Seguridad de redes y sistemas
Aquí se evalúa si el candidato entiende cómo viaja el tráfico, dónde se aplica cada control y por qué una arquitectura segmentada limita el daño de un compromiso.
Dónde vive cada control
- Firewall de red (stateful): filtra por IP, puerto y protocolo siguiendo el estado de la conexión; no inspecciona bien el contenido de aplicación.
- Proxy / WAF: capa de aplicación, filtra HTTP y HTTPS.
- IDS: detecta y alerta (pasivo, vía espejo o TAP). IPS: detecta y bloquea en línea.
- NAT: traduce direcciones; no es un control de seguridad.
- VPN IPsec (nivel de red) frente a TLS (aplicación); 802.1X con RADIUS controla el acceso a la red.
- Segmentación: VLAN, DMZ y subredes con ACL entre segmentos; su objetivo es contener el movimiento lateral.
Endurecimiento y servicios expuestos
Minimizar servicios y cuentas, deshabilitar puertos innecesarios, cambiar credenciales por defecto, parchear, centralizar registros (syslog/SIEM) y sincronizar la hora por NTP para que los logs sirvan en forense. Puertos a reconocer: 22 SSH, 53 DNS, 80/443 HTTP/HTTPS, 3389 RDP, 445 SMB; exponer 3389 o 445 a Internet es riesgo alto. En Wi-Fi, WPA2/WPA3 con AES-CCMP; WEP y TKIP están obsoletos; desactivar WPS; red de invitados separada.
Ataques frecuentes
Sniffing en redes sin cifrar, ARP spoofing y MITM, DNS spoofing, DDoS volumétrico frente a DDoS de aplicación, escaneo de puertos, fuerza bruta y credential stuffing, rogue AP y movimiento lateral por SMB o RDP.
Ejemplo razonado
Publicar una aplicación web con su base de datos. El servidor web va en la DMZ y solo se publica 443/tcp hacia él; la base de datos vive en un segmento interno sin salida a Internet y solo acepta conexiones desde el servidor web en su puerto. El firewall aplica denegar por defecto, hay WAF delante, IDS/IPS y logs centralizados, y la administración se hace por VPN con MFA, nunca con RDP abierto. La razón es que cada capa reduce el impacto si una falla: si el WAF se evade, la segmentación impide llegar a la base de datos.
Errores que cuestan puntos
Decir que el firewall «detecta y bloquea intrusiones» (eso es un IPS). Afirmar que NAT protege. Creer que HTTPS impide ataques al servidor. Confundir IDS con IPS. Tratar la DMZ como zona confiable. Recomendar abrir RDP «solo con contraseña fuerte».