PREGUNTAS

1. Explique los tres atributos más importantes de la información

Confidencialidad, Disponibilidad, Integridad

2. Explique las diferencias entre norma de seguridad y política de seguridad

Norma de Seguridad: Es el conjunto de lineamientos, recomendaciones y reglas que dan respaldo a las “políticas de seguridad”.

Políticas de Seguridad: Son el canal formal de actuación de los usuarios respecto de los servicios informáticos de la compañía, resguardando la seguridad de la información.

3. Explique brevemente las normas de seguridad PCI-DSS, SOX y COBIT

PCI-DSS: Su objetivo es prevenir el fraude con tarjetas de crédito.

SOX: Busca monitorear las transacciones financieras de todas aquellas compañías que transan en bolsa.

COBIT: Su fin es proporcionar objetivos de control para las Tecnologías de Información que puedan ser gestionados y auditados en función del nivel de seguridad que requieran los activos de información de la compañía.

4. Explique qué es un SGSI y cada una de sus fases

Un SGSI (Sistema de Gestión de Seguridad de la Información) es un conjunto de políticas, procedimientos, directrices y recursos para gestionar la seguridad de la información de una organización. Su objetivo es resguardar los atributos de la información en el tiempo.

Fases de un SGSI:

  1. Planificar
  2. Ejecutar
  3. Revisar
  4. Actuar

5. Explique qué es riesgo en seguridad informática

El riesgo en seguridad informática es una acción posible que pueda causar la pérdida total o parcial de los atributos de la información (Confidencialidad, Disponibilidad e Integridad). Depende del posible daño que pueda producir.

6. ¿Cuál es la fórmula general de cálculo de riesgo? Explique cada uno de sus componentes

RIESGO = Amenaza * Vulnerabilidad * Impacto

  • Amenaza: Probabilidad de ocurrencia
  • Vulnerabilidad: Grado de exposición
  • Impacto: Valor del daño que se podría causar

7. Explique las diferencias entre la gestión de riesgos cuantitativa y cualitativa

Gestión de riesgos cuantitativa: Se puede medir en forma numérica.

Gestión de riesgos cualitativa: Se puede medir en forma conceptual (alto-medio-bajo).

8. Explique que es la gestión del riesgo y cada una de sus fases

La gestión del riesgo es el proceso de identificar, analizar, evaluar, tratar, monitorear y controlar los riesgos.

Fases de la gestión del riesgo:

  1. Identificación
  2. Análisis
  3. Planificación
  4. Monitoreo y Control

9. Explique la fórmula de cálculo de riesgo y cada una de sus partes

ARO (Annual Rate of Occurrence): Es el número de veces que ocurre un incidente en el plazo de un año.

SLE (Single Loss Expectancy): Es el costo en el que incurre la organización cuando se materializa el incidente.

ALE (Annual Loss Expectancy): Es el costo anual del riesgo y se obtiene de la siguiente fórmula: ALE = ARO * SLE

SLE = Valor del Activo * Factor de Exposición

10. Explique las diferencias entre autenticación y autorización

Autenticación: Proceso para validar la identidad de un usuario o dispositivo.

Autorización: Proceso a través del cual se permite al usuario acceder a ciertos recursos.

11. Explique el sistema de autenticación basado en roles

El sistema de autenticación basado en roles es un método que permite asignar permisos y accesos a los usuarios en función del rol que desempeñan dentro de la organización.

12. Explique qué es cifrado simétrico

El cifrado simétrico utiliza la misma llave para cifrar que para descifrar.

13. Explique qué es cifrado asimétrico

El cifrado asimétrico utiliza una llave para cifrar y otra distinta para descifrar.

14. Explique qué es un algoritmo de cifrado

Un algoritmo de cifrado es un conjunto de reglas matemáticas que se utilizan para cifrar y descifrar información. Los principales atributos que debe tener un algoritmo de cifrado, por el cual se basa su efectividad y uso son: Complejidad, Largo de llave, Eficiencia.

15. Explique que es una función unidireccional o HASH y ejemplifique su uso

Una función hash o función unidireccional es un algoritmo que transforma cualquier bloque de datos en una nueva serie de caracteres con una longitud fija. Las funciones hash son utilizadas, principalmente, para validar la integridad de un mensaje.

16. Explique qué es y cómo funciona la firma digital

La firma digital es un mecanismo criptográfico que permite asegurar la autenticidad e integridad de un documento electrónico. Su función principal es validar la identidad del emisor del mensaje.

Funcionamiento de la firma digital:

  1. Se obtiene el “digest” del mensaje.
  2. El “digest” es cifrado con la clave privada del usuario que envía el mensaje.
  3. El mensaje viaja junto al “digest” cifrado (firma digital).
  4. El receptor descifra la “firma digital” con la clave pública del usuario.
  5. Compara el “digest” obtenido con el enviado, si son iguales valida la firma.

17. Explique qué es y para qué se utiliza OpenSSL

OpenSSL es un proyecto de software libre basado en SSLeay, desarrollado por Eric Young y Tim Hudson.

Consiste en un robusto paquete de herramientas de administración y bibliotecas relacionadas con la criptografía, que suministran funciones criptográficas a otros paquetes como OpenSSH y navegadores web (para acceso seguro a sitios HTTPS).

Estas herramientas ayudan al sistema a implementar el Secure Sockets Layer (SSL), así como otros protocolos relacionados con la seguridad, como el Transport Layer Security (TLS). OpenSSL también permite crear certificados digitales que pueden aplicarse a un servidor, por ejemplo Apache.

18. Explique qué es PKI y cómo funciona

PKI (Public Key Infrastructure) o Infraestructura de Clave Pública es un conjunto de componentes (hardware, software, personas, políticas y procedimientos) necesarios para gestionar certificados digitales.

Este modelo está basado en el uso de “Certificados Digitales” cuyo principal objetivo es validar la identidad de usuarios.

19. Explique qué es VPN

VPN (Virtual Private Network) o Red Privada Virtual es una tecnología de red que permite crear una conexión segura a través de una red pública como Internet.

20. Explique qué es esteganografía

La esteganografía es una técnica que permite ocultar un archivo o aplicación en una imagen fotográfica o de video.

21. Explique qué es PGP y S/MIME

PGP (Pretty Good Privacy): Es un mecanismo de cifrado que permite aplicar técnicas de criptografía para archivos, directorios, correos electrónicos y firma digital.

S/MIME (Secure/Multipurpose Internet Mail Extensions): Es una técnica utilizada para cifrar y firmar correos electrónicos.

22. Explique qué es un respaldo y nombre sus tipos

Un respaldo es una copia de seguridad de los datos que se realiza para proteger la información ante cualquier riesgo de pérdida.

Tipos de respaldo:

  • Full
  • Incremental
  • Diferencial
  • Solo los datos
  • Solo el SO
  • Snapshots o copias instantáneas

23. Explique qué es ingeniería social

La ingeniería social es una técnica utilizada para obtener información confidencial a través del engaño de usuarios con privilegio.

24. Explique las diferentes técnicas de la ingeniería social

Técnicas de ingeniería social:

  • Técnicas pasivas
  • Técnicas no presenciales
  • Técnicas presenciales

25. Explique las principales amenazas a los sistemas operativos

Desbordamiento de búfer (Buffer Overflow): Ocurre cuando se excede la capacidad de memoria reservada para una variable y el sistema no tiene control sobre dicha variable. La principal consecuencia es la caída del sistema.

Puerta trasera (Backdoor): Programa que se instala en el Sistema Operativo, sin el consentimiento del usuario, que al ejecutarse levanta un servicio a través del cual el atacante puede tomar control remoto del servidor.

26. Explique 4 de las principales amenazas a las aplicaciones web

A1. Injection: Consiste en el envío de datos no autorizados a través de algún comando o consulta (formulario). El objetivo es obtener información sin los controles de acceso.

A2. Quiebre de sesión: Cuando los controles de autenticación no están implementados adecuadamente, es posible comprometer credenciales o sesiones para robar la identidad de un usuario válido.

A3. Cross Site Scripting (XSS): Consiste en la inyección de una URL no autorizada que es enviada a un cliente quien cree que es parte del sitio web original y a través de la cual es posible robar sus credenciales o redirigirlo a otro sitio.

A4. Insecure Direct Object References: Ocurre cuando un atacante puede acceder a objetos internos de la aplicación (archivos, bases de datos, etc.) manipulando las referencias directas a estos objetos en la URL o en otros parámetros de la solicitud.

27. Explique qué es la OWASP y su principal objetivo

OWASP (Open Web Application Security Project) es un proyecto de código abierto dedicado a determinar y combatir las causas que hacen que el software sea inseguro. Su principal objetivo es mejorar la seguridad de las aplicaciones web.

28. Explique qué es un SDLC

SDLC (Software Development Life Cycle) o Ciclo de Vida del Desarrollo de Software es un proceso lógico utilizado por un analista de sistemas para desarrollar un sistema de información, incluidos los requisitos, la validación, formación, como los usuarios (interesados) en la propiedad. Cualquier SDLC debe resultar en un sistema de alta calidad que cumple o excede las expectativas del cliente.

29. Explique qué es un control de seguridad técnico

Un control de seguridad técnico utiliza la tecnología como base para controlar el acceso y uso de datos confidenciales a través de una estructura física y sobre la red.

30. Explique las diferencias entre IPS e IDS

IDS (Intrusion Detection System): Dispositivo de seguridad para medir patrones de tráfico en base a un listado pre configurado.

IPS (Intrusion Prevention System): Similar al IDS, pero con la capacidad de bloquear el tráfico malicioso.

31. Explique qué es un control de seguridad físico

Un control de seguridad físico es la implementación de medidas de seguridad en una estructura definida usada para prevenir o detener el acceso no autorizado a material confidencial.

32. Explique qué es y cómo funciona un firewall

Un firewall es un dispositivo de seguridad de red que controla el tráfico de red entrante y saliente en función de reglas configuradas.

Su principal función es controlar el acceso a la red mediante reglas.

33. Explique qué es IPTABLES

Iptables es un poderoso firewall integrado en el kernel de Linux y que forma parte del proyecto netfilter. Iptables puede ser configurado directamente, como también por medio de un frontend o una GUI.

34. Explique qué es una DMZ y para qué se usa

DMZ (DeMilitarized Zone) o Zona de Seguridad Desmilitarizada es una red o zona de seguridad intermedia, a la cual solo es posible acceder a través de un firewall.

Usos de una DMZ:

  • Publicar servicios como DNS, servicios web, gateway de correo electrónico, etc.
  • Aplicar políticas de seguridad específicas de correo electrónico en el gateway, por ejemplo: AntiSpam, Anti-relay, Antivirus.
  • Aplicar seguridad al tráfico de salida, por ejemplo: Filtro de contenido, prevención de fuga de información.
  • Proteger la información de la red interna (bases de datos).

35. Explique qué es hardening de servidores

El hardening de servidores es el proceso de asegurar un sistema mediante la reducción de vulnerabilidades en el mismo. Esto se logra eliminando software, servicios, usuarios, etc. innecesarios en el sistema, así como cerrando puertos, etc.