📚 REDES, CPD Y CIBERSEGURIDAD — TAI

Clase magistral para el examen TAI

🎓 Cómo usar este documento: Lee la explicación de cada bloque temático y responde las preguntas antes de pasar al siguiente. Las soluciones comentadas están al final.

BLOQUE 1 — MODELO OSI Y TCP/IP

¿Qué es el Modelo OSI?

El modelo OSI (Open Systems Interconnection) divide las comunicaciones de red en 7 capas independientes. Cada capa se ocupa de una función concreta y se comunica únicamente con las capas adyacentes.

💡 Mnemotecnia (de abajo a arriba): Física Enlace Red Transporte Sesión Presentación Aplicación → "Fray Enrique Ruiz Tiene Seis Perros Amaestrados"

Comparativa OSI vs TCP/IP

El modelo TCP/IP agrupa las 3 capas superiores de OSI en una sola capa de Aplicación, y las 2 capas inferiores en Acceso a la red.

Modelo OSI                  Modelo TCP/IP
─────────────────           ─────────────────
7. Aplicación   ┐
6. Presentación ├──────────► Aplicación
5. Sesión       ┘
4. Transporte   ───────────► Transporte
3. Red          ───────────► Internet
2. Enlace       ┐
1. Física       ├──────────► Acceso a la red

Dispositivos por capa OSI

⚠️ Dato clave: Un router corta los dominios de broadcast: no reenvía tramas FF-FF-FF-FF-FF-FF entre redes distintas. Un switch sí las propaga dentro del mismo segmento.

Protocolos principales por capa

Capa Aplicación (TCP/IP)
├── HTTP  (80)       → Navegación web
├── HTTPS (443)      → Navegación web cifrada
├── FTP   (20/21)    → Transferencia de ficheros
├── SMTP  (25)       → Envío de correo
├── POP3  (110)      → Recepción de correo
├── IMAP  (143)      → Recepción de correo (con sincronización)
├── DNS   (53)       → Resolución de nombres de dominio
├── DHCP  (67/68)    → Asignación dinámica de IP
├── SSH   (22)       → Acceso remoto seguro
├── Telnet(23)       → Acceso remoto (⚠️ texto plano, inseguro)
└── SNMP  (161)      → Gestión de red

Capa Transporte
├── TCP  → Orientado a conexión, fiable (Three-way handshake)
└── UDP  → Sin conexión, más rápido, sin garantía de entrega

Capa Red / Internet
├── IP    → Direccionamiento y enrutamiento
├── ICMP  → Mensajes de error y diagnóstico (usado por ping)
└── ARP   → Resolución de IP → MAC

💡 Three-way handshake TCP: SYN → SYN-ACK → ACK. Establece la conexión antes de enviar datos. UDP no realiza este proceso, por eso es más rápido pero sin garantías.

TCP vs UDP

🧪 TEST — BLOQUE 1: Modelo OSI y TCP/IP

1. ¿En qué capa del modelo OSI opera el protocolo IP?

• a) Capa 2 — Enlace de datos
• b) Capa 4 — Transporte
• c) Capa 3 — Red
• d) Capa 5 — Sesión

2. Un switch Ethernet toma sus decisiones de reenvío basándose en:

• a) Direcciones IP de origen y destino
• b) Puertos TCP/UDP del datagrama
• c) Direcciones MAC de origen y destino
• d) El nombre de dominio del destinatario

3. ¿Qué capa del modelo OSI es responsable del cifrado de datos y la compresión?

• a) Capa 7 — Aplicación
• b) Capa 4 — Transporte
• c) Capa 5 — Sesión
• d) Capa 6 — Presentación

4. ¿Cuál es la diferencia principal entre TCP y UDP?

• a) TCP opera en la capa de red; UDP en la capa de transporte
• b) TCP es orientado a conexión y garantiza la entrega; UDP es sin conexión y más rápido
• c) TCP solo funciona con IPv4; UDP funciona con IPv4 e IPv6
• d) TCP usa direcciones MAC; UDP usa direcciones IP

5. ¿Qué protocolo resuelve nombres de dominio como www.google.com a una dirección IP?

• a) ARP
• b) DHCP
• c) ICMP
• d) DNS

BLOQUE 2 — CABECERA IPv4

¿Qué es la cabecera IP?

Cada paquete IP lleva una cabecera con información de control para que los routers puedan encaminarlo correctamente. El tamaño mínimo de la cabecera es de 20 bytes y el máximo de 60 bytes.

Flags de fragmentación (3 bits)

⚠️ Dato clave: Si un paquete tiene DF=1 y un router necesita fragmentarlo, el router lo descarta y envía ICMP "Fragmentation Needed" al origen. El origen debe reducir el tamaño del paquete.

Tipo de Servicio — desglose de los 8 bits

Bits 0-2: Precedencia (prioridad del mensaje)
          000 = De rutina
          001 = Prioritario
          010 = Inmediato
          011 = Relámpago
          100 = Invalidación relámpago
          101 = Llamada crítica de emergencia
          110 = Control de trabajo de Internet
          111 = Control de red

Bit 3:    Retardo      (0 = normal, 1 = bajo)
Bit 4:    Rendimiento  (0 = normal, 1 = alto)
Bit 5:    Fiabilidad   (0 = normal, 1 = alta)
Bits 6-7: Reservados — no usados

TTL — Time To Live

El TTL evita que los paquetes circulen indefinidamente en bucles de enrutamiento.

💡 traceroute / tracert explota el TTL enviando paquetes con TTL=1, 2, 3… para descubrir cada salto de la ruta.

Opciones de la cabecera IP

💡 LSSR vs SSRR: En la ruta abierta (LSSR) el router elige el camino intermedio libremente. En la ruta estricta (SSRR) el paquete debe ir directamente a la siguiente dirección indicada, sin rodeos.

🧪 TEST — BLOQUE 2: Cabecera IPv4

6. ¿Cuántos bytes ocupa la cabecera IPv4 sin opciones?

• a) 8 bytes
• b) 16 bytes
• c) 20 bytes
• d) 32 bytes

7. Un paquete IP con flag DF=1 llega a un router que necesita fragmentarlo. ¿Qué hace el router?

• a) Lo fragmenta igualmente ignorando el flag DF
• b) Lo descarta y envía un mensaje ICMP al origen
• c) Lo almacena hasta encontrar una ruta sin fragmentación
• d) Desactiva el flag DF y procede a fragmentar

8. ¿Qué campo impide que los paquetes circulen indefinidamente en bucles de enrutamiento?

• a) Identificador
• b) Suma de control
• c) Flags
• d) TTL (Time To Live)

9. ¿Qué indica el bit MF=1 en un paquete IP fragmentado?

• a) El paquete no debe fragmentarse
• b) Este es el último fragmento del datagrama
• c) Quedan más fragmentos del mismo datagrama por llegar
• d) El paquete ha sufrido errores de transmisión

10. ¿Cuál es el valor máximo del campo IHL y a cuántos bytes de cabecera corresponde?

• a) 10 palabras = 40 bytes
• b) 15 palabras = 60 bytes
• c) 20 palabras = 80 bytes
• d) 8 palabras = 32 bytes

BLOQUE 3 — CPD: ESTÁNDAR TIA-942

¿Qué es el estándar TIA-942?

El estándar ANSI/TIA-942 fue aprobado en 2005 por ANSI-TIA. Es la guía de referencia para el diseño e instalación de infraestructuras de centros de datos (Data Centers). Clasifica los CPD en cuatro niveles de fiabilidad llamados TIER.

💡 A mayor número de TIER → mayor disponibilidad → mayores costes de construcción y mantenimiento.

Los 4 niveles TIER

Características de cada TIER

TIER I — Básico
├── Un solo paso de corriente y A/A sin redundancia
├── Sensible a interrupciones planificadas Y no planificadas
├── Sin exigencias de piso elevado · Generador independiente
└── Debe cerrarse completamente para mantenimiento preventivo

TIER II — Componentes redundantes
├── Un solo paso de corriente con UN componente redundante
├── Incluye piso elevado, UPS y generador
└── Mantenimiento de alimentación requiere cierre del procesamiento

TIER III — Mantenimiento concurrente
├── Múltiples accesos de energía y refrigeración (un encaminamiento activo)
├── Redundancia N+1
├── Mantenimiento planificado SIN corte de servicio
└── Las interrupciones no planificadas aún pueden causar problemas

TIER IV — Tolerante a errores
├── Múltiples rutas activas de corriente y refrigeración
├── Redundancia 2(N+1) → dos UPS cada uno con redundancia N+1
└── Fallos planificados Y no planificados sin afectar a datos críticos

⚠️ Dato clave: Solo TIER III y TIER IV permiten mantenimiento sin interrumpir el servicio. La diferencia es que TIER IV también tolera fallos no planificados.

Los 4 subsistemas de soporte TIA-942

Áreas funcionales de un CPD (TIA-942)

Áreas funcionales
├── Entrada(s) al centro
├── MDA — Main Distribution Area        (distribución principal)
├── IDA — Intermediate Distribution Area (distribución intermedia)
├── HDA — Horizontal Distribution Area  (distribución horizontal)
├── ZDA — Zone Distribution Area        (opcional)
└── Cableado horizontal y backbone

Novedades de la revisión TIA-942A (2013)

💡 Mnemotecnia TIER: I=sin redundancia (28h parada), II=algo redundante (22h), III=mantenimiento sin parar (1,6h), IV=invencible (52 min).

🧪 TEST — BLOQUE 3: CPD y TIA-942

11. ¿Qué nivel TIER permite mantenimiento planificado sin interrumpir el servicio y tiene disponibilidad del 99,982%?

• a) TIER I
• b) TIER II
• c) TIER III
• d) TIER IV

12. Según TIA-942, ¿cuántos subsistemas de soporte componen la infraestructura de un CPD?

• a) 2 (eléctrico y mecánico)
• b) 3 (telecomunicaciones, eléctrico y mecánico)
• c) 4 (telecomunicaciones, arquitectura, eléctrico y mecánico)
• d) 5 (telecomunicaciones, arquitectura, eléctrico, mecánico y seguridad)

13. Un CPD TIER IV tiene redundancia 2(N+1). ¿Qué significa?

• a) Tiene el doble de capacidad eléctrica
• b) Tiene dos UPS independientes, cada uno con redundancia N+1
• c) Tiene un UPS con dos baterías de repuesto
• d) Tiene N generadores y 1 de repuesto

14. Según TIA-942A de 2013, ¿qué tipos de fibra multimodo quedan prohibidos en los Data Centers?

• a) OM3 y OM4
• b) OM2 y OM3
• c) OM1 y OM2
• d) Solo OM1

15. ¿Cuál es el tiempo máximo de parada anual de un CPD TIER I?

• a) 52,56 minutos
• b) 1,6 horas
• c) 22,0 horas
• d) 28,82 horas

BLOQUE 4 — CIBERSEGURIDAD: PRINCIPIOS Y AMENAZAS

La tríada CIA

La seguridad de la información se sustenta en tres propiedades fundamentales:

⚠️ Dato clave: Un ataque activo pone en riesgo los tres pilares (CIA). Un ataque pasivo solo afecta a la confidencialidad porque intercepta datos sin modificarlos.

Tipos de ataques

Tipos de malware

💡 Diferencia Virus vs Gusano: el virus necesita que el usuario ejecute un fichero infectado. El gusano se propaga solo, aprovechando vulnerabilidades de red, sin acción humana.

Herramientas y mecanismos de defensa

💡 IDS vs IPS: el IDS es pasivo (detecta y alerta). El IPS es activo (detecta y bloquea). El IPS está tecnológicamente más cerca de un firewall que el IDS.

Criptografía y certificados

Cifrado asimétrico — cómo funciona
├── Emisor cifra con la CLAVE PÚBLICA del receptor
├── Receptor descifra con su CLAVE PRIVADA (solo él la conoce)
└── Para firma digital:
      ├── Emisor firma con su CLAVE PRIVADA
      └── Cualquiera verifica con la CLAVE PÚBLICA del emisor

⚠️ AES = simétrico (una clave compartida). RSA = asimétrico (par público/privado). No confundirlos en el examen.

Conceptos clave de gestión de la seguridad

Normativa de ciberseguridad

💡 El RGPD es el reglamento europeo (obligatorio en todos los estados miembro). La LOPDGDD es la ley española que lo adapta y complementa con particularidades nacionales.

🧪 TEST — BLOQUE 4: Ciberseguridad

16. ¿Cuáles son los tres pilares de la tríada CIA?

• a) Confidencialidad, Integridad y Autenticación
• b) Confidencialidad, Integridad y Disponibilidad
• c) Cifrado, Integridad y Disponibilidad
• d) Confidencialidad, No repudio y Disponibilidad

17. Un malware que se replica y propaga automáticamente por la red sin acción humana se denomina:

• a) Virus
• b) Troyano
• c) Gusano (Worm)
• d) Ransomware

18. ¿Cuál es la diferencia fundamental entre un IDS y un IPS?

• a) El IDS opera en capa de red; el IPS en capa de aplicación
• b) El IDS solo detecta intrusiones; el IPS detecta y además bloquea
• c) El IDS es hardware; el IPS es software
• d) El IDS protege redes inalámbricas; el IPS protege redes cableadas

19. El algoritmo AES es un sistema de cifrado:

• a) Asimétrico de clave pública, equivalente a RSA
• b) De hash unidireccional, como SHA-256
• c) Simétrico de clave compartida
• d) De firma electrónica basado en certificados X.509

20. ¿Qué ataque manipula el DNS para redirigir a webs fraudulentas aunque la URL escrita sea correcta?

• a) Phishing
• b) Spoofing de IP
• c) Pharming
• d) Session Hijacking

21. Una vulnerabilidad desconocida para el fabricante y sin parche disponible se denomina:

• a) CVE
• b) Exploit
• c) APT
• d) Zero-day

22. ¿Qué caracteriza a un ataque Man-in-the-Middle?

• a) Satura un servidor con miles de peticiones simultáneas
• b) Intercepta la comunicación entre emisor y receptor pudiendo leerla o modificarla
• c) Inyecta código SQL en una base de datos a través de un formulario web
• d) Cifra los archivos del sistema y exige un rescate económico

23. ¿Qué normativa europea obliga a las organizaciones a proteger los datos personales de los ciudadanos?

• a) LSSI-CE
• b) LOPDGDD
• c) RGPD
• d) PCI DSS

24. ¿Cuál es la diferencia entre Phishing y Spear Phishing?

• a) El Phishing usa email; el Spear Phishing usa SMS
• b) El Phishing es genérico y masivo; el Spear Phishing va dirigido a una persona u organización concreta con información personalizada
• c) El Phishing roba contraseñas; el Spear Phishing roba dinero directamente
• d) No hay diferencia, son sinónimos

25. ¿Qué protocolo Wi-Fi se recomienda desactivar por tener una vulnerabilidad conocida?

• a) WPA3
• b) WPA2
• c) WPS
• d) SSID

✅ SOLUCIONES COMENTADAS

1 → c) El protocolo IP opera en la capa 3 (Red). Es el responsable del direccionamiento lógico y el enrutamiento entre redes. TCP y UDP operan en capa 4. Ethernet opera en capa 2.

2 → c) Los switches toman decisiones en base a las direcciones MAC (capa 2). Construyen una tabla CAM con MAC → puerto. Los routers usan direcciones IP (capa 3).

3 → d) La capa 6 (Presentación) se ocupa de la traducción de formatos, el cifrado/descifrado y la compresión. Aquí trabajan SSL/TLS y formatos como JPEG o MPEG.

4 → b) TCP establece el Three-way handshake, garantiza la entrega ordenada y controla el flujo. UDP es sin conexión, sin garantías, pero mucho más rápido. VoIP y streaming usan UDP por la importancia de la latencia.

5 → d) DNS (Domain Name System) traduce nombres de dominio en direcciones IP. Opera en el puerto 53. ARP resuelve IP → MAC. DHCP asigna IPs dinámicamente. ICMP es para mensajes de error.

6 → c) La cabecera IPv4 sin opciones tiene 20 bytes. IHL mínimo = 5 palabras de 32 bits = 5 × 4 bytes = 20 bytes.

7 → b) Con DF=1 el router descarta el paquete y envía ICMP "Fragmentation Needed" al origen. El origen deberá reducir el tamaño de sus paquetes para que pasen sin fragmentación.

8 → d) El campo TTL evita los bucles infinitos. Cada router decrementa TTL en 1. Al llegar a 0 el paquete se descarta y se notifica al origen con ICMP "Time Exceeded".

9 → c) MF=1 indica que quedan más fragmentos del mismo datagrama por llegar. Solo el último fragmento tiene MF=0. El campo Identificador permite al receptor reconocer qué fragmentos pertenecen al mismo datagrama original.

10 → b) IHL máximo = 15 (4 bits, valor máximo 1111). 15 × 4 bytes = 60 bytes máximos de cabecera. Los primeros 20 son obligatorios y los 40 restantes corresponden a opciones.

11 → c) TIER III (Mantenimiento concurrente) tiene disponibilidad del 99,982% y permite mantenimiento planificado sin cortar el servicio. TIER IV también pero además tolera fallos no planificados.

12 → c) TIA-942 define exactamente 4 subsistemas: telecomunicaciones, arquitectura, sistema eléctrico y sistema mecánico.

13 → b) La redundancia 2(N+1) de TIER IV significa dos UPS independientes, cada uno con redundancia N+1 internamente. Ningún fallo único puede interrumpir el suministro.

14 → c) La revisión TIA-942A prohíbe OM1 y OM2 en Data Centers. Solo se permiten OM3 y OM4 (50/125 µm) con emisores LASER a 850 nm.

15 → d) Un CPD TIER I puede estar inactivo hasta 28,82 horas al año. Es el nivel básico, sin redundancia, sensible a cualquier tipo de interrupción.

16 → b) Los tres pilares son Confidencialidad, Integridad y Disponibilidad (CIA). La autenticación y el no repudio son principios importantes pero no forman la tríada CIA.

17 → c) Un gusano se propaga solo aprovechando vulnerabilidades de red, sin necesitar que el usuario ejecute nada. El virus necesita un fichero infectado que el usuario ejecute. El troyano se disfraza de software legítimo.

18 → b) El IDS (Intrusion Detection System) solo detecta y genera alertas. El IPS (Intrusion Prevention System) detecta y bloquea activamente. El IPS es tecnológicamente más cercano a un firewall.

19 → c) AES (Advanced Encryption Standard) es cifrado simétrico: usa la misma clave para cifrar y descifrar. Es el estándar de cifrado simétrico más extendido. RSA es asimétrico. SHA-256 es una función hash.

20 → c) El Pharming manipula el DNS para redirigir silenciosamente a webs fraudulentas aunque el usuario escriba correctamente la URL. El phishing engaña al usuario para que pulse un enlace falso.

21 → d) Una vulnerabilidad Zero-day es desconocida para el fabricante y sin parche disponible. Los APT las explotan con frecuencia porque el usuario no puede protegerse con actualizaciones.

22 → b) En un Man-in-the-Middle el atacante se interpone entre los comunicantes pudiendo escuchar, leer y modificar los mensajes sin que ninguna parte lo note. La mitigación principal es el cifrado extremo a extremo.

23 → c) El RGPD es la normativa europea de 2016. La LOPDGDD es la ley española que transpone el RGPD. La LSSI-CE regula el comercio electrónico.

24 → b) El Phishing es masivo y genérico. El Spear Phishing va dirigido específicamente a una persona u organización concreta, usando datos personalizados (nombre, cargo, empresa) para resultar más creíble.

25 → c) WPS (Wi-Fi Protected Setup) tiene una vulnerabilidad conocida que permite descubrir el PIN y acceder a la red fácilmente. La recomendación es desactivarlo. WPA3 es el protocolo más seguro actualmente.

📊 TABLA FLASH FINAL — Datos clave Redes, CPD y Ciberseguridad