Este temario no se imprime
El temario de LaPlazaFija se estudia en la web, sección a sección, con tu progreso al lado. Si quieres practicar en papel, usa el cuadernillo de Simulacros oficiales: está hecho para imprimirse, con el formato del examen real.
E24
Seguridad en redes
SEG
Principios de seguridad y tipos de ataque, cortafuegos, IDS/IPS y SIEM, perímetro y DMZ, VPN con IPsec y TLS, y ataques web como inyección SQL o XSS.
En este tema · 10 secciones
- Objetivos
- Sección 1 · Principios y tipos de ataques
- Sección 2 · Herramientas de prevención y defensa
- Sección 3 · Seguridad perimetral y cortafuegos
- Sección 4 · Redes Privadas Virtuales (VPN)
- Sección 5 · Seguridad de aplicación y servicios web
- Errores frecuentes
- Resumen exprés
- Esquema de repaso
- Mapa mental del tema
Objetivos
📌 Aviso del tema. Normativa vigente hoy. El Esquema Nacional de Seguridad sigue siendo el Real Decreto 311/2022. Para el examen, la DMZ se considera menos segura que la red interna pero más segura que la externa.
Al terminar este tema sabrás: (1) manejar los principios de la seguridad (CIA) y clasificar los tipos de ataque (a la red, al host y a las aplicaciones); (2) enumerar las herramientas de prevención (cortafuegos, IDS/IPS, antivirus, SIEM) y las medidas de hardening; (3) diseñar una seguridad perimetral con cortafuegos y DMZ; (4) explicar las VPN (IPsec y TLS, sitio a sitio y acceso remoto); y (5) reconocer los ataques a servicios web (inyección SQL, XSS, CSRF) y sus defensas, incluida la seguridad en el nivel de aplicación.
⚠ Cae en examen. E24 pesa un 6,3% del teórico y cae en el práctico con escenarios ("un usuario recibe un correo sospechoso…", "hay que dar acceso remoto seguro…"). Mezcla memorísticos (siglas: VPN, DMZ, WAF, IDS/IPS, DDoS) con conceptuales (qué ataque es cada uno, qué defensa aplicar).
Sección 1 · Principios y tipos de ataques
1.1 La tríada CIA y conceptos base
La seguridad de la información persigue tres propiedades (CIA):
- Confidencialidad: solo acceden los autorizados (cifrado, control de acceso).
- Integridad: los datos no se alteran sin autorización (hash, firma digital).
- Disponibilidad: el servicio está accesible cuando se necesita (redundancia, anti-DDoS).
Se completan con autenticación (verificar identidad), autorización (qué puede hacer), no repudio (no negar una acción) y trazabilidad/auditoría. Conceptos: amenaza (peligro potencial), vulnerabilidad (debilidad), riesgo (probabilidad × impacto), exploit (código que aprovecha una vulnerabilidad).
1.2 Malware (código malicioso)
| Tipo | Rasgo distintivo |
|---|---|
| Virus | Se adhiere a un archivo/programa y suele necesitar que se ejecute (no siempre una acción manual del usuario) |
| Gusano (worm) | Se propaga solo por la red, sin intervención del usuario |
| Troyano | Se disfraza de software legítimo; con frecuencia abre una puerta trasera (no siempre) |
| Ransomware | Cifra los datos y pide rescate |
| Spyware / keylogger | Espía la actividad y roba información (pulsaciones) |
| Rootkit | Se oculta en el sistema para mantener el control con privilegios |
| Botnet | Red de equipos "zombis" controlados para ataques masivos (p. ej. DDoS) |
1.3 Ataques a la red y de ingeniería social
- DoS / DDoS (denegación de servicio / distribuida): saturan un servicio; el DDoS procede de muchos orígenes (habitualmente una botnet, aunque también puede lograrse con reflexión y amplificación sin ella). El DoS no se define por un origen único. Ataca la disponibilidad.
- Man-in-the-Middle (MITM): el atacante se interpone en la comunicación (p. ej. ARP spoofing, rogue AP) para escuchar o alterar.
- Spoofing: falsear una identidad (IP, MAC, DNS, correo).
- Sniffing: capturar tráfico (efectivo si no está cifrado; con tráfico cifrado aún revela metadatos; no es intrínsecamente un ataque: también sirve para diagnóstico).
- Phishing (y spear phishing, smishing, vishing): ingeniería social para engañar al usuario y robar credenciales. El usuario suele ser un blanco fácil, aunque decir «el eslabón más débil» simplifica fallos organizativos y de diseño.
- Fuerza bruta / diccionario: probar contraseñas hasta acertar.
- Ataque de día cero (zero-day): explota una vulnerabilidad desconocida por el fabricante (sin parche aún; no equivale a cualquier vulnerabilidad sin parche: se define por el conocimiento y la ventana de explotación).
💡 Ejemplo (estilo escenario real). "Un usuario informa de un correo que pide validar la contraseña en un enlace externo": es phishing. Respuesta correcta = no pinchar, verificar el remitente y reportar; nunca introducir credenciales.
⚠ Cae en examen. Distinguir virus (necesita ejecución) de gusano (se propaga solo); DoS (un origen) de DDoS (muchos, botnet); y reconocer el phishing como ingeniería social. Ransomware = cifra y pide rescate (también puede extorsionar por exfiltración sin cifrar).
Sigue leyendo cuando abramos
Apúntate a la lista de espera y te avisamos en cuanto abramos: podrás leer los temas de muestra completos, guardar tu progreso y entrenar con tests del formato real. Te quedan 8 secciones de este tema por delante.