruses, can't spread on their own»).

INCIBE añade, entre las amenazas de las que protege un antivirus (https://www.incibe.es/ciudadania/tematicas/configuraciones-dispositivos/antivirus): el spyware, que «se instala en un dispositivo sin el consentimiento del usuario para recopilar información personal»; el ransomware, que cifra archivos o bloquea el dispositivo y exige un rescate; el adware, que «muestra anuncios no deseados de forma invasiva y desproporcionada»; las botnets o redes zombi, de dispositivos infectados controlados de forma remota; y el rogueware o falso antivirus, que con supuestas advertencias de seguridad induce a hacer clic para descargar malware.

Herramientas de protección en el equipo personal

El antivirus. Para INCIBE, los antivirus «son programas de software diseñados para detectar, prevenir y eliminar malware como troyanos, gusanos, spyware y otras amenazas informáticas» (misma fuente). Funcionan escaneando los archivos y la actividad del dispositivo en busca de patrones y comportamientos sospechosos; cuando identifican una amenaza, la llevan a cuarentena o eliminan el archivo infectado. Sus funciones habituales:

• base de datos de firmas de malware, que se actualiza constantemente para reconocer las amenazas nuevas: por eso hay que mantener el antivirus actualizado;

• escaneo en tiempo real, que supervisa constantemente la actividad del sistema;

• escaneo programado, para revisar todo el contenido de forma periódica;

• y, en muchos, un cortafuegos personal y protección de la navegación frente a sitios maliciosos.

Seguridad de Windows y Antivirus de Microsoft Defender. En Windows 10 y Windows 11, la aplicación Seguridad de Windows viene integrada en el sistema e incluye el Antivirus de Microsoft Defender, el Firewall de Windows y el Control inteligente de aplicaciones, que «trabajan juntas para proporcionar protección en tiempo real contra virus, malware y otras amenazas de seguridad» (https://support.microsoft.com/es-es/windows/security/windows-security/stay-protected-with-the-windows-security-app · https://support.microsoft.com/en-us/windows/security/windows-security/stay-protected-with-the-windows-security-app: «which work together to provide real-time protection against viruses, malware, and other security threats»). Lo que conviene saber de ella:

• el antivirus examina continuamente el dispositivo y actúa en cuanto detecta una amenaza; el firewall supervisa el tráfico de red entrante y saliente;

• para revisar un archivo o carpeta concretos, se hace clic con el botón derecho en el Explorador de archivos y se elige Examinar con Microsoft Defender;

• si se sospecha una infección, se ejecuta un examen rápido desde Protección contra virus y amenazas;

• la protección en tiempo real se puede desactivar brevemente; mientras está desactivada, los archivos que se abren o descargan no se analizan, y pronto se vuelve a activar sola.

Otras medidas (Microsoft, https://learn.microsoft.com/es-es/defender-endpoint/malware/prevent-malware-infection · https://learn.microsoft.com/en-us/defender-endpoint/malware/prevent-malware-infection):

• mantener actualizado el software, las aplicaciones y el sistema operativo, porque los ataques suelen aprovechar sus vulnerabilidades;

• desconfiar de los vínculos y adjuntos del correo, los SMS y los chats, una de las vías más comunes de infección;

• no conectar unidades extraíbles desconocidas;

• usar una cuenta que no sea de administrador para el uso diario: la mayoría del malware se ejecuta con los mismos privilegios que el usuario activo, así que limitar los privilegios de la cuenta impide que haga cambios importantes en el equipo (en inglés: «it's recommended that you use a non-administrator account for regular use»); se inicia sesión como administrador solo para instalar aplicaciones o cambiar la configuración;

• hacer copias de seguridad con la regla 3-2-1: tres copias, en al menos dos ubicaciones y al menos una sin conexión;

• la herramienta Examen de seguridad de Microsoft ayuda a quitar software malintencionado, pero «no reemplaza el producto antimalware».

En otros sistemas (INCIBE, misma fuente del antivirus): macOS incluye la protección XProtect; Android no trae antivirus integrado como tal, pero Google Play Protect analiza las aplicaciones de Play Store antes de instalarlas.