“AÑO DEL BICENTENARIO, DE LA CONSOLIDACIÓN DE NUESTRA
INDEPENDENCIA, Y DE LA CONMEMORACIÓN DE LAS HEROICAS BATALLAS DE
JUNÍN Y AYACUCHO”
Caso 2 Implementación de un sistema de seguridad perimetral como
estrategia de seguridad de la información (C2)
Alumna:
● Maria Atauccancha Huilcas
Docente: Jhonatan Isaac VARGAS HUAMAN
Lima- Perú
2024
Seguridad Informática
A. ¿Cómo debió actuar la empresa ante el ataque de ransomware?
La empresa debió actuar de la siguiente manera ante el ataque de ransomware:
1) Activación del plan de continuidad del negocio y del plan de respuesta a incidentes.
De acuerdo a lo que se señala en el Anexo A.17, de la ISO/IEC 27001, la organización
deberá “Establecer, documentar, implementar y mantener procesos, procedimientos y
controles para asegurar la continuidad de las operaciones del negocio” en caso de un
incidente o desastre. Asimismo, en el capítulo 12 de la norma NCH ISO27032, también se
menciona que es vital un plan de respuesta a incidentes que le permita a la organización
“Detectar, analizar y resolver de manera efectiva los incidentes de seguridad de la
información”.
2) Evaluación y contención del incidente:
Determinar el alcance del ataque de ransomware; es decir, qué sistemas,
aplicaciones y datos pueden haber sido afectados.
Asegure rápidamente las tuberías infectadas para detener la activación del malware
en otros lugares de la red.
Recopile la información sobre el tipo de ransomware; es decir, cómo se comporta y
cómo puede contener a mitigar.
3) Recuperación de la información.
El punto A.12 del anexo A de la norma ISO/IEC 27001 dice que la organización debe
establecer procedimientos de copia de resguardo de la información y probar periódicamente
la restauración a partid de dichas copias, un escenario que claramente definiría una copia de
paramenta en el proceso de recuperación. Use las copias de resguardo el archivo encriptado
por el ransomware. No se debe pagar el dinero.
4) Fortalecimiento de la seguridad
Actualizar medidas de seguridad perimetral como firewalls, sistemas de detección y
prevención de intrusos (IDS/IPS), antivirus, entre otros.
Capacitar y sensibilizara los trabajadores a tener conocimiento suficiente para
distinguir y reportar actividad sospechosa.
2
Seguridad Informática
Actualizar sistemas operativos, aplicaciones y cualquier otra forma de software,
siempre y sin demora. Actualiza tus sistemas con las últimas actualizaciones de
seguridad.
5) Investigación y aprendizaje.
Analizar el incidente para entender cómo ocurrió, identificar las vulnerabilidades
explotadas y las lecciones aprendidas.
Documentar el proceso de respuesta al incidente y las medidas tomadas para
mejorar la preparación ante futuros ataques.
B. Indica qué componentes de seguridad perimetral debería implementar la empresa. Proponer
topología de implementación.
1) Firewall de próxima generación (NGFW):
Un NGFW proporciona funcionalidades avanzadas de inspección de paquetes y control
de tráfico, como prevención de intrusiones, inspección de aplicaciones, filtrado web, etc.
La topología recomendada sería colocar el NGFW en la frontera entre la red interna y el
enlace a Internet, actuando como punto de control y filtrado del tráfico entrante y saliente.
2) Sistema de detección y prevención de intrusiones (IPS):
Un IPS monitoriza el tráfico de red en busca de actividad maliciosa o sospechosa, y
puede bloquear o mitigar ataques en tiempo real.
La topología óptima sería integrar el IPS en línea con el NGFW, de manera que todo el
tráfico pase a través del IPS.
3) Solución de VPN (Virtual Private Network):
Una VPN cifra y asegura las comunicaciones entre la red interna y ubicaciones remotas o
usuarios móviles, proporcionando acceso remoto seguro.
La topología dependería de la necesidad de conectividad remota, ya sea sitio a sitio o
usuario a sitio.
4) Solución de filtrado de contenido web:
Un proxy web o solución de filtrado web puede controlar y restringir el acceso a sitios
web basándose en políticas de uso aceptable.
La topología más común es colocar el proxy web en línea con el tráfico de salida, entre el
NGFW y la conexión a Internet.
3
Seguridad Informática
5) Gestión y monitorización centralizada:
Una consola de gestión unificada que permita administrar y monitorizar todos los
componentes de seguridad perimetral.
La topología ideal sería ubicar esta consola en la red interna, con acceso seguro desde el
exterior.
C. Explica qué controles de seguridad se deberían implementar en la organización, para mitigar un
ataque de Denegación de Servicio.
1. Protección en el perímetro de red:
Firewall de próxima generación (NGFW) con capacidades avanzadas de detección y
mitigación de ataques DoS.
Configuración adecuada de reglas y políticas en el NGFW para bloquear tráfico
sospechoso y limitar el consumo de recursos.
Implementación de mecanismos de inspección de tráfico a nivel de aplicación para
identificar y mitigar ataques DoS específicos.
2. Sistemas de detección y prevención de intrusiones (IPS):
Integración del IPS en línea con el NGFW para monitorizar el tráfico de red en tiempo
real.
Configuración de firmas y reglas del IPS para detectar patrones de tráfico asociados a
ataques DoS.
Capacidad del IPS para tomar acciones de mitigación automática, como bloqueo de
tráfico malicioso.
3. Mecanismos de limitación y control de recursos:
Implementación de políticas de calidad de servicio (QoS) en los dispositivos de red para
priorizar y limitar el tráfico.
Configuración de límites de conexiones y sesiones en servidores y aplicaciones web para
evitar el agotamiento de recursos.
Uso de técnicas de protección contra inundación de solicitudes (Rate Limiting) en puntos
críticos de la infraestructura.
4. Monitorización y análisis de tráfico:
Implementación de herramientas de monitorización y análisis de tráfico de red, como
SIEM (Security Information and Event Management).
4
Seguridad Informática
Configuración de reglas y alertas para la detección temprana de patrones de tráfico
anómalo que puedan indicar un ataque DoS.
Análisis forense del tráfico para identificar la fuente del ataque y aplicar medidas de
mitigación específicas.
5. Plan de respuesta y recuperación ante incidentes:
Desarrollo de un plan de respuesta y recuperación ante ataques DoS, que incluya
procedimientos de escalamiento, notificación y comunicación.
Pruebas periódicas del plan de respuesta para asegurar su eficacia y actualización
constante.
Implementación de mecanismos de recuperación rápida, como balanceo de carga y
escalado automático de recursos.
D. Menciona 3 herramientas que le permitirían a la organización monitorear un NOC (Centro de
Operaciones de Red) y SOC (Centro de Operaciones de Seguridad).
Para monitorizar eficazmente un NOC (Centro de Operaciones de Red) y un SOC (Centro de
Operaciones de Seguridad), la organización podría implementar las siguientes 3 herramientas:
1. Sistema de Gestión de Eventos e Información de Seguridad (SIEM):
Un SIEM como Splunk, ELK Stack o ArcSight recopila, analiza y correlaciona eventos
de seguridad provenientes de múltiples fuentes, como firewalls, IPS, servidores,
aplicaciones, etc.
Permite la detección de actividad sospechosa, generación de alertas y reportes, y
proporciona una visión global del estado de la seguridad.
Es una herramienta fundamental para el monitoreo y la respuesta a incidentes en el
SOC.
2. Herramienta de Monitorización de Red y Desempeño:
Una herramienta como Nagios, Zabbix o SolarWinds que permite monitorizar el
estado y el rendimiento de la infraestructura de red, servidores, aplicaciones y
servicios.
Proporciona visibilidad en tiempo real del tráfico de red, uso de ancho de banda,
disponibilidad de recursos, entre otros parámetros clave.
Es indispensable para el monitoreo proactivo y la resolución de problemas en el
NOC.
5
Seguridad Informática
3. Plataforma de Gestión Unificada de Amenazas (UTM):
Una solución UTM, como Fortinet FortiGate o Palo Alto Networks, que integra
múltiples funciones de seguridad en una sola plataforma.
Proporciona visibilidad y control centralizado sobre el tráfico de red, la detección y
mitigación de amenazas, así como información de seguridad relevante.
Permite monitorizar y gestionar de forma unificada los diferentes componentes de
seguridad perimetral, simplificando las tareas del SOC.
