Seguridad Informática

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Seguridad Informática"

Salvador Ruiz Navarro
hace 10 años
Vistas:

1 Universidad Rey Juan Carlos Grado en Ingeniería Informática Seguridad Informática Curso 2012/13 Prueba 3 - Seguridad en es Lea detenidamente las instrucciones del examen antes de comenzar: El examen consta de dos partes: un test (9 puntos) y una pregunta (1 punto). Las respuestas al test serán marcadas en la tabla que se muestra a continuación con una V, si considera que la afirmación es verdadera y con una F si considera que es falsa. Cada respuesta correcta suma 0,25 puntos. Cada respuesta incorrecta resta 0,25 puntos. Una respuesta sin contestar suma 0 puntos. TEST Pregunta (a) (b) (c) (d) (e) 1 F V V V 2 V V F V 3 F V V V 4 V F F F 5 F V V V F 6 V F V F V 7 V V V F V 8 F V F V F 1. Responda si las siguientes afirmaciones sobre conceptos básicos de seguridad en redes son (a) El concepto de integridad de la información asegura que la información privada no está disponible ante accesos no autorizados. (b) Un ataque de denegación de servicio intenta violar la disponibilidad de un sistema. (c) La integridad de un sistema nos asegura el determinismo en su funcionamiento. (d) Los llamados virus polimórficos tienen la particularidad de mutar su código al replicarse en distintos sistemas. 2. Responda si las siguientes afirmaciones sobre mecanismos de seguridad en redes son (a) X.800 define un conjunto de recomendaciones básicas de seguridad en las distintas capas de los protocolos de comunicaciones. Página 1 de 5

2 Examen: Prueba 3 - Seguridad en es Enero de 2013 (b) Los mecanismos de autenticacio n de usuarios verifican la identidad de los participantes en una comunicacio n. (c) La confidencialidad por campos se consigue cifrando todos los campos de un mismo mensaje en una comunicacio n. (d) Las certificaciones aseguran un conocimiento mı nimo sobre un aspecto de la seguridad de los sistemas. Wireless Punto acceso Wireless frontera Intranet nivel 1 Internet externo Cortafuegos interno Switch DMZ Intranet nivel 2 Servidor WEB DMZ 1 DMZ 2 Servidor BBDD Figura 1: Topologı a de red 3. Responda si las siguientes afirmaciones sobre herramientas de seguridad, en relacio n al esquema de topologı a de red de la figura 2, son (a) Serı a una buena idea el usar un sistema de deteccio n de intrusiones (IDS) de ana lisis estadı stico en el segmento de red comprendido entre el Servidor Web y la DMZ 1. (b) Un IDS de sistema de anı lisis estadı stico colocado en la ma quina que se muestra en la Intranet de nivel 2 serı a lo ma s indicado para detectar intrusiones en la misma. (c) Usar un honeypot de mucha interaccio n en el perı metro de nuestra red serı a menos peligroso (en cuanto a posibles ataques) que colocarlo pasado el cortafuegos. (d) El cortafuegos central se podrı a usar como sensor de red para un IDS situado en el mismo segmento. 4. Responda si las siguientes afirmaciones sobre el uso de cortafuegos, en relacio n al esquema de topologı a de red de la figura 2, son Pa gina 2 de 5

3 Examen: Prueba 3 - Seguridad en es Enero de 2013 (a) Deberíamos colocar un cortafuegos a nivel de red entre el router frontera y la DMZ 1, y/o bien un cortafuegos de sistema en cada uno de los servidores de dicha zona. (b) Si ponemos un cortafuegos en el segmento de red comprendido entre el router interno y la Intranet de nivel 1, ambas redes de Intranet (1 y 2) se encontrarían óptimamente defendidas antes cualquier ataque. (c) Un equipo situado en la Intranet de nivel 1 nunca podría comprometer a un equipo situado en la Intranet de nivel 2. (d) Si, además de colocar un cortafuegos en el segmento de red comprendido entre el router interno y la Intranet de nivel 1, añadimos otro cortafuegos en el segmento de red comprendido entre la Intranet de nivel 1 y la Intranet de nivel 2, la configuración resultante sería redundante y poco eficiente en cuanto a seguridad se refiere. 5. Responda si las siguientes afirmaciones sobre el uso de cortafuegos son (a) El uso de cortafuegos de nivel de aplicación está justificado cuando queremos un filtrado básico (barato y rápido) en las comunicaciones. (b) Los cortafuegos de sistema filtran las comunicaciones en cierta interfaz de red que conecta un equipo informático con una determinada red. (c) Los cortafuegos de inspección de estados están enfocados al nivel de transporte y almacenan una tabla de conexiones válidas. (d) Suponga que encontramos la siguiente (y única) regla en un cortafuegos de filtrado de paquetes: IP Origen IP Destino Puerto Acción / /16 Any DENY Si una máquina con una dirección IP envía un paquete (y éste es filtrado por el cortafuegos) a cierta máquina con dirección IP para establecer una conexión a través del puerto 25 de ésta última, entonces dicho paquete atraviesa el cortafuegos sin problema. (NOTA: se asume que todo el tráfico se admite a través del cortafuegos si no existe una regla que lo impide). (e) Los cortafuegos de inspección de estado ralentizan el proceso de filtrado con respecto a los de filtrado de paquetes. 6. Responda si las siguientes afirmaciones sobre es Privadas Virtuales (VPNs) son (a) Una VPN de confianza es aquella que utiliza circuitos seguros a través de los cuales se transmite la información. (b) Una VPN segura es aquella que utiliza tanto circuitos seguros (o confiables) como protocolos de seguridad. (c) El cifrado que se usa en las VPNs seguras trata de preservar la confidencialidad de la información transmitida. (d) Si el emisor o el receptor de un mensaje no implementan el protocolo IPSec, entonces no podrán establecer una conexión segura mediante una VPN. Página 3 de 5

4 Examen: Prueba 3 - Seguridad en es Enero de 2013 (e) Si un emisor envía un datagrama IPSec a un receptor que sólo implementa el protocolo de red IP, el receptor no podrá interpretarlo. 7. Responda si las siguientes afirmaciones sobre es Privadas Virtuales (VPNs) son (a) SSH es un protocolo para realizar VPNs abriendo sesiones en máquinas remotas. (b) SSL es un protocolo que se usa para conexiones HTTP por encima del nivel de transporte. (c) Una sesión SSL está compuesta por un número arbitrario de conexiones. (d) El protocolo de registro de SSL realiza lo siguiente: fragmenta los datos, los comprime, añade la cabecera de SSL, añade un código de autenticación de mensaje y por último cifra todo lo anterior. (e) Durante el protocolo de saludo de SSL se establece el entorno de seguridad, se autentican los extremos y se establece una clave de cifrado, mediante intercambio de claves. 8. Responda si las siguientes afirmaciones sobre seguridad Web son (a) Las cookies son trozos de información que puedes ser almacenadas tanto por el navegador como por el servidor. (b) Las cookies de sesión permiten guardar el estado en sucesivas conexiones HTTP. (c) Suponga que cierto atacante quiere realizar un ataque de Fijación de Sesión. Para ello, lo único que hace es generar un identificador de sesión al azar y añadirlo en un enlace que envía a la víctima por correo electrónico. El enlace que envía a la víctima sería como el que sigue: donde la página se refiere a cierto formulario de acceso a un sitio web y XXXXX es el número de sesión generado por el atacante al azar. Este ataque asegura al atacante que si la víctima sigue el enlace y se autentica en la página, el primero tendrá acceso a su cuenta hasta que se cierre la sesión (NOTA: suponga que no hay ningún tipo de comprobación por parte del servidor sobre la autenticidad de los usuarios, es decir, sólo se utiliza el identificador de sesión para garantizar el acceso una vez autenticado un usuario. Además el atacante no tiene información alguna sobre la generación de identificadores de sesión por parte del servidor). (d) El ataque por fijación de sesión es, a su vez, una técnica para hacer highjacking (o secuestro de sesión) (e) El Cross-Site Scripting (XSS) consiste en la ejecución de scripts con código malicioso en un servidor web. Página 4 de 5

5 Examen: Prueba 3 - Seguridad en es Enero de 2013 PREGUNTA 9. (1 punto) Priv3 es una extensión para el navegador web Firefox, que permite navegar de forma segura por las páginas web, aún habiendo iniciado una sesión en redes sociales como Facebook, Google+ o Twitter. La descripción inicial del producto es la siguiente: Sabías que las redes sociales como Facebook, Google+ y Twitter pueden registrar las páginas web que visitas, cuando dichas páginas utilizan los botones Me Gusta, Follow o +1, aunque no se haga click explícito sobre dichos botones? Explique qué aspectos de la seguridad protege esta extensión de Firefox y explique alguna manera en que cree que puede hacerlo. Solución Protege el uso de las cookies de rastreo que son mandadas al navegador desde terceros. Una manera de evitar ésto es inhibir al navegador de enviar información a estos terceros sitios web a no ser que estemos interactuando directamente con ellos. Es decir, no envío la cookie de sesión a Facebook a no ser que la petición principal HTTP que esté haciendo sea a una página de Facebook. Página 5 de 5

Documentos relacionados

Tecnologías De La Información Y Comunicación I. Firewall Y Proxy. Integrantes: Héctor Duran. Katherine Zumelzu

Tecnologías De La Información Y Comunicación I. Firewall Y Proxy. Integrantes: Héctor Duran. Katherine Zumelzu Firewall Y Proxy Integrantes: Héctor Duran Katherine Zumelzu Fecha: 15/04/2015 Índice Qué es un firewall?... 3 Tipos de Firewall... 4 -Nivel de aplicación de Pasarela:... 4 -Circuito a nivel de Pasarela:...