Seguridad en redes: VPN, perimetral y puesto de usuario — Cuerpo de Técnicos Auxiliares de Informática de la Administración del Estado
Test de 32 preguntas con explicaciones justificadas.
Pregunta 1: ¿Qué tipo de cortafuegos toma decisiones basándose únicamente en información de cabecera como direcciones IP y puertos, sin analizar el estado de la conexión?
- A) Cortafuegos stateful
- B) Cortafuegos de aplicación
- C) Cortafuegos de filtrado de paquetes (packet filtering)
- D) Cortafuegos de próxima generación (NGFW)
El filtrado de paquetes (packet filtering) opera en las capas 3 y 4 del modelo OSI, evaluando cada paquete de forma aislada según reglas predefinidas basadas en direcciones IP, puertos y protocolos, sin mantener información del estado de la conexión.
Pregunta 2: ¿Qué protocolo VPN utiliza SSL/TLS para crear un túnel seguro y suele implementarse a través de un navegador web?
- A) IPsec
- B) WireGuard
- C) OpenVPN
- D) VPN SSL/TLS (o VPN web)
Las VPN SSL/TLS (también llamadas VPN web) utilizan el protocolo SSL/TLS, que opera en la capa de sesión/presentación del modelo OSI, para crear un túnel seguro. Suelen requerir solo un navegador web, sin necesidad de software cliente específico en muchos casos.
Pregunta 3: Un sistema IDS (Sistema de Detección de Intrusiones) tiene como función principal:
- A) Bloquear automáticamente el tráfico malicioso.
- B) Monitorizar y alertar sobre actividades sospechosas.
- C) Encriptar el tráfico de la red.
- D) Ocultar las direcciones IP internas.
Un IDS (Intrusion Detection System) es un sistema pasivo que monitoriza el tráfico de red o la actividad del sistema, detecta patrones de ataque o anomalías y genera alertas o registros. No bloquea el tráfico por sí mismo; esa es función de un IPS.
Pregunta 4: ¿Qué componente de seguridad en el endpoint se centra en detectar, investigar y responder a amenazas avanzadas mediante el análisis de comportamiento?
- A) Antivirus tradicional basado en firmas
- B) Cortafuegos personal de Windows
- C) Endpoint Detection and Response (EDR)
- D) Gestor de contraseñas
EDR (Endpoint Detection and Response) es una solución de seguridad que va más allá del antivirus tradicional. Monitoriza continuamente los endpoints, recopila datos, utiliza análisis de comportamiento y machine learning para detectar amenazas avanzadas y permite una respuesta rápida a incidentes.
Pregunta 5: En el protocolo IPsec, ¿qué componente proporciona confidencialidad, autenticidad e integridad de los datos?
- A) AH (Authentication Header)
- B) IKE (Internet Key Exchange)
- C) ESP (Encapsulating Security Payload)
- D) L2TP (Layer 2 Tunneling Protocol)
ESP (Encapsulating Security Payload) es un componente de IPsec que opera en la capa de red (capa 3) del modelo OSI. Proporciona confidencialidad mediante cifrado, autenticidad e integridad de los datos. AH solo proporciona autenticidad e integridad, sin cifrado.
Pregunta 6: ¿Qué característica define principalmente a un cortafuegos de próxima generación (NGFW)?
- A) Filtrado basado únicamente en direcciones IP.
- B) Inspección profunda de paquetes (DPI) y conciencia de aplicaciones.
- C) Incapacidad para manejar conexiones cifradas.
- D) Funcionamiento exclusivamente en la capa 2 del modelo OSI.
Los NGFW (Next-Generation Firewall) incorporan funcionalidades avanzadas como Inspección Profunda de Paquetes (DPI), que permite analizar el contenido del tráfico, y conciencia de aplicaciones (Application Awareness), identificando y controlando aplicaciones independientemente del puerto utilizado.
Pregunta 7: Un proxy inverso (reverse proxy) se utiliza típicamente para:
- A) Permitir a los usuarios internos navegar por Internet de forma anónima.
- B) Cachear contenido y balancear carga para servidores web internos.
- C) Analizar el tráfico saliente en busca de malware.
- D) Establecer túneles VPN con otras organizaciones.
Un proxy inverso se sitúa frente a uno o más servidores backend (como servidores web). Recibe peticiones de clientes externos y las reenvía a los servidores apropiados. Sus funciones incluyen balanceo de carga, terminación SSL, cacheo de contenido y protección de la infraestructura backend.
Pregunta 8: ¿Qué protocolo VPN moderno destaca por su simplicidad, alto rendimiento y código base mínimo, utilizando criptografía de última generación?
- A) PPTP
- B) IPsec
- C) OpenVPN
- D) WireGuard
WireGuard es un protocolo VPN moderno que opera en la capa 3 (IP). Se caracteriza por su código base extremadamente pequeño y auditado, su simplicidad de configuración, alto rendimiento y uso de criptografía moderna como Curve25519, ChaCha20 y Poly1305.
Pregunta 9: La autenticación multifactor (MFA) requiere al menos dos elementos de diferentes categorías. ¿Cuál de los siguientes NO es una categoría válida para MFA?
- A) Algo que sabes (ej: contraseña).
- B) Algo que tienes (ej: token).
- C) Algo que eres (ej: huella dactilar).
- D) Algo que compartes (ej: enlace público).
Los factores de autenticación comúnmente aceptados para MFA son: Algo que sabes (conocimiento, como una contraseña), Algo que tienes (posesión, como un token o teléfono) y Algo que eres (inherencia, como una huella dactilar). 'Algo que compartes' no es un factor reconocido.
Pregunta 10: ¿Qué tecnología de seguridad perimetral puede tomar acciones automáticas para bloquear tráfico malicioso identificado?
- A) IDS basado en red (NIDS).
- B) Sistema de Prevención de Intrusiones (IPS).
- C) Proxy web tradicional.
- D) VPN de sitio a sitio.
Un IPS (Intrusion Prevention System) es un sistema activo que, además de detectar actividades maliciosas o violaciones de políticas (como un IDS), puede tomar acciones automáticas para bloquear o prevenir el tráfico ofensivo, como descartar paquetes o resetear conexiones.
Pregunta 11: En la gestión de parches (patch management), ¿qué se entiende por 'ventana de mantenimiento'?
- A) El tiempo que tarda un parche en ser desarrollado por el fabricante.
- B) El período durante el cual un parche está disponible para su descarga.
- C) El intervalo de tiempo planificado para aplicar actualizaciones con mínimo impacto.
- D) La vulnerabilidad que corrige un parche específico.
En la gestión de parches, una 'ventana de mantenimiento' es un período de tiempo planificado, a menudo fuera del horario de mayor actividad, durante el cual se realizan tareas de mantenimiento como la aplicación de parches, con el objetivo de minimizar las interrupciones en los servicios y la productividad.
Pregunta 12: ¿Qué tipo de cortafuegos mantiene una tabla de estado para realizar un seguimiento de las conexiones activas y permitir el tráfico de retorno asociado?
- A) Cortafuegos de filtrado de paquetes sin estado (stateless).
- B) Cortafuegos stateful.
- C) Cortafuegos de aplicación.
- D) Proxy de circuito.
Un cortafuegos stateful (con estado) mantiene una tabla de estado donde registra información sobre las conexiones establecidas (direcciones IP, puertos, números de secuencia TCP, etc.). Esto le permite permitir de forma inteligente el tráfico de retorno correspondiente a conexiones iniciadas desde dentro de la red protegida.
Pregunta 13: OpenVPN es un protocolo de VPN que comúnmente utiliza:
- A) Exclusivamente el modo transporte de IPsec.
- B) Un túnel SSL/TLS sobre UDP o TCP.
- C) Solo el protocolo L2TP para la encapsulación.
- D) Criptografía propietaria no auditada.
OpenVPN es un protocolo VPN de código abierto que crea un túnel seguro utilizando bibliotecas SSL/TLS para el intercambio de claves y la autenticación. Puede funcionar sobre UDP (por defecto) o TCP, y encapsula el tráfico dentro de un protocolo propio.
Pregunta 14: Un antivirus que solo detecta malware comparando archivos con una base de datos de firmas conocidas se denomina:
- A) Antivirus heurístico.
- B) Antivirus basado en comportamiento.
- C) Antivirus basado en firmas (signature-based).
- D) Sistema EDR.
El antivirus basado en firmas (signature-based) es el tipo tradicional. Funciona comparando el código de los archivos con una base de datos de firmas (patrones digitales) de malware conocido. Es efectivo contra amenazas conocidas pero no contra malware nuevo o desconocido (zero-day).
Pregunta 15: ¿Cuál es el propósito principal de un servidor proxy web para una organización?
- A) Crear túneles VPN entre oficinas remotas.
- B) Actuar como intermediario para solicitudes web de los usuarios, permitiendo control de acceso y cacheo.
- C) Bloquear ataques de denegación de servicio a nivel de red.
- D) Encriptar todo el tráfico de correo electrónico.
Un proxy web actúa como intermediario entre los usuarios internos e Internet. Sus funciones principales incluyen controlar el acceso (filtrando por URL o contenido), mejorar el rendimiento mediante cacheo de páginas web, y anonimizar las solicitudes ocultando las IPs originales de los usuarios.
Pregunta 16: En el contexto de IPsec, el protocolo IKE (Internet Key Exchange) se utiliza principalmente para:
- A) Cifrar el payload de los datos.
- B) Autenticar y garantizar la integridad de los paquetes.
- C) Negociar y establecer asociaciones de seguridad (SA) de forma segura.
- D) Encapsular paquetes GRE.
IKE (Internet Key Exchange) es un protocolo utilizado por IPsec para el establecimiento mutuo de asociaciones de seguridad (SA) de forma segura. Automatiza la negociación de parámetros criptográficos (algoritmos, claves) y la autenticación entre los pares antes de que se utilicen los protocolos AH o ESP.
Pregunta 17: Una política de contraseñas robusta debe incluir, entre otras medidas:
- A) Contraseñas cortas y fáciles de recordar.
- B) Uso exclusivo de letras minúsculas.
- C) Longitud mínima y complejidad (mezcla de caracteres).
- D) Cambio de contraseña cada 24 horas.
Una política de contraseñas robusta recomienda contraseñas largas (mínimo 12-15 caracteres) y complejas, que combinen letras mayúsculas y minúsculas, números y símbolos. También se recomienda evitar palabras comunes y no forzar cambios demasiado frecuentes si no es necesario, para favorecer la memorización de contraseñas seguras.
Pregunta 18: ¿Qué tipo de sistema de detección de intrusiones (IDS) se instala directamente en un host o endpoint para monitorizar su actividad?
- A) NIDS (Network-based IDS).
- B) HIDS (Host-based IDS).
- C) IPS (Intrusion Prevention System).
- D) Firewall de aplicación.
Un HIDS (Host-based Intrusion Detection System) se instala y ejecuta en hosts o endpoints individuales (servidores, estaciones de trabajo). Monitoriza la actividad del sistema, como llamadas al sistema, logs, integridad de archivos y procesos, para detectar intrusiones o actividades maliciosas locales.
Pregunta 19: El protocolo IPsec puede operar en dos modos principales. ¿En cuál se cifra/autentica solo el payload (datos) del paquete IP original?
- A) Modo transporte (Transport Mode).
- B) Modo túnel (Tunnel Mode).
- C) Modo cliente-servidor.
- D) Modo datagrama.
En el modo transporte de IPsec, solo el payload (la parte de datos) del paquete IP original es cifrado y/o autenticado. El encabezado IP original permanece intacto. Este modo es típico para comunicaciones host-a-host. En el modo túnel, se encapsula y protege el paquete IP completo.
Pregunta 20: ¿Qué función NO es característica de un cortafuegos de próxima generación (NGFW)?
- A) Filtrado de paquetes stateful.
- B) Inspección profunda de paquetes (DPI).
- C) Conciencia de aplicaciones (Application Awareness).
- D) Asignación dinámica de direcciones IP (DHCP).
Un NGFW integra capacidades tradicionales de cortafuegos stateful con funciones avanzadas como DPI, control de aplicaciones, filtrado basado en identidad del usuario e integración con IPS. La asignación dinámica de IPs (DHCP) es una función de un servidor de red, no una característica definitoria de un NGFW.
Pregunta 21: La técnica de 'sandboxing' en seguridad del endpoint se refiere a:
- A) Almacenar copias de seguridad en un entorno aislado.
- B) Ejecutar aplicaciones sospechosas en un entorno aislado y controlado para análisis.
- C) Bloquear todas las conexiones de red salientes.
- D) Encriptar todo el disco duro del equipo.
El sandboxing (aislamiento en caja de arena) es una técnica de seguridad que ejecuta código o abre archivos en un entorno virtual aislado y controlado, separado del sistema operativo principal. Esto permite analizar el comportamiento de software sospechoso sin riesgo de infección del sistema real.
Pregunta 22: ¿Qué elemento es esencial en la arquitectura de una VPN de sitio a sitio?
- A) Un servidor proxy en cada extremo.
- B) Un dispositivo de seguridad (como un firewall) en cada sede que establezca el túnel.
- C) Un único servidor DNS centralizado.
- D) Un switch de capa 2 en la red perimetral.
Una VPN de sitio a sitio conecta redes completas (por ejemplo, dos oficinas). Su arquitectura requiere típicamente un dispositivo de seguridad (como un firewall, router o dispositivo VPN dedicado) en cada sede que sea capaz de establecer y mantener el túnel cifrado entre ellas, protegiendo todo el tráfico inter-sitio.
Pregunta 23: Un ataque de 'zero-day' se refiere a una vulnerabilidad:
- A) Que se explota antes de que el fabricante lance un parche o solución.
- B) Que solo afecta a sistemas con fecha configurada en cero.
- C) Que es detectada y parada por un IDS basado en firmas.
- D) Relacionada exclusivamente con el sistema operativo Windows.
Una vulnerabilidad 'zero-day' (día cero) es una debilidad de software desconocida para el fabricante o para la que aún no se ha desarrollado y distribuido un parche. Los ataques que la explotan (zero-day exploits) son especialmente peligrosos porque no hay defensas específicas disponibles al momento del ataque.
Pregunta 24: ¿Qué ventaja ofrece WireGuard frente a IPsec en términos de configuración?
- A) Requiere una configuración más compleja y con más opciones.
- B) Utiliza un único puerto UDP fijo y tiene una configuración mucho más sencilla.
- C) Necesita certificados X.509 complejos para funcionar.
- D) Requiere múltiples puertos TCP abiertos en el firewall.
WireGuard se destaca por su simplicidad de configuración. Utiliza un solo puerto UDP (por defecto el 51820) y los archivos de configuración son mucho más pequeños y legibles que las complejas políticas y conexiones de IPsec. Suele utilizar pares de claves públicas/privadas en lugar de certificados PKI complejos.
Pregunta 25: ¿Cuál es la diferencia fundamental entre un proxy directo (forward proxy) y un proxy inverso (reverse proxy)?
- A) El proxy directo cachea contenido, el inverso no.
- B) El proxy directo representa a clientes internos ante servidores externos, el inverso representa a servidores internos ante clientes externos.
- C) El proxy inverso solo funciona con protocolo HTTP, el directo con cualquier protocolo.
- D) No hay diferencia, son términos sinónimos.
Un proxy directo (forward proxy) actúa en nombre de los clientes internos para acceder a servidores externos (por ejemplo, Internet). Un proxy inverso (reverse proxy) actúa en nombre de servidores internos (por ejemplo, servidores web) para atender solicitudes de clientes externos. Sus roles y posiciones en la red son opuestos.
Pregunta 26: En la jerarquía de reglas de un cortafuegos, ¿qué principio general se suele seguir para garantizar la seguridad?
- A) Permitir todo el tráfico y denegar excepciones específicas.
- B) Denegar todo el tráfico y permitir solo lo estrictamente necesario.
- C) Las reglas se aplican en orden alfabético.
- D) Solo se deben configurar reglas para el tráfico UDP.
El principio de 'denegar todo y permitir lo específico' (default deny) es una práctica fundamental en seguridad perimetral. Consiste en establecer una política por defecto que bloquee todo el tráfico y luego crear reglas explícitas que permitan solo el tráfico necesario para los servicios autorizados. Esto minimiza la superficie de ataque.
Pregunta 27: El concepto de 'segmentación de red' contribuye a la seguridad porque:
- A) Aumenta la velocidad global de la red.
- B) Permite que todos los dispositivos se comuniquen libremente entre sí.
- C) Limita el alcance de un posible compromiso aislando segmentos de red.
- D) Elimina la necesidad de cortafuegos.
La segmentación de red consiste en dividir una red en subredes o segmentos más pequeños (por función, departamento, nivel de sensibilidad). Esto mejora la seguridad al contener posibles brechas; si un segmento es comprometido, el atacante tiene más dificultad para moverse lateralmente hacia otros segmentos críticos.
Pregunta 28: ¿Qué componente de IPsec proporciona autenticación e integridad de los datos pero NO confidencialidad (cifrado)?
- A) ESP (Encapsulating Security Payload).
- B) IKEv2 (Internet Key Exchange version 2).
- C) AH (Authentication Header).
- D) ISAKMP (Internet Security Association and Key Management Protocol).
AH (Authentication Header) es un protocolo de IPsec que proporciona autenticación de origen e integridad de los datos (mediante hashes criptográficos), pero NO proporciona confidencialidad (cifrado). ESP puede proporcionar autenticidad, integridad Y confidencialidad.
Pregunta 29: Un ataque de 'phishing' tiene como objetivo principal:
- A) Saturar un servidor con peticiones hasta que deje de funcionar.
- B) Engañar a los usuarios para que revelen información sensible como credenciales.
- C) Explotar una vulnerabilidad de desbordamiento de búfer en un software.
- D) Interceptar comunicación cifrada mediante fuerza bruta.
El phishing es una técnica de ingeniería social cuyo objetivo es engañar a los usuarios para que revelen información confidencial, como nombres de usuario, contraseñas o detalles de tarjetas de crédito, a menudo mediante correos electrónicos o sitios web fraudulentos que imitan entidades legítimas.
Pregunta 30: En el modelo de seguridad 'defensa en profundidad', se busca:
- A) Confiarse en un único y robusto cortafuegos perimetral.
- B) Implementar múltiples capas de controles de seguridad para proteger los activos.
- C) Priorizar la seguridad física sobre la lógica.
- D) Delegar toda la seguridad en el departamento de TI.
La 'defensa en profundidad' (defense in depth) es una estrategia que emplea múltiples capas de controles de seguridad (física, perimetral, de red, de host, de aplicación, de datos) superpuestas. Si una capa falla, otras capas posteriores proporcionan protección adicional, mitigando el riesgo de un único punto de fallo.
Pregunta 31: ¿Qué función cumple un servidor de actualizaciones (WSUS, por ejemplo) en la gestión de parches de una organización?
- A) Escanea las estaciones de trabajo en busca de malware.
- B) Centraliza la descarga y distribución de parches desde los fabricantes a los equipos internos.
- C) Reemplaza automáticamente el hardware obsoleto.
- D) Cifra las comunicaciones entre el usuario y los servidores de Microsoft.
Un servidor de actualizaciones (como WSUS de Microsoft) permite a las organizaciones centralizar la gestión de parches. Descarga las actualizaciones una vez desde Internet, las aprueba de forma controlada y luego las distribuye a los equipos de la red interna. Esto optimiza el ancho de banda y permite un despliegue controlado y probado.
Pregunta 32: ¿Cuál de las siguientes opciones describe mejor la función de un IPS basado en red (NIPS)?
- A) Monitoriza el tráfico en un segmento de red y puede generar alertas.
- B) Analiza los logs de un único servidor en busca de actividades sospechosas.
- C) Inspecciona el tráfico en tiempo real y puede bloquear activamente ataques.
- D) Proporciona un túnel cifrado entre dos redes remotas.
Un NIPS (Network-based Intrusion Prevention System) es un dispositivo de seguridad activo que se despliega en línea dentro del flujo de tráfico de red. Inspecciona el tráfico en tiempo real, compara los paquetes con firmas de ataques o anomalías, y puede tomar acciones automáticas para bloquear o mitigar las amenazas detectadas.