I.E.S.

San Vicente 2 SMR--Seguridad informtica Tema 1

1 Conceptos bsicos de seguridad informtica

1.1 Razones para la seguridad informtica

Tanto en las empresas como en los domicilios particulares el uso de sistemas informticos con
acceso a Internet es generalizado por lo que preservar la informacin y la integridad de estos
sistemas es primordial.
Hoy en da realizamos muchas gestiones a travs de Internet, negocios, compras, interaccin con el
banco... todas estas gestiones son de carcter bastante privado y delicado por lo que hay que
mantener nuestro sistema lo ms seguro posible para evitar que se intercepten nuestros datos o que
se infecte la red de nuestra casa o empresa.
Cualquier fallo podra suponer una gran prdida econmica o en el peor de los casos podramos
sufrir suplantacin de nuestra personalidad para realizar delitos.

Ejercicio 1
Busca en Internet tres noticia sobre vulneracin de la seguridad de algn sistema
informtico.

1.2 Objetivos de la seguridad informtica

Los objetivos principales de la seguridad informtica son proteger los activos informticos:
La informacin contenida: Uno de los elementos ms importantes del sistema. Se debe
evitar que usuarios externos o no autorizados puedan acceder a ella y que los usuarios
autorizados puedan acceder en cualquier momento.
La infraestructura fsica: Se debe velar porque los equipos funcionen de la forma
adecuada previendo medidas en caso de robo, incendio, accidentes o desastres naturales...
Los usuarios: Se deben establecer unas normas que minimicen los riesgos por parte de
usuarios no autorizados como: perfiles de usuario, horarios de funcionamiento, restriccin
de acceso a ciertos lugares, planes de emergencia...
Segn la ISO27002 La seguridad de la informacin se puede caracterizar por la preservacin de la
confidencialidad, integridad y la disponibilidad
Segn INFOSEC Glosssary 2000: Seguridad informtica son las medidas y controles que
aseguran la confidencialidad, integridad y disponibilidad de los activos de los sistemas de
informacin, incluyendo hardware, software, firmware y aquella informacin que procesan,
almacenan y comunican
1.2.1 Confidencialidad
La confidencialidad intenta prevenir la divulgacin de informacin a personas o sistemas no
autorizados. De esta manera un documento ser confidencial si slo puede ser comprendido por la
persona o entidad a quien va dirigida o est autorizada.
1.2.2 Integridad
Propiedad que busca mantener los datos libres de modificaciones no autorizadas.

Pg.1
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

1.2.3 Disponibilidad
Es la caracterstica, cualidad o condicin de la informacin de encontrarse a disposicin de quienes
deben acceder a ella en todo momento.
1.2.4 Autenticacin
Es la situacin en la cual se puede verificar que un documento ha sido elaborado o pertenece a
quien el documento refleja. En los sistema informticos la autenticacin normalmente se realiza
mediante un usuario y contrasea.
1.2.5 No repudio
Que la comunicacin entre emisor y receptor queden garantizadas y que ninguno pueda negar que
ha existido comunicacin.
No repudio en origen: El emisor no puede negar la comunicacin ya que se le envan
pruebas al receptor de tal comunicacin.
No repudio en destino: El receptor no puede negar la comunicacin porque el emisor tiene
pruebas de la recepcin.
Si la autenticidad prueba quien es el autor de un documento y cul es el destinatario, el no repudio
prueba que es el mismo autor quien enva la comunicacin (no repudio en origen) y que el
destinatario la recibi (no repudio en destino).
1.3 Mecanismos de seguridad
Un mecanismo de seguridad informtica es una tcnica o herramienta que se utiliza para fortalecer
la confidencialidad , la integridad y la disponibilidad de un sistema informtico.

Se pueden clasificar segn su funcin en:

Preventivos: Actan antes de que un hecho ocurra y su funcin es detener agentes no
deseados.
Detectivos: Actan tambin antes de que un hecho ocurra pero su funcin es revelar la
presencia de agentes no detectados en algn elemento del sistema.
Correctivos: Actan despus de que haya ocurrido el hecho y su funcin es corregir las
consecuencias.

Ejemplos de mecanismos:
1.3.1 Mecanismos software o lgicos

Cortafuegos, antivirus, antispam, utilizacin de nmeros de serie, proteccin

anticopia, encriptacin de la informacin, uso de contraseas, formacin de usuarios
del sistema.
1.3.2 Mecanismos hardware o fsicos
SAI, extintores, cmaras de seguridad, control de
acceso fsico al sistema, controles de acceso con tarjetas
de identificacin, control de la temperatura y la humedad
de la habitacin donde se encuentran los ordenadores.

Ilustracin 1: Sistema de alimentacin ininterrumpida SAI

Pg.2
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

Ejercicio 2
Asocia los distintos mecanismos de seguridad expuestos en el tema con los objetivos de la
seguridad informtica.

Pg.3
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

Ejercicio 3
De las siguientes contraseas indica cuales se podran considerar seguras y cules no y por
qu:
a) mesa
b) caseta
c) c8m4r2nes
d) tu primer apellido
e) pr0mer1s&
f) tu nombre

1.4 Clasificacin de seguridad

Segn lo que se protege se puede distinguir entre fsica y lgica, y dependiendo del momento en el
que se acta entre pasiva y activa.
1.4.1 Seguridad fsica
Es aquella que trata de proteger el hardware de los posibles desastres naturales, incendios,
inundaciones, sobrecargar elctricas, robos...
Principales amenazas y mecanismos para salvaguardarnos de ellas:

Ilustracin 3: Detector de Ilustracin 2: Clave

incendios visual

Amenaza Defensa
Incendios Mobiliario ignfugo.
Evitar localizacin peligrosa
Sistemas antiincendios, detectores de humo...
Inundaciones Evitar plantas bajas.
Impermeabilizacin de paredes, techos, sellado de puertas...
Robos Puertas con medidas biomtricas, cmaras, vigilantes...
Seales Evitar lugares con radiaciones electromagnticas
electromagnticas Filtros o cableado especial. La fibra ptica no es sensible a esto.
Apagones SAI
Sobrecargas SAI. Tambin estabilizan la seal elctrica
elctricas
Desastres Estar en contacto con los organismos que proporcionan
naturales informacin sobre terremotos o desastres meteorolgicos.

1.4.2 Seguridad lgica

Complementa a la seguridad fsica protegiendo el software de los sistemas informticos.

Pg.4
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

La seguridad lgica se encarga de controlar que el acceso al software de un sistema informtico se

realiza por los usuarios adecuados y de la forma correcta.

Amenaza Mecanismo de defensa

Robos Cifrado.
Contraseas
Sistemas biomtricos
Prdida de Copia de seguridad (distintas ubicaciones)
informacin Sistemas tolerantes a fallos
Discos redundantes
Prdida de Programas de chequeo del equipo.
integridad de la Firma digital
informacin Comando sfc
Entrada de virus Antivirus
Ataques desde la Firewall
red Programas de monitorizacin
Proxys
Modificaciones no Contraseas
autorizadas Listas de control de acceso
Cifrar documentos

Ejercicio 4
Describe los medios de seguridad fsica y lgica que hay en el aula.

1.4.3 Seguridad activa

Son aquellas medidas que se utilizan para detectar las amenazas, y en caso de su deteccin generar
los mecanismos adecuados para evitar el problema.
Principales tcnicas de seguridad activa:

Tcnicas Qu previene?
Contraseas Previene el acceso a recursos a usuarios no autorizados
Listas de control de Previene acceso a ficheros a usuarios no autorizados
acceso
Encriptacin Evita a personas no autorizadas interpretar la informacin
Software de seguridad Evita virus y accesos no deseados al sistema
Firmas y certificados Comprueba la procedencia, autenticidad e integridad de los
digitales mensajes
Sistemas de ficheros Previene fallos de integridad
tolerantes a fallos
Cuotas de disco Previene el uso excesivo de disco por parte de algn
usuario

Pg.5
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

1.4.4 Seguridad pasiva

Comprende el conjunto de medidas utilizadas para que una vez que se produzca el ataque o fallo
intentar minimizar los daos y activar los mecanismos de recuperacin.

Tcnicas Resultado
Discos redundantes Restaurar datos que han quedado inconsistentes
SAI Proporcionan energa durante un periodo de
tiempo.
Copias de seguridad Podemos recuperar informacin en caso de
prdida de datos.

Ejercicio 5
De cada uno de los elementos expuestos a continuacin, indica a qu dos tipos de seguridad
estn asociados (activa y lgica, activa y fsica, pasiva y lgica o pasiva y fsica)
a) Ventilador de un equipo informtico
b) Detector de incendios
c) Detector de movimientos
d) Cmara de seguridad
e) Cortafuegos
f) SAI
g) Control de acceso mediante el iris del ojo.
h) Contrasea para acceder a un equipo
i) Control de acceso a un edificio

Ejercicio 6
Evala qu medias de seguridad activa y pasiva tienes en torno a tu ordenador personal.

1.5 Concepto de vulnerabilidad, malware y exploit

Como el software est hecho por humanos, puede tener errores. Pueden ser leves (algn mensaje
mal traducido), graves (corrupcin de datos) o crticos (agujeros de seguridad).
Una vulnerabilidad es un defecto en una aplicacin que puede ser aprovechado por un atacante que
puede programar un malware que utilice esa vulnerabilidad para realizar alguna accin no deseada
sobre la mquina.(Exploit)
Hay 3 tipos de vulnerabilidades:
Vulnerabilidades reconocidas por el suministrador del software y para las cuales ya tiene un
parche.
Vulnerabilidades reconocidas por el suministrador del software y para las cuales no tiene
todava un parche. Algunas veces se proporciona una solucin temporal (workaround), pero
es mejor desactivar el servicio hasta tener el parche que lo solucione.
Vulnerabilidades no reconocidas por el suministrador del software. Podemos estar expuestos
y no ser conscientes de ello.

Pg.6
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

Ejercicio 7
PRCTICA DE ESCANEO DE PUERTOS
Mediante la herramienta nmap vamos a analizar los puertos abiertos de nuestra red y los
servicios que usan esos puertos en el servidor o servidores de la red.
Una vez hecho esto, buscaremos en http://securityfocus.com las posibles vulnerabilidades
detectadas en ese software y las posibles acciones a realizar para solucionarlas.

1.6 Tipos de amenazas

1.6.1 Tipos de atacantes
Hackers: Atacan sistemas por curiosidad.
Crackers: Hacker que quiere causar dao u obtener beneficio.
Script kiddie: Aprendices de Hacker y Cracker con pocas habilidades que simplemente se
dedican a buscar y lanzar ataques programados por otros sin conocer las consecuencias de
los mismos.
Sniffers: Analizan el trfico de la red para obtener informacin de los paquetes trasmitidos.
Lammers: Se consideran Hackers pero no tienen suficientes conocimientos para ello.
Newbie: Hacker novato.
Ciberterrorista: Experto informtico que trabaja para pases u organizaciones como espas
o saboteadores.
Programadores de virus: Crean programas dainos para los sistemas o aplicaciones.
Carders: Atacan sistemas de tarjetas de crdito.

1.6.2 Tipos de ataques

Spoofing: Suplanta la identidad de un PC
Sniffing: Analiza el trfico de red para hacerse con informacin.
Conexin no autorizada: Se busca un agujero de seguridad y se entra en el sistema.
Malware: Se introducen programas malintencionados en nuestro sistema.
Keyloggers: Almacenan lo que se teclea e incluso hacen capturas de pantalla para averiguar
contraseas.
Denegacin de servicio: Interrumpe el servicio de servidores o redes.
Ingeniera social: Se obtiene informacin confidencial de una persona para utilizarla con
fines maliciosos.
Phishing: Se engaa al usuario para obtener su informacin confidencial suplantando la
identidad de un organismo o pgina web.
Ejercicio 8
Analiza la noticia buscada sobre ataques informticos e indica el tipo de ataque y atacante
del que se trata.

Pg.7
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

1.7 Pautas de proteccin para nuestro sistema

Localizar los activos a proteger: equipos, aplicaciones, datos y comunicaciones.
Redactar y revisar regularmente los planes de actuacin ante catstrofes.
No instalar nada innecesario
Estar al da de los informes de seguridad que vayan surgiendo y actualizar parches de
seguridad
Formar a los usuarios
Instalar Firewall
Llevar una buena poltica de copias de seguridad
Gestionar y revisar los logs del sistema.
Revisar las listas de usuarios activos.

Ejercicio 9
Analiza que pautas de proteccin no cumple el sistema que tienes en tu casa.
Ejercicio 10
Configura el firewall de tu sistema operativo para evitar contestar a peticiones de red de
echo entrante.

1.8 Ley de proteccin de datos

La normativa que regula la gestin de los datos personales es la Ley de Proteccin de Datos de
Carcter Personal (LO 15/1999) ms conocida como LOPD.
El objetivo de esta ley es garantizar y proteger los derechos fundamentales y la intimidad de las
personas fsicas. Especifica para qu se pueden usar, cmo deber ser el procedimiento de recogida y
los derechos que tienen las personas a las que se refieren entre otros aspectos.
1.8.1 Medidas de seguridad
Siempre que se vaya a crear un fichero de datos personales se debe solicitar la aprobacin de la
Agencia de proteccin de datos.
En esta solicitud se deben especificar los datos que contendr el fichero y el nivel de seguridad que
se aplicar al fichero.
1.8.1.1 Niveles de seguridad en funcin de los datos almacenados
Bsico : Datos personales
Medio: Referidos a infracciones, gestin tributaria, datos fiscales y financieros. Datos sobre
las caractersticas y personalidad de los afectados.
Alto: Referidos a ideologa, afiliacin sindical, religin, creencias, origen racial, salud o
vida sexual.

Pg.8
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

1.8.1.2 Medidas de seguridad para cada nivel

Bsico
Debe existir un documento donde estn reflejadas las funciones y obligaciones de cada
usuario del fichero. El responsable del fichero debe almacenar a su vez una lista de los
usuarios con sus accesos y las contraseas deben ser cambiadas en un periodo no
superior a un ao.
Debe crearse un registro de incidencias del fichero de datos.
Cualquier documento que se deseche y que contenga datos de carcter personal tendr
que ser borrado o destruido.
Las copias de seguridad debern ser como mnimo una a la semana.
Medio
Al menos una vez cada dos aos se realizar un auditora que verificar los
procedimientos de seguridad aplicados.
Se deben establecer mecanismos para evitar el acceso reiterado no autorizado a los datos
y sistemas de control de acceso a los lugares donde se encuentren los equipos con los
datos.
Alto
Los datos deben cifrarse para su transporte tanto fsico (en un porttil) como por redes
pblicas o inalmbricas.
Las copias de seguridad se deben almacenarse en un lugar fsico distinto al de los datos.
Se deben registrar todos los intentos de acceso de los ltimos dos aos como mnimo.
1.9 Normativa de los sistemas de informacin y comercio electrnico
Regulado por la Comisin del Mercado de las Telecomunicaciones. Ley 34/2002.
Aspectos ms importantes:
Las empresas deben proporcionar informacin sobre nombre, domicilio, direccin de correo
electrnico, nmero de identificacin fiscal y precio de los productos.
Exculpa de responsabilidad siempre que no tengan conocimiento de la informacin
contenida en sus servidores a aquellas empresas que ofrecen alojamiento web.
Los contratos realizados por va electrnica son vlidos.
Ejercicio 11
Vamos a crear una empresa de comercio electrnico y vamos a pedir en el registro de los
clientes sus datos personales adems de sus gustos para enviarles publicidad sobre los
temas seleccionados. Indica los pasos a seguir antes, durante y despus de la obtencin de
los datos de los clientes para cumplir la normativa de la LOPD.

Pg.9
I.E.S. San Vicente 2 SMR--Seguridad informtica Tema 1

1.10 Ejercicios de comprobacin

1. Asocia las siguientes amenazas con la seguridad lgica y la seguridad fsica.
a) Terremoto
b) Subida de tensin
c) Virus informtico
d) Hacker
e) Incendio fortuito
f) Borrado de informacin importante
2. Asocia las siguientes medidas de seguridad con la seguridad activa o pasiva.
a) Antivirus
b) Uso de contraseas
c) Copias de seguridad
d) Climatizadores en el CPD
e) Uso de redundancia de discos
f) Cmaras de seguridad
g) Cortafuegos
3. Describe los medios de seguridad activa y pasiva que hay en el aula
4. Ordena de mayor a menor seguridad los siguientes formatos de claves.
a) Claves con slo nmeros
b) Claves con nmeros, letras maysculas y letras minsculas
c) Claves con nmeros, letras maysculas, letras minsculas y otros caracteres
d) Claves con nmeros y letras minsculas
e) Claves con slo letras minsculas
5. Busca en Internet las claves ms comnmente usadas.
6. Decides montar una empresa en Internet que se va a dedicar a ofrecer un disco duro on-line.
Necesitas de cada usuario: nombre, telfono y direccin de correo electrnico. En qu
afectar estos datos a la formacin de tu empresa? Qu medidas de seguridad tendrs que
tomar cuando almacenas esta informacin?
1.11 Bibliografa:
Costas Santos, Jess Seguridad informtica Editorial RA-MA
Garca-Cervign Hurtado, Alfonso et al. Seguridad informtica Editorial Paraninfo
Seoane Ruano, Csar et al. Seguridad informtica Editorial McGraw- Hill
Aplicacin de la ley de proteccin de datos:
https://www.agpd.es/portalwebAGPD/canalresponsable/obligaciones/medidas_seguridad/index-
ides-idphp.php
Oficina de seguridad del internauta: https://www.osi.es/es/contrasenas

Pg.10