Cicle formatiu: Administració de sistemes informàtics en xarxa (ASIX)
Mòdul: 0378. Seguretat i alta disponibilitat
Aquest document cobreix el primer resultat d’aprenentatge del mòdul de Seguretat i alta disponibilitat: adoptar pautes i pràctiques de tractament segur de la informació, reconeixent les vulnerabilitats d’un sistema informàtic i la necessitat d’assegurar-lo.
Es treballen els conceptes fonamentals de la seguretat informàtica (fiabilitat, confidencialitat, integritat i disponibilitat), les vulnerabilitats i amenaces d’un sistema, la seguretat física i lògica, l’enginyeria social, les polítiques de contrasenyes, la biometria, la criptografia, la protecció perimetral i l’anàlisi forense.
La seguretat informàtica no és un producte, és un procés continu. No existeix el “sistema 100% segur”; l’objectiu real és minimitzar el risc fins a un nivell acceptable i mantenir-lo controlat en el temps.
Es defineix la fiabilitat com la probabilitat que un sistema es comporti tal com s’espera d’ell. Aquesta fiabilitat es concreta en tres propietats clàssiques, conegudes com la tríada CIA (Confidentiality, Integrity, Availability):
A aquestes tres propietats sovint se n’hi afegeixen dues més:
Quan una empresa pateix un incident de seguretat, gairebé sempre es pot classificar segons quina d’aquestes propietats ha estat compromesa: una fuga de dades trenca la confidencialitat, un ransomware que xifra fitxers trenca la disponibilitat (i sovint també la integritat), i una manipulació de registres comptables trenca la integritat.
Un sistema informàtic no és només l’ordinador: cal entendre’l com un conjunt d’elements interrelacionats, cadascun amb les seves pròpies vulnerabilitats.
Maquinari (hardware)
Programari (software)
Dades
Element humà
Una vulnerabilitat és una debilitat en un actiu que pot ser explotada per una amenaça. Es poden classificar segons diversos criteris:
Segons l’origen:
| Tipus | Descripció | Exemples |
|---|---|---|
| Disseny | Errors en l’especificació o disseny del protocol/sistema | Debilitats de TCP/IP, protocols sense xifratge (Telnet, FTP) |
| Implementació | Errors en la codificació d’un programa | Buffer overflow, injecció SQL, XSS |
| Ús/configuració | Configuració incorrecta o ús inadequat | Contrasenyes per defecte, ports oberts innecessaris, permisos excessius |
Segons la tipologia:
Mentre que la vulnerabilitat és una debilitat del sistema, l’amenaça és qualsevol circumstància o esdeveniment amb el potencial de causar dany explotant aquesta vulnerabilitat.
Amenaces físiques
Amenaces lògiques
També es distingeix entre:
L’enginyeria social consisteix a manipular psicològicament les persones perquè revelin informació confidencial o realitzin accions que comprometin la seguretat, explotant la confiança, la por o la urgència en lloc de vulnerabilitats tècniques.
L’enginyeria social explota principis psicològics ben coneguts: autoritat (fer-se passar per un càrrec superior o un tècnic), urgència (crear pressió temporal per evitar la reflexió), confiança social i por a les conseqüències.
Exemple pràctic d’aula: mostra als estudiants un correu de phishing real (anonimitzat) i demana’ls que identifiquin els indicadors d’alarma: domini del remitent sospitós, enllaços que no coincideixen amb el text visible, faltes ortogràfiques, sensació d’urgència, sol·licitud de dades que l’entitat legítima mai demanaria per correu.
| Aspecte | Seguretat física | Seguretat lògica |
|---|---|---|
| Protegeix | El maquinari, les instal·lacions, l’entorn | Les dades, els accessos, els processos |
| Amenaces típiques | Robatori, incendi, inundació, accés físic no autoritzat | Malware, atacs de xarxa, accés no autoritzat a dades |
| Mesures | Control d’accés físic, CCTV, SAI, climatització, extinció d’incendis | Contrasenyes, xifratge, tallafocs, ACL, antivirus |
Ambdues són complementàries: de res serveix un sistema amb el millor xifratge del món si qualsevol persona pot entrar físicament a la sala de servidors i endur-se el disc dur.
Les ACL (Access Control Lists) defineixen quins usuaris o processos tenen permís per accedir a un recurs i quin tipus d’operacions poden fer-hi (lectura, escriptura, execució).
Es basen en el principi de mínim privilegi: cada usuari o procés ha de tenir només els permisos estrictament necessaris per fer la seva feina, ni més ni menys.
Exemple en Linux (ACL sobre el sistema de fitxers):
# Consultar les ACL d'un fitxer
getfacl /var/www/dades_confidencials.txt
# Donar permís de lectura a un usuari concret sense afectar el grup
setfacl -m u:alumne1:r-- /var/www/dades_confidencials.txt
# Donar permís de lectura/escriptura a un grup
setfacl -m g:professors:rw- /var/www/dades_confidencials.txt
# Eliminar totes les ACL d'un fitxer
setfacl -b /var/www/dades_confidencials.txtUna política de contrasenyes robusta és una de les mesures de seguretat lògica més bàsiques i alhora més sovint descuidades.
Característiques d’una contrasenya robusta:
123456, qwerty).Elements d’una política de contrasenyes corporativa:
Fan referència a com, on i durant quant de temps es guarda la informació, en funció de la seva sensibilitat:
shred a Linux).Les còpies de seguretat (backups) són la mesura més important per garantir la disponibilitat i la recuperació davant incidents (ransomware, fallades de maquinari, errors humans).
Tipus de còpies de seguretat:
| Tipus | Descripció | Avantatges | Inconvenients |
|---|---|---|---|
| Completa | Còpia de tota la informació | Restauració senzilla i ràpida | Ocupa molt d’espai, triga més |
| Incremental | Còpia només dels canvis des de l’última còpia (de qualsevol mena) | Ràpida, ocupa poc espai | Restauració més lenta (cal aplicar totes les incrementals) |
| Diferencial | Còpia dels canvis des de l’última còpia completa | Restauració més ràpida que la incremental | Ocupa més espai que la incremental amb el temps |
Regla 3-2-1, un estàndard de referència en la planificació de còpies de seguretat:
Imatges de suport (disk images): a diferència d’una còpia de seguretat de fitxers, una imatge de disc captura l’estat complet d’un sistema (sistema operatiu, aplicacions, configuració i dades), cosa que permet una restauració completa en cas de fallada greu. Eines com Clonezilla o FOG Server permeten crear i desplegar imatges de suport en entorns d’aula.
La tria del mitjà d’emmagatzematge també té implicacions de seguretat:
La biometria utilitza característiques físiques o de comportament úniques d’una persona per a l’autenticació, substituint o complementant les contrasenyes.
Biometria física:
Biometria de comportament:
La criptografia permet protegir la confidencialitat i la integritat de la informació, tan emmagatzemada com en trànsit.
Utilitza la mateixa clau per xifrar i desxifrar. És ràpid i eficient per a grans volums de dades, però requereix un mètode segur per compartir la clau entre les parts.
# Xifrar un fitxer amb AES-256 utilitzant OpenSSL
openssl enc -aes-256-cbc -salt -pbkdf2 -in document_confidencial.txt -out document.enc
# Desxifrar el fitxer
openssl enc -aes-256-cbc -d -pbkdf2 -in document.enc -out document_confidencial.txtUtilitza un parell de claus matemàticament relacionades: una clau pública (es pot compartir lliurement) i una clau privada (s’ha de mantenir secreta). El que xifra una clau, només ho pot desxifrar l’altra.
# Generar un parell de claus RSA
openssl genpkey -algorithm RSA -out clau_privada.pem -pkeyopt rsa_keygen_bits:4096
openssl rsa -pubout -in clau_privada.pem -out clau_publica.pem
# Xifrar amb la clau pública del destinatari
openssl pkeyutl -encrypt -pubin -inkey clau_publica.pem -in missatge.txt -out missatge.enc
# Desxifrar amb la clau privada
openssl pkeyutl -decrypt -inkey clau_privada.pem -in missatge.enc -out missatge_desxifrat.txtGeneren una empremta digital de longitud fixa a partir d’unes dades d’entrada de qualsevol mida. No són reversibles i qualsevol canvi mínim a l’entrada produeix un resultat completament diferent. S’utilitzen per verificar la integritat i per emmagatzemar contrasenyes de manera segura (mai en clar).
# Calcular el hash SHA-256 d'un fitxer
sha256sum informe.pdf
# Verificar la integritat comparant amb un hash conegut
echo "hash_esperat informe.pdf" | sha256sum -c -Combina el hash i la criptografia asimètrica per garantir alhora la integritat, l’autenticitat i el no repudi d’un document o missatge: l’emissor xifra el hash del document amb la seva clau privada, i qualsevol receptor pot verificar-ho amb la clau pública corresponent.
Un pla integral de protecció perimètrica és especialment crític en sistemes connectats a xarxes públiques (Internet), on l’exposició a amenaces externes és molt superior.
El concepte de defensa en profunditat (defense in depth) proposa no confiar en una única mesura de seguretat, sinó establir múltiples capes independents, de manera que si una falla, les altres continuïn protegint el sistema:
Internet
│
▼
[ Tallafocs perimètric ]
│
▼
[ DMZ: servidor web, correu ] ── IDS/IPS monitoritzant tot el trànsit
│
▼
[ Tallafocs intern / segmentació VLAN ]
│
▼
[ Xarxa interna: estacions de treball, servidors de dades ]
│
▼
[ Seguretat d'amfitrió: antivirus, ACL, xifratge local ]L’anàlisi forense digital és el procés d’identificar, preservar, analitzar i presentar evidències digitals després d’un incident de seguretat, amb l’objectiu de determinar què ha passat, com ha passat i, si escau, qui n’és responsable, mantenint sempre la validesa de les proves des d’un punt de vista legal.
Identificació Detectar que s’ha produït un incident i identificar quins sistemes, dispositius o dades poden contenir evidències rellevants.
Preservació Garantir que les evidències no es contaminen ni es modifiquen. Es treballa sempre sobre còpies exactes (imatges forenses bit a bit), mai sobre el sistema original, i es documenta la cadena de custòdia: qui ha tingut accés a l’evidència, quan i per què.
# Crear una imatge forense d'un dispositiu amb dd, calculant el hash per verificar-ne la integritat
dd if=/dev/sdb of=/evidencies/disc_incident.img bs=4M status=progress
sha256sum /dev/sdb /evidencies/disc_incident.imgAnàlisi Examinar les evidències preservades per reconstruir els fets: anàlisi de registres (logs), recuperació de fitxers esborrats, anàlisi de la memòria RAM (memòria volàtil, s’ha de capturar abans d’apagar l’equip si és possible), línia temporal (timeline) d’esdeveniments.
Documentació Registrar detalladament totes les accions realitzades, les eines utilitzades i els resultats obtinguts, de manera reproduïble.
Presentació Elaborar un informe clar i comprensible (tècnicament rigorós però adaptat al destinatari, que pot no ser tècnic) amb les conclusions de l’anàlisi, apte per a un context intern o, si escau, judicial.
Un principi fonamental de l’anàlisi forense és no alterar mai l’evidència original. Per això sempre es treballa sobre còpies, es documenta cada pas i es verifica la integritat amb funcions hash abans i després de cada manipulació.
En capturar evidències, cal seguir l’ordre de volatilitat, recollint primer allò que es perd més ràpidament: