INFOTEP Técnico en Ciberseguridad cheat sheet

La tríada CIA: Confidencialidad (solo acceden autorizados), Integridad (dato exacto y completo) y Disponibilidad (accesible cuando se requiere). Un control puede reforzar una y degradar otra; se evalúa el equilibrio.

Confidencialidad se vulnera por divulgación; Integridad por alteración no autorizada; Disponibilidad por destrucción, ransomware o caída del servicio. Clasificar el incidente por el pilar afectado orienta la respuesta.

Autenticación prueba identidad (algo que sabes, tienes o eres); autorización decide permisos; auditoría registra acciones. Son tres pasos distintos: un usuario autenticado puede no estar autorizado.

Principio de mínimo privilegio: cada sujeto recibe solo los permisos necesarios para su función y por el tiempo necesario. Reduce la superficie de ataque y el impacto de una cuenta comprometida.

Defensa en profundidad: capas independientes (perímetro, red, host, aplicación, datos). El fallo de una capa no debe comprometer el sistema completo.

Amenaza, vulnerabilidad y riesgo no son sinónimos: amenaza es el agente o evento; vulnerabilidad es la debilidad explotable; riesgo es la probabilidad de que la amenaza explote la vulnerabilidad por el impacto.

Seguridad de la información cubre todo formato (papel, verbal, digital); ciberseguridad se centra en sistemas y redes. La ciberseguridad es un subconjunto de la seguridad de la información.

No repudio: el emisor no puede negar haber enviado un mensaje. Se logra con firmas digitales y registros íntegros con sello de tiempo.

Modelo OSI y cortafuegos: capa 3 filtra por IP; capa 4 por puerto y protocolo; capa 7 (WAF) inspecciona contenido HTTP. Elegir la capa define qué ataques se bloquean.

DMZ: segmento entre red interna e Internet que aloja servicios públicos (web, correo). Si se compromete, el atacante no accede directamente a la red interna.

VPN: túnel cifrado sobre red no confiable. IPsec opera en capa 3 (modo túnel para sitio a sitio); TLS/SSL VPN en capa 4-7 para acceso remoto de usuarios.

IDS detecta y alerta (pasivo); IPS detecta y bloquea en línea (activo). Un IPS mal ajustado puede generar falsos positivos que corten tráfico legítimo.

Segmentación VLAN: separa dominios de difusión y limita el movimiento lateral. Requiere control de routing entre VLAN para aplicar políticas.

Ataque DDoS volumétrico satura ancho de banda; el de agotamiento de estado consume tablas de conexión (SYN flood). Mitigación: scrubbing, rate limiting y anycast.

Hardening de sistemas: deshabilitar servicios y puertos no usados, aplicar parches, cuentas sin privilegios por defecto, contraseñas robustas y registro de eventos centralizado.

Wi-Fi: WPA2/WPA3 con AES-CCMP; WEP y WPA-TKIP son obsoletos e inseguros. Ocultar el SSID no es un control de seguridad; el filtrado MAC es evadible.

Riesgo = Probabilidad × Impacto. El riesgo residual es el que queda tras aplicar controles; el riesgo inherente es el previo a controles.

Tratamiento del riesgo: mitigar (reducir), transferir (seguro, contrato), evitar (cesar la actividad) y aceptar (asumir con aprobación formal).

Controles preventivos evitan el evento; detectivos lo identifican; correctivos lo remedian. Un control sin dueño ni métrica no es verificable.

ISO/IEC 27001 define requisitos del SGSI; ISO/IEC 27002 es guía de controles; ISO 31000 orienta la gestión de riesgos. No son certificables de la misma forma.

Análisis de riesgo cualitativo usa escalas (alto/medio/bajo); cuantitativo usa valores monetarios (ALE = SLE × ARO; SLE = valor del activo × factor de exposición).

Registro de riesgos: activo afectado, amenaza, vulnerabilidad, probabilidad, impacto, nivel, control existente, tratamiento, responsable y fecha de revisión.

Los controles de acceso lógico incluyen MFA, RBAC y revisión periódica de permisos; los físicos incluyen control de acceso a instalaciones y protección ambiental.

Continuidad del negocio: RTO es el tiempo máximo de interrupción tolerado; RPO es la pérdida máxima de datos aceptable. Definen la estrategia de respaldo y recuperación.

OWASP Top 10: inyección SQL, autenticación rota, exposición de datos sensibles, XXE, control de acceso roto, mala configuración, XSS, deserialización insegura, componentes vulnerables y registro insuficiente.

Inyección SQL se previene con consultas parametrizadas y procedimientos almacenados, no con escapar caracteres. Validar la entrada no sustituye la separación de código y datos.

XSS: reflejado (en la respuesta inmediata), almacenado (persiste en servidor) y DOM. Mitigación: codificar la salida según contexto y Content Security Policy.

CSRF se mitiga con tokens anti-CSRF por sesión, cookies SameSite y verificación de origen; no basta con exigir autenticación.

Cifrado en reposo (AES-256) y en tránsito (TLS 1.2/1.3). El hash de contraseñas usa bcrypt, scrypt o Argon2 con sal; MD5 y SHA-1 no son adecuados.

Cifrado simétrico usa una sola clave (rápido, AES); asimétrico usa par público/privado (RSA, ECC) para intercambio de claves y firmas. TLS combina ambos.

Minimización de datos y retención definida: recoger solo lo necesario, almacenar el tiempo requerido y eliminar de forma segura.

SDLC seguro: modelado de amenazas en diseño, revisión de código, pruebas de seguridad (SAST, DAST) y gestión de dependencias vulnerables.

Fases de respuesta: preparación, identificación, contención, erradicación, recuperación y lecciones aprendidas. La contención puede ser inmediata (aislar) o escalonada.

Preservación de evidencia: orden de volatilidad (memoria, conexiones, procesos, disco, respaldos). Documentar cadena de custodia con hash para integridad.

Un incidente es un evento confirmado que afecta la seguridad; un evento es cualquier suceso observable; un falso positivo es una alerta sin incidente real.

Notificación de brechas: los marcos legales exigen plazos y canales definidos (por ejemplo, autoridades de protección de datos). Verificar la norma aplicable al sector y país.

Ética profesional: confidencialidad de la información, consentimiento para pruebas de penetración, alcance autorizado por escrito y divulgación responsable de vulnerabilidades.

Las pruebas de seguridad sin autorización pueden constituir delito informático, aunque no haya daño. El alcance y la autorización escrita son condición previa.

Datos personales: principios de licitud, finalidad, proporcionalidad y seguridad. El responsable del tratamiento define fines; el encargado los ejecuta por cuenta ajena.

Informe post-incidente: causa raíz, línea de tiempo, impacto, acciones correctivas y responsables con fechas. Sin lecciones aprendidas el ciclo no se cierra.

Tríada CIA: confidencialidad, integridad y disponibilidad.

Confidencialidad: solo acceden personas autorizadas.

Integridad: el dato no se altera sin autorización.

Disponibilidad: el servicio está operativo cuando se necesita.

Autenticación: verificar la identidad declarada.

Autorización: conceder permisos tras autenticar.

Mínimo privilegio: solo permisos necesarios.

Defensa en profundidad: capas independientes de control.

DMZ: zona con servicios públicos aislada.

IDS: detecta y alerta sin bloquear.

IPS: detecta y bloquea en línea.

VPN: túnel cifrado sobre red no confiable.

VLAN: segmenta la red lógicamente.

DDoS: satura recursos para negar servicio.

Hardening: reducir superficie de ataque.

WPA3: cifrado inalámbrico actual recomendado.

Riesgo: probabilidad por impacto.

Riesgo residual: el que queda tras controles.

Mitigar: reducir el riesgo con controles.

Transferir: trasladar el riesgo a un tercero.

Aceptar: asumir el riesgo formalmente.

Control preventivo: evita que ocurra el evento.

Control detectivo: identifica el evento ocurrido.

RTO y RPO: objetivos de recuperación.

Inyección SQL: se evita con consultas parametrizadas.

XSS: se mitiga codificando la salida.

CSRF: se mitiga con tokens y SameSite.

Hash de contraseñas: bcrypt, scrypt o Argon2.

Cifrado simétrico: una sola clave compartida.

Cifrado asimétrico: par de claves pública y privada.

TLS: protege datos en tránsito.

Minimización de datos: recoger solo lo necesario.

Contención: limitar el alcance del incidente.

Erradicación: eliminar la causa del incidente.

Cadena de custodia: registro íntegro de la evidencia.

Orden de volatilidad: primero la memoria.

Incidente: evento confirmado con impacto.

Divulgación responsable: reportar sin exponer.

Autorización escrita: requisito para pruebas.

Lecciones aprendidas: cierre del ciclo de respuesta.