Search

Aunque los proyectos de votación electrónica son una realidad desde hace ya algunos años, muchos países se resisten a adoptar esta tecnología en sus procesos electorales fundamentalmente por falta de confianza en las soluciones propuestas y por motivos de coste. En 2009, la aparición de Bitcoin y su tecnología subyacente blockchain supuso una revolución en los sistemas TI descentralizados, y su influencia también se produjo en el contexto de la votación electrónica para superar los problemas de seguridad y coste. La adopción de blockchain en los sistemas de votación se ha realizado de dos maneras: utilizando criptomonedas o tokens criptográficos para representar votos o utilizando la blockchain como registro inmutable. En este artículo revisamos sistemas representativos de ambos usos, estudiamos que aporta blockchain a cada proyecto, y discutimos los beneficios y problemáticas de esta tecnología en el escenario de la votación electrónica.

Video is becoming one of the main pedagogical tools nowadays. They are very common, mainly in Massive Open Online Courses (MOOC's), but also in virtual universities and more every day in blended and face-to-face learning. The increase of video importance can be related to several technological changes: 1) smartphones have brought high definition cameras to the hands of everyone, 2) faster home internet connections allow sharing heavy files like those of videos, and 3) YouTube and Vimeo among others, have made it easy to upload and view videos. Therefore, nowadays video is a common way of consuming information and has become a natural way to get new knowledge. All these changes have become a video evolution since: 1) before the smartphone era, videos were a unidirectional channel of communication: the creator of the video (active), and the consumer (passive). Although we could make comments, the video itself was not enriched by those comments, like can be done with documents. It could not even be enriched with extra information, like the mechanisms allowed by hypertext. 2) Not everybody could create videos since cameras; hardware and software for editing were expensive. However, nowadays, this situation has changed. Now everybody with a smartphone create acceptable quality videos. Some smartphone's operative systems even have powerful video editing software. On the other hands, computers now have screen capture and desktops and tablets have become a common everyday tool. This new scenario is especially convenient for virtual environments like that of Universitat Oberta de Catalunya. Sometimes it is difficult to ask or answer something only by a text or a document, but it is easier explaining it through a desktop capture video from a tablet. Therefore, is has become more common everyday that teachers and students use video as a tool of communication. Nevertheless, although video is important in any aspect of studies, it is especially important in science teaching, like physics. There, mathematics and complex concepts make communicating difficult. Video animations are a common tool in face-to-face, blended and virtual environments; but in virtual environments it is difficult to ask or answer a question by writing only. Thus, video plays a key role in science and engineering, specially, in virtual environments. However, it must be considered that video can include many different kinds of objects: animations, desktop captures, video recording, etc. Therefore, it is unavoidable that different questions can be raised, such as: Which kind of videos we found? What the advantages and drawbacks of every one of them are from the point of view of teachers and students? Which role does the time factor play in videos? Which are the more useful kind of videos in sciences? In the present paper these questions are answered. First of all a review of the kind of videos is developed, analyzing the advantages and drawbacks of every one of them. Then, a drawback has risen to a group of students and a deeper interview with two of them is carried on in order to know their perception. All these analysis are focused in a physics subject. El video se está convirtiendo en una de las herramientas pedagógicas principales hoy en día. Son muy comunes, principalmente en Massive Open Online Courses (MOOC's), pero también en universidades virtuales y cada día más en el aprendizaje combinado y presencial. El aumento de la importancia del video puede relacionarse con varios cambios tecnológicos: 1) los teléfonos inteligentes han llevado las cámaras de alta definición a las manos de todos, 2) las conexiones a Internet más rápidas permiten compartir archivos pesados ¿¿como los de los videos, y 3) YouTube y Vimeo entre otros, han hecho que sea fácil cargar y ver videos. Este nuevo escenario es especialmente conveniente para entornos virtuales como el de la Universitat Oberta de Catalunya. A veces es difícil preguntar o responder algo solo por un texto o un documento, pero es más fácil explicarlo a través de un video de captura de escritorio desde una tableta. Por lo tanto, cada vez es más común que los maestros y los estudiantes usen el video como una herramienta de comunicación. Sin embargo, aunque el video es importante en cualquier aspecto de los estudios, es especialmente importante en la enseñanza de las ciencias, como la física. Sin embargo, se debe considerar que el video puede incluir muchos tipos diferentes de objetos: animaciones, capturas de escritorio, grabación de videos, etc. Por lo tanto, es inevitable que surjan preguntas diferentes, como: ¿Qué tipo de videos encontramos? ¿Cuáles son las ventajas y desventajas de cada uno de ellos desde el punto de vista de profesores y estudiantes? ¿Qué papel juega el factor tiempo en los videos? ¿Cuáles son los tipos de videos más útiles en ciencias? En el presente documento estas preguntas son respondidas. En primer lugar, se desarrolla una revisión del tipo de videos, analizando las ventajas y desventajas de cada uno de ellos. Luego, se presenta un problema a un grupo de estudiantes y se lleva a cabo una entrevista más profunda con dos de ellos para conocer su percepción. Todos estos análisis se centran en un tema de física. El vídeo s'està convertint en una de les eines pedagògiques principals avui dia. Són molt comuns, principalment en Massive Open Online Courses (MOOC's), però també en universitats virtuals i cada dia més en l'aprenentatge combinat i presencial. L'augment de la importància del vídeo pot relacionar-se amb diversos canvis tecnològics: 1) els telèfons intel·ligents han portat les càmeres d'alta definició a les mans de tots, 2) les connexions a Internet més ràpides permeten compartir arxius pesats com els dels vídeos, i 3) YouTube i Vimeo entre altres, han fet que sigui fàcil carregar i veure vídeos. Aquest nou escenari és especialment convenient per a entorns virtuals com el de la Universitat Oberta de Catalunya. A vegades és difícil preguntar o respondre alguna cosa només per un text o un document, però és més fàcil explicar-ho a través d'un vídeo de captura d'escriptori des d'una tauleta. Per tant, cada vegada és més comú que els mestres i els estudiants facin servir el vídeo com una eina de comunicació. No obstant això, tot i que el vídeo és important en qualsevol aspecte dels estudis, és especialment important en l'ensenyament de les ciències, com la física. No obstant això, s'ha de considerar que el vídeo pot incloure molts tipus diferents d'objectes: animacions, captures d'escriptori, gravació de vídeos, etc. Per tant, és inevitable que sorgeixin preguntes diferents, com: Quin tipus de vídeos trobem? Quins són els avantatges i desavantatges de cada un d'ells des del punt de vista de professors i estudiants? Quin paper juga el factor temps en els vídeos? Quins són els tipus de vídeos més útils en ciències? En el present document aquestes preguntes són respostes. En primer lloc, es desenvolupa una revisió del tipus de vídeos, analitzant els avantatges i desavantatges de cada un d'ells. Després, es presenta un problema a un grup d'estudiants i es porta a terme una entrevista més profunda amb dos d'ells per conèixer la seva percepció. Totes aquestes anàlisis se centren en un tema de física.

El ransomware se ha convertido en uno de los problemas de ciberseguridad más relevantes a día de hoy debido primeramente al gran impacto que puede llegar a suponer para una organización el secuestro de información relevante, y, en segundo lugar, debido al enorme beneficio económico gracias a la extorsión por parte de los grupos criminales que lo orquestan. Este Trabajo Final de Máster busca llevar a cabo un análisis desde lo general del fenómeno a ejemplos particulares. En primer lugar, se plantea un repaso por la historia y evolución de la actividad del ransomware desde sus primeros días hasta el estado actual de la situación, que se expone con detalle. También se tratan las herramientas y marcos de trabajo que hacen posible comprender y clasificar este tipo de ataques informáticos. Por último, se realiza un estudio pormenorizado de las tácticas, técnicas y procedimientos de Conti, uno de los ransomware con más presencia detectada el pasado año 2021. Esta publicación incluye, además de la revisión de fragmentos del código de su herramienta de cifrado de datos, una prueba de laboratorio donde se ha ejecutado el malware en un entorno controlado y la exposición de los resultados obtenidos. Ransomware has become one of the most relevant cybersecurity threats today: first of all, due to the great impact that the kidnapping of relevant information can have on an organization, and, secondly, due to the enormous economic profit thanks to extortion by the criminal groups that orchestrate it. This Master's Thesis seeks to carry out an analysis from the general to particular examples of the phenomenon. First, it presents a review of the history and evolution of ransomware activity from its early days to the current state, that is addressed in detail. The tools and frameworks that make it possible to understand and classify this type of computer attack are also discussed. Finally it is carried out an extensive review of the tactics, techniques and procedures of Conti, one of the most prevalent ransomware detected in the past year 2021. This study includes, in addition to the code review of fragments of its data encryption tool, a laboratory test where the malware has been executed in a controlled environment and the results obtained are presented. El ransomware s'ha convertit en un dels problemes de ciberseguretat més rellevants hui dia degut primerament al gran impacte que pot arribar a suposar per a una organització el segrest d'informació rellevant, i, en segon lloc, a causa de l'enorme benefici econòmic gràcies a l'extorsió per part dels grups criminals que l'orquestren. Aquest Treball Final de Màster busca dur a terme una anàlisi des del general del fenomen a exemples particulars. En primer lloc, es planteja un repàs per la història i evolució de l'activitat del ransomware des dels seus primers dies fins a l'estat actual de la situació, que s'exposa amb detall. També es tracten les eines i marcs de treball que fan possible comprendre i classificar aquest tipus d'atacs informàtics. Finalment, es realitza un estudi detallat de les tàctiques, tècniques i procediments de Conti, un dels ransomware amb més presència detectada l'any passat 2021. Aquesta publicació inclou, a més de la revisió de fragments del codi de la seua eina de xifratge de dades, una prova de laboratori on s'ha executat el malware en un entorn controlat i l'exposició dels resultats obtinguts.

Este TFM persigue mostrar una solución a la necesidad de diseñar aplicaciones de forma que se puedan separar las funciones de implementación de la lógica de negocio (qué funcionalidad tiene que cubrir la aplicación) de la lógica de implementación de servicios de seguridad (qué controles de seguridad tengo que dotar a la solución). Istio aborda esta solución en arquitecturas basadas en microservicios sobre Kubernetes. Para ello, se aborda la implementación de una solución basada en una arquitectura de microservicios apoyada en una solución que añade controles de seguridad. A esta solución se le dotará de capacidades de seguridad, orientadas al control del tráfico de comunicaciones entre los servicios. Concretamente la solución tendrá implantadas capacidades propias de la herramienta Istio, sobre una plataforma de Kubernetes. Estas capacidades están basadas en controles de seguridad de autenticación y autorización, que tienen una base en el protocolo mTLS. Concretamente estas funciones a implantar serán la habilitación del protocolo mTLS en el tráfico específico entre los servicios de la solución y la habilitación de tráfico http sobre este protocolo mTLS, consiguiendo de esta forma dotar de un protocolo de comunicaciones seguro en la arquitectura. En la fase de implementación se presenta una aplicación web con una serie de microservicios sobre los que se implantarán las capacidades de mTLS y comunicación vía http. This final work of head seeks to show a solution to the need to design applications in such a way that the implementation functions of the business logic can be separated (what functionality the application must cover) from the security service implementation logic (what security controls I must equip the solution). Istio approaches this solution in architectures based on microservices on top of Kubernetes. To do this, the implementation of a solution based on a microservices architecture supported by a solution that adds security controls is addressed. This solution will be provided with security capabilities, aimed at controlling communications traffic between services. Specifically, the solution will have the capabilities of the Istio tool implemented, on a Kubernetes platform. These capabilities are based on authentication and authorization security controls, which are based on the mTLS protocol. Specifically, these functions to be implemented will be the enabling of the mTLS protocol in the specific traffic between the services of the solution and the enabling of http traffic on this mTLS protocol, thus achieving a secure communications protocol in the architecture. In the implementation phase, a web application is presented with a series of microservices on which the capabilities of mTLS and communication via http will be implemented. Aquest TFM persegueix mostrar una solució a la necessitat de dissenyar aplicacions de manera que es puguin separar les funcions d'implementació de la lògica de negoci (quina funcionalitat ha de cobrir l'aplicació) de la lògica d'implementació de serveis de seguretat (quins controls de seguretat haig de dotar a la solució). Istio aborda aquesta solució en arquitectures basades en microserveis sobre Kubernetes. Per a això, s'aborda la implementació d'una solució basada en una arquitectura de microserveis recolzada en una solució que afegeix controls de seguretat. A aquesta solució se li dotarà de capacitats de seguretat, orientades al control del trànsit de comunicacions entre els serveis. Concretament la solució tindrà implantades capacitats pròpies de l'eina Istio, sobre una plataforma de Kubernetes. Aquestes capacitats estan basades en controls de seguretat d'autenticació i autorització, que tenen una base en el protocol mTLS. Concretament aquestes funcions a implantar seran l'habilitació del protocol mTLS en el trànsit específic entre els serveis de la solució i l'habilitació de trànsit http sobre aquest protocol mTLS, aconseguint d'aquesta manera dotar d'un protocol de comunicacions segur en l'arquitectura. En la fase d'implementació es presenta una aplicació web amb una sèrie de microserveis sobre els quals s'implantaran les capacitats de mTLS i comunicació via http.

Este Trabajo Fin de Máster ofrece una visión de la norma ISO/IEC 27004:2016 con el propósito de hacerla más cercana, más visible y que mediante su ¿descubrimiento¿ y apoyándose en ella, las organizaciones puedan adquirir un mejor dominio de su SGSI dado que la implementación de su doctrina proporciona herramientas que identifican las fortalezas y flaquezas, permitiendo en consecuencia, determinar el rendimiento, la eficacia. Otro aspecto que se persigue es el empleo de herramientas de inteligencia empresarial para, a través de estas, construir cuadros de mando que faciliten una mejor comprensión del estado de la seguridad de la información en la organización y derivado de esta ¿iluminación¿, enfocar los objetivos en la dirección correcta y en consonancia con la mejora continua y por tanto con un escalado en el nivel de madurez. This Master's Thesis offers a vision of the ISO/IEC 27004:2016 standard with the purpose of making it closer, more visible and that through its "discovery" and relying on it, organizations can acquire a better command of their ISMS given that the implementation of its doctrine provides tools that identify the strengths and weaknesses, consequently allowing to determine the performance, the effectiveness. Another aspect that is pursued is the use of business intelligence tools to, through these, build dashboards that facilitate a better understanding of the state of information security in the organization and derived from this "enlightenment", focus the objectives in the right direction and in line with continuous improvement and therefore with an escalation in the level of maturity. Aquest Treball Fi de Màster ofereix una visió de la norma ISO/IEC 27004:2016 amb el propòsit de fer-la més propera, més visible i que mitjançant el seu "descobriment" i recolzant-s'hi, les organitzacions puguin adquirir un millor domini del seu SGSI atès que la implementació de la seva doctrina proporciona eines que identifiquen les fortaleses i flaqueses, permetent en conseqüència, determinar el rendiment, l' eficàcia. Un altre aspecte que es persegueix és l'ús d'eines d'intel·ligència empresarial per, a través d'aquestes, construir quadres de comandament que facilitin una millor comprensió de l'estat de la seguretat de la informació en l'organització i derivat d'aquesta "il·luminació", enfocar els objectius en la direcció correcta i en consonància amb la millora contínua i per tant amb un escalat en el nivell de maduresa.

L'adveniment Bitcoin i posteriorment d'Ethereum varen definir les bases de la tecnologia blockchain. Cal destacar que han suposat una disrupció tecnològica, econòmica i fins i tot política, despertant un interès acadèmic creixent i nous casos d'ús. En aquest context, es presenten reptes per aconseguir una descentralització plena que sigui capaç de substituir els sistemes centralitzats tradicionals de transaccions electròniques i moviment de capitals. Alt consum d'energia, baixa taxa de transaccions, escalabilitat, seguretat o interoperabilitat són alguns dels reptes plantejats per les tecnologies actuals de blockchain que resol Elrond. Aquest treball presenta un exemple d'implementació de swaps entre criptovalors amb l'objectiu de comprovar que la proposta de blockchain pública d'Elrond ha vençut les limitacions actuals de Bitcoin i Ethereum. The advent of Bitcoin and later of Ethereum described the foundations of blockchain technology. It should be noted that they have led to a technological, economical and even political disruption, arousing growing academic interest and new use cases. In this context, we are being challenged to achieve full decentralization that is capable of replacing traditional centralized systems of electronic transactions and movements of capital. High energy consumption, low transaction rates, scalability, security or interoperability are some challenges of current blockchain technologies that Elrond solves. This paper presents an example of the implementation of swaps between tokens in order to verify that Elrond's public blockchain proposal has overcome the current limitations of Bitcoin and Ethereum. La aparición de Bitcoin y posteriormente de Ethereum definieron las bases de la tecnología blockchain. Cabe destacar que han supuesto una disrupción tecnológica, económica e incluso política, despertando un interés académico creciente y nuevos casos de uso. En este contexto, se presentan retos para conseguir una plena descentralización que sea capaz de sustituir a los sistemas centralizados tradicionales de transacciones electrónicas y movimiento de capitales. Alto consumo de energía, baja tasa de transacciones, escalabilidad, seguridad o interoperabilidad son algunos de los retos planteados por las tecnologías actuales de blockchain que resuelve Elrond. Este trabajo presenta un ejemplo de implementación de swaps entre criptovalores con el objetivo de comprobar que la propuesta de blockchain pública de Elrond ha vencido las limitaciones actuales de Bitcoin y Ethereum.

El presente Trabajo Fin de Máster analiza el estado del arte de las tecnologías implicadas en el desarrollo de aplicaciones descentralizadas (DApps) y el uso de dispositivos móviles para acceder a Smart Contracts, así como el uso de oráculos para la obtención de datos 'off-chain'. Una vez se define la base teórica aplicable, este trabajo aborda el desarrollo de una DApp en Android que accede a un Smart Contract desplegado en la Blockchain de Ethereum, mediante el uso de la librería Web3j y oráculos de Chainlink, que permiten acceder a un servidor de datos externo. This Master's Thesis analyses the state of the art in technologies involved in the development of decentralized applications (DApps) and in the use of mobile devices to access the Smart Contracts, as well as the use of oracles to obtain "off-chain" data. Once the applicable theoretical basis is defined, this Master's Thesis covers the development of a DApp on Android that accesses a Smart Contract deployed in the Ethereum Blockchain, by using Web3j library and Chainlink oracles, which allows access to a data server external data. El present Treball Fi de Màster analitza l'estat de l'art de les tecnologies implicades en el desenvolupament d'aplicacions descentralitzades (DApps) i l'ús de dispositius mòbils per a accedir a Smart Contracts, així com l'ús d'oracles per a l'obtenció de dades 'off-chain'. Una vegada es defineix la base teòrica aplicable, aquest treball aborda el desenvolupament d'una DApp en Android que accedeix a un Smart Contract desplegat en la Blockchain de Ethereum, mitjançant l'ús de la llibreria Web3j i oracles de Chainlink, que permeten accedir a un servidor de dades extern.

El creciente uso de las Tecnologías de la Información, y específicamente de la navegación web, conlleva también un incremento en el número de criminales que tratan de obtener beneficio ilegal a costa de los usuarios. Con el fin de frenar este tipo de ataques, se ponen muchos esfuerzos en la implementación de productos de seguridad como firewalls o programas antivirus, pero, sin embargo, el protocolo DNS es comúnmente dejado de lado. Debido a que este protocolo se utiliza en prácticamente todas las interacciones de la navegación web, se propone el estudio e implementación de un firewall DNS. Mediante el uso de información de IPs y nombres de dominio maliciosos extraídos de fuentes públicas, se filtran las peticiones maliciosas a un servidor web que alerta de este hecho. Inicialmente, se realiza un estudio del estado del arte, así como de las tecnologías implicadas. Dentro de esta fase se realiza un análisis de viabilidad de implementación de un motor de aprendizaje automático para detectar posibles ataques de phishing. Adicionalmente se propone en este estudio una arquitectura en alta disponibilidad y con una plataforma de recogida y visualización de métricas, con aplicación a entornos empresariales y domésticos y que aportan información relevante para el estudio futuro de las métricas. Tras las pruebas realizadas sobre el producto se concluye la viabilidad y utilidad de la implementación de un firewall DNS como una herramienta adicional de protección frente a posibles ataques. The increasing use of Information Technologies, and more specifically of the web navigation, leads also to an increment of the number of criminals that try to get illegal profit from these users. To try to stop this kind of attackers, a lot of efforts are made by the implementation of cybersecurity products as firewalls of antivirus software. On the other hand, the DNS protocol is commonly excluded on the scope of these products. Due to the highly use of this protocol in almost every web navigation interaction, it is proposed a study and implementation of a DNS firewall. By using malicious IP and domain open-source information, all the malicious requests are filtered out and redirected to an alert web server alerting about this behavior. First, a state of art and related technologies studies are made. Inside this phase, the implementation viability of a Machine Learning engine to detect phishing attacks is studied. It is proposed in this study a highly available architecture with a metrics recollection and visualization platform applicable to enterprise or homes and that provides relevant information for the future study of the metrics. After all the tests done for the final product, it is concluded the viability and usefulness of the implementation of a DNS firewall as an additional tool to protect users against cyberattacks. El creixent ús de les Tecnologies de la Informació, i específicament de la navegació web, comporta també un increment en el nombre de criminals que tracten d'obtenir benefici il·legal a costa dels usuaris. Amb la finalitat de frenar aquest tipus d'atacs, es posen molts esforços en la implementació de productes de seguretat com firewalls o programes antivirus, però, no obstant això, el protocol DNS és comunament deixat de costat. Pel fet que aquest protocol s'utilitza en pràcticament totes les interaccions de la navegació web, es proposa l'estudi i implementació d'un firewall DNS. Mitjançant l'ús d'informació de IPs i noms de domini maliciosos extrets de fonts públiques, es filtren les peticions malicioses a un servidor web que alerta d'aquest fet. Inicialment, es realitza un estudi de l'estat de l'art, així com de les tecnologies implicades. Dins d'aquesta fase es realitza una anàlisi de viabilitat d'implementació d'un motor d'aprenentatge automàtic per a detectar possibles atacs de phishing. Addicionalment es proposa en aquest estudi una arquitectura en alta disponibilitat i amb una plataforma de recollida i visualització de mètriques, amb aplicació a entorns empresarials i domèstics i que aporten informació rellevant per a l'estudi futur de les mètriques. Després de les proves realitzades sobre el producte es conclou la viabilitat i utilitat de la implementació d'un firewall DNS com una eina addicional de protecció enfront de possibles atacs.

En este trabajo se ha estudiado el tratamiento que hacen las pasarelas de pago de la identidad digital de los compradores, y las medidas de seguridad que implementan para garantizar la autenticidad y ausencia de fraude en las transacciones. This paper studies how payment gateways treat the digital identity of buyers, as well as the security measures they implement to guarantee the authenticity and the lack of fraud in online transactions. En aquest treball s'ha estudiat el tractament que fan les passarel·les de pagament de la identitat digital dels compradors, i les mesures de seguretat que implementen per garantir l'autenticitat i l'absència de frau en les transaccions.

La finalidad de este trabajo persigue ahondar sobre el estado del arte de un sector que hasta hace no demasiado no era considerado desde el punto de vista de la ciberseguridad: los entornos industriales. Este tipo de entornos se han caracterizado por sufrir una gran evolución en las últimas décadas de forma que se han incorporado multitud de tecnologías que han permitido mejorar los procesos productivos. Sin embargo, esta incorporación de tecnologías, como por ejemplo la incorporación de dispositivos IoT, han traído consigo una serie de amenazas y problemas de seguridad, que en este tipo de entornos una interrupción de la operación puede tener un impacto muy elevado ya que pueden ser infraestructuras críticas para la vida cotidiana. De forma que se apliquen principios de seguridad básicos como pueden ser defensa en profundidad o segmentación de red se ha definido una arquitectura de referencia en base a estándares del sector como el IEC 62443. Adicionalmente, se ha implantado de manera práctica un entorno industrial virtualizado que ha permitido realizar pruebas con una tecnología como Deception, la cual aporta capacidades avanzadas de detección y permite mejorar las capacidades de ciber inteligencia de las organizaciones. Las conclusiones del trabajo han sido satisfactorias y han permitido definir esta serie de requisitos de seguridad en torno a una arquitectura de referencia, además de la aplicación de tecnologías deception con un resultado satisfactorio, lo cual permite dilucidad su posible incorporación como un mecanismo adicional de seguridad como parte del ecosistema OT. The purpose of this work is to study in depth the state of the art of a sector that until recently was not considered from the point of view of cybersecurity: industrial environments. This type of environment has undergone a great evolution in recent decades, with the incorporation of a wide range of technologies that have made it possible to improve production processes. However, this incorporation of technologies, such as the incorporation of IoT devices, has brought with it a series of threats and security problems, which in this type of environment an interruption of the operation can have a very high impact since they can be critical infrastructures for everyday life. In order to apply basic security principles such as defense in depth or network segmentation, a reference architecture has been defined based on industry standards such as IEC 62443. Additionally, a virtualized industrial environment has been implemented in a practical way, which has allowed testing with a technology such as Deception, which provides advanced detection capabilities and allows improving the cyber intelligence capabilities of organizations. The results of the work were positive and have made it possible to define a set of security requirements based on a reference architecture, in addition to the application of deception technologies with a successful result, which suggests its possible incorporation as an additional security mechanism as part of the OT ecosystem. La finalitat d'aquest treball persegueix aprofundir sobre l'estat de l'art d'un sector que fins no fa gaire no era considerat des del punt de vista de la ciberseguretat: els entorns industrials. Aquest tipus d'entorns s'han caracteritzat per patir una gran evolució en les darreres dècades de manera que s'hi han incorporat multitud de tecnologies que han permès millorar els processos productius. No obstant això, aquesta incorporació de tecnologies, com per exemple la incorporació de dispositius IoT, han portat una sèrie d'amenaces i problemes de seguretat, que en aquest tipus d'entorns una interrupció de l'operació pot tenir un impacte molt elevat ja que poden ser infraestructures crítiques per a la vida quotidiana. De manera que s'apliquin principis de seguretat bàsics com ara defensa en profunditat o segmentació de xarxa s'ha definit una arquitectura de referència en base a estàndards del sector com l'IEC 62443. Addicionalment, s'ha implantat de manera pràctica un entorn industrial virtualitzat que ha permès fer proves amb una tecnologia com Deception, la qual aporta capacitats avançades de detecció i permet millorar les capacitats de ciber intel·ligència de les organitzacions. Les conclusions del treball han estat satisfactòries i han permès definir aquesta sèrie de requisits de seguretat al voltant d'una arquitectura de referència, a més de l'aplicació de tecnologies deception amb un resultat satisfactori, cosa que permet dilucitat la seva possible incorporació com un mecanisme addicional de seguretat com a part de l'ecosistema OT.

Actualmente el uso de APIs REST por prácticamente todos los servicios y sistemas modernos es fundamental para proporcionar funcionalidades avanzadas, personalizadas y modernas a los usuarios, ya sea en sus dispositivos móviles o en cualquier página web de comercio, blog o entretenimiento, entre muchas otras. Securizar estas APIs es fundamental para garantizar que los datos de los usuarios no se ven afectados, la confidencialidad de ciertos datos que podrían ser sensibles, así como para cumplir con el reglamento de protección de datos de la Unión Europea. Este trabajo analiza las amenazas y vulnerabilidades más prevalentes en las APIs REST y los mecanismos de seguridad para darles protección. Un API Gateway es una solución de seguridad que permite gestionar, configurar y enrutar las peticiones entrantes hacia las APIs expuestas en los diferentes backends del entorno corporativo. Es por ello que el trabajo se completa con una parte práctica en la que se muestra un ejemplo de despliegue de una solución de API Gateway basada en el producto KONG, para proteger una API REST con los mecanismos analizados en la parte teórica. Actualment l'ús de APIs REST per pràcticament tots els serveis i sistemes moderns és fonamental per a proporcionar funcionalitats avançades, personalitzades i modernes als usuaris, ja sigui en els seus dispositius mòbils o en qualsevol pàgina web de comerç, blog o entreteniment, entre moltes altres. Donar seguretat aquestes APIs és fonamental per a garantir que les dades dels usuaris no es veuen afectats, la confidencialitat d'unes certes dades que podrien ser sensibles, així com per a complir amb el reglament de protecció de dades de la Unió Europea. Aquest treball analitza les amenaces i vulnerabilitats més prevalents en les APIs REST i els mecanismes de seguretat per a donar-los protecció. Un API Gateway és una solució de seguretat que permet gestionar, configurar i enrutar les peticions entrants cap a les APIs exposades en els diferents backends de l'entorn corporatiu. És per això que el treball es completa amb una part pràctica en la qual es mostra un exemple de desplegament d'una solució de API Gateway basada en el producte KONG, per a protegir una API REST amb els mecanismes analitzats en la part teòrica. Currently the use of REST APIs by virtually all modern services and systems is essential to provide advanced, personalized and modern functionalities to users, whether on their mobile devices or on any commerce, blog or entertainment website, among many others. Securing these APIs is essential to ensure that user data is not affected, the confidentiality of certain data that could be sensitive, as well as to comply with the European Union's data protection regulation. This paper analyzes the most prevalent threats and vulnerabilities in REST APIs and the security mechanisms to protect them. An API Gateway is a security solution that allows managing, configuring and routing incoming requests to the APIs exposed in the different backends of the corporate environment. That is why the work is completed with a practical part in which an example of deployment of an API Gateway solution based on the KONG product is shown, to protect a REST API with the mechanisms analyzed in the theoretical part.

La propuesta de este trabajo es el desarrollo de una aplicación descentralizada en Ethereum que permite gestionar el envío de mercancías, su seguimiento, y proporciona información de interés al consumidor final. Cabe destacar el uso de contratos ricardianos para sellar los acuerdos entre fabricante y transportista, de oráculos para determinar si el producto es original, de IPFS para almacenar información adicional, y de Google Maps para mostrar la trazabilidad de los envíos. La proposta d'aquest treball és el desenvolupament d'una aplicació descentralitzada en Ethereum que permet gestionar l'enviament de mercaderies, el seu seguiment, i proporciona informació d'interès al consumidor final. Cal destacar l'ús de contractes ricardianos per a contractar els acords entre fabricants i transportistes, d'oràculos per determinar si el producte és original, d'IPFS per emmagatzemar informació addicional, i de Google Maps per mostrar la traçabilitat dels enviaments. The proposal of this work is the development of a decentralized application in Ethereum that allows to manage the shipment of goods, their tracking, and provides information of interest to the final consumer. It is worth noting the use of Ricardian contracts to seal the agreements between manufacturer and carrier, oracles to determine if the product is original, IPFS to store additional information, and Google Maps to show the traceability of shipments.

Las cadenas de bloques son la tecnología detrás de las criptomonedas; una tecnología que ha revolucionado el mundo de los sistemas de información. Las redes de cadenas de bloques permiten mantener registros descentralizados y distribuidos de transacciones digitales en forma de libro mayor de forma segura y transparente. El objetivo principal de este trabajo es exponer, analizar y describir todo aquello que se conozca acerca de los distintos tipos de cadenas de bloques. Para llevar a cabo este cometido, se ha seguido una metodología que incluye cinco etapas: la planificación del proyecto, una breve introducción a unos conceptos básicos necesarios para entender el funcionamiento de las cadenas de bloques, el análisis de cada uno de los distintos tipos, la realización de comparaciones entre los aspectos más relevantes de estos tipos y, finalmente, la exposición de las conclusiones obtenidas a raíz del análisis. Blockchain is the technology behind the cryptocurrency; a technology that has revolutionized the world of Information Systems. Blockchain networks allow their users to keep decentralized and distributed records of digital transactions in the form of a ledger, in a secure and transparent way. The main purpose of this paper is to expose, analyze and describe every information known about the different types of blockchains. In order to achieve this purpose, a five-stage methodology has been followed, which includes: a planning of the project, a brief introduction to some basic concepts necessary to understand how blockchains work, the analysis of each of the different blockchain types, some comparisons between the most relevant aspects of these types and, finally, the conclusions achieved as a result of the analysis. Les cadenes de blocs són la tecnologia darrere de les criptomonedas; una tecnologia que ha revolucionat el món dels sistemes d'informació. Les xarxes de cadenes de blocs permeten mantenir registres descentralitzats i distribuïts de transaccions digitals en forma de llibre major de manera segura i transparent. L'objectiu principal d'aquest treball és exposar, analitzar i descriure tot allò que es conegui sobre els diferents tipus de cadenes de blocs. Per a dur a terme aquesta comesa, s'ha seguit una metodologia que inclou cinc etapes: la planificació del projecte, una breu introducció a uns conceptes bàsics necessaris per a entendre el funcionament de les cadenes de blocs, l'anàlisi de cadascun dels diferents tipus, la realització de comparacions entre els aspectes més rellevants d'aquests tipus i, finalment, l'exposició de les conclusions obtingudes arran de l'anàlisi.

Els equips de resposta a incidents han de fer front cada cop a més incidents de seguretat i una resposta automatitzada a aquests ha passat a ser una necessitat per a aconseguir que el temps de resposta sigui el més petit possible. L´automatització no és quelcom nou ja que s´ha automatitzat des de sempre via scripts aprofitant les APIs de les aplicacions. Les eines modernes d´automatització de fluxos i de RPA permeten que perfils no programadors puguin automatitzar tasques/processos de forma més o menys senzilla tant a partir d´APIs com aprofitant les interfícies d´usuari de les aplicacions. L´entorn de treball utilitzat ha estat la versió actualitzada de CSIRT-KIT que ofereix un conjunt complet d´eines, de codi obert i gratuïtes, per a monitoritzar la seguretat i gestionar-ne els incidents. Les eines que formen el kit estan pre-integrades entre elles i l´objectiu d´aquest treball ha estat explorar les eines d´automatització de codi obert i gratuïtes disponibles, provar les que millor s´adapten a les eines que composen l´entorn de treball i aconseguir implementar uns casos d´ús d´automatització que aportin valor a la operativa diària que realitzen els equips de resposta a incidents. Els resultats d´aquest treball mostren que és viable automatitzar aquesta operativa amb les eines proposades, tant de forma col·laborada amb els operadors humans com de forma autònoma per part dels robots software, i fer-ho de forma segura podent cobrir un horari 24x7. Incident response teams must deal with more and more security incidents and an automated response to these incidents has become a necessity to keep response time as small as possible. Automation is nothing new because it has always been done via scripts using application APIs. Modern flow automation and RPA tools allow non-programmers to automate tasks and processes in a more or less simple way both from APIs and using Applications user interfaces. The working environment used has been the updated version of CSIRT-KIT, which offers a complete set of free and open-source tools for security monitoring, incident management and response. The tools that make up the kit are pre-integrated with each other and the objective of this work has been to explore the open source and free automation tools available, test those that best fit the tools that make up the working environment and implement automation use cases adding value to the daily operations performed by the incident response teams. The results of this work show that it is feasible to automate this operation with the proposed tools, both in collaboration with human operators and autonomously by software robots, and to do it in a safe way being able to cover a 24x7 schedule. Los equipos de respuesta a incidentes tienen que hacer frente cada vez a más incidentes de seguridad y una respuesta automatizada a estos ha pasado a ser una necesidad para conseguir que el tiempo de respuesta sea lo más pequeño posible. Automatización no es algo nuevo ya que se ha automatizado desde siempre vía scripts aprovechando las APIs de las aplicaciones. Las herramientas modernas de automatización de flujos y de RPA permiten que perfiles no programadores puedan automatizar tareas / procesos de forma más o menos sencilla tanto a partir de API como aprovechando las interfaces de usuario de las aplicaciones. El entorno de trabajo utilizado ha sido la versión actualizada de CSIRT-KIT que ofrece un conjunto completo de herramientas, de código abierto y gratuitas, para monitorizar la seguridad y gestionar los incidentes. Las herramientas que forman el kit están pre-integradas entre ellas y el objetivo de este trabajo ha sido explorar las herramientas de automatización de código abierto y gratuitas disponibles, probar las que mejor se adaptan a las herramientas que componen el entorno de trabajo y conseguir implementar unos casos de uso de automatización que aporten valor a la operativa diaria que realizan los equipos de respuesta a incidentes. Los resultados de este trabajo muestran que es viable automatizar esta operativa con las herramientas propuestas, tanto de forma colaboradora con los operadores humanos como de forma autónoma por parte de los robots software, y hacerlo de forma segura pudiendo cubrir un horario 24x7 .

The purpose of this work is the performance of a proof of concept for the choice of a vulnerability management tool in a real company. For this purpose, the state of the art in vulnerability management process and different comparisons between vulnerability management tools have been studied in order to identify the criteria used to compare them. Once this research has been made and theoretical basis has been defined, the need to implement this kind of tool in the company has been identified, analyzing the company's context. To select the vulnerability management tool, an evaluation procedure has been defined. This procedure consists of defining general criteria, based on the defined theoretical basis, and specific criteria based on the need of the company. These criteria have been weighted with percentages to establish how much weight they will have on the final score. Finally, the three leading tools in the market have been tested to evaluate each of the criteria. As a result, a final rating of the three tools has been calculated, being the tool with the best score the tool selected by the company to implement in the vulnerability management process. El objetivo de este trabajo es la realización de una prueba de concepto para la elección de una herramienta de gestión de vulnerabilidades en una empresa real. Para ello, se ha realizado el estado del arte sobre el proceso de gestión de vulnerabilidades y se han estudiado diferentes trabajos de comparaciones entre herramientas de gestión de vulnerabilidades, con el objetivo de identificar los criterios utilizados para compararlas. Una vez realizada esta investigación y definida la base teórica, se ha identificado la necesidad de implantación de este tipo de herramienta en la empresa, analizando el contexto de la compañía Para realizar la selección de la herramienta, se ha definido un procedimiento de evaluación, el cual consiste en definir unos criterios generales, basándose en la base teórica definida, y en unos criterios específicos basados en la necesidad de la empresa. Estos criterios se han ponderado con porcentajes para establecer cuánto peso tendrán sobre la calificación final. Finalmente, se han probado las tres herramientas líderes en el mercado para evaluar cada uno de los criterios. Como resultado, se obtiene una calificación final de las tres herramientas, siendo la herramienta con mejor puntuación la herramienta seleccionada por la compañía para implementar en su proceso de gestión de vulnerabilidades. L'objectiu d'aquest treball és la realització d'una prova de concepte per a l'elecció d'una eina de gestió de vulnerabilitats en una empresa real. Per a això, s'ha realitzat l'estat de l'art sobre el procés de gestió de vulnerabilitats i s'han estudiat diferents treballs de comparacions entre eines de gestió de vulnerabilitats, amb l'objectiu d'identificar els criteris utilitzats per a comparar-les. Una vegada realitzada aquesta recerca i definida la base teòrica, s'ha identificat la necessitat d'implantació d'aquesta mena d'eina en l'empresa, analitzant el context de la companyia. Per a realitzar la selecció de l'eina, s'ha definit un procediment d'avaluació, el qual consisteix a definir uns criteris generals, basant-se en la base teòrica definida, i en uns criteris específics basats en la necessitat de l'empresa. Aquests criteris s'han ponderat amb percentatges per a establir quant pes tindran sobre la qualificació final. Finalment, s'han provat les tres eines líders en el mercat per a avaluar cadascun dels criteris. Com a resultat, s'obté una qualificació final de les tres eines, sent l'eina amb millor puntuació l'eina seleccionada per la companyia per a implementar en el seu procés de gestió de vulnerabilitats.

The purpose of this work is to analyze the security context in REST APIs, identify the main vulnerabilitys faced by this type of architecture and list some of the possible solutions to them. This analysis has been carried out through a proof of concept in which a REST API created for this purpose has been defined, codified and protected. For its protection, an API Management product, WSO2 API Manager, has been used, positioning itself as an intermediary for the accesses that the API provides. This product allows adding a security layer between the consumer and the producer of the API independent to them, so that it has been installed and configured to protect the API against practical examples of the main attacks of which this type of REST architecture is objective. For the construction of the REST API, technological standards such as OpenAPI 3.0 or Spring Boot have been used, while for the protection of the API, security mechanisms such as HTTPS and JWS have been used. For the authentication and authorization of access to the API, the OAuth standard has been used, applying all these options in a transversal way through the configuration of the API Manager. The conclusions obtained have been satisfactory, since it has been possible to undertake protection actions against the vulnerabilities identified as most important through the proposed solution. La finalidad de este trabajo es analizar la seguridad en el contexto de las APIs REST, identificar las principales amenazas a las que se enfrenta este tipo de arquitecturas y enumerar algunas de las posibles soluciones ante las mismas. Este análisis se ha llevado a la práctica mediante una prueba de concepto en la que se ha definido, codificado y protegido un API REST creado al efecto. Para la protección del mismo se ha utilizado un producto de API Managment, WSO2 API Manager, situándose como intermediador de los accesos que el API proporciona. Este producto permite añadir una capa de seguridad entre el consumidor y el productor del API independiente a los mismos, de manera que se ha instalado y configurado para proteger el API frente a ejemplos prácticos de los principales ataques de los que este tipo de arquitecturas REST es objetivo. Para la construcción del API REST se han utilizado estándares tecnológicos como son OpenAPI 3.0 o Spring Boot, mientras que para la protección del API se han utilizado mecanismos de seguridad como HTTPS y JWS. Para la autentificación y la autorización de acceso al API se ha utilizado el estándar OAuth, aplicando todas estas opciones de manera transversal mediante la configuración del API Manager. Las conclusiones obtenidas han sido satisfactorias, ya que se han podido acometer mediante la solución propuesta acciones de protección frente a las vulnerabilidades identificadas como más importantes. La finalitat d'aquest treball és analitzar la seguretat en el context de les APIs REST, identificar les principals amenaces a què s'enfronta aquest tipus de arquitectures i enumerar algunes de les possibles solucions davant les mateixes. Aquesta anàlisi s'ha portat a la pràctica mitjançant una prova de concepte en la que s'ha definit, codificat i protegit un API REST creat a l'efecte. per la protecció de la mateixa s'ha utilitzat un producte d'API Managment, WSO2 API Manager, situant-se com intermediador dels accessos que l'API proporciona. Aquest producte permet afegir una capa de seguretat entre el consumidor i el productor de l'API independent als mateixos, de manera que s'ha instal·lat i configurat per protegir l'API davant exemples pràctics dels principals atacs dels que aquest tipus d'arquitectures REST és objectiu. Per a la construcció de l'API REST s'han utilitzat estàndards tecnològics com són OpenAPI 3.0 o Spring Boot, mentre que per a la protecció de l'API s'han utilitzat mecanismes de seguretat com HTTPS i JWS. per a la autenticació i l'autorització d'accés a l'API s'ha utilitzat l'estàndard OAuth, aplicant totes aquestes opcions de manera transversal mitjançant la configuració de l'API Manager. Les conclusions obtingudes han estat satisfactòries, ja que s'han pogut escometre mitjançant la solució proposada accions de protecció enfront de les vulnerabilitats identificades com a més importants.

Existen multitud de herramientas para efectuar ataques que comprometan la seguridad de los dispositivos TIC (smartphones, tablets, portátiles, servidores, cámaras de seguridad,...). Además, recientemente se ha incrementado la puesta a disposición del público general (sobre todo a través de Internet) de herramientas tanto de tipo hardware como software a un precio muy reducido o directamente de forma gratuita. En este TFM se analiza mediante pruebas de concepto distintos tipos de ataques (robo de credenciales, obtención de privilegios de administrador, hosts file poisoning, man-in-the-middle, password cracking,...) mediante diferentes herramientas hardware/software que han aparecido en los últimos años: USB Rubber Ducky, WiFi Pineapple Nano y Kali Nethunter, indicando asimismo su potencial, posibles implicaciones en el mundo de la seguridad y medidas para evitar estos vectores de ataque. Se concluye que las herramientas anteriores permiten realizar ataques sin necesidad de conocimientos técnicos en la materia y con bastante sencillez. Algunos de estos ataques se ven limitados por el hardware portable que sirve de soporte, pero la mayoría tienen plena eficacia e incluso varios de ellos son transparentes para la víctima. Esto unido al continuo incremento de los dispositivos conectados a Internet así como al aumento de la actividad online hace presagiar un aumento de los ataques, lo cual resalta la necesidad de utilizar software actualizado y debidamente configurado/protegido. Nowadays there are myriads of tools aimed at attacking the security of IT devices (such as smartphones, tablets, laptops, servers, security cameras,...). Moreover, the public availability of affordable or even free hardware and software tools has recently increased (mostly thanks to the Internet). In this work several types of attacks (stealing of credentials, getting of administration privileges, hosts file poisoning, man-in-the-middle, password cracking,...) are analyzed by performing proofs of concept. In order to do so we use both hardware and software tools that have appeared in the last years: USB Rubber Ducky, WiFi Pineapple Nano and Kali Nethunter, also indicating their potential, possible implications on the security world and measures to prevent these attack vectors. As a conclusion, these tools allow anybody to launch attacks easily, even if they do not have technical knowledge about the topic. Some of these attacks are limited by the portable hardware used, but most of them have full efficacy and some of them are even imperceptible for the victim. Together with both the continuous growth in Internet connected devices and the increase in online activity, it can be presaged that a rise of common attacks is about to come. Consequently, there is a need for using updated software and configure it properly in order to be protected. Existeixen multitud d'eines per a efectuar atacs que comprometin la seguretat dels dispositius TIC (telèfons intel·ligents, tauletes, portàtils, servidors, càmeres de seguretat,...). A més, recentment s'ha incrementat la posada a la disposició del públic general (sobretot a través d'Internet) d'eines tant de tipus maquinari com programari a un preu molt reduït o directament de manera gratuïta. En aquest TFM s'analitza mitjançant proves de concepte diferents tipus d'atacs (robatori de credencials, obtenció de privilegis d'administrador, hosts file poisoning, man-in-the-middle, password cracking,...) mitjançant diferents eines maquinari/programari que han aparegut en els últims anys: USB Rubber Ducky, Wifi Pineapple Nano i Kali Nethunter, indicant així mateix el seu potencial, possibles implicacions en el món de la seguretat i mesures per a evitar aquests vectors d'atac. Es conclou que les eines anteriors permeten realitzar atacs sense necessitat de coneixements tècnics en la matèria i amb bastant senzillesa. Alguns d'aquests atacs es veuen limitats pel maquinari portable que serveix de suport, però la majoria tenen plena eficàcia i fins i tot diversos d'ells són transparents per a la víctima. Això unit al continu increment dels dispositius connectats a Internet així com a l'augment de l'activitat en línia fa presagiar un augment dels atacs, la qual cosa ressalta la necessitat d'utilitzar programari actualitzat i degudament configurat/protegit.

La cultura DevOps y las metodologías de desarrollo ágiles han mejorado el flujo de desarrollo del software, permitiendo la implementación de nuevas funcionalidades en menor tiempo, un aspecto fundamental para destacar en el mercado frente al resto de aplicaciones. Sin embargo, muchas veces se ha sacrificado la seguridad del software desarrollado, por considerarla un freno para la implementación de nuevas características. La necesidad de contemplar la seguridad en la cultura DevOps, manteniendo la agilidad del ciclo de desarrollo ha dado lugar a DevSecOps. El objetivo de este trabajo es automatizar la seguridad en el ciclo de desarrollo del software siguiendo la cultura DevSecOps. Para esto, se ha llevado a cabo un estudio de los servidores de integración continua y de las herramientas de automatización de seguridad existentes. Se ha utilizado GitHub Actions para desarrollar una pipeline de integración continua en la que se han incluido diferentes pruebas de seguridad, entre ellas el escaneo de secretos, análisis de composición del código (SCA), pruebas de seguridad estáticas (SAST), pruebas de seguridad dinámicas (DAST) y pruebas de seguridad de la infraestructura. A pesar de las limitaciones que presenta este trabajo, relativas a la ausencia de presupuesto y a no poder probar el producto en un entorno real, los resultados son útiles para entender la cultura DevSecOps y su aplicación en el entorno empresarial. Investigaciones futuras deberían optimizar el rendimiento del producto obtenido además de incluir herramientas de gestión de logs y monitorización, con el fin de controlar el funcionamiento del software en producción. The DevOps culture and agile development methodologies have improved the software development flow, allowing the implementation of new functionalities in less time, a fundamental aspect to stand out in the market compared to other applications. However, the security of the developed software has often been sacrificed, because it has been considered a brake for the implementation of new features. The need to consider security in the DevOps culture while maintaining the agility of the development cycle has given rise to DevSecOps. The objective of this work is to automate security in the software development cycle following the DevSecOps culture. For this purpose, the project studies the existing continuous integration servers and security automation tools. GitHub Actions has been used to develop a continuous integration pipeline in which different security tests have been considered, including secrets scanning, Software Composition Analysis (SCA), Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST), and infrastructure security testing. Despite the limitations of this work, related to the lack of budget and not being able to test the product in a real environment, the results are useful for understanding the DevSecOps culture and its application in the enterprise environment. Future research should optimize the performance of the product obtained and include log management and monitoring tools, in order to control the operation of the software in production. La cultura devops i les metodologies de desenvolupament àgils han millorat el flux de desenvolupament de programari, permetent la implementació de noves funcionalitats en menor temps, un aspecte fonamental per destacar en el mercat enfront de la resta d'aplicacions. No obstant això, moltes vegades s'ha sacrificat la seguretat del programari desenvolupat, per considerar-la un fre per a la implementació de noves característiques. La necessitat de contemplar la seguretat en la cultura devops, mantenint l'agilitat de el cicle de desenvolupament ha donat lloc a DevSecOps. L'objectiu d'aquest treball és automatitzar la seguretat en el cicle de desenvolupament de programari seguint la cultura DevSecOps. Per això, s'ha dut a terme un estudi dels servidors d'integració contínua i de les eines d'automatització de seguretat existents. S'ha utilitzat GitHub Actions per desenvolupar una pipeline d'integració contínua en la qual s'han inclòs diferents proves de seguretat, entre elles l'escaneig de secrets, anàlisi de composició de el codi (SCA), proves de seguretat estàtiques (SAST), proves de seguretat dinàmiques (DAST) i proves de seguretat de la infraestructura. Tot i les limitacions que presenta aquest treball, relatives a l'absència de pressupost i a no poder provar el producte en un entorn real, els resultats són útils per a entendre la cultura DevSecOps i la seva aplicació en l'entorn empresarial. Investigacions futures haurien optimitzar el rendiment del producte obtingut més d'incloure eines de gestió de logs i monitorització, amb la finalitat de controlar el funcionament del programari en producció.

Este Trabajo busca determinar si Elastic Security es un buen candidato para que una organización despliegue una solución de seguridad que le permita dotarse de forma sencilla de capacidades de detección, prevención y análisis de incidentes de seguridad. Para ello se propone desplegar un entorno de evaluación donde poder probar en detalle las diferentes funcionalidades que ofrece la solución y que luego sea fácilmente trasladable a una infraestructura de tipo cloud que tuviera la organización. Tras el despliegue del entorno de evaluación y la realización de las pruebas se puede concluir que Elastic Security es efectivamente una buena alternativa para que una organización implemente una solución de este tipo. This dissertation tries to determine if Elastic Security is a good candidate for an organization to deploy a security solution to enable in an easy way capabilities for detection, prevention, and analysis of security incidents. This will be done through the deployment of a test environment where those capabilities can be tested. This environment must be easily transferable to a cloud-type infrastructure owned by the organization. After deploying the test environment and performing extensive testing of the different features offered by the solution, the conclusion is that Elastic Security is indeed a good candidate. Aquest Treball busca determinar si Elastic Security és un bon candidat perquè una organització desplegui una solució de seguretat que li permeti dotar-se de manera senzilla de capacitats de detecció, prevenció i anàlisi d'incidents de seguretat. Per a això es proposa desplegar un entorn d'avaluació on poder provar detalladament les diferents funcionalitats que ofereix la solució i que després sigui fàcilment traslladable a una infraestructura de tipus cloud que tingués l'organització. Després del desplegament de l'entorn d'avaluació i la realització de les proves es pot concloure que Elastic Security és efectivament una bona alternativa perquè una organització implementi una solució d'aquest tipus.

Breve investigación sobre el Phishing y su evolución, donde se pretende dar visibilidad a esta amenaza, debió al gran aumento que hubo durante la pandemia. Se pretende también aportar una pequeña herramienta con la que poder crear plantillas para poder realizar campañas de phishing a través de una herramienta de fácil uso, para ayudar a las pequeñas empresas. Se ha conseguido obtener resultados sobre la investigación, donde se demuestra una carencia en la educación referente a ciberseguridad y donde se dan varios puntos para tener en cuenta durante el trabajo y explicados de una forma clara y con pocos tecnicismos. Brief research about Phishing and its evolution, which aims to give visibility to this threat, due to the large increase that occurred during the pandemic. It is also intended to provide a small tool for create templates and use it in phishing ampaigns through an easy and free phishing tool, to help small businesses. It has been possible to obtain results on the investigation, where it is demonstrated a lack in the education referring to cybersecurity and where several points are given for apply during the work and explained in a clear way and with few technicalities. Breu investigació sobre el Phishing i la seva evolució, on es pretén donar visibilitat a aquesta amenaça, va deure a el gran augment que hi va haver durant la pandèmia. Es pretén també aportar una petita eina amb la qual poder crear plantilles per poder realitzar campanyes de pesca a través d'una eina de fàcil ús, per ajudar les petites empreses. S'ha aconseguit obtenir resultats sobre la recerca, on es demostra una manca en l'educació referent a ciberseguretat i on es donen diversos punts per tenir en compte durant el treball i explicats d'una manera clara i amb pocs tecnicismes.

Guía de adecuación al Esquema Nacional de Seguridad para una empresa privada. Guia d'adequació a l'Esquema Nacional de Seguretat per a una empresa privada. Guide of adaptation to the National Security Scheme for a private company.

La finalidad de este trabajo es analizar y describir el modelo de madurez del aseguramiento del software SAMM de OWASP. En la actualidad, la seguridad de los sistemas de información es un aspecto clave para asegurar la prestación de servicios seguros, resilientes y confiables, así como para garantizar algunos derechos fundamentales de las personas como puede ser la privacidad y la protección de los datos personales. De forma paralela, se observa un aumento en el número de vulnerabilidades de los productos software, que crece año tras año. En este contexto, las organizaciones empiezan a ser conscientes de la necesidad de gestionar la seguridad en el desarrollo de software y precisan de poner en marcha programas de mejora de la seguridad en el desarrollo de software. El modelo de madurez SAMM constituye un instrumento de especial utilidad para implementar un programa de seguridad consistente. El presente trabajo analiza este modelo de madurez y su aplicación para gestionar la seguridad en el desarrollo de software. Como conclusión principal, SAMM facilita en gran medida la puesta en marcha de un programa de mejora de la seguridad del software de cualquier organización, siendo especialmente útil para proporcionar orientación a aquellas organizaciones con poca o nula madurez en materia de seguridad del software. The main purpose of this paper is to analyze and describe the OWASP SAMM software assurance maturity model. Currently, the security of information systems is a key aspect to ensure the provision of secure, resilient and reliable services, as well as to guarantee some fundamental rights of individuals such as privacy and personal data protection. At the same time, the number of vulnerabilities in software products is increasing year after year. In this context, organizations are becoming aware of the need to manage security in software development and need to implement programs to improve security in software development. The SAMM maturity model is a particularly useful tool for implementing a consistent security program. This paper analyzes this maturity model and its application to manage safety in software development. As a main conclusion, SAMM greatly facilitates the implementation of a software safety improvement program in any organization, being especially useful to provide guidance to those organizations with little or no software safety maturity. La finalitat d'aquest treball és analitzar i descriure el model de maduresa de l'assegurament de programari SAMM de OWASP. En l'actualitat, la seguretat dels sistemes d'informació és un aspecte clau per assegurar la prestació de serveis segurs, resilients i fiables, així com per garantir alguns drets fonamentals de les persones com pot ser la privacitat i la protecció de les dades personals. De forma paral·lela, s'observa un augment en el nombre de vulnerabilitats dels productes programari, que creix any rere any. En aquest context, les organitzacions comencen a ser conscients de la necessitat de gestionar la seguretat en el desenvolupament de programari i precisen de posar en marxa programes de millora de la seguretat en el desenvolupament de programari. El model de maduresa SAMM constitueix un instrument d'especial utilitat per implementar un programa de seguretat consistent. El present treball analitza aquest model de maduresa i la seva aplicació per gestionar la seguretat en el desenvolupament de programari. Com a conclusió principal, SAMM facilita en gran mesura la posada en marxa d'un programa de millora de la seguretat del programari de qualsevol organització, sent especialment útil per a proporcionar orientació a aquelles organitzacions amb poca o nul·la maduresa en matèria de seguretat del programari.

En esta última década, el número de dispositivos conectados a la red ha crecido exponencialmente, lo que ha obligado a evolucionar las infraestructuras que los soportan, y proporcionan los servicios demandados. Los requisitos de accesibilidad, disponibilidad, seguridad y, en definitiva, la manera continua de explotar los servicios, han impactado directamente sobre los centros de datos. Esta transformación de los centros de datos plantea la duda de si los actuales sistemas de seguridad son capaces de mitigar las amenazas y, por consiguiente, eliminar posibles brechas de seguridad. En este TFM se realiza un recorrido por dicha evolución de los centros de datos, a la par que se estudia la evolución de las soluciones de seguridad para estos entornos de nueva generación. Además, se realiza un análisis de otras medidas de seguridad elaborando una guía de hardening para uno de los componentes de la capa virtual; el hipervisor. In the last decade, the number of devices connected to the network has grown exponentially, which has forced the infrastructures that support them to evolve and provide the services demanded. The accessibility, availability, security requirements and, ultimately, the continuous way of exploiting the services, have had a direct impact on the data centers. This transformation of data centers raises the question of whether current security systems are capable of mitigating threats and, consequently, eliminating potential security breaches. In this TFM, a tour of said evolution of data centers is carried out, at the same time as the evolution of security solutions for these new generation environments is studied. In addition, an analysis of other security measures is carried out, preparing a hardening guide for one of the components of the virtual layer; the hypervisor. En aquesta última dècada, el nombre de dispositius connectats a la xarxa ha crescut exponencialment, cosa que ha obligat a evolucionar les infraestructures que els suporten, i proporcionen els serveis demandats. Els requisits d'accessibilitat, disponibilitat, seguretat i, en definitiva, la manera contínua d'explotar els serveis, han impactat directament sobre els centres de dades. Aquesta transformació dels centres de dades planteja el dubte de si els actuals sistemes de seguretat són capaços de mitigar les amenaces i, per tant, eliminar possibles bretxes de seguretat. En aquest TFM es realitza un recorregut per aquesta evolució dels centres de dades, al mateix temps que s'estudia l'evolució de les solucions de seguretat per a aquests entorns de nova generació. A més, es realitza una anàlisi d'altres mesures de seguretat elaborant una guia de hardening per a un dels components de la capa virtual; l'hipervisor.

El auge de las tecnologías blockchain, y el uso de las mismas para el desarrollo de aplicaciones descentralizadas, hace que el uso de esta tecnología vaya mas allá de únicamente la creación de criptomonedas, pudiendo utilizarse, entre otras muchas cosas, para reflejar activos del mundo real, digitalizándolos y convirtiéndolos en activos digitales divisibles y transferibles. El objetivo del presente trabajo es el desarrollo de una plataforma en forma de dApp, que permita la creación de tokens , que representarán activos del mundo real, mediante el despliegue de Smart Contracts que sigan el estándar ERC721, y operen en la red Ethereum, tanto Mainnet como Testnets. Además de la propia funcionalidad del despliegue parametrizado en la red Ethereum, se añaden otras funcionalidades que son de utilidad para el producto final, como son una interfaz para el protocolo IPFS para incorporar ficheros en la red de nodos descentralizados cuyas direcciones únicas (CID) puedan ser incorporadas en cada contrato desplegado, y un pequeño explorador de bloques implementado mediante las api de Moralis, que permitirá visualizar los Smart Contracts desplegados. Uniendo las funcionalidades de los diferentes casos de uso se obtiene una herramienta integral para el despliegue de forma parametrizada de Smart Contracts basados en el estándar ERC721. La conclusión final ha sido satisfactoria en relación a disponer, en una misma plataforma, de herramientas para desplegar y visualizar Smart Contracts en la red Ethereum, así como para interactuar con el protocolo IPFS. The rise of blockchain technologies, and their use for the development of decentralized applications, means that the use of this technology goes beyond the creation of cryptocurrencies, and can be used, among many other things, to reflect real-world assets, digitizing them and turning them into divisible and transferable digital assets. The objective of the present work is the development of a platform in the form of a dApp, which allows the creation of tokens, which will represent real-world assets, through the deployment of Smart Contracts that follow the ERC721 standard, and operate on the Ethereum network, both Mainnet and Testnets. In addition to the functionality of the parameterized deployment in the Ethereum network, other functionalities are added that are useful for the final product, such as an interface for the IPFS protocol to incorporate files in the network of decentralized nodes whose unique addresses (CID) can be incorporated into each deployed contract, and a small block explorer implemented through the Moralis api, which will allow visualizing the deployed Smart Contracts. By joining the functionalities of the different use cases, a comprehensive tool for the parameterized deployment of Smart Contracts based on the ERC721 standard is obtained. The final conclusion has been satisfactory in relation to having, in the same platform, tools to deploy and visualize Smart Contracts in the Ethereum network, as well as to interact with the IPFS protocol. L'auge de les tecnologies blockchain, i l'ús de les mateixes per al desenvolupament d'aplicacions descentralitzades, fa que l'ús d'aquesta tecnologia vagi mes allà d'únicament la creació de criptomonedas, podent utilitzar-se, entre moltes altres coses, per a reflectir actius del món real, digitalitzant-los i convertint-los en actius digitals divisibles i transferibles. L'objectiu del present treball és el desenvolupament d'una plataforma en forma d'App, que permeti la creació de tokens, que representaran actius del món real, mitjançant el desplegament de Smart Contracts que segueixin l'estàndard ERC721, i operin en la xarxa Ethereum, tant Mainnet com Testnets. A més de la pròpia funcionalitat del desplegament parametritzat en la xarxa Ethereum, s'afegeixen altres funcionalitats que són d'utilitat per al producte final, com són una interfície per al protocol IPFS per a incorporar fitxers en la xarxa de nodes descentralitzats les direccions úniques dels quals (CID) puguin ser incorporades en cada contracte desplegat, i un petit explorador de blocs implementat mitjançant les api de Moralis, que permetrà visualitzar els Smart Contracts desplegats. Unint les funcionalitats dels diferents casos d'ús s'obté una eina integral per al desplegament de forma parametritzada de Smart Contracts basats en l'estàndard ERC721. La conclusió final ha estat satisfactòria en relació a disposar, en una mateixa plataforma, d'eines per a desplegar i visualitzar Smart Contracts en la xarxa Ethereum, així com per a interactuar amb el protocol IPFS.

A medida que se conocen casos de censura y vigilancia apalancados por empresas y gobiernos, se hace necesario contar con herramientas que mitiguen escenarios en contra de la privacidad de los usuarios. Este trabajo aborda el diseño y construcción de una plataforma descentralizada apalancada en la red Tor, para la gestión de información crítica y confidencial como lo son credenciales y secretos de los usuarios. Teniendo en cuenta la importancia de la información tratada y las repercusiones que podría implicar el no tener acceso a esta información o el que un tercero lo acceda sin el consentimiento del propietario, el trabajo expone las razones y argumentos que motivaron la elección por ofrecer un sistema descentralizado, fuera del control de gobiernos, empresas y terceros, apalancándose bajo una red de anonimato y cifrado como la ofrecida por la red Tor, utilizando mecanismos de seguridad y usabilidad que deben ser considerados al utilizar este tipo de redes. Finalmente se presenta a disposición del público, una versión preliminar de una plataforma descentralizada y open source que he denominado dVault, para la gestión de credenciales a través de la red Tor que la comunidad puede usar, desplegar y mejorar. As cases of censorship and surveillance leveraged by companies and governments become known, it is necessary to have tools that mitigate scenarios against the privacy of users. This work deals with the design and construction of a decentralized platform leveraged on the Tor network, for the management of critical and confidential information such as user credentials and secrets. Taking into account the importance of the information processed, the repercussions as a result of not having access to this information, and the risk of a third party accessing it without the consent of the owner, the work sets out the reasons and arguments that motivated the choice to offer a decentralized system, A system which is outside the control of governments, companies and third parties, leveraging under a network of anonymity and encryption such as that offered by the Tor network, using security and usability mechanisms that must be selected when using this type of network. Finally, a preliminary version of a decentralized and open-source platform that I have called dVault, credential management through the Tor network, the community can use, deploy and improve, is presented to the public. A mesura que es coneixen casos de censura i vigilància palanquejats per empreses i governs, es fa necessari comptar amb eines que mitiguin escenaris en contra de la privacitat dels usuaris. Aquest treball aborda el disseny i construcció d'una plataforma descentralitzada palanquejada en la xarxa Tor, per a la gestió d'informació crítica i confidencial com ho són credencials i secrets dels usuaris. Tenint en compte la importància de la informació tractada i les repercussions que podria implicar el no tenir accés a aquesta informació o el que un tercer ho accedeixi sense el consentiment del propietari, el treball exposa les raons i arguments que van motivar l'elecció per oferir un sistema descentralitzat, fora del control de governs, empreses i tercers, palanquejant-se sota una xarxa d'anonimat i xifratge com l'oferta per la xarxa Tor, utilitzant mecanismes de seguretat i usabilitat que han de ser considerats en utilitzar aquest tipus de xarxes. Finalment es presenta a la disposició del públic, una versió preliminar d'una plataforma descentralitzada i open source que he denominat dVault, per a la gestió de credencials a través de la xarxa Tor que la comunitat pot usar, desplegar i millorar.

La proliferació dels dispositius IoT als darrers anys i la gran quantitat d'escletxes de seguretat que hi ha aparegut en aquests dispositius ha provocat que els atacs dirigits a aquesta classe de dispositius hagin augmentat especialment. En aquest treball es demostra com realitzar una emulació d'un firmware d'un dispositiu IoT amb un hardware diferent al del dispositiu amb un técnica coneguda com rehosting per després publicar una aplicació d'aquest firmware a Internet i realizar un seguiment de totes les connexions des de l'exterior que arriben al nostre firmware emulat que estaria actuat com a honeypot. Amb aquest sistema en funcionament, es demostra que realitzar un honeypot per detectar les vulnerabilitats d'un firmware és una bona opció per saber si un firmware es vulnerable així com si no ho és saber quina és l'estratègia que han utilitzat els atacants per comprometre el sistema . També es demostra que tenir un dispositiu IoT a la xarxa d'Internet comporta un gran risc perquè hi ha una gran quantitat de sistema automatitzats d'atacants que están intentant comprometre el dispositiu. The proliferation of IoT devices in the last few years and the increase of the vulnerabilities that has appeared in these devices has led to an increase in attacks of this class of devices in particular. This work demonstrates how to emulate a firmware of an IoT device with a different hardware that the real device with a technique known as rehosting and then publish an application of this firmware on the Internet and track all connections from the outside networking coming to our emulated firmware which at this moment is acting as a honeypot. Which this system working, it is shown that performing a honeypot to detect vulnerabilities in a firmware is a good option to know if a firmware is vulnerable, as well as if is not to know what is the strategy that attackers have used to compromise the system. It is also shown that having an IoT device on the Internet carries a high risk because there are a big number of automated system attackers trying to compromise the device. La proliferación de los dispositivos IoT en los últimos años y la gran cantidad de brechas de seguridad que han aparecido en estos dispositivos ha provocado que los ataques dirigidos a esta clase de dispositivos hayan aumentado especialmente. En este trabajo se muestra como realizar una emulación de un firmware de un dispositivo IoT con un hardware diferente al del dispositivo con una técnica conocida como rehosting para después publicar una aplicación de este firmware en Internet y realizar el seguimiento de todas las conexiones que llegan desde el exterior a nuestro firmware emulado, que estaría actuando como un honeypot. Con este sistema en funcionamiento, se demuestra que realizar un honeypot para detectar las vulnerabilidades de un firmware es una buena opción para saber si un firmware es vulnerable así como si no lo es saber cual es la estrategia que han utilizado los atacantes para comprometer el sistema. También se demuestra que tener un dispositivo IoT en la red de Internet supone un gran riesgo porque hay una gran cantidad de sistemas automatizados de ataques que están intentando comprometer el dispositivo.

The rapid growth of IoT devices and its impact in our day to day is one of the biggest challenges for information security nowadays. Privacy in IoT is one of these challenges since IoT devices collect massive amounts of personal data about users and its environment unbeknownst to them and, due to the hardware limitations of the devices, they cannot apply traditional encryption schemes and other privacy centered architectures. We must search new ways to connect these devices without forfeit user privacy and to guarantee same security standards as other current user based applications. Currently, there are many ways to provide user privacy in several contexts but there is no standard to provide users and developers ways to achieve it IoT applications. This paper presents a framework proposal to connect one or several IoT devices to create applications with user privacy in its design through The Onion Router (TOR) to send data over the net anonymously. Our main contribution is to adapt a device whose capabilities to use a heavy encryption- based technology are limited into a fully extendable system that closes the gap between anonymity and IoT. El rápido crecimiento de los dispositivos IoT y su impacto en nuestro día a día es uno de los mayores retos para la seguridad de la información hoy en día. La privacidad en IoT es uno de estos retos ya que los dispositivos IoT recopilan cantidades masivas de datos personales sobre los usuarios y su entorno sin que ellos lo sepan y, debido a las limitaciones de hardware de los dispositivos, no pueden aplicar los esquemas tradicionales de cifrado y otras arquitecturas centradas en la privacidad. Hay que buscar nuevas formas de conectar estos dispositivos sin renunciar a la privacidad del usuario y garantizar los mismos estándares de seguridad que otras aplicaciones actuales basadas en el usuario. Actualmente, hay muchas formas de proporcionar privacidad al usuario en varios contextos, pero no hay ningún estándar que proporcione a los usuarios y a los desarrolladores formas de conseguirlo en las aplicaciones IoT. Este trabajo presenta una propuesta de marco para conectar uno o varios dispositivos IoT para crear aplicaciones con privacidad de usuario en su diseño a través de The Onion Router (TOR) para enviar datos a través de la red de forma anónima. Nuestra principal contribución es adaptar un dispositivo cuyas capacidades para utilizar una tecnología basada en la encriptación pesada son limitadas en un dispositivo totalmente extendido en un sistema totalmente ampliable que cierra la brecha entre el anonimato y el IoT. El ràpid creixement dels dispositius IoT i el seu impacte en el nostre dia a dia és un dels majors reptes per a la seguretat de la informació avui dia. La privacitat en IoT és un d'aquests reptes ja que els dispositius IoT recopilen quantitats massives de dades personals sobre els usuaris i el seu entorn sense que ells ho sàpiguen i, a causa de les limitacions de maquinari dels dispositius, no poden aplicar els esquemes tradicionals de xifratge i altres arquitectures centrades en la privacitat. Cal buscar noves maneres de connectar aquests dispositius sense renunciar a la privacitat de l'usuari i garantir els mateixos estàndards de seguretat que altres aplicacions actuals basades en l'usuari. Actualment, hi ha moltes maneres de proporcionar privacitat a l'usuari en diversos contextos, però no hi ha cap estàndard que proporcioni als usuaris i als desenvolupadors formes d'aconseguir-lo en les aplicacions IoT. Aquest treball presenta una proposta de marc per a connectar un o diversos dispositius IoT per a crear aplicacions amb privacitat d'usuari en el seu disseny a través de The Onion Encaminador (TOR) per a enviar dades a través de la xarxa de manera anònima. La nostra principal contribució és adaptar un dispositiu les capacitats del qual per a utilitzar una tecnologia basada en l'encriptació pesada són limitades en un dispositiu totalment estès en un sistema totalment ampliable que tanca la bretxa entre l'anonimat i el IoT.

La finalidad de este trabajo es disponer de una plataforma SIRP con software de código abierto que pueda ser escalable y altamente disponible con fines pedagógicos en un entorno de simulación pero que dotado de los recursos necesarios hardware necesarios pueda ser implementable para la gestión de incidentes de cualquier empresa u organización que necesite implementar este tipo de soluciones como parte de su SGSI. A nivel metodológico, en este trabajo se ha seguido los siguientes pasos: 1- Analizar las funcionalidades necesarias y ver que opciones hay disponibles. 2- Escoger los componentes y diseñar una solución en base al estudio realizado y al alcance propuesto. 3- Implementar e integrar los diferentes componentes/productos que forman la solución. 4- Realización de pruebas, conclusiones y documentar posibles mejoras. 5- Completar la documentación y presentación sobre el trabajo realizado. Como resultado tenemos una plataforma SIRP operativa que permite la gestión de los incidentes desde su detección a la respuesta, con su correspondiente documentación de posibles incidentes y cierre, que permite compartir información (IoCs) con terceros si se precisa y que utiliza fuentes externas de inteligencia para ayudar a los analistas de seguridad en los que puede ser el día a día de cualquier empresa u organización, todo ello utilizando tecnologías actuales de cloud para su implementación y gestión. La finalitat d'aquest treball és disposar d'una plataforma SIRP amb programari de codi obert que pugui ser escalable i altament disponible amb finalitats pedagògics en un entorn de simulació però que dotat dels recursos necessaris maquinari necessari pugui ser implementable per a la gestió d'incidents de qualsevol empresa o organització que necessiti implementar aquest tipus de solucions com a part de la seva SGSI. A nivell metodològic, en aquest treball s'ha seguit els següents passos: 1- Analitzar les funcionalitats necessàries i veure que opcions hi ha disponibles. 2- Triar els components i dissenyar una solució sobre la base de l'estudi realitzat i a l'abast proposat. 3- Implementar i integrar els diferents components/productes que formen la solució. 4- Realització de proves, conclusions i documentar possibles millores. 5- Completar la documentació i presentació sobre el treball realitzat. Com a resultat tenim una plataforma SIRP operativa que permet la gestió dels incidents des de la seva detecció a la resposta, amb la seva corresponent documentació de possibles incidents i tancament, que permet compartir informació (IoCs) amb tercers si es precisa i que utilitza fonts externes d'intel·ligència per a ajudar als analistes de seguretat en els quals pot ser el dia a dia de qualsevol empresa o organització, tot això utilitzant tecnologies actuals de cloud per a la seva implementació i gestió. The purpose of this work is to have a SIRP platform with open source software that can be scalable and highly available for pedagogical purposes in a simulation environment but that equipped with the necessary hardware resources can be implementable for incident management of any company or organization that needs to implement this type of solutions as part of its ISMS. At the methodological level, this work the following steps have been followed: 1- Analyze the required functionalities and see what options are available. 2- Choose the components and design a solution based on the study carried out and the proposed scope. 3- Implement and integrate the different components/products that make up the solution. 4- Testing, findings and documenting possible improvements. 5- Complete the documentation and presentation on the work done. As a result we have an operational SIRP platform that allows the management of incidents from their detection to the response, with its corresponding documentation of possible incidents and closure, which allows to share information (IoCs) with third parties if necessary and that uses external sources of intelligence to help security analysts in what can be the day to day of any company or organization, all using current cloud technologies for its implementation and management.

La finalidad del presente TFM es la de desarrollar una aplicación web que permita realizar un análisis de vulnerabilidades en una red de área local Institucional, integrando las herramientas open source: OpenVas, NMap y vFeed, especializadas en el escaneo y gestión de vulnerabilidades de seguridad, con el objetivo de presentar al usuario final un reporte de las vulnerabilidades detectadas que permitirá visualizar gráficamente los resultados encontrados. The purpose of this TFM is to develop a web application that allows an analysis of vulnerabilities in an Institutional local area network, integrating open-source tools: OpenVas, NMap and vFeed, specialized in the scanning and management of security vulnerabilities, in order to present to the end user a report of the vulnerabilities detected that will allow the results found to be graphically visualized. La finalitat d'aquest TFM és la de desenvolupar una aplicació web que permeti realitzar una anàlisi de vulnerabilitats en una xarxa d'àrea local Institucional, integrant les eines Open Source: OpenVAS, Nmap i vFeed, especialitzades en l'escaneig i gestió de vulnerabilitats de seguretat, amb l'objectiu de presentar a l'usuari final un informe de les vulnerabilitats detectades que permetrà visualitzar gràficament els resultats.

El objetivo de este trabajo es el de implementar un sistema de autenticación y autorización para permitir el acceso de los usuarios (empleados) a las aplicaciones web que les permiten desempeñar su función laboral diaria. En concreto, el sistema de autenticación estará basado en la capacidad que ofrece Single Sign-On (SSO), de modo que se disponga de un solo inicio de sesión entre aplicaciones. A lo largo de este documento se contará con una descripción detallada sobre qué aporta un sistema de SSO, por qué y cuándo es conveniente aplicarlo y qué diferentes opciones de implementación se pueden elegir. Tras realizar el análisis de la posibilidades que ofrece la autenticación mediante un sistema de SSO, se mostrará cómo llevar a cabo la implementación y las configuraciones típicas de este modelo. The main objective of this project is to implement an authentication and authorization system which allows access to the users (employees) to the web applications of the organization in which they work. In particular, the chosen authentication system is based on a Single Sign-on scheme. This type permits a single authentication process between different apps. This document there will include a detailed description about what is a SSO, why and when this authentication scheme would be a great choice and a study about the different SSO types. Once the analysis about SSO types is done, we will learn how to implement this authentication system and the typical configurations of this model. L'objectiu d'aquest treball és el d'implementar un sistema d'autenticació i autorització per permetre l'accés dels usuaris (empleats) a les aplicacions web que els permeten exercir la seva funció laboral diària. En concret, el sistema d'autenticació estarà basat en la capacitat que ofereix Single Sign-On (SSO), de manera que es disposi d'un sol inici de sessió entre aplicacions. Al llarg d'aquest document es comptarà amb una descripció detallada sobre què aporta un sistema de SSO, per què i quan és convenient aplicar-lo i quins diferents opcions d'implementació es poden triar. Després de realitzar l'anàlisi de la possibilitats que ofereix l'autenticació mitjançant un sistema de SSO, es mostrarà com dur a terme la implementació i les configuracions típiques d'aquest model.

Nowadays the need for a shorter time-to-market of applications is evident. However, even though the time needed for developing them gets reduced, we still need to be able to deliver reliable and secure apps. This was already a challenging task, and it is even more so with the time restrictions and the rapidly evolving technologies. Hidden flaws in software can result in security vulnerabilities that potentially allow attackers to compromise systems and applications. There are hackers and crackers who may be keeping an eye on our valuable personal information. Hence, these applications need to be secured and should be reliable since our private and important information or documents are stored on the back end of these n-tiered applications. Each year thousands of such vulnerabilities are reported publicly to the Common Vulnerabilities and Exposures database. These vulnerabilities are often caused by subtle errors made by programmers and can propagate quickly due to the prevalence of open-source software and code reuse. We are confronted with the dilemma of the need for speeding up the software development process while at the same time the requirement of delivering reliable and secure applications. There are many approaches for tackling this problem which range from adapting the software development process to more concrete technical solutions. In this TFM we will try to analyse the use of one or several automatized software tools for verifying whether the application under construction has the required level of security by detecting potential vulnerabilities or flaws that could cause an undesired misfunction. This approach addresses the detection of vulnerable code during the course of the software development cycle. Avui dia és una evidència la necessitat d'un menor temps de llançament al mercat de les aplicacions. No obstant això, tot i que el temps necessari per desenvolupar-les es redueixi, encara es necessita poder oferir aplicacions fiables i segures. Això era ja és una tasca difícil, i ara ho és encara més amb les restriccions de temps i la ràpida evolució de les tecnologies. Els errors ocults en el programari poden traduir-se en vulnerabilitats de seguretat que potencialment permeten als atacants posar en perill els sistemes i aplicacions. Hi ha hackers i crackers que poden estar a l'aguait per obtenir la nostra valuosa informació personal. Per tant, aquestes aplicacions han de ser segures i fiables ja que la nostra informació o documents privats s'emmagatzemen en aquestes aplicacions en capes. Cada any milers d'aquestes vulnerabilitats es desvetllen públicament en el Common Vulnerabilities and Exposures database [23]. Aquestes vulnerabilitats són sovint ocasionades per errors subtils comesos per programadors i poden propagar ràpidament a causa de la prevalença de programari de codi obert així com a la reutilització de codi. Ens enfrontem a el dilema de la necessitat d'accelerar el procés de desenvolupament de programari i a el mateix temps el requisit d'oferir aplicacions fiables i segures. Hi ha molts enfocaments per abordar aquest problema que van des adaptar el procés de desenvolupament de programari a solucions tècniques més concretes. En aquest TFM intentarem analitzar l'ús d'una o diverses eines automatitzades per verificar si les aplicacions en construcció tenen el nivell de seguretat requerit mitjançant la detecció de possibles vulnerabilitats o errors que podria causar un funcionament no desitjat. Aquest enfocament aborda la detecció de codi vulnerable durant el curs de el cicle de desenvolupament de programari. Hoy en día es una evidencia la necesidad de un menor tiempo de lanzamiento al mercado de las aplicaciones. Sin embargo, aunque el tiempo necesario para desarrollarlas se reduzca, todavía se necesita poder ofrecer aplicaciones confiables y seguras. Esto era ya es una tarea difícil, y ahora lo es aún más con las restricciones de tiempo y la rápida evolución de las tecnologías. Los errores ocultos en el software pueden traducirse en vulnerabilidades de seguridad que potencialmente permitan a los atacantes poner en peligro los sistemas y aplicaciones. Hay hackers y crackers que pueden estar al acecho para obtener nuestra valiosa información personal. Por lo tanto, estas aplicaciones deben ser seguras y confiables ya que nuestra información o documentos privados se almacenan en estas aplicaciones de n capas. Cada año miles de estas vulnerabilidades se desvelan públicamente en el Common Vulnerabilities and Exposures database [23]. Estas vulnerabilidades son a menudo ocasionadas por errores sutiles cometidos por programadores y pueden propagarse rápidamente debido a la prevalencia del software de código abierto así como a la reutilización de código. Nos enfrentamos al dilema de la necesidad de acelerar el proceso de desarrollo de software y al mismo tiempo el requisito de ofrecer aplicaciones fiables y seguras. Hay muchos enfoques para abordar este problema que van desde adaptar el proceso de desarrollo de software a soluciones técnicas más concretas. En este TFM intentaremos analizar el uso de una o varias herramientas automatizadas para verificar si las aplicaciones en construcción tienen el nivel de seguridad requerido mediante la detección de posibles vulnerabilidades o errores que podría causar un funcionamiento no deseado. Este enfoque aborda la detección de código vulnerable durante el curso del ciclo de desarrollo de software.

A lo largo del desarrollo de este proyecto, se realiza, de una forma integral, la securización de un clúster basado en la tecnología de orquestación Kubernetes. Decimos que dicho desarrollo resulta integral, puesto que incluye un proceso de planificación, en el que se tienen en cuenta todos aquellos aspectos a considerar para la viabilidad del proyecto; un proceso de estudio teórico, exponiendo los principales conceptos sobre los que el trabajo formará su base; una especificación de limitaciones y requisitos, que guían el recorrido a seguir por unos estudios teóricos posteriores más profundos, así como la realización de futuras pruebas prácticas; un procedimiento detallado de la creación del laboratorio de pruebas, con el fin de poder recrear este escenario, para una futura continuidad del estudio; una fase de análisis de vulnerabilidades, donde se estudian y explotan, de forma teórico-práctica, diversas vulnerabilidades presentes en clústeres Kubernetes, demostrando las debilidades presentes en un sistema desprotegido; y, finalmente, la securización de estas vulnerabilidades, una vez más, desde una perspectiva teórico-práctica, demostrando la efectividad de las medidas adoptadas y completando así el ciclo de desarrollo de este estudio. Al llarg del desenvolupament d'aquest projecte, el procés de protecció d'un clúster basat en la tecnologia d'orquestració de Kubernetes es duu a terme d'una manera exhaustiva. Diem que aquest desenvolupament és exhaustiu, ja que inclou un procés de planificació, en el qual es tenen en compte tots els aspectes rellevants per a la viabilitat del projecte; un procés d'estudi teòric, que explica els conceptes principals; una especificació de limitacions i requisits, que guien el camí a seguir per estudis teòrics posteriors, així com la realització de futures proves pràctiques; un procediment detallat de creació del laboratori de proves, per tal de permetre una futura continuïtat de l'estudi; una fase d'anàlisi de vulnerabilitats, on s'estudien i s'exploten múltiples vulnerabilitats presents en clústers de Kubernetes d'una manera teòric-pràctica, demostrant les debilitats presents en un sistema no protegit; i, finalment, l'assegurament d'aquestes vulnerabilitats, una vegada més, des d'una perspectiva teòric-pràctica, demostrant l'eficàcia de les mesures adoptades i completant així el cicle de desenvolupament d'aquest estudi. Throughout the development of this project, the securing process of a cluster based on the Kubernetes orchestration technology is carried out in a exhaustive way. We say that this development is exhaustive, since it includes a planning process, in which all the relevant aspects for the viability of the project are taken into account; a process of theoretical study, explaining the main concepts; a specification of limitations and requirements, which guide the path to be followed by further theoretical studies, as well as the performance of future practical tests; a detailed procedure of the creation of the test laboratory, in order to allow a future continuity of the study; a vulnerability analysis phase, where multiple vulnerabilities present in Kubernetes clusters are studied and exploited in a theoretical-practical way, demonstrating the weaknesses present in an unprotected system; and, finally, the securing of these vulnerabilities, once again, from a theoretical-practical perspective, demonstrating the effectiveness of the measures adopted and thus completing the development cycle of this study.

Creación de una Aplicación Descentralizada basada en un sistema de incentivos que se pueda aplicar en distintos ámbitos (Clubes, empresas, fundaciones...). Esta aplicación permitiría registrar actividades (asistencia a eventos, rendimiento de trabajo...), y en función de los resultados podría premiar con puntos o tokens (ERC20) a los integrantes de esta. La aplicación desarrollada se basa en la tecnología Ethereum y en la parte visual para que el usuario pueda interactuar se ha desarrollado una aplicación web. Por tanto, han sido requeridos conocimientos de blockchain y desarrollo de aplicaciones web adquiridos mientras se desarrollaba la aplicación. Creation of a Decentralized Application based on an incentive system that can be applied in different areas (clubs, companies, foundations...). This application would allow to register activities (attendance to events, work performance...), and depending on the results could reward with points or tokens (ERC20) to the members of this. The developed application is based on Ethereum technology and a web application has been developed for the visual part so that the user can interact. Therefore, knowledge of blockchain and web application development acquired while developing the application has been required. Creació d'una aplicació Descentralitzada basada en un sistema d'incentius que es pugui aplicar en diferents àmbits (Clubs, empreses, fundacions ...). Aquesta aplicació permetria registrar activitats (assistència a esdeveniments, rendiment de treball ...), i en funció dels resultats podria premiar amb punts o tokens (ERC20) als integrants d'aquesta. L'aplicació desenvolupada es basa en la tecnologia Ethereum i en la part visual perquè l'usuari pugui interactuar s'ha desenvolupat una aplicació web. Per tant, han estat requerits coneixements de blockchain i desenvolupament d'aplicacions web adquirits mentre es desenvolupava l'aplicació.

El objetivo de este trabajo es estudiar las ventajas que ofrece el Reglamento (UE) nº 910/2014 del Parlamento Europeo y el Consejo del 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (eIDAS). El reglamento amplía el uso aceptado de los certificados y de la firma electrónica, permitiendo que los certificados y las firmas electrónicas se puedan crear, almacenar y utilizar en servicios remotos. Este trabajo estudia el uso práctico de los servicios de confianza cualificados, específicamente los de firma electrónica, desarrollando un demostrador para la firma remota de documentos alojados en la nube, sin que sea necesario la instalación de software extra o el uso de dispositivos criptográficos por parte del usuario. Para ello se utilizarán los servicios de un proveedor de servicios de confianza, y se integrarán varios servicios de almacenamiento remoto. The purpose of this essay is to study the advantages offered by the REGULATION (EU) No 910/2014 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market (eIDAS). The regulation extends the accepted use of certificates and electronic signatures, allowing that the certificates and electronic signatures can be created, stored and used in remote services This work studies the practical use of qualified trust services, specifically electronic signature services. For this, a demonstrator will be developed to do a remote signature of documents hosted in the cloud, without requiring the installation of extra software or the use of cryptographic devices by the user. The services of a trusted service provider will be used for the electronic signature, and various remote storage services will be integrated. L'objectiu d'aquest treball és estudiar els avantatges que ofereix el Reglament (UE) nº 910/2014 de el Parlament Europeu i el Consell de el 23 de juliol de 2014 relatiu a la identificació electrònica i els serveis de confiança per a les transaccions electròniques en el mercat interior (eIDAS). El reglament amplia l'ús acceptat dels certificats i de la signatura electrònica, permetent que els certificats i les signatures electròniques es puguin crear, emmagatzemar i utilitzar en serveis remots. Aquest treball estudia l'ús pràctic dels serveis de confiança qualificats, específicament els de signatura electrònica, desenvolupant un demostrador per a la signatura remota de documents allotjats en el núvol, sense que sigui necessari la instal·lació de programari extra o l'ús de dispositius criptogràfics per part de l'usuari. Per a això s'utilitzaran els serveis d'un proveïdor de serveis de confiança, i s'integraran diversos serveis d'emmagatzematge remot.

En este trabajo se ha realizado un estudio sobre los ataques más comunes y las medidas de seguridad pertinentes relativas a un sistema basado en IoT. El trabajo se divide en dos partes. En la primera parte del mismo se han abarcado los ataques más relevantes históricamente a sistemas basados en redes y dispositivos IoT, las vulnerabilidades más comunes y la forma de mitigarlas, y se realizaron también pruebas relativas a ataques de penetración en un entorno simulado. La segunda parte se centra en medidas de seguridad, donde se estudian sistemas de identidad y autenticación segura enfatizando en la viabilidad de los mismos en sistemas de IoT, protocolos de cifrado seguro, métodos para el filtrado de amenazas, y por último se estudia las opciones de seguridad en los protocolos de IoT más utilizados. En esta segunda parte, se realiza también una prueba de concepto sobre el protocolo MQTT, implementando cifrado mediante TLS de las conexiones utilizando un servidor en la nube de Microsoft, Azure. In this paper, a research on the most common attacks and relevant security measures related to an IoT-based system has been carried out. The paper is divided into two parts. The first part covers the most relevant attacks on history over systems based on IoT networks and devices, the most common vulnerabilities and how to mitigate them, and a simulated environment was used to perform some penetration tests on a IoT-based system. The second part focuses on security measures, in this part a study about identity and secure authentication has been performed emphasizing its viability in IoT systems. It also talks about secure encryption protocols, thread filtering methods, and finally, security options in the most used IoT protocols. In this second part, a proof of concept on the MQTT protocol is also performed, setting up TLS encryption of connections using a server in Azure, the Microsoft's cloud. En aquest treball s'ha realitzat un estudi sobre els atacs més comuns i les mesures de seguretat pertinents relatives a un sistema basat en Iot. El treball es divideix en dues parts. A la primera part de la mateixa s'han abastat els atacs més rellevants històricament a sistemes basats en xarxes i dispositius Iot, les vulnerabilitats més comuns i la forma de mitigar-, i es van realitzar també proves relatives a atacs de penetració en un entorn simulat. La segona part se centra en mesures de seguretat, on s'estudien sistemes d'identitat i autenticació segura emfatitzant en la viabilitat dels mateixos en sistemes de IOT, protocols de xifrat segur, mètodes per al filtrat d'amenaces, i finalment s'estudia les opcions de seguretat en els protocols de IOT més utilitzats. En aquesta segona part, es realitza també una prova de concepte sobre el protocol MQTT, implementant xifrat mitjançant TLS de les connexions utilitzant un servidor en el núvol de Microsoft, Azure.

La finalidad de este trabajo es crear un marco de trabajo para la implementación de un SOC en una organización. Debido a la pandemia las organizaciones han cambiado su organización y se han visto obligadas a digitalizarse de golpe, con este trabajo se pretende ayudar a implementar un SOC con el fin de proteger al máximo sus activos. Por ello se han ido estudiando diferentes marcos de trabajo existentes y normativas para ir definiendo las partes de un SOC y los criterios para su implementación, pero en paralelo a la parte teórica se ha ido realizando una parte práctica, en la que siguiendo los pasos de la guía que iba confección, iba implementando un SOC en la organización para la que trabajo, de forma que al final el trabajo tuviera una guía de implementación y un SOC real implementado en un entorno real. Finalmente, las conclusiones obtenidas son satisfactorias, se ha elaborado una guía para la implementación de un SOC que cubre todas las necesidades que una organización pueda tener, además de una implementación practica de un SOC que pueden tomar como referencia para realizar la suya propia. The purpose of this paper is to create a framework for the implementation of a SOC in an organisation. Due to the pandemic, organisations have changed their organisation and have been forced to go digital all at once. The aim of this work is to help implement a SOC in order to protect their assets as much as possible. For this reason, different existing frameworks and regulations have been studied in order to define the parts of a SOC and the criteria for its implementation, but in parallel to the theoretical part, a practical part has been carried out, in which, following the steps of the guide that was being prepared, a SOC was implemented in the organisation for which I work, so that at the end the work had an implementation guide and a real SOC implemented in a real environment. Finally, the conclusions obtained are satisfactory, a guide has been produced for the implementation of a SOC that covers all the needs that an organisation may have, as well as a practical implementation of a SOC that can be used as a reference for their own. La finalitat d'aquest treball és crear un marc de treball per a la implementació d'un SOC a una organització. A causa de la pandèmia les organitzacions han canviat la seva organització i s'han vist obligades a digitalitzar de cop, amb aquest treball es pretén ajudar a implementar un SOC per tal de protegir el màxim els seus actius. Per això s'han anat estudiant diferents marcs de treball existents i normatives per anar definint les parts d'un SOC i els criteris per a la seva implementació, però en paral·lel a la part teòrica s'ha anat realitzant una part pràctica, en la qual seguint els passos de la guia que anava confecció, anava implementant un SOC a l'organització per a la qual treball, de manera que a la fi el treball tingués una guia d'implementació i un SOC real implementat en un entorn real. Finalment, les conclusions obtingudes són satisfactòries, s'ha elaborat una guia per a la implementació d'un SOC que cobreix totes les necessitats que una organització pugui tenir, a més d'una implementació pràctica d'un SOC que poden prendre com a referència per a realitzar la seva pròpia.

Hoy en día se considera a la "información" como el principal activo, de carácter estratégico, dentro de cualquier organización independiente de su tamaño y del sector en el que se desenvuelven. Se realizó un estudio de tipo exploratorio tomando como base los relatos de buenas prácticas, modelos y arquitecturas de los Centros de Operaciones de Seguridad (SOC) que permitieron una abstracción e interpretación propia durante la ejecución del Trabajo de Fin de Máster. En esta realidad el Consejo de Aseguramiento de la Calidad de la Educación Superior busca implementar controles en los procesos y actividades que garanticen la seguridad en la información que maneja y administra para evitar que personal no autorizado tenga acceso a la información sensible de la Institución y pueda comprometerla causando daños considerables a la imagen institucional. Es así como el diseño aquí planteado constituye el primer hito que permitirá proteger los servicios críticos de la Institución. En este sentido, su posterior implementación debe identificar e integrar las interrelaciones existentes entre las diferentes áreas de la organización de tal forma que se puedan identificar los impactos directos e indirectos que afecten la normal operación. Es así como la realidad actual de la mayoría de las organizaciones evidencia que, ante la presencia de un incidente de seguridad de la información que tenga afectación sobre alguno de los servicios críticos de la misma, no se cuente con los protocolos de respuesta adecuados que permitan a la organización saber cómo actuar para mitigar los riesgos presentados. Avui dia es considera a la "informació" com el principal actiu, de caràcter estratègic, dins de qualsevol organització independent de la seva grandària i de el sector en el qual es desenvolupen. Es va realitzar un estudi de tipus exploratori prenent com a base els relats de bones pràctiques, models i arquitectures dels Centres d'Operacions de Seguretat (SOC) que van permetre una abstracció i interpretació pròpia durant l'execució de l'Treball de Fi de Màster. En aquesta realitat el Consell d'Assegurament de la Qualitat de l'Educació Superior busca implementar controls en els processos i activitats que garanteixin la seguretat en la informació que maneja i administra per evitar que personal no autoritzat tingui accés a la informació sensible de la Institució i pugui comprometre-causant danys considerables a la imatge institucional. És així com el disseny aquí plantejat constitueix la primera fita que permetrà protegir els serveis crítics de la Institució. En aquest sentit, la seva posterior implementació d'identificar i integrar les interrelacions existents entre les diferents àrees de l'organització de manera que es puguin identificar els impactes directes i indirectes que afectin la normal operació. És així com la realitat actual de la majoria de les organitzacions evidència que, davant la presència d'un incident de seguretat de la informació que tingui afectació sobre algun dels serveis crítics de la mateixa, no es compti amb els protocols de resposta adequats que permetin a l'organització saber com actuar per mitigar els riscos presentats. Today, "information" is the main asset, of a strategic nature, within any organization independent of its size and the sector in which it is developed. An exploratory study was carried out on the basis of the accounts of good practices, models and architectures of the Security Operations Centers (SOCs) that allowed an abstraction and interpretation of their own during the execution of the End of Master's Work. In this reality, the Higher Education Quality Assurance Council seeks to implement controls on processes and activities that ensure the security of the information it handles and manages to prevent unauthorized personnel from accessing sensitive information in the Institution and can compromise it by causing considerable damage to the institutional image. This is how the design proposed here is the first milestone that will protect the critical services of the Institution. In this sense, its subsequent implementation must identify and integrate the interrelationships between the different areas of the organization in such a way that direct and indirect impacts that affect the normal operation can be identified. This is how the current reality of most organizations shows that, in the presence of an information security incident affecting any of the critical services of the information, there are no adequate response protocols in place to enable the organization to know how to act to mitigate the risks presented.

Los servicios de firma digital son cada vez más usados debido a las necesidades de seguridad y el crecimiento del entorno digital. El reglamento eIDAS establece los requisitos necesarios para que estos servicios puedan ofrecer firma digital cualificada. La privacidad de un documento que va a firmarse es importante, y su debería estar siempre bajo el control del usuario. Este proyecto consiste en la definición de un protocolo de firma digital cualificada en la nube en el cual los documentos a firmar no abandonan el dispositivo del usuario. Els serveis de signatura digital són cada vegada més usats causa de les necessitats de seguretat i el creixement de l'entorn digital. El reglament eIDAS estableix els requisits necessaris perquè aquests serveis puguin oferir signatura digital qualificada. La privacitat d'un document que va a signar-és important, i el seu hauria d'estar sempre sota el control de l'usuari. Aquest projecte consisteix en la definició d'un protocol de signatura digital qualificada en el núvol en el qual els documents a signar no abandonen el dispositiu de l'usuari. Digital signature services are increasingly used due to security needs and the growth of the digital media. eIDAS regulation establishes the necessary requirements with which digital signature services can offer qualified digital signatures. The privacy of a document that is going to be signed is important and should be under the complete control of the user. The main purpose of this project consists in the definition of a cloud qualified digital signature protocol in which the documents that are going to be signed do not leave the user's device.

En la última década se ha identificado un aumento en popularidad de DevOps como método de desarrollo de software. Este método se muestra como solución a las necesidades de los negocios donde se buscan ciclos de lanzamiento más cortos al igual que grandes cantidades de despliegues de aplicaciones o características hasta cientos de veces a la semana sin afectar la calidad. Sin embargo estos cambios generan la necesidad de evolucionar el entorno de seguridad tradicional hacia uno de mayor rapidez que esté en la misma linea de estas nuevas prácticas sin sacrificar su sentido per se de protección. Este trabajo presenta algunas herramientas Open Source que sirven como base para la automatización de controles de seguridad en las fases del desarrollo y despliegue del software. Entre estas herramientas están SAST, DAST, SCA, análisis de secretos, el endurecimiento de servidores, la verificación de imágenes de docker y la validación de la infraestructura como código. En este trabajo se obtiene un sistema operativo (SO) ejecutando Ubuntu 20.04 endurecido, se presenta también un pipeline que cumple con los criterios básicos de seguridad para una aplicación en nodejs. En esta misma línea se describen otras herramientas a utilizar según el tipo de lenguajes de programación. También se logra identificar que el pipeline creado depende del caso de uso, del lenguaje utilizado y objetivos empresariales. Finalmente, el trabajo futuro se enfoca en la creación de pipelines para aplicaciones serverless, la comparación de herramientas para almacenamiento y gestión de secretos, y la gestión unificada de amenazas y el alertamiento. The last decade has seen a rise in popularity of DevOps as a software-development method. This method is shown as a solution to the needs of businesses where shorter release cycles are sought, as well as large numbers of application or feature deployments, which may be up to hundreds of times a week without affecting quality. However, these changes come with the need to evolve the traditional security environment towards one of greater speed that is in the same line of these new practices without sacrificing its protection. This work presents some Open-Source tools that serve as a basis for the automation of security checkpoints in the development and launching phases of the software. These tools include SAST, DAST, SCA, secret analysis, server hardening, docker image verification, and infrastructure-as-code validation. In this job, an operating system (OS) is obtained by running a hardened Ubuntu 20.04 server. A pipeline that meets the basic security criteria for an application in nodejs is also presented. Along the same line, other tools to be used according to the type of programming languages are described. It is also possible to identify that the use of the pipeline created depends on the use case, the language and the business goals. Ultimately, the future work focuses on creating pipelines for serverless-applications, comparing tools for secret storage and management, unified threat-management and alerting. En l'última dècada s'ha identificat un augment en popularitat de devops com a mètode de desenvolupament de programari. Aquest mètode es mostra com a solució a les necessitats dels negocis on es busquen cicles de llançament més curts a l'igual que grans quantitats de desplegaments d'aplicacions o característiques fins a centenars de vegades a la setmana sense afectar la qualitat. No obstant això aquests canvis generen la necessitat d'evolucionar l'entorn de seguretat tradicional cap a un major rapidesa que estigui en la mateixa línia d'aquestes noves pràctiques sense sacrificar el seu sentit per se de protecció. Aquest treball presenta algunes eines Open Source que serveixen com a base per a l'automatització de controls de seguretat en les fases de desenvolupament i desplegament de programari. Entre aquestes eines estan SAST, DAST, SCA, anàlisi de secrets, l'enduriment de servidors, la verificació d'imatges de docker i la validació de la infraestructura com a codi. En aquest treball s'obté un sistema operatiu (SO) executant Ubuntu 20.04 endurit, es presenta també un pipeline que compleix amb els criteris bàsics de seguretat per a una aplicació en nodejs. En aquesta mateixa línia es descriuen altres eines a utilitzar segons el tipus de llenguatges de programació. També s'aconsegueix identificar que el pipeline creat depèn de el cas d'ús, del llenguatge utilitzat i objectius empresarials. Finalment, el treball futur s'enfoca en la creació de pipelines per a aplicacions serverless, la comparació d'eines per a emmagatzematge i gestió de secrets, i la gestió unificada d'amenaces i el alertamiento.

Motivado por la nueva ley eIDAS que posibilita la firma electrónica cualificada de documentos en línea, se implementará un servicio de firma en la nube, con el que se podrán firmar documentos en línea, sin que haya ninguna diferencia a nivel legal con una firma física y que, además, no esté limitado por el soporte físico desde donde se esté haciendo la firma. De forma más concreta, se habilitará la firma de PDFs almacenados en los proveedores de almacenamiento de documentos Dropbox y Google Drive, y se utilizará como proveedor de claves de firma a TrustedX. De esta forma se explorarán las posibilidades y limitaciones que nos da la nueva regulación eIDAS. Motivated by the new eIDAS regulation that enables the qualified electronic signature of documents online, it will be implement a signature service in the cloud, in which documents would be signed online, without any difference, at legal level, with a physical signature and it is not limited by the physical support from which the signature is being made. More specifically, the PDFs stored in the document storage providers Dropbox and Google Drive, and TrustedX will be used as a provider of signing keys. In this way, the possibilities and limitations of the eIDAS regulation will be explored. Motivat per la nova llei eIDAS que possibilita la signatura electrònica qualificada de documents en línia, s'implementarà un servei de signatura en el núvol, amb el qual es podran signar documents en línia, sense que hi hagi cap diferència a nivell legal amb una signatura física i que, a més, no estigui limitat pel suport físic des d'on s'estigui fent la signatura. De forma més concreta, s'habilitarà la signatura de PDFs emmagatzemats en els proveïdors d'emmagatzematge de documents Dropbox i Google Drive, i s'utilitzarà com a proveïdor de claus de signatura a TrustedX. D'aquesta manera s'exploraran les possibilitats i limitacions que ens dóna la nova regulació eIDAS.

Este trabajo se enmarca en el estudio del protocolo TLS. En él se aporta una perspectiva histórica y técnica de las versiones que lo han compuesto. Se detalla su funcionamiento y los fallos de seguridad que propiciaron su evolución a lo largo de su historia. Además, se analiza en profundidad su nueva versión, TLSv1.3, con énfasis en las mejoras de seguridad y rendimiento que ha introducido respecto a su anterior versión. Se crea un laboratorio para la demostración empírica de su funcionamiento, así como para analizar las ventajas de una manera práctica. Al final se extraen una serie de conclusiones sobre esta nueva versión y se comentan las posibles líneas de trabajo futuro. Aquest treball s'emmarca en l'estudi de el protocol TLS. S'hi aporta una perspectiva històrica i tècnica de les versions que l'han compost. Es detalla el seu funcionament i les fallades de seguretat que van propiciar la seva evolució al llarg de la seva història. A més, s'analitza en profunditat la seva nova versió, TLSv1.3, amb èmfasi en les millores de seguretat i rendiment que ha introduït respecte a la seva anterior versió. Es crea un laboratori per a la demostració empírica del seu funcionament, així com per analitzar els avantatges d'una manera pràctica. A la fin s'extreuen una sèrie de conclusions sobre aquesta nova versió i es comenten les possibles línies de treball futur. This dissertation is a review of the TLS protocol. It provides a historical and technical perspective of the versions that have composed it. It details its operation and the security failures that led to its evolution throughout its history. In addition, it analyses in depth its new version, TLSv1.3, with emphasis on the security and performance improvements it has introduced with respect to its previous version. A laboratory is created for the empirical proof of its operation, as well as to analyze the advantages in a practical way. At the end, a series of conclusions are drawn from this new version and possible lines of future work are discussed.

Aquest TFM te com a objectiu explorar una eina molt concreta, com és el SIEM Wazuh, juntament amb la pila Elastic, per tal d'analitzar els logs generats en un sistema i evaluar-los mitjançant eines de Machine Learning per determinar si s'està produint un incident de seguretat concret com és un atac de Ransomware amb Cryptolocker. La configuració de la solució s'ha realitzat en un entorn empresarial amb una configuració on premise, mitjançant Docker i utilitzant les solucions: Elastic Stack per emmagatzemar i gestionar els logs de manera centralitzada, Wazuh per recollir els logs i generar alertes de seguretat, la solució Machine Learning d'Elasticsearch per detectar i notificar incidents de seguretat, i, finalment, MS Teams per centralitzar la recepció de les alertes. Les conclusions de la POC han estat satisfactòries en quant a la detecció de l'incident de seguretat, utilitzant la configuració de Machine Learning de Elasticsearch. Tot i això, s'insta a extendre la solució de seguretat amb més opcions per ampliar la protecció, ja què, aquest TFM està molt centrat en un tipus d'incident de seguretat molt concret, i, la seguretat empresarial és més complexa. This TFM explores the SIEM Wazuh with Elastic stack, so that to analyse the logs generated in a system and evaluate them with Machine Learning to detect a Ransomware attack with Cryptolocker. The solution has been done in a business environment with an on premise Docker configuration and it use the platforms: Elastic stack to centralize storage and manage the logs, Wazuh to collect logs and generate security alerts, the Elasticsearch's machine learning to detect and inform security incidents, and finally MS Teams to centralize the alert's collections. The findings of this POC have been satisfactory in terms of detecting this security incident with Elasticsearch's machine learning configuration, although it is recommended to extend the security solution with more options to increase protection, as this TFM is highly focused on a very specific security incident, and business security is more complex. Este TFM tiene como objetivo explorar una herramienta, como es el SIEM Wazuh, y la pila Elastic, para analizar los logs generados en un sistema y evaluarlos con herramientas de Machine Learning para determinar si se está produciendo un incidente de seguridad concreto como es un ataque de Ransomware con Cryptolocker. La configuración de la solución se ha realizado en un entorno empresarial con una configuración on premise, con Docker y utilizando las soluciones: Elastic Stack para almazenar y gestionar los logs de forma centralizada, Wazuh para recoger los logs y generar alertas de seguridad, la solución Machine Learning de Elasticsearch para detectar y notificar incidentes de seguridad, y, finalmente, MS Teams para centralizar la recepción de las alertas. Las conclusiones de la POC han sido satisfactorias en lo referente a la detección del incidente de seguridad, utilizando la configuración de Machine Learning de Elasticsearch. Sin embargo, se insta a extender la solución de seguridad con más opciones para ampliar la protección, ya que, este TFM está centrado en un tipo de incidente de seguridad muy concreto, y, la seguridad empresarial es más compleja.

Linux es el kernel más utilizado en los sistemas empotrados, dispositivos cuya disponibilidad pública convierte al kernel en el punto crítico de muchos de los sitemas de seguridad integrada (validación de firmware, passwords, semillas de cifrado, raices hardware, etc). Diferentes setup de placa son susceptibles ante ataques de lectura de memoria RAM en caliente, ya sea en bus SCI (ataques JTAG tipo BusPirate) o buses de RAM conectados a la CPU (ataques con electrónica Logic Analizer Module). En el presente trabajo, se analizarán las diferentes herramientas y técnicas utilizados en el análisis de volcados de memoria. Estas herramientas son muy utilizadas para saber que se estaban ejecutando en el dispositivo al momento de la captura de información. Posteriormente, para comparar la utilidad de las herramientas revisadas y haciendo uso de una muestra de volcado de memoria, se obtendrá información sobre el dispositivo de donde se obtuvo la muestra. Linux is the most used kernel in embedded systems, devices whose public availability makes the kernel the critical point of many of the integrated security systems (firmware validation, passwords, encryption seeds, hardware roots, etc.). Different board setups are susceptible to hot RAM read attacks, either on SCI bus (JTAG BusPirate type attacks) or RAM buses connected to the CPU (attacks with electronic Logic Analyzer Module). In this paper, the different tools and techniques used in the analysis of memory dumps will be analyzed. These tools are widely used to know that they were running on the device at the time of information capture. Subsequently, to evaluate the different tools using a memory dump sample, information will be obtained on the device from which the sample was obtained. Linux és el nucli més utilitzat en els sistemes encastats, dispositius la disponibilitat pública converteix el nucli en el punt crític de molts dels sistemes de seguretat integrada (validació de firmware, passwords, llavors de xifrat, arrels maquinari, etc.). Diferents setup de placa són susceptibles davant d'atacs de lectura de memòria RAM en calent, ja sigui en bus SCI (atacs JTAG tipus BusPirate) o busos de RAM connectats a la CPU (atacs amb electrònica Logic Analizer Module). En el present treball, s'analitzaran les diferents eines i tècniques utilitzats en l'anàlisi de bolcats de memòria. Aquestes eines són molt utilitzades per saber que s'estaven executant en el dispositiu a l'hora de la captura d'informació. Posteriorment, per comparar la utilitat de les eines revisades i fent ús d'una mostra de bolcat de memòria, s'obtindrà informació sobre el dispositiu d'on es va obtenir la mostra.

Los mecanismos de autorización y autenticación son clave en cualquier sistema que deba ser expuesto a Internet. El protocolo OpenID Connect ofrece autenticación encima del protocolo de autorización OAuth. Con el desarrollo de este proyecto se pretende dar una solución de Single Sign-On que se adapte al conjunto de microservicios de la empresa Mitiga Solutions, añadiendo soporte al protocolo OpenID Connect. Para el desarrollo se ha seguido una metodología en cascada, dividiendo el proyecto en fases específicas que permiten una mejor estimación del tiempo. Con la realización de este trabajo se ha instalado y configurado el servidor de Single Sing-On Kyecloak el cual utiliza el servidor LDAP de la empresa para dar servicio a los usuarios internos. En la segunda parte del proyecto se ha modificado la librería de microservicios de Mitiga Solutions, así como dos de sus microservicios, para añadir compatibilidad con el protocolo OpenID Connect. El sistema implantado permite proteger endpoints específicos de los microservicios y autorización mediante roles, así como la comunicación autenticada entre microservicios. El desarrollo ha permitido sentar las bases para extender el sistema al resto de microservicios disponibles. El servidor de Single Sign On no sirve únicamente para los microservicios, sino que además pude ser utilizado para ofrecer un sistema de acceso centralizado para dar soporte a otros servicios disponibles en la empresa que sean compatibles con el protocolo utilizado. Authorization and authentication mechanisms are a key component on any system exposed to Internet. The protocol OpenID Connect provides authentication on top of the authorization protocol OAuth. With the development of this project, it is intended to provide a Single Sign-On solution for the set of microservices of the company Mitiga Solutions, adding support to the OpenID Connect protocol. The development of this project has followed a cascade methodology, dividing the project into specific phases to allow a better time schedule. With the completion of this project, the Sign Sing-On Kyecloak server has been installed and configured to work along with company¿s LDAP server in order to provide access to the internal users. As for the second part of the project, support to OpenID Connect protocol has been added to Mitiga¿s microservices library, as well as two of its microservices. The implemented system allows to protect specific endpoints with authorization through roles, as well as authenticated communication between microservices. The Single Sign On server is not only used for microservices but also can be used to provide a centralized access system to support other Els mecanismes d'autorització i autenticació són clau en qualsevol sistema que hagi de ser exposat a Internet. El protocol OpenID Connect ofereix autenticació damunt del protocol d'autorització OAuth. Amb el desenvolupament d'aquest projecte es pretén donar una solució de Single Sign-*On que s'adapti al conjunt de microservicios de l'empresa Mitiga Solutions, afegint suport al protocol OpenID Connect. Per al desenvolupament s'ha seguit una metodologia en cascada, dividint el projecte en fases específiques que permeten una millor estimació del temps. Amb la realització d'aquest treball s'ha instal·lat i configurat el servidor de Single Sing-On Kyecloak el qual utilitza el servidor LDAP de l'empresa per a donar servei als usuaris interns. En la segona part del projecte s'ha modificat la llibreria de microservicios de Mitiga Solutions, així com dues de les seves microservicios, per a afegir compatibilitat amb el protocol OpenID Connect. El sistema implantat permet protegir endpoints específics dels microservicios i autorització mitjançant rols, així com la comunicació autenticada entre microservicios. El desenvolupament ha permès establir les bases per a estendre el sistema a la resta de microserveis disponibles. El servidor de Single Sign On no serveix únicament per als microserveis, sinó que a més vaig poder ser utilitzat per a oferir un sistema d'accés centralitzat per a donar suport a altres serveis disponibles en l'empresa que siguin compatibles amb el protocol utilitzat.

Con la paulatina digitalización de los servicios de las administraciones públicas y el aumento de plataformas digitales privadas, se los usuario cuentan con una cantidad ingente de credenciales que deben gestionar. Además, el uso de estas credenciales básicas está perdiendo relevancia en favor de métodos de autenticación más seguros como los certificados digitales. Los servicios proporcionados de manera telemática no pueden ofrecer el mismo nivel de acceso a usuarios autenticados con diferentes medidas de seguridad. Los procesos más críticos deben tener unos controles más estrictos de la identidad de los usuarios. Ambos problemas se pueden solucionar implementando un sistema de Single Sign On. Esto permite a un usuario autenticado acceder a todas las aplicaciones que hagan uso de este sistema con unas credenciales únicas. En este trabajo se analiza, diseña e implementa un sistema SSO que proporciona esta solución. Para ello se utilizará una metodología de desarrollo de sistemas informáticos conocida como desarrollo en cascada. Finalmente, se llega a la conclusión de que no todas las plataformas elegidas, aunque proveen la funcionalidad deseada, tienen el mismo nivel de madurez y un trabajo más exhaustivo de análisis de estas debe ser llevada a cabo durante la fase de estudio de plataformas. Así mismo, la implantación del sistema no exime al equipo de puesta en producción de ejecutar otras tareas que hagan el sistema mucho más seguro y que quedan fuera del objetivo de este trabajo. Amb la gradual digitalització dels serveis de les administracions públiques i l'augment de plataformes digitals privades, els hi usuari compten amb una quantitat ingent de credencials que han de gestionar. A més, l'ús d'aquestes credencials bàsiques està perdent rellevància en favor de mètodes d'autenticació més segurs com els certificats digitals. Els serveis proporcionats de manera telemàtica no poden oferir el mateix nivell d'accés a usuaris autenticats amb diferents mesures de seguretat. Els processos més crítics han de tenir uns controls més estrictes de la identitat dels usuaris. Tots dos problemes es poden solucionar implementant un sistema de Single Sign On. Això permet a un usuari autenticat accedir a totes les aplicacions que facin ús d'aquest sistema amb unes credencials úniques. En aquest treball s'analitza, dissenya i implementa un sistema SSO que proporciona aquesta solució. Per a això s'utilitzarà una metodologia de desenvolupament de sistemes informàtics coneguda com a desenvolupament en cascada. Finalment, s'arriba a la conclusió que no totes les plataformes triades, encara que proveeixen la funcionalitat desitjada, tenen el mateix nivell de maduresa i un treball més exhaustiu d'anàlisi d'aquestes ha de ser duta a terme durant la fase d'estudi de plataformes. Així mateix, la implantació del sistema no eximeix a l'equip de posada en producció d'executar altres tasques que facin el sistema molt més segur i que queden fora de l'objectiu d'aquest treball. With the gradual digitization of public administration services and the increase in private digital platforms, users have a huge number of credentials to manage. Furthermore, the use of these basic credentials is losing relevance in favour of more secure authentication methods such as digital certificates. The services provided electronically cannot offer the same level of access to authenticated users with different security measures. The most critical processes must have stricter controls on the identity of the users. Both problems can be solved by implementing a Single Sign On system. This allows an authenticated user to access all the applications that make use of this system with just a set of credentials. This project analyses, designs and implements a Single Sign On authentication system that provides this solution. To do this, a methodology for developing computer systems known as cascade development will be used. Finally, it is concluded that not all the chosen platforms, although the desired functionality was verified, have the same level of maturity and a more exhaustive work of analysis of these platforms must be carried out during the proof of concept phase. Likewise, the implementation of the system does not exempt the commissioning production team from other tasks that would make the system much more secure and that are outside of the scope of this project.