Caso AulaFP: actividades de SAD

Este archivo reúne el supuesto ficticio AulaFP y las actividades concretas que se aplican sobre él en los cursos de SAD. Sirve como plantilla: puedes reutilizar la estructura con otro supuesto cambiando la descripción y los datos.

Las actividades se resuelven por tu cuenta (puedes usar IA) o se consultan en el foro del aula. No hay soluciones publicadas: la autocorrección y la puesta en común en clase sustituyen a la solución escrita.

El caso

AulaFP es una consultoría de formación y soporte informático con 12 personas:

  • Dirección (2): deciden sobre clientes, contratos y personal.

  • Administración (2): facturación, nóminas y documentación interna.

  • Técnicos de sistemas (2): mantienen los servidores y la red.

  • Atención al cliente (6): atienden incidencias y consultas.

Trabajan en una única oficina con una pequeña sala de servidores. La información que manejan incluye:

  • Datos de clientes: contactos, contratos y facturas.

  • Documentos internos: propuestas, informes y nóminas.

  • Correo corporativo.

Los servicios son:

  • Web pública (www.aulafp.es) con un formulario de contacto.

  • Servidor de correo.

  • Servidor de ficheros interno, con carpetas compartidas por departamento.

  • Acceso remoto para dirección y técnicos.

El equipamiento incluye doce equipos de trabajo, dos servidores (web y correo en uno, ficheros en otro), un encaminador, un conmutador y un SAI.

La red interna se organiza en dos subredes: una para los equipos de trabajo y otra para los servidores. La web y el correo están expuestos a internet; el servidor de ficheros solo es accesible desde dentro. Dirección y técnicos necesitan acceder en remoto desde fuera de la oficina. La web recoge datos de contacto de clientes y el correo contiene datos personales de clientes y empleados. La organización depende de que la web y el correo estén disponibles durante el horario laboral y prevé crecer en los próximos meses.

Actividades de UD1

Activos, información y propiedades de seguridad

  1. Haz un inventario de los activos de AulaFP agrupándolos en información, equipos, servicios, personas y dependencias.

  2. Para cada activo, indica qué propiedad te parece más crítica (confidencialidad, integridad o disponibilidad) y por qué.

  3. ¿Qué pérdida tendría más impacto: que se filtre la lista de clientes, que se corrompan las nóminas o que la web esté caída una semana? Justifica tus prioridades.

Vulnerabilidades, amenazas y análisis de riesgos

  1. Identifica al menos una vulnerabilidad de hardware, una de software, una de datos y una de personas en AulaFP.

  2. Para una de ellas, describe la amenaza que la explota, su probabilidad y su impacto.

  3. Organiza una matriz sencilla (activo, vulnerabilidad, amenaza, consecuencia, medida) para tres riesgos de AulaFP.

Ingeniería social y fraude

  1. Redacta un correo ficticio de phishing dirigido al personal de AulaFP (sin enviarlo) e identifica el pretexto, la urgencia y la acción solicitada.

  2. ¿Qué vulnerabilidad humana aprovecha ese correo?

  3. Propón una medida de verificación por otro canal y explica cómo reduce el riesgo de fraude.

Seguridad física, ambiental y lógica

  1. Describe riesgos físicos y ambientales del local de AulaFP (acceso, alimentación, temperatura).

  2. Clasifica medidas físicas, ambientales y lógicas para proteger la sala de servidores.

  3. ¿Qué amenaza cubre cada medida y cuál queda sin cubrir?

Identidad y control de acceso local

  1. Diseña una política de contraseñas para las cuentas de AulaFP (longitud, caducidad, reutilización).

  2. Define qué permisos necesita cada rol (dirección, administración, técnicos, atención) aplicando el mínimo privilegio.

  3. ¿En qué contexto aportaría ventajas la biometría en AulaFP y en cuál no?

Protección perimetral y respuesta inicial

  1. Esboza un esquema de protección perimetral para AulaFP (zonas y servicios expuestos).

  2. Ante un incidente ficticio (por ejemplo, un acceso no autorizado al servidor de ficheros), ordena las actuaciones de respuesta inicial.

  3. Distingue qué actuaciones preservan evidencias y cuáles las alteran.

Actividades de UD2

Cifrado de información y gestión de secretos

  1. AulaFP quiere cifrar los contratos de clientes en reposo y al enviarlos por correo. ¿Qué operación usarías en cada caso y por qué?

  2. Con OpenSSL, cifra y descifra un archivo de prueba (cifrado simétrico) y genera un resumen criptográfico. ¿Qué protege cada operación?

  3. ¿Cómo gestionarías las claves para que no queden junto a los datos cifrados?

Firmas, certificados y confianza en redes públicas

  1. Firma un documento de prueba y verifica la firma. ¿Qué demuestra y qué no?

  2. Interpreta el certificado de www.aulafp.es: emisor, identidad, vigencia y cadena de confianza.

  3. ¿Qué error de confianza indicaría un certificado caducado o de un emisor no reconocido?

Protocolos seguros y comunicaciones protegidas

  1. Compara HTTP/HTTPS, FTP/SFTP y telnet/SSH para los servicios de AulaFP. ¿Cuál usarías y por qué?

  2. ¿Qué riesgo añade que el personal use una red wifi pública para acceder al correo?

  3. ¿Qué información sigue visible en una captura de tráfico aunque uses HTTPS?

Software confiable, actualizaciones y servicios expuestos

  1. ¿Cómo comprobarías el origen y la integridad de una aplicación antes de instalarla en AulaFP?

  2. Inventaría los servicios de red activos en un servidor de AulaFP (con ss o similar) y propón cuáles desactivar.

  3. ¿Qué política de actualizaciones propondrías y por qué?

Anatomía de ataques y análisis controlado de amenazas

  1. Ordena las fases de un ataque típico (reconocimiento, acceso, persistencia, etc.) sobre un supuesto de AulaFP.

  2. Para cada fase, indica una medida preventiva o paliativa.

  3. ¿Qué límites tiene analizar software malicioso en un entorno controlado?

Detección de amenazas y sistemas de detección de intrusiones

  1. Compara un IDS de red (NIDS) y uno de host (HIDS) para AulaFP. ¿Qué observa cada uno?

  2. ¿Qué es un falso positivo y cómo afecta a la respuesta?

  3. ¿Qué diferencia hay entre detectar, responder y eliminar una amenaza?

Copias, restauración y recuperación segura

  1. Diseña una política de copias para el servidor de ficheros de AulaFP (qué, cuándo y dónde).

  2. Realiza una copia y una restauración de prueba con datos ficticios. ¿Cómo compruebas que es recuperable?

  3. ¿Por qué tener una copia no demuestra que puedas recuperar los datos?

Actividades de UD3

Exposición pública, zonas de riesgo y arquitectura perimetral

  1. ¿Qué servicios de AulaFP están expuestos a internet y cuáles no deberían estarlo?

  2. Diseña las zonas (exterior, DMZ, interna) para AulaFP y sitúa cada servicio.

  3. ¿Qué función cumplen el encaminador frontera y el host bastión?

Protocolos seguros y arquitectura de VPN

  1. ¿Qué protocolo seguro usarías para el acceso remoto de dirección y técnicos?

  2. Compara VPN de enlace, de red y de aplicación para AulaFP. ¿Cuál encaja mejor?

  3. ¿Qué recursos debería poder alcanzar cada perfil remoto?

Configuración y verificación de redes privadas virtuales

  1. Configura una VPN de prueba (WireGuard u OpenVPN) entre dos equipos.

  2. ¿Cómo compruebas que solo se alcanza lo autorizado y no el resto de la red?

  3. ¿Qué parámetros (claves, extremos, rutas) definen el alcance de la VPN?

Pasarela y autenticación de acceso remoto

  1. ¿Qué función cumple la pasarela de acceso remoto?

  2. Compara métodos de autenticación (contraseña, clave, segundo factor) para el acceso remoto.

  3. ¿Cómo integrarías un servidor de autenticación remota y comprobarías la concesión y el rechazo de acceso?

Actividades de UD4

Cortafuegos, filtrado y documentación técnica

  1. ¿Qué tipo de cortafuegos (software o hardware) encaja en AulaFP y por qué?

  2. ¿En qué capas se puede filtrar el tráfico?

  3. Interpreta una especificación técnica de un cortafuegos (también en inglés).

Zonas, políticas y reglas de filtrado

  1. Define la política por defecto y las reglas para los flujos de AulaFP.

  2. ¿Cómo afecta el orden de las reglas al resultado?

  3. Configura reglas de filtrado (nftables o iptables) para un flujo concreto.

Registros, pruebas y diagnóstico de conectividad

  1. ¿Cómo compruebas desde un cliente que una regla se aplica?

  2. Interpreta un registro de cortafuegos y relaciona una conexión con su regla.

  3. Diagnostica una incidencia de conectividad preparada.

Alternativas de cortafuegos y documentación de uso

  1. Compara dos alternativas de cortafuegos para AulaFP.

  2. Redacta instrucciones reproducibles de instalación y configuración.

Proxy directo, caché y autenticación

  1. ¿Qué función cumple un proxy directo en AulaFP?

  2. Configura un proxy caché (Squid) y comprueba la caché.

  3. Configura autenticación en el proxy y pruébala desde un cliente.

Proxy transparente y restricciones de acceso web

  1. ¿Qué diferencia hay entre proxy explícito y transparente?

  2. Configura restricciones de acceso web y comprueba los permisos.

  3. ¿Qué límite tiene el filtrado con tráfico cifrado (HTTPS)?

Pruebas, publicación y documentación del proxy

  1. Monitoriza la actividad del proxy con una herramienta gráfica.

  2. Configura un proxy inverso (nginx) para publicar un servicio interno.

  3. Documenta la instalación, la configuración y el uso.

Actividades de UD5

Necesidades de disponibilidad y puntos únicos de fallo

  1. ¿Qué puntos únicos de fallo tiene AulaFP?

  2. ¿Qué impacto tendría la caída de la web o del correo?

  3. Prioriza los puntos críticos y justifica el orden.

Continuidad mediante hardware y recuperación de servicio

  1. ¿Qué aporta el SAI a la continuidad y qué no cubre?

  2. Interpreta especificaciones de alimentación y autonomía.

  3. ¿Qué redundancia de red y equipos propondrías?

Virtualización y entornos de prueba para alta disponibilidad

  1. ¿Qué diferencia hay entre una máquina virtual y un contenedor?

  2. Diseña un entorno de prueba para simular fallos.

  3. ¿Qué fallos compartidos puede tener un entorno virtualizado?

Servicios redundantes y recuperación ante caída

  1. Configura un servicio redundante (keepalived) y simula una caída.

  2. ¿Cómo se detecta el fallo y se conmuta?

  3. ¿Qué tiempo de recuperación observas y qué riesgo residual queda?

Balanceo de carga de entrada

  1. Configura un balanceador (HAProxy) a la entrada de la red.

  2. ¿Cómo se reparten las peticiones y cómo se comprueba la salud de las instancias?

  3. Prueba el comportamiento ante la caída de una instancia.

Almacenamiento redundante y continuidad de datos

  1. Compara alternativas de almacenamiento redundante (RAID, LVM).

  2. Configura un volumen de prueba y comprueba el estado degradado.

  3. ¿Qué diferencia hay entre redundancia y copia de seguridad?

Clústers, crecimiento y documentación de alta disponibilidad

  1. ¿Qué aporta un clúster a la fiabilidad y a la productividad?

  2. ¿Cómo escalarías AulaFP ante una demanda creciente?

  3. Esquematiza y documenta una solución de alta disponibilidad.

Actividades de UD6

Protección de datos y figuras del tratamiento

  1. ¿Qué datos personales trata AulaFP y con qué finalidad?

  2. Asigna los roles (responsable, encargado, personal autorizado) en el supuesto.

  3. ¿Qué principios del RGPD aplicarías a cada tratamiento?

Acceso a datos personales y derechos de las personas

  1. ¿Cómo limitarías el acceso a los datos personales por funciones?

  2. ¿Cómo atenderías una solicitud de acceso o supresión de un cliente?

  3. ¿Qué medidas técnicas y organizativas propondrías?

Servicios digitales, comercio electrónico y obligaciones de información

  1. ¿Qué obligaciones de información tiene la web de AulaFP?

  2. ¿Qué carencias detectas en el formulario de contacto?

  3. ¿Qué relación hay entre la publicación técnica y las obligaciones legales?

Gestión de seguridad y aplicación normativa

  1. ¿Qué aporta ISO/IEC 27001 a la gestión de seguridad de AulaFP?

  2. ¿Cuándo aplicaría el Esquema Nacional de Seguridad?

  3. ¿Qué límites tiene una medida aislada frente a un sistema de gestión?