Search

En l'actualitat, i com a conseqüència de la pandèmia del Covid-19, l'ús de les tecnologies en espais vulnerables en l'àmbit del treball ha augmentat. Els ciberdelinqüents són conscients d'aquestes vulnerabilitats i aprofiten aquestes oportunitats per extreure'n benefici. En el món empresarial trobem les petites i mitjanes empreses, PIMEs, les quals són empreses més vulnerables com a conseqüència de tenir poc pressupost i formació en seguretat en general i ciberseguretat en particular. Fent aquestes empreses molt interessants per als ciberdelinqüents. Un atac que ha fet ressò en aquests últims anys és el que pren nom de ransomware, el qual és un malware que s'introdueix als dispositius de les empreses mitjançant la descarrega d'arxius arribats per mitjà de correus electrònics, entre d'altres, i que el seu objectiu és xifrar els arxius i dades de les empreses, demanant un rescat per a aquestes dades i així obtenir un benefici. Al mateix temps, els ciberdelinqüents amenacen amb fer públiques aquestes dades, les quals podrien ser sensibles i podent tenir conseqüències legals a part de les econòmiques i reputacionals, com a conseqüència d'haver estat atacades per aquest tipus de malware. En aquest estudi, es vol poder fer arribar a les PIMEs la importància de reorientar una part dels seus pressupostos cap a la ciberseguretat, aplicant unes mesures de prevenció assequibles per evitar que siguin víctimes d'un atac ransomware, o, si són afectades per aquest, poder minimitzar l'impacte i conseqüències. Nowadays, because of the Covid-19 pandemic, the use of technology in vulnerable workplaces has increased. Cybercriminals are aware of these vulnerabilities and take advantage of these opportunities to obtain benefits of it. In the business world, we can find small and medium sized enterprises, SMEs, which are the most vulnerable companies as a consequence of having a small budget and training in security in general and cybersecurity in particular. Making these companies very interesting for cybercriminals. An attack that has been heard in the recent years is the one called ransomware, which is a malware that is introduced into corporate devices by downloading incoming files via e-mail, among others, and that its goal is to encrypt the company files and data, requesting a ransom for that data and thus make a profit. At the same time, cybercriminals are threatening to release this data, which could be sensitive and could have legal as well as economic and reputational consequences, as a result of being attacked by this type of malware. The aim of this study is to make SMEs aware of the importance of reorienting part of their budgets towards cybersecurity, applying affordable prevention measures to prevent them from being the victims of a ransomware attack, or, if they are affected by it, to be able to minimize the impact and consequences. En la actualidad, y como consecuencia de la pandemia del Covid-19, el uso de las tecnologías en espacios vulnerables en el ámbito del trabajo ha aumentado. Los ciberdelinqüents son conscientes de estas vulnerabilidades y aprovechan estas oportunidades para extraer beneficio. En el mundo empresarial encontramos las pequeñas y medianas empresas, Pymes, las cuales son empresas más vulnerables como consecuencia de tener poco presupuesto y formación en seguridad en general y ciberseguridad en particular. Haciendo estas empresas muy interesantes para los ciberdelinqüents. Un ataque que ha hecho eco en estos últimos años es el que toma nombre de ransomware, el cual es un malware que se introduce a los dispositivos de las empresas mediante la descarga de archivos llegados por medio de correos electrónicos, entre otros, y que su objetivo es cifrar los archivos y datos de las empresas, pidiendo un rescate para estos datos y así obtener un beneficio. Al mismo tiempo, los ciberdelinqüents amenazan con hacer públicas estos datos, las cuales podrían ser sensibles y pudiendo tener consecuencias legales aparte de las económicas y reputacionals, como consecuencia de haber sido atacadas por este tipo de malware. En este estudio, se quiere poder hacer llegar a las Pymes la importancia de reorientar una parte de sus presupuestos hacia la ciberseguridad, aplicando unas medidas de prevención asequibles para evitar que sean víctimas de un ataque ransomware, o, si son afectadas por este, poder minimizar el impacto y consecuencias.

El Treball de Final de Màster està contextualitzat en l'àrea de Sistemes de Gestió de Seguretat de la Informació, el qual consisteix precisament a implementar un Sistema de Gestió de Seguretat de la Informació (SGSI) a una organització que basa la seva activitat de negoci amb la gestió hotelera, basant-nos en la norma ISO/IEC 27001:2013 i el seu annex, ISO/IEC 27002. En concret, hem definit l'abast del Pla Director de Seguretat (PDS) en l'oficina central de la divisió hotelera seleccionada, on es vol protegir els següents processos de negoci: procés de venda, la informació dels clients, la informació confidencial de l'empresa i el software de la gestió hotelera. El treball està orientat a establir les bases del PDS implementat per un SGSI des del seu inici, realitzant una anàlisi de la situació actual, definir la política de seguretat de l'empresa, revisar la gestió de rols i responsabilitats, elaborar una anàlisi de riscos juntament amb la declaració d'aplicabilitat, realitzar un inventari d'actius de l'organització, analitzar les possibles amenaces i el seu impacte i probabilitat, descriure propostes de projectes de millora i finalment amb tota aquesta informació, realitzar l'auditoria de compliment de la ISO/IEC 27001:2013. Un cop finalitzat el treball i haver duit a terme l'execució d'aquest projecte, podem dir que s'han millorat certs aspectes de la Seguretat de la Informació de l'organització, tot i que no s'ha arribat al nivell desitjat que shhavia proposat podem dir que s'han assolit els objectius d'aquest PDS. The Master's Thesis is contextualised in Information Security Management Systems, which consists precisely in implementing an Information Security Management System (ISMS) in an organisation that bases its business activity with hotel management, based on ISO / IEC 27001: 2013 and its annexe, ISO / IEC 27002. Specifically, we have defined the scope of the Security Master Plan (PDS) in the central office of the selected hotel division, where you want to protect the following business processes: sales process, customer information, confidential company information and hotel management software. The work is aimed at establishing the basis of the PDS implemented by an ISMS since its inception, conducting a first analysis of the current situation, defining the company's security policy, reviewing the management of roles and responsibilities, and developing an analysis of risks together with the declaration of applicability, make an inventory of the organisation's assets, analyse possible threats and their impact and probability, describe proposals for improvement projects and finally with all this information, perform the compliance audit of ISO / IEC 27001: 2013. Once has been completed and this project has been carried out, we can say that certain aspects of the organization's Information Security have been improved. Although the desired level has not been reached, we can say that this PDS has been successfully completed. El Trabajo de Final de Máster está contextualizado en el área de Sistemas de Gestión de Seguridad de la Información, el cual consiste precisamente a implementar un Sistema de Gestión de Seguridad de la Información (SGSI) a una organización que basa su actividad de negocio con la gestión hotelera, basándonos en la norma ISO/IEC 27001:2013 y su anexo, ISO/IEC 27002. En concreto, hemos definido el alcance del Plan Director de Seguridad (PDS) en la oficina central de la división hotelera seleccionada, donde se quiere proteger los siguientes procesos de negocio: proceso de venta, la información de los clientes, la información confidencial de la empresa y el software de la gestión hotelera. El trabajo está orientado a establecer las bases del PDS implementado por un SGSI desde su inicio, realizando un análisis de la situación actual, definir la política de seguridad de la empresa, revisar la gestión de roles y responsabilidades, elaborar un análisis de riesgos junto con la declaración de aplicabilidad, realizar un inventario de activos de la organización, analizar las posibles amenazas y su impacto y probabilidad, describir propuestas de proyectos de mejora y finalmente con toda esta información, realizar l¿auditoría de cumplimiento de la ISO/IEC 27001:2013. Una vez finalizada el trabajo y haber duit a término la ejecución de este proyecto, podemos decir que se han mejorado ciertos aspectos de la Seguridad de la Información de la organización, a pesar de que no se ha llegado al nivel deseado que se havia propuesto podemos decir que se han logrado los objetivos de este PDS.

Uno de los principales retos que afronta el sector de la ciberseguridad defensiva es detectar incidentes de seguridad de la forma más rápida posible para minimizar el impacto de los ataques. Las técnicas de ataque usadas por los cibercriminales son cada vez más sofisticadas, por lo que las alternativas de defensa deben evolucionar en consecuencia. Una de las múltiples soluciones de seguridad defensiva es engañar al enemigo, desviándolo hacia redes y equipos señuelo (honeypots), las cuales emulan los sistemas reales en un entorno controlado. En la actualidad, estas honeypots han evolucionado hacia aproximaciones más centradas en la distribución de señuelos en los propios sistemas reales, en lo que se conoce como técnicas de deception. Este trabajo se centra en una técnica de deception en particular, fundamentada en la distribución de credenciales señuelo en los equipos de un dominio de Directorio Activo mediante la herramienta de código libre DCEPT. Esta herramienta implementa un enfoque único y sin alternativa en la comunidad de código abierto. Las credenciales señuelo distribuidas pertenecen a un usuario real, por lo que no se puede identificar que son falsas. Igualmente, la detección del uso de unas credenciales se realiza de forma totalmente transparente al entorno de Directorio Activo, con una simple escucha al tráfico que llega a los controladores de Dominio. Tampoco existe riesgo de que estas credenciales sean utilizadas por los atacantes, ya que no son las correctas para el usuario real. Pese a esta aproximación tan interesante, el proyecto DCEPT no ha tenido un mantenimiento activo por parte de sus desarrolladores y ha quedado obsoleto. El objetivo de este trabajo es actualizar, completar y mejorar esta herramienta, de tal manera que resulte útil y accesible para la comunidad para que este proyecto pueda seguir evolucionando. One of the main challenges that the cyberdefense industry faces is the early detection of security incidents to minimize the impact of the cyberattacks. The attacking techniques used by cybercriminals are becoming increasingly sophisticated. Thus, defense techniques must evolve accordingly. One of the many defensive security solutions is to deceive the enemies by guiding them to decoy networks and hosts (honeypots), which emulate real systems in a controlled environment. Nowadays, these honeypots have evolved towards approaches that focus on the distribution of decoys in real systems, which is known as deception techniques. This master thesis focuses on a particular deception technique, based on the distribution of decoy credentials on computers in an Active Directory domain using the open source tool DCEPT. This tool implements a unique approach with no alternative in the open source community. The distributed decoy credentials belong to a real user, so they cannot be identified as fake. Likewise, the detection of the use of credentials is completely transparent to the Active Directory environment, by simply sniffing the traffic that arrives at the Domain Controllers. Moreover, there is no risk of these credentials being used by the attackers because these mentioned credentials are not the correct ones for the real user. Although this approach is appealing, the DCEPT project has not been actively maintained by its developers and has become obsolete. This master thesis aims to update, complete, and improve this tool to make it useful and accessible to the community so that this project can continue developing. Un dels principals reptes que afronta el sector de la ciberseguretat defensiva és detectar incidents de seguretat de la forma més ràpida possible per a minimitzar l'impacte dels atacs. Les tècniques d'atac usades pels cibercriminals són cada vegada més sofisticades, per la qual cosa les alternatives de defensa han d'evolucionar en conseqüència. Una de les múltiples solucions de seguretat defensiva és enganyar l'enemic, desviant-lo cap a xarxes i equips cimbell (honeypots), les quals emulen els sistemes reals en un entorn controlat. En l'actualitat, aquestes honeypots han evolucionat cap a aproximacions més centrades en la distribució de cimbells en els propis sistemes reals, en el que es coneix com a tècniques de deception. Aquest treball se centra en una tècnica de deception en particular, fonamentada en la distribució de credencials cimbell en els equips d'un domini de Directori Actiu mitjançant l'eina de codi lliure DCEPT. Aquesta eina implementa un enfocament únic i sense alternativa en la comunitat de codi obert. Les credencials cimbell distribuïdes pertanyen a un usuari real, per la qual cosa no es pot identificar que són falses. Igualment, la detecció de l'ús d'unes credencials es realitza de forma totalment transparent a l'entorn de Directori Actiu, amb una simple escolta al trànsit que arriba als controladors de Domini. Tampoc existeix risc que aquestes credencials siguin utilitzades pels atacants, ja que no són les correctes per a l'usuari real. Malgrat aquesta aproximació tan interessant, el projecte DCEPT no ha tingut un manteniment actiu per part dels seus desenvolupadors i ha quedat obsolet. L'objectiu d'aquest treball és actualitzar, completar i millorar aquesta eina, de tal manera que resulti útil i accessible per a la comunitat perquè aquest projecte pugui continuar evolucionant.

Con este trabajo, se busca una solución para mitigar las intrusiones en las redes corporativas de autónomos, microPYMEs y PYMES, tanto por actores externos como por internos, teniendo en cuenta la capacidad de inversión en estos momentos postpandémicos. Para ello, se usará un router MikroTik, que cada vez se encuentran más en entornos corporativos, y un servidor de 2ª mano que bien podría ser un servidor virtual en la infraestructura existente. Las herramientas a utilizar son Suricata, un IDS ampliamente utilizado en el mundo de la Ciberseguridad y Elastic Stack, un paquete de herramientas de análisis y presentación de datos. Después de las pruebas realizadas, se puede observar un amplio rango de alertas ante posibles intrusiones, que es la finalidad del proyecto. With this project, a solution is sought to mitigate intrusions into the corporate networks of self-employed workers, micro-SMEs and SMEs, either by external and internal actors, taking into account the investment capacity in these postpandemic moments. To do this, a MikroTik router will be used, which is more and more found in corporate environments, and a second-hand server that could well be a virtual server over the existing infrastructure. The tools we are going to use are Suricata, an IDS widely used in Cybersecurity world, and Elastic Stack, a package of data analysis and presentation tools. After the tests being carried out, a wide range of alerts against possible intrusions can be observed, which is the purpose of the project. Amb aquest treball, es busca una solució per a mitigar les intrusions en les xarxes corporatives d'autònoms, micropimes i PIMES, tant per actors externs com per interns, tenint en compte la capacitat d'inversió en aquests moments postpandèmics. Per a això, s'usarà un encaminador MikroTik, que cada vegada es troben més en entorns corporatius, i un servidor de 2a mà que bé podria ser un servidor virtual en la infraestructura existent. Les eines a utilitzar són Suricata, un IDS àmpliament utilitzat en el món de la Ciberseguretat i Elastic Stack, un paquet d'eines d'anàlisis i presentació de dades. Després de les proves realitzades, es pot observar un ampli rang d'alertes davant possibles intrusions, que és la finalitat del projecte.

El ransomware se ha convertido en uno de los problemas de ciberseguridad más relevantes a día de hoy debido primeramente al gran impacto que puede llegar a suponer para una organización el secuestro de información relevante, y, en segundo lugar, debido al enorme beneficio económico gracias a la extorsión por parte de los grupos criminales que lo orquestan. Este Trabajo Final de Máster busca llevar a cabo un análisis desde lo general del fenómeno a ejemplos particulares. En primer lugar, se plantea un repaso por la historia y evolución de la actividad del ransomware desde sus primeros días hasta el estado actual de la situación, que se expone con detalle. También se tratan las herramientas y marcos de trabajo que hacen posible comprender y clasificar este tipo de ataques informáticos. Por último, se realiza un estudio pormenorizado de las tácticas, técnicas y procedimientos de Conti, uno de los ransomware con más presencia detectada el pasado año 2021. Esta publicación incluye, además de la revisión de fragmentos del código de su herramienta de cifrado de datos, una prueba de laboratorio donde se ha ejecutado el malware en un entorno controlado y la exposición de los resultados obtenidos. Ransomware has become one of the most relevant cybersecurity threats today: first of all, due to the great impact that the kidnapping of relevant information can have on an organization, and, secondly, due to the enormous economic profit thanks to extortion by the criminal groups that orchestrate it. This Master's Thesis seeks to carry out an analysis from the general to particular examples of the phenomenon. First, it presents a review of the history and evolution of ransomware activity from its early days to the current state, that is addressed in detail. The tools and frameworks that make it possible to understand and classify this type of computer attack are also discussed. Finally it is carried out an extensive review of the tactics, techniques and procedures of Conti, one of the most prevalent ransomware detected in the past year 2021. This study includes, in addition to the code review of fragments of its data encryption tool, a laboratory test where the malware has been executed in a controlled environment and the results obtained are presented. El ransomware s'ha convertit en un dels problemes de ciberseguretat més rellevants hui dia degut primerament al gran impacte que pot arribar a suposar per a una organització el segrest d'informació rellevant, i, en segon lloc, a causa de l'enorme benefici econòmic gràcies a l'extorsió per part dels grups criminals que l'orquestren. Aquest Treball Final de Màster busca dur a terme una anàlisi des del general del fenomen a exemples particulars. En primer lloc, es planteja un repàs per la història i evolució de l'activitat del ransomware des dels seus primers dies fins a l'estat actual de la situació, que s'exposa amb detall. També es tracten les eines i marcs de treball que fan possible comprendre i classificar aquest tipus d'atacs informàtics. Finalment, es realitza un estudi detallat de les tàctiques, tècniques i procediments de Conti, un dels ransomware amb més presència detectada l'any passat 2021. Aquesta publicació inclou, a més de la revisió de fragments del codi de la seua eina de xifratge de dades, una prova de laboratori on s'ha executat el malware en un entorn controlat i l'exposició dels resultats obtinguts.

Este TFM persigue mostrar una solución a la necesidad de diseñar aplicaciones de forma que se puedan separar las funciones de implementación de la lógica de negocio (qué funcionalidad tiene que cubrir la aplicación) de la lógica de implementación de servicios de seguridad (qué controles de seguridad tengo que dotar a la solución). Istio aborda esta solución en arquitecturas basadas en microservicios sobre Kubernetes. Para ello, se aborda la implementación de una solución basada en una arquitectura de microservicios apoyada en una solución que añade controles de seguridad. A esta solución se le dotará de capacidades de seguridad, orientadas al control del tráfico de comunicaciones entre los servicios. Concretamente la solución tendrá implantadas capacidades propias de la herramienta Istio, sobre una plataforma de Kubernetes. Estas capacidades están basadas en controles de seguridad de autenticación y autorización, que tienen una base en el protocolo mTLS. Concretamente estas funciones a implantar serán la habilitación del protocolo mTLS en el tráfico específico entre los servicios de la solución y la habilitación de tráfico http sobre este protocolo mTLS, consiguiendo de esta forma dotar de un protocolo de comunicaciones seguro en la arquitectura. En la fase de implementación se presenta una aplicación web con una serie de microservicios sobre los que se implantarán las capacidades de mTLS y comunicación vía http. This final work of head seeks to show a solution to the need to design applications in such a way that the implementation functions of the business logic can be separated (what functionality the application must cover) from the security service implementation logic (what security controls I must equip the solution). Istio approaches this solution in architectures based on microservices on top of Kubernetes. To do this, the implementation of a solution based on a microservices architecture supported by a solution that adds security controls is addressed. This solution will be provided with security capabilities, aimed at controlling communications traffic between services. Specifically, the solution will have the capabilities of the Istio tool implemented, on a Kubernetes platform. These capabilities are based on authentication and authorization security controls, which are based on the mTLS protocol. Specifically, these functions to be implemented will be the enabling of the mTLS protocol in the specific traffic between the services of the solution and the enabling of http traffic on this mTLS protocol, thus achieving a secure communications protocol in the architecture. In the implementation phase, a web application is presented with a series of microservices on which the capabilities of mTLS and communication via http will be implemented. Aquest TFM persegueix mostrar una solució a la necessitat de dissenyar aplicacions de manera que es puguin separar les funcions d'implementació de la lògica de negoci (quina funcionalitat ha de cobrir l'aplicació) de la lògica d'implementació de serveis de seguretat (quins controls de seguretat haig de dotar a la solució). Istio aborda aquesta solució en arquitectures basades en microserveis sobre Kubernetes. Per a això, s'aborda la implementació d'una solució basada en una arquitectura de microserveis recolzada en una solució que afegeix controls de seguretat. A aquesta solució se li dotarà de capacitats de seguretat, orientades al control del trànsit de comunicacions entre els serveis. Concretament la solució tindrà implantades capacitats pròpies de l'eina Istio, sobre una plataforma de Kubernetes. Aquestes capacitats estan basades en controls de seguretat d'autenticació i autorització, que tenen una base en el protocol mTLS. Concretament aquestes funcions a implantar seran l'habilitació del protocol mTLS en el trànsit específic entre els serveis de la solució i l'habilitació de trànsit http sobre aquest protocol mTLS, aconseguint d'aquesta manera dotar d'un protocol de comunicacions segur en l'arquitectura. En la fase d'implementació es presenta una aplicació web amb una sèrie de microserveis sobre els quals s'implantaran les capacitats de mTLS i comunicació via http.

In the last few years, the blockchain usage has been growing rapidly. A lot of industries have been using and developing blockchain platforms to perform decentralized computations. One of the most popular underlying technologies is the Ethereum blockchain. Executing, verifying and enforcing credible computable transactions on blockchains is done using smart contracts which the code is written using a Turing complete language. Those contracts are typically written in a high-level programming language called Solidity, then compiled to Ethereum Virtual Machine (EVM) assembly instructions and deployed to the Ethereum blockchain. So many tools have been written to analyze and find vulnerabilities in Solidity smart contracts from a static and dynamic standpoint. However, none of the already developed tools allow easy contribution by the community without actually having to modify the tool source code itself or write complex syntax specific queries. In this project we have created Solgrep. Solgrep is a tool that allows static semantic aware search on Solidity code. The initial idea of Solgrep was to be used as part of Smart Contracts Solidity Audits as a remarkable tool in the arsenal of an auditor. However, it was noticed that this tool could be easily integrated with current Solidity development stacks to find common bad patterns and coding mistakes that Solidity developers tend to do. En els últims anys, l’ús de la cadena de blocs, o blockchain, ha anat creixent ràpidament. Moltes indústries han estat utilitzant i desenvolupant plataformes de cadena de blocs per realitzar càlculs descentralitzats. Una de les tecnologies subjacents més populars en blockchain es Ethereum. S’han escrit moltes eines per analitzar i trobar vulnerabilitats als contractes intel·ligents de Solidity des d’un punt de vista estàtic i dinàmic. Tanmateix, cap de les eines ja desenvolupades permet una aportació fàcil per part de la comunitat sense haver de modificar el propi codi font de l’eina o escriure consultes específiques de sintaxi complexes. En aquest projecte he creat Solgrep. Solgrep és una eina que permet la cerca semàntica estàtica al codi Solidity. La idea inicial de Solgrep s’havia d’utilitzar com a part de Smart Contracts Solidity Audits com una eina remarcable en l’arsenal d’un auditor. Tanmateix, es va observar que aquesta eina es podria integrar fàcilment amb les piles de desenvolupament de Solidity actuals per trobar patrons dolents comuns i errors de codificació que solen fer els desenvolupadors de Solidity. En los últimos años, el uso de la cadena de bloques, o blockchain, ha ido creciendo rápidamente. Muchas industrias han estado utilizando y desarrollando plataformas de cadena de bloques para realizar cálculos descentralizados. Una de las tecnologías subyacentes más populares en blockchain se Ethereum. Se han escrito muchas herramientas para analizar y encontrar vulnerabilidades en los contratos inteligentes de Solidity desde un punto de vista estático y dinámico. Aun así, ninguno de las herramientas ya desarrolladas permite una aportación fácil por parte de la comunidad sin tener que modificar el propio código fuente de la herramienta o escribir consultas específicas de sintaxis complejas. En este proyecto he creado Solgrep. Solgrep es una herramienta que permite la busca semántica estática al código Solidity. La idea inicial de Solgrep se tenía que utilizar como parte de Smart Contracts Solidity Audits como una herramienta remarcable en el arsenal de un auditor. Aun así, se observó que esta herramienta se podría integrar fácilmente con las pilas de desarrollo de Solidity actuales para encontrar patrones malos comunes y errores de codificación que suelen hacer los desarrolladores de Solidity.

Este trabajo busca llevar a cabo un estudio del grado de cumplimiento normativo en un conjunto de páginas web, en particular a la gestión de las cookies, y establecer criterios de actuación (protocolos) para evitar las carencias más significativas. Para ello, se va a proceder a describir el mecanismo de gestión de cookies que hay implementado y determinar si sigue las recomendaciones de la AEPD, según la guía de cookies que ha publicado, también se va a evaluar con diferentes rastreadores, si la información facilitada a la política de cookies es correcta y se determinará cuáles CMP (Consent Management Platform) son los más adecuados. This work seeks to carry out a study of the degree of regulatory compliance in a set of web pages, in particular the management of cookies, and establish action criteria (protocols) to avoid the most significant deficiencies. With that objective, we will proceed to describe the cookie management mechanism that has been implemented and determine if it follows the recommendations of the AEPD, according to the cookie guide that it has published, it will also be evaluated with different trackers, if the information provided The cookie policy is correct and it will be determined which CMP (Consent Management Platform) are the most appropriate. Aquest treball cerca dur a terme un estudi del grau de compliment normatiu en un conjunt de pàgines web, en particular a la gestió de les galetes, i establir criteris d'actuació (protocols) per evitar les mancances més significatives. Per això, es procedirà a descriure el mecanisme de gestió de cookies que hi ha implementat i determinar si segueix les recomanacions de l'AEPD, segons la guia de cookies que ha publicat, també s'avaluarà amb diferents rastrejadors, si la informació facilitada a la política de galetes és correcta i es determinarà quins CMP (Consent Management Platform) són els més adequats.

Este Trabajo Fin de Máster ofrece una visión de la norma ISO/IEC 27004:2016 con el propósito de hacerla más cercana, más visible y que mediante su ¿descubrimiento¿ y apoyándose en ella, las organizaciones puedan adquirir un mejor dominio de su SGSI dado que la implementación de su doctrina proporciona herramientas que identifican las fortalezas y flaquezas, permitiendo en consecuencia, determinar el rendimiento, la eficacia. Otro aspecto que se persigue es el empleo de herramientas de inteligencia empresarial para, a través de estas, construir cuadros de mando que faciliten una mejor comprensión del estado de la seguridad de la información en la organización y derivado de esta ¿iluminación¿, enfocar los objetivos en la dirección correcta y en consonancia con la mejora continua y por tanto con un escalado en el nivel de madurez. This Master's Thesis offers a vision of the ISO/IEC 27004:2016 standard with the purpose of making it closer, more visible and that through its "discovery" and relying on it, organizations can acquire a better command of their ISMS given that the implementation of its doctrine provides tools that identify the strengths and weaknesses, consequently allowing to determine the performance, the effectiveness. Another aspect that is pursued is the use of business intelligence tools to, through these, build dashboards that facilitate a better understanding of the state of information security in the organization and derived from this "enlightenment", focus the objectives in the right direction and in line with continuous improvement and therefore with an escalation in the level of maturity. Aquest Treball Fi de Màster ofereix una visió de la norma ISO/IEC 27004:2016 amb el propòsit de fer-la més propera, més visible i que mitjançant el seu "descobriment" i recolzant-s'hi, les organitzacions puguin adquirir un millor domini del seu SGSI atès que la implementació de la seva doctrina proporciona eines que identifiquen les fortaleses i flaqueses, permetent en conseqüència, determinar el rendiment, l' eficàcia. Un altre aspecte que es persegueix és l'ús d'eines d'intel·ligència empresarial per, a través d'aquestes, construir quadres de comandament que facilitin una millor comprensió de l'estat de la seguretat de la informació en l'organització i derivat d'aquesta "il·luminació", enfocar els objectius en la direcció correcta i en consonància amb la millora contínua i per tant amb un escalat en el nivell de maduresa.

L'adveniment Bitcoin i posteriorment d'Ethereum varen definir les bases de la tecnologia blockchain. Cal destacar que han suposat una disrupció tecnològica, econòmica i fins i tot política, despertant un interès acadèmic creixent i nous casos d'ús. En aquest context, es presenten reptes per aconseguir una descentralització plena que sigui capaç de substituir els sistemes centralitzats tradicionals de transaccions electròniques i moviment de capitals. Alt consum d'energia, baixa taxa de transaccions, escalabilitat, seguretat o interoperabilitat són alguns dels reptes plantejats per les tecnologies actuals de blockchain que resol Elrond. Aquest treball presenta un exemple d'implementació de swaps entre criptovalors amb l'objectiu de comprovar que la proposta de blockchain pública d'Elrond ha vençut les limitacions actuals de Bitcoin i Ethereum. The advent of Bitcoin and later of Ethereum described the foundations of blockchain technology. It should be noted that they have led to a technological, economical and even political disruption, arousing growing academic interest and new use cases. In this context, we are being challenged to achieve full decentralization that is capable of replacing traditional centralized systems of electronic transactions and movements of capital. High energy consumption, low transaction rates, scalability, security or interoperability are some challenges of current blockchain technologies that Elrond solves. This paper presents an example of the implementation of swaps between tokens in order to verify that Elrond's public blockchain proposal has overcome the current limitations of Bitcoin and Ethereum. La aparición de Bitcoin y posteriormente de Ethereum definieron las bases de la tecnología blockchain. Cabe destacar que han supuesto una disrupción tecnológica, económica e incluso política, despertando un interés académico creciente y nuevos casos de uso. En este contexto, se presentan retos para conseguir una plena descentralización que sea capaz de sustituir a los sistemas centralizados tradicionales de transacciones electrónicas y movimiento de capitales. Alto consumo de energía, baja tasa de transacciones, escalabilidad, seguridad o interoperabilidad son algunos de los retos planteados por las tecnologías actuales de blockchain que resuelve Elrond. Este trabajo presenta un ejemplo de implementación de swaps entre criptovalores con el objetivo de comprobar que la propuesta de blockchain pública de Elrond ha vencido las limitaciones actuales de Bitcoin y Ethereum.

L’objectiu d’aquest treball és estudiar la problemàtica dels atacs als dispositius IoT, que cada cop són més presents en la nostra vida. S’exposen les plataformes i capacitats dels dispositius per tal d’identificar els tipus d’atac als que són sotmesos en funció de les seves capacitats tècniques. Per cada plataforma es proposa un mètode per tal de detectar els possibles atacs i en alguns casos els mètodes per bloquejar-los. Amb l’estat de l’art es mostra les opcions actuals en el camp dels HIDS de codi obert i la possibilitat d’utilitzar-los en un entorn tan específic com és el IoT. Es proposa un model de desplegament i eines per tal de cobrir el màxim nombre de plataformes, independentment del fabricant o capacitats tècniques de cada una. També es planeja la problemàtica de desplegar un sistema a gran escala, on es gestionin milions de dispositius, i s’aporten algunes possibles solucions. Com a part del treball, es presenta una possible implementació utilitzant la plataforma Raspberry Pi/Linux com a dispositiu IoT, que són dos exemples de plataformes completament diferents. Finalment, s’exposen les conclusions a les quals s’ha arribat i es proposen millores i línies futures d’investigació i millora. The aim of this paper is to study the problem of attacks on IoT devices, which are becoming more and more present in our lives. The platforms and capabilities of the devices are exposed in order to identify the types of attacks to which they are subjected based on their technical capabilities. A method is proposed for each platform to detect possible attacks and in some cases methods to block them. The state of the art shows the current options in the field of open source HIDS and the possibility of using them in such a specific environment as the IoT. A deployment model and tools are proposed to cover the maximum number of platforms, regardless of the manufacturer or technical capabilities of each. The problem of deploying a large-scale system, where millions of devices are managed, is also exposed, and some possible solutions are provided. As part of the work, a possible implementation is presented using the Raspberry Pi / Linux platform as IoT device, which are two examples of completely disparate platforms. Finally, the conclusions reached are set out, and future improvements, lines of research and improvement are proposed. El objetivo de este trabajo es estudiar la problemática de los ataques a los dispositivos Yate, que cada vez son más presentes en nuestra vida. Se exponen las plataformas y capacidades de los dispositivos para identificar los tipos de ataque a los que son sometidos en función de sus capacidades técnicas. Por cada plataforma se propone un método para detectar los posibles ataques y en algunos casos los métodos para bloquearlos. Con el estado del arte se muestra las opciones actuales en el campo de los HIDS de código abierto y la posibilidad de utilizarlos en un entorno tan específico como es el Yate. Se propone un modelo de despliegue y herramientas para cubrir el máximo número de plataformas, independientemente del fabricante o capacidades técnicas de cada una. También se planea la problemática de desplegar un sistema a gran escala, donde se gestionen millones de dispositivos, y se aportan algunas posibles soluciones. Como parte del trabajo, se presenta una posible implementación utilizando la plataforma Raspberry Pi/Linux como dispositivo Yate, que son dos ejemplos de plataformas completamente diferentes. Finalmente, se exponen las conclusiones a las cuales se ha llegado y se proponen mejoras y líneas futuras de investigación y mejora.

El creciente uso de las Tecnologías de la Información, y específicamente de la navegación web, conlleva también un incremento en el número de criminales que tratan de obtener beneficio ilegal a costa de los usuarios. Con el fin de frenar este tipo de ataques, se ponen muchos esfuerzos en la implementación de productos de seguridad como firewalls o programas antivirus, pero, sin embargo, el protocolo DNS es comúnmente dejado de lado. Debido a que este protocolo se utiliza en prácticamente todas las interacciones de la navegación web, se propone el estudio e implementación de un firewall DNS. Mediante el uso de información de IPs y nombres de dominio maliciosos extraídos de fuentes públicas, se filtran las peticiones maliciosas a un servidor web que alerta de este hecho. Inicialmente, se realiza un estudio del estado del arte, así como de las tecnologías implicadas. Dentro de esta fase se realiza un análisis de viabilidad de implementación de un motor de aprendizaje automático para detectar posibles ataques de phishing. Adicionalmente se propone en este estudio una arquitectura en alta disponibilidad y con una plataforma de recogida y visualización de métricas, con aplicación a entornos empresariales y domésticos y que aportan información relevante para el estudio futuro de las métricas. Tras las pruebas realizadas sobre el producto se concluye la viabilidad y utilidad de la implementación de un firewall DNS como una herramienta adicional de protección frente a posibles ataques. The increasing use of Information Technologies, and more specifically of the web navigation, leads also to an increment of the number of criminals that try to get illegal profit from these users. To try to stop this kind of attackers, a lot of efforts are made by the implementation of cybersecurity products as firewalls of antivirus software. On the other hand, the DNS protocol is commonly excluded on the scope of these products. Due to the highly use of this protocol in almost every web navigation interaction, it is proposed a study and implementation of a DNS firewall. By using malicious IP and domain open-source information, all the malicious requests are filtered out and redirected to an alert web server alerting about this behavior. First, a state of art and related technologies studies are made. Inside this phase, the implementation viability of a Machine Learning engine to detect phishing attacks is studied. It is proposed in this study a highly available architecture with a metrics recollection and visualization platform applicable to enterprise or homes and that provides relevant information for the future study of the metrics. After all the tests done for the final product, it is concluded the viability and usefulness of the implementation of a DNS firewall as an additional tool to protect users against cyberattacks. El creixent ús de les Tecnologies de la Informació, i específicament de la navegació web, comporta també un increment en el nombre de criminals que tracten d'obtenir benefici il·legal a costa dels usuaris. Amb la finalitat de frenar aquest tipus d'atacs, es posen molts esforços en la implementació de productes de seguretat com firewalls o programes antivirus, però, no obstant això, el protocol DNS és comunament deixat de costat. Pel fet que aquest protocol s'utilitza en pràcticament totes les interaccions de la navegació web, es proposa l'estudi i implementació d'un firewall DNS. Mitjançant l'ús d'informació de IPs i noms de domini maliciosos extrets de fonts públiques, es filtren les peticions malicioses a un servidor web que alerta d'aquest fet. Inicialment, es realitza un estudi de l'estat de l'art, així com de les tecnologies implicades. Dins d'aquesta fase es realitza una anàlisi de viabilitat d'implementació d'un motor d'aprenentatge automàtic per a detectar possibles atacs de phishing. Addicionalment es proposa en aquest estudi una arquitectura en alta disponibilitat i amb una plataforma de recollida i visualització de mètriques, amb aplicació a entorns empresarials i domèstics i que aporten informació rellevant per a l'estudi futur de les mètriques. Després de les proves realitzades sobre el producte es conclou la viabilitat i utilitat de la implementació d'un firewall DNS com una eina addicional de protecció enfront de possibles atacs.

El presente trabajo tiene como finalidad plasmar el Plan de Adecuación de una Organización cuyo sistema de información a adecuar está categorizado en nivel medio. Para ello, se contextualiza la normativa aplicable y los cambios más actuales, se continúa realizando una Plan de Implantación del Esquema Nacional de Seguridad presentando como Anexos a este documento todos los entregables que recibiría dicha Organización si se tratase de un caso real (desde la recogida de datos, análisis de riesgos, declaración de aplicabilidad, hasta la normativa redactada que posteriormente tendría que implantar dicho organismo). Como metodología para llevar a cabo este trabajo, se ha escogido un método práctico de exposición por el cual se narra la teoría y se expone a modo de ejemplo cada documento en formato Anexo. The purpose of this work is to capture the Adaptation Plan of an Organization whose information system to be adapted is categorized at the medium level. To that end, the applicable regulations and the most current changes are contextualized, a Plan for the Implementation of the National Security Scheme continues to be carried out, presenting as Annexes to this document all the deliverables that said Organization would receive if it is a real case (from the collection of data, risk analysis, declaration of applicability, up to the drafted regulations that said body will have to implement later). As a methodology to carry out this work, a practical exposition method has been chosen by which the theory is narrated and each document is presented as an example in Annex format. El presente trabajo tiene como finalidad plasmar el Plan de Adecuación de una Organización cuyo sistema de información a adecuar está categorizado en nivel medio. Para ello, se contextualiza la normativa aplicable y los cambios más actuales, se continúa realizando una Plan de Implantación del Esquema Nacional de Seguridad presentando como Anexos a este documento todos los entregables que recibiría dicha Organización si se tratase de un caso real (desde la recogida de datos, análisis de riesgos, declaración de aplicabilidad, hasta la normativa redactada que posteriormente tendría que implantar dicho organismo). Como metodología para llevar a cabo este trabajo, se ha escogido un método práctico de exposición por el cual se narra la teoría y se expone a modo de ejemplo cada documento en formato Anexo.

La finalidad de este trabajo persigue ahondar sobre el estado del arte de un sector que hasta hace no demasiado no era considerado desde el punto de vista de la ciberseguridad: los entornos industriales. Este tipo de entornos se han caracterizado por sufrir una gran evolución en las últimas décadas de forma que se han incorporado multitud de tecnologías que han permitido mejorar los procesos productivos. Sin embargo, esta incorporación de tecnologías, como por ejemplo la incorporación de dispositivos IoT, han traído consigo una serie de amenazas y problemas de seguridad, que en este tipo de entornos una interrupción de la operación puede tener un impacto muy elevado ya que pueden ser infraestructuras críticas para la vida cotidiana. De forma que se apliquen principios de seguridad básicos como pueden ser defensa en profundidad o segmentación de red se ha definido una arquitectura de referencia en base a estándares del sector como el IEC 62443. Adicionalmente, se ha implantado de manera práctica un entorno industrial virtualizado que ha permitido realizar pruebas con una tecnología como Deception, la cual aporta capacidades avanzadas de detección y permite mejorar las capacidades de ciber inteligencia de las organizaciones. Las conclusiones del trabajo han sido satisfactorias y han permitido definir esta serie de requisitos de seguridad en torno a una arquitectura de referencia, además de la aplicación de tecnologías deception con un resultado satisfactorio, lo cual permite dilucidad su posible incorporación como un mecanismo adicional de seguridad como parte del ecosistema OT. The purpose of this work is to study in depth the state of the art of a sector that until recently was not considered from the point of view of cybersecurity: industrial environments. This type of environment has undergone a great evolution in recent decades, with the incorporation of a wide range of technologies that have made it possible to improve production processes. However, this incorporation of technologies, such as the incorporation of IoT devices, has brought with it a series of threats and security problems, which in this type of environment an interruption of the operation can have a very high impact since they can be critical infrastructures for everyday life. In order to apply basic security principles such as defense in depth or network segmentation, a reference architecture has been defined based on industry standards such as IEC 62443. Additionally, a virtualized industrial environment has been implemented in a practical way, which has allowed testing with a technology such as Deception, which provides advanced detection capabilities and allows improving the cyber intelligence capabilities of organizations. The results of the work were positive and have made it possible to define a set of security requirements based on a reference architecture, in addition to the application of deception technologies with a successful result, which suggests its possible incorporation as an additional security mechanism as part of the OT ecosystem. La finalitat d'aquest treball persegueix aprofundir sobre l'estat de l'art d'un sector que fins no fa gaire no era considerat des del punt de vista de la ciberseguretat: els entorns industrials. Aquest tipus d'entorns s'han caracteritzat per patir una gran evolució en les darreres dècades de manera que s'hi han incorporat multitud de tecnologies que han permès millorar els processos productius. No obstant això, aquesta incorporació de tecnologies, com per exemple la incorporació de dispositius IoT, han portat una sèrie d'amenaces i problemes de seguretat, que en aquest tipus d'entorns una interrupció de l'operació pot tenir un impacte molt elevat ja que poden ser infraestructures crítiques per a la vida quotidiana. De manera que s'apliquin principis de seguretat bàsics com ara defensa en profunditat o segmentació de xarxa s'ha definit una arquitectura de referència en base a estàndards del sector com l'IEC 62443. Addicionalment, s'ha implantat de manera pràctica un entorn industrial virtualitzat que ha permès fer proves amb una tecnologia com Deception, la qual aporta capacitats avançades de detecció i permet millorar les capacitats de ciber intel·ligència de les organitzacions. Les conclusions del treball han estat satisfactòries i han permès definir aquesta sèrie de requisits de seguretat al voltant d'una arquitectura de referència, a més de l'aplicació de tecnologies deception amb un resultat satisfactori, cosa que permet dilucitat la seva possible incorporació com un mecanisme addicional de seguretat com a part de l'ecosistema OT.

Aquest TFM és una prova de concepte de com una xarxa GAN podria eludir un sistema d'autenticació basat en biometria facial, fent servir imatges totalment artificials de cares de persones, però amb les mateixes característiques biomètriques que les cares matriculades dins del sistema d'autenticació. This TFM is a proof of concept of how a GAN network could bypass one authentication system based on facial biometrics, using entirily artificial images of people faces, but with the same biometric features than the faces enrolled within the authentication system. Este TFM es una prueba de concepto de cómo una red GAN podría eludir un sistema de autenticación basado en biometría facial, utilizando imágenes totalmente artificiales de caras de personas, pero con las mismas características biométricas que las caras matriculadas dentro del sistema de autenticación .

El propósito de este trabajo es evaluar la idoneidad del uso de técnicas y herramientas de Auto Machine Learning en el ámbito de la ciberseguridad, específicamente en la detección de intrusiones mediante el análisis del tráfico de red. Para ello, se ha implementado un sistema que entrena varios modelos de predicción sobre el dataset introducido mediante técnicas tanto de Machine Learning tradicional, como técnicas de AutoML y realiza una comparación con los resultados obtenidos. Este sistema se ha implementado en el lenguaje de programación Python y hace uso de librerías como Scikit-learn y TPOT, ambas muy presentes en el desarrollo de tecnologías de ML y son de código abierto. Finalmente, se han escogido datasets previamente utilizados en otros experimentos de aplicación de técnicas de Machine Learning similares. Esta elección permite comparar los resultados obtenidos con aquellos realizados en el estado del arte. The purpose of this work is to assess the suitability of applying Auto Machine Learning techniques and tools to the domain of cyber security, specially to network traffic analysis. In order to achieve this, a system that trains several prediction models on a dataset has been developed. The predictions models are trained by using conventional Machine Learning techniques or newer AutoML ones and then the results are compared. The programming language of choice is Python and libraries such as Scikit-learn and TPOT have been imported to implement some classification algorithms. These libraries are open source and their use is very extended for solving Machine Learning problems. The chosen datasets have been previously used in other similar experiments of Machine Learning applied to cyber security. This choice allows for a more in depth comparison between the performance of the current Machine Learning techniques and the actual viability of AutoML. El propòsit d'aquest treball és avaluar la idoneïtat de l'ús de tècniques i eines de Auto Machine Learning en l'àmbit de la ciberseguretat, específicament en la detecció de intrusions mitjançant lanàlisi del trànsit de xarxa. Per això, s'ha implementat un sistema que entrena diversos models de predicció sobre el dataset introduït mitjançant tècniques tant de Machine Learning tradicional com tècniques d'AutoML i realitza una comparació amb els resultats obtinguts. Aquest sistema s'ha implementat al llenguatge de programació Python i fa ús de llibreries com Scikit-learn i TPOT, totes dues molt presents en el desenvolupament de tecnologies de ML i són de codi obert. Finalment, s'han escollit datasets utilitzats prèviament en altres experiments d'aplicació de tècniques de Machine Learning similars. Aquesta elecció permet comparar els resultats obtinguts amb aquells realitzats a l'estat de l'art.

La creixent rellevància de les tecnologies de la informació per a la consecució dels objectius de negoci de l'empresa analitzada fa que augmenti cada cop més la importància de la seguretat de la informació. El present treball planteja l'establiment de les bases per a la realització del pla director de seguretat de l'Organització, perseguint com a objectiu final la millora de la seguretat de la mateixa i possibilitant la implantació d'un sistema de gestió en procés de millora contínua. Primerament, es determina quina és la situació actual de l'Organització des del punt de vista de la seguretat, en base a allò definit a l'estàndard internacional ISO/IEC 27001 i als controls ISO/IEC 27002. Com a part de l'estudi, es realitza també una anàlisi de riscos, basat en la metodologia Magerit. Un cop analitzada la situació inicial i identificats els possibles punts de millora, es proposen un conjunt de projectes amb la finalitat d'augmentar el nivell de seguretat de l'empresa. Es compara, ara, l'estat inicial amb l'estat després de l'aplicació de les mesures proposades. Finalment, i suposant una implementació completa dels projectes proposats, es realitza una auditoria de seguretat, en la que s'avalua el compliment de la norma ISO/IEC 27001, dels controls ISO/IEC 27002 i dels objectius de seguretat definits. A més, s'identifiquen les no-conformitats existents, així com es fan recomanacions de possibles millores. La creciente relevancia de las tecnologías de la información para la consecución de los objetivos de negocio de la empresa analizada hace que aumente cada vez más la importancia de la seguridad de la información. El presente trabajo plantea el establecimiento de las bases para la realización del plan director de seguridad de la Organización, persiguiendo como objetivo final la mejora de la seguridad de la misma y posibilitando la implantación de un sistema de gestión en proceso de mejora continua. Primeramente, se determina cuál es la situación actual de la Organización desde el punto de vista de la seguridad, en base a aquello definido al estándar internacional ISO/IEC 27001 y a los controles ISO/IEC 27002. Como parte del estudio, se realiza también un análisis de riesgos, basado en la metodología Magerit. Una vez analizada la situación inicial e identificados los posibles puntos de mejora, se proponen un conjunto de proyectos con el fin de aumentar el nivel de seguridad de la empresa. Se compara, ahora, el estado inicial con el estado después de la aplicación de las medidas propuestas. Finalmente, y suponiendo una implementación completa de los proyectos propuestos, se realiza una auditoría de seguridad, en la que se evalúa el cumplimiento de la norma ISO/IEC 27001, de los controles ISO/IEC 27002 y de los objetivos de seguridad definidos. Además, se identifican las no-conformidades existentes, así como se hacen recomendaciones de posibles mejoras. The growing relevance of information technologies for the achievement of the business objectives of the analyzed company makes the importance of information security increase more and more. The present work proposes the establishment of the bases for the realization of the Organization's security master plan, pursuing as a final objective the improvement of its security and making possible the implementation of a management system in a process of continuous improvement. First of all, the current situation of the organization is determined from the security point of view, based on what is defined in the international standard ISO/IEC 27001 and the ISO/IEC 27002 controls. As part of the study, a risk analysis is also performed, based on the Magerit methodology. Once the initial situation has been analyzed and possible points for improvement have been identified, a set of projects are proposed in order to increase the company's security level. The initial state is now compared with the state after the implementation of the proposed measures. Finally, and assuming full implementation of the proposed projects, a security audit is performed, in which compliance with ISO/IEC 27001, ISO/IEC 27002 controls and the defined security objectives are evaluated. In addition, existing non-conformities are identified and recommendations for possible improvements are made.

Els incidents de ciberseguretat van assolir un màxim històric a nivell mundial el quart trimestre del 2021 . Les PIME espanyoles no son alienes a aquesta tendència, exposades a un notable increment en el nombre i complexitat de les amenaces que han d'afrontar. Davant el repte de protegir la seva activitat, les PIME estan abocades a fer un pas endavant en les seves estratègies de ciberseguretat mitjançant la implementació d'estratègies de protecció que requereixen el desplegament d'eines de vigilància de la seguretat avançades.El present treball aborda el disseny i desplegament d'una solució SIEM as a Service orientada a la PIME basada en Elastic Stack i la plataforma de seguretat Wazuh. S'analitzen les característiques de la solució, funcionalitats i possibles models de servei, realitzant una sèrie de proves de concepte sobre la solució per tal de valorar la seva idoneïtat com a solució SIEM as a Service orientada a la PIME. Los incidentes de ciberseguridad lograron un máximo histórico a nivel mundial el cuarto trimestre del 2021 . Las PYME españolas no sueño ajenas a esta tendencia, expuestas en un notable incremento en el número y complejidad de las amenazas que tienen que afrontar. Ante el reto de proteger su actividad, las PYME están abocadas a dar un paso adelante en sus estrategias de ciberseguridad mediante la implementación de estrategias de protección que requieren el despliegue de herramientas de vigilancia de la seguridad avanzadas.El presente trabajo aborda el diseño y despliegue de una solución SIEM as a Service orientada a la PYME basada en Elastic Stack y la plataforma de seguridad Wazuh. Se analizan las características de la solución, funcionalidades y posibles modelos de servicio, realizando una serie de pruebas de concepto sobre la solución para valorar su idoneidad como solución SIEM as a Service orientada a la PYME. Cybersecurity incidents reached an all-time high globally in the fourth quarter of 2021. Spanish SMEs are not exempt from this trend, exposed to a notable increase in the number and complexity of the threats that we must face. Faced with the challenge of protecting their activity, SMEs are bound to take a step forward in their cybersecurity strategies by implementing protection strategies that require the deployment of advanced security monitoring tools. This paper deals with the design and deployment of a SIEM as a Service solution oriented to SMEs based on the Elastic Stack and the Wazuh security platform. The characteristics of the solution, functionalities and possible service models are analyzed, carrying out a series of concept tests on the solution to assess its suitability as a SIEM as a Service solution oriented to SMEs.

En este TFM se presentan las tecnologías de conducción autónoma y comunicaciones V2X que se están investigando actualmente en el campo de los vehículos autónomos. Posteriormente, se realiza un análisis de vulnerabilidades, riesgos y amenazas asociadas a las comunicaciones V2X, desde el punto de vista de la ciberseguridad, y se proponen contramedidas para eliminarlas o mitigarlas. Finalmente, se analizan las normativas en materia de ciberseguridad más relevantes aplicables al sector de la automoción, poniendo especial énfasis en la norma UNECE R155. En aquest TFM es presenten les tecnologies de conducció autònoma i comunicacions V2X que s'estan investigant actualment en el camp dels vehicles autònoms. Posteriorment, es realitza una anàlisi de vulnerabilitats, riscos i amenaces associades a les comunicacions V2X, des del punt de vista de la ciberseguretat, i es proposen contramesures per a eliminar-les o mitigar-les. Finalment, s'analitzen les normatives en matèria de ciberseguretat més rellevants aplicables al sector de l'automoció, posant especial èmfasi en la norma UNECE R155. This TFM presents the autonomous driving and V2X communications technologies that are currently being researched in the field of autonomous vehicles. Subsequently, an analysis of vulnerabilities, risks and threats associated with V2X communications, from a cybersecurity point of view, is carried out and countermeasures to eliminate or mitigate them are proposed. Finally, the most relevant cybersecurity regulations applicable to the automotive sector are analyzed, with special emphasis on the UNECE R155 standard.

Las técnicas deepfakes son usadas para la generación de vídeos, imágenes o audio manipulados. Su finalidad puede ser delictiva pero también puede ser útil en otras áreas como en la industria del cine. En este trabajo se han clasificado los distintos tipos de técnicas de deepfakes que hay, explicando la finalidad de cada una, incluyendo varios modelos que implementen dichas técnicas. Estos modelos se han acotado a los que se basan en las redes GAN para su implementación, explicando estas y las redes CNN en las que se basan. Además, se ha implementado una prueba de concepto sobre la técnica deepfakes de generación de caras nuevas. El modelo elegido ha sido DCGAN porque no usa tantos recursos como otros modelos más exactos y el dataset CelebA por sus imágenes de gran resolución. El resultado ha mostrado que, con una red no muy profunda, se generan unas imágenes aceptables. Esto se ha evaluado de forma cualitativa, ya que la función de perdida no asegura la convergencia del modelo. Se han encontrado otras métricas cuantitativas que podrían ser probadas en futuros trabajos para ver cuando parar de generar imágenes de forma más exacta. Otra posible continuación de este trabajo sería buscar técnicas de detección para estos modelos de deepfakes y realizar alguna prueba con las imágenes generadas que compruebe si estas son falsas. Les tècniques deepfakes són usades per a la generació de vídeos, imatges o àudio manipulats. La seva finalitat pot ser delictiva però també pot ser útil en altres àrees com a la indústria del cinema. En aquest treball s'han classificat els diferents tipus de tècniques de deepfakes que hi ha, explicant la finalitat de cadascuna, incloent-hi diversos models que implementin aquestes tècniques. Aquests models s'han acotat als que es basen a les xarxes GAN per a la seva implementació, explicant aquestes i les xarxes CNN en què es basen. A més, s'ha implementat una prova de concepte sobre la tècnica de deepfakes de generació de cares noves. El model triat ha estat DCGAN perquè no fa servir tants recursos com altres models més exactes i el dataset CelebA per les seves imatges de gran resolució. El resultat ha mostrat que, amb una xarxa no gaire profunda, es generen unes imatges acceptables. Això s'ha avaluat qualitativament, ja que la funció de pèrdua no assegura la convergència del model. S'han trobat altres mètriques quantitatives que podrien ser provades en futurs treballs per veure quan parar de generar imatges de manera més exacta. Una altra possible continuació d'aquest treball seria cercar tècniques de detecció per a aquests models de deepfakes i fer alguna prova amb les imatges generades que comprovi si aquestes són falses. Deepfakes techniques are used to generate manipulated videos, images or audio. Its purpose can be criminal but it can also be useful in other areas such as the film industry. In this work, the different types of deepfake techniques have been classified, explaining the purpose of each one, including several models that implement these techniques. These models have been limited to those based on GAN networks for their implementation, explaining these and the CNN networks on which they are based. In addition, a proof of concept has been implemented on the deepfakes technique for generating new faces. The chosen model has been DCGAN because it does not use as many resources as other more accurate models and the CelebA dataset for its high resolution images. The result has shown that, with a not very deep network, acceptable images are generated. This has been evaluated qualitatively, since the loss function does not ensure the convergence of the model. Other quantitative metrics have been found that could be tested in future works to see when to stop generating images more accurately. Another possible continuation of this work would be to look for detection techniques for these deepfake models and carry out some test with the generated images to check if they are false.

Actualmente el uso de APIs REST por prácticamente todos los servicios y sistemas modernos es fundamental para proporcionar funcionalidades avanzadas, personalizadas y modernas a los usuarios, ya sea en sus dispositivos móviles o en cualquier página web de comercio, blog o entretenimiento, entre muchas otras. Securizar estas APIs es fundamental para garantizar que los datos de los usuarios no se ven afectados, la confidencialidad de ciertos datos que podrían ser sensibles, así como para cumplir con el reglamento de protección de datos de la Unión Europea. Este trabajo analiza las amenazas y vulnerabilidades más prevalentes en las APIs REST y los mecanismos de seguridad para darles protección. Un API Gateway es una solución de seguridad que permite gestionar, configurar y enrutar las peticiones entrantes hacia las APIs expuestas en los diferentes backends del entorno corporativo. Es por ello que el trabajo se completa con una parte práctica en la que se muestra un ejemplo de despliegue de una solución de API Gateway basada en el producto KONG, para proteger una API REST con los mecanismos analizados en la parte teórica. Actualment l'ús de APIs REST per pràcticament tots els serveis i sistemes moderns és fonamental per a proporcionar funcionalitats avançades, personalitzades i modernes als usuaris, ja sigui en els seus dispositius mòbils o en qualsevol pàgina web de comerç, blog o entreteniment, entre moltes altres. Donar seguretat aquestes APIs és fonamental per a garantir que les dades dels usuaris no es veuen afectats, la confidencialitat d'unes certes dades que podrien ser sensibles, així com per a complir amb el reglament de protecció de dades de la Unió Europea. Aquest treball analitza les amenaces i vulnerabilitats més prevalents en les APIs REST i els mecanismes de seguretat per a donar-los protecció. Un API Gateway és una solució de seguretat que permet gestionar, configurar i enrutar les peticions entrants cap a les APIs exposades en els diferents backends de l'entorn corporatiu. És per això que el treball es completa amb una part pràctica en la qual es mostra un exemple de desplegament d'una solució de API Gateway basada en el producte KONG, per a protegir una API REST amb els mecanismes analitzats en la part teòrica. Currently the use of REST APIs by virtually all modern services and systems is essential to provide advanced, personalized and modern functionalities to users, whether on their mobile devices or on any commerce, blog or entertainment website, among many others. Securing these APIs is essential to ensure that user data is not affected, the confidentiality of certain data that could be sensitive, as well as to comply with the European Union's data protection regulation. This paper analyzes the most prevalent threats and vulnerabilities in REST APIs and the security mechanisms to protect them. An API Gateway is a security solution that allows managing, configuring and routing incoming requests to the APIs exposed in the different backends of the corporate environment. That is why the work is completed with a practical part in which an example of deployment of an API Gateway solution based on the KONG product is shown, to protect a REST API with the mechanisms analyzed in the theoretical part.

El presente proyecto tiene por objetivo definir y desarrollar un plan de implementación de la ISO/IEC 27001:2013 en un sistema informático que pertenece a una empresa del sector de la aviación. The present project aims to define and develop an implementation plan for ISO/IEC 27001:2013 in an IT system belonging to a company in the aviation sector. El present projecte té per objectiu definir i desenvolupar un pla d'implementació de l'ISO/IEC 27001:2013 en un sistema informàtic que pertany a una empresa del sector de l'aviació.

Las ciberamenazas están aumento cada año y es habitual que organizaciones y particulares suframos sus consecuencias. El impacto puede ser de diversa índole, afectando a servicios básicos de la población o vidas humanas en el peor escenario. Existen muchas tecnologías que tienen como objetivo mejorar la postura de seguridad de las organizaciones mitigando o erradicando el riesgo que estas suponen. La falta de experiencia, procedimientos y equipos técnicos limitados son un cuello de botella para su tratamiento. En los últimos años ha aparecido una nueva tecnología denominada SOAR, que pretende automatizar aquellas acciones, habitualmente realizadas por los equipos SOC, reduciendo los tiempos de respuesta ante incidentes. El objetivo del proyecto es generar una propuesta de valor que nos permita determinar si las herramientas SOAR son una solución. Para ello se ha realizado un trabajo de investigación que determina los diferentes tipos de amenazas registradas y las que suponen un mayor riesgo. Con el objetivo de automatizar su respuesta. Adicionalmente se ha realizado el diseño de unos flujos de prevención y remediación que han sido probados en un entorno de laboratorio. Los resultados obtenidos han sido satisfactorios en lo que refiere al uso de la tecnología mediante la ejecución de los casos de uso. En referencia al estudio realizado, la criticidad de los datos, la falta de un modelo de datos parar registrar incidentes que permita la analítica y solo trabajar con información agregada. No han ayudado a establecer un criterio que ayude a priorizar el tratamiento de las diferentes amenazas. Cyber threats are increasing every year and it is common for organizations and individuals to experience their consequences. The impact can be of different types, affecting basic population services or human lives in the worst case. There are many technologies that aim to improve the security posture of organizations by mitigating or eradicating the risk from threats. Lack of experience, limited technical team and lack of procedures are a delay their treatment. In the last years, a new technology called SOAR has appeared, which aims to automate those actions, usually performed by SOC teams, reducing incident response times. The objective of the project is to generate a value proposition that will allow us to determine whether SOAR tools are a solution. To this purpose, an investigation work has been performed to determine the different types of threats registered and which ones represent a higher risk. With the objective of automating their response. Additionally, prevention and remediation flows have been designed and tested in a laboratory environment. The results obtained have been satisfactory in terms of the use of technology through the implementation of use cases. In relation to the study performed, the critical nature of the data, the absence of a data model to record incidents that would allow analytics and only work with aggregated information, have not helped to determine a criteria that would help to prioritize the management of the different threats. These did not help to establish a criteria to help to prioritize the management of the different threats. Les ciberamenaçes estan augment cada any i és habitual que organitzacions i particulars sofrim les seves conseqüències. L'impacte pot ser de diversa índole, afectant serveis bàsics de la població o vides humanes en el pitjor escenari. Existeixen moltes tecnologies que tenen com a objectiu millorar la postura de seguretat de les organitzacions mitigant o erradicant el risc que aquestes suposen. La falta d'experiència, procediments i equips tècnics limitats són un coll d'ampolla per al seu tractament. En els últims anys ha aparegut una nova tecnologia denominada SOAR, que pretén automatitzar aquelles accions, habitualment realitzades pels equips SOC, reduint els temps de resposta davant incidents. L'objectiu del projecte és generar una proposta de valor que ens permeti determinar si les eines SOAR són una solució. Per a això s'ha realitzat un treball de recerca que determina els diferents tipus d'amenaces registrades i les que suposen un major risc. Amb l'objectiu d'automatitzar la seva resposta. Addicionalment s'ha realitzat el disseny d'uns fluxos de prevenció i remediació que han estat provats en un entorn de laboratori. Els resultats obtinguts han estat satisfactoris en el que refereix a l'ús de la tecnologia mitjançant l'execució dels casos d'ús. En referència a l'estudi realitzat, la criticitat de les dades, la falta d'un model de dades parar registrar incidents que permeti l'analítica i només treballar amb informació agregada. No han ajudat a establir un criteri que ajudi a prioritzar el tractament de les diferents amenaces.

The purpose of this Master's thesis is to select the best certificate management service in the Cloud. The essay will focus on studying the certificate management services offered by the three more relevant cloud platforms currently: Amazon Web Services, Google Cloud Platform and Azure. For this purpose, different certificate management services offered by these platforms will be researched. Once finished the researching phase, the analysis phase will be carried out. In this phase, main characteristics will be extracted and the methodology will be built. At a later stage, the knowledge about certificate management acquired will be used to apply the developed method, extracting results and conclusions. La finalidad de este Trabajo de Fin de Máster es seleccionar, en base a una metodología propia desarrollada y fundamentada, el servicio de gestión de certificados en el Cloud que proporcione unas mejores capacidades de seguridad y facilite la operación. El trabajo se centra en el estudio de los servicios de gestión de certificados que ofrecen las tres plataformas cloud más relevantes de la actualidad: Amazon Web Services, Google Cloud Platform y Azure. Se procede a investigar de forma individual diferentes servicios, ofrecidos por estas plataformas cloud, para la gestión de certificados. Una vez finalizada la fase de investigación se lleva a cabo la fase de análisis y desarrollo de la metodología, donde se extraen las características de seguridad y operación más relevantes. En una fase posterior y con el conocimiento adquirido hasta ese momento sobre la gestión de certificados, se aplica la metodología desarrollada y se extraen los resultados y conclusiones derivados de la aplicación de la misma. La finalitat d'aquest Treball de Fi de Màster és seleccionar, sobre la base d'una metodologia pròpia desenvolupada i fonamentada, el servei de gestió de certificats en el Cloud que proporcioni unes millors capacitats de seguretat i faciliti l'operació. El treball se centra en l'estudi dels serveis de gestió de certificats que ofereixen les tres plataformes cloud més rellevants de l'actualitat: Amazon Web Services, Google Cloud Platform i Azure. Es procedeix a investigar de manera individual diferents serveis, oferts per aquestes plataformes cloud, per a la gestió de certificats. Una vegada finalitzada la fase de recerca es duu a terme la fase d'anàlisi i desenvolupament de la metodologia, on s'extreuen les característiques de seguretat i operació més rellevants. En una fase posterior i amb el coneixement adquirit fins a aquest moment sobre la gestió de certificats, s'aplica la metodologia desenvolupada i s'extreuen els resultats i conclusions derivats de l'aplicació d'aquesta.

El presente trabajo tiene por objeto la implementación de un sistema de detección de anomalías y alerta para la red Tor. Para su desarrollo y despliegue se ha empleado un diseño basado en componentes independientes y orientado a prototipos. El sistema se compone de varios módulos que permiten obtener datos de telemetría publicados por el proyecto Tor, procesarlos, almacenarlos, analizarlos a través de un componente modular de análisis de anomalías y emitir alertas a través de un canal bidireccional en forma de bot de la plataforma Telegram que, adicionalmente, permite interactuar con el sistema a través de múltiples comandos. Además, añade la visualización de datos a través de cuadros de mandos servidos por Grafana y un módulo de plotting desarrollado para visualizar gráficas a través del bot. El resultado es una plataforma funcional, modular y extensible que permite a cualquier persona interesada o grupo de interés realizar un despliegue sencillo gracias a la implementación basada en contendores Docker de todo el sistema. El trabajo, fruto de la asimilación de múltiples competencias, ha sido publicado bajo licencia GPL. Se ha realizado de forma satisfactoria en todas sus etapas, presenta un alto grado de madurez y permite su explotación en ambientes productivos. Si bien, se recomienda la extensión del componente de análisis en forma de módulos que implementen algoritmos de detección de anomalías adicionales para permitir un análisis comparativo de las diferentes alertas que puedan producirse. Aquest treball té per objecte la implementació d'un sistema de detecció d'anomalies i alerta per a la xarxa Tor. Per al seu desenvolupament i desplegament s'ha fet servir un disseny basat en components independents i orientat a prototips. El sistema es compon de diversos mòduls que permeten obtenir dades de telemetria publicades pel projecte Tor, processar-les, emmagatzemar-les, analitzar-les mitjançant un component modular d'anàlisi d'anomalies i emetre alertes a través d'un canal bidireccional en forma de bot de la plataforma Telegram que, addicionalment, permet interactuar amb el sistema a través de múltiples ordres. A més, afegeix la visualització de dades a través de quadres de comandaments servits per Grafana i un mòdul de plotting desenvolupat per visualitzar gràfiques a través del bot. El resultat és una plataforma funcional, modular i extensible que permet a qualsevol persona interessada o grup d'interès fer un desplegament senzill gràcies a la implementació basada en contenidors Docker de tot el sistema. El treball, fruit de l'assimilació de múltiples competències, ha estat publicat amb llicència GPL. S'ha realitzat de forma satisfactòria en totes les etapes, presenta un alt grau de maduresa i permet la seva explotació en ambients productius. Tot i així, es recomana l'extensió del component d'anàlisi en forma de mòduls que implementin algorismes de detecció d'anomalies addicionals per permetre una anàlisi comparativa de les diferents alertes que es puguin produir. The purpose of this work is to implement a system of anomaly detection and alerting for the Tor network. For its development and deployment, a design based on independent components and prototype-oriented has been used. The system is made up of several modules that allow to obtain telemetry data published by the Tor project, process it, store it, analyze it through a modular anomaly analysis component and issue alerts through a bidirectional channel in the form of a platform bot. Telegram that, additionally, allows you to interact with the system through multiple commands. In addition, it adds data visualization through dashboards served by Grafana and a plotting module developed to display graphs through the bot. The result is a functional, modular and extensible platform that allows any interested person or interest group to carry out an easy deployment thanks to the Docker container-based implementation of the entire system. The work, the result of the assimilation of multiple skills, has been published under the GPL license. It has been carried out satisfactorily in all its stages, it presents a high degree of maturity and allows its exploitation in productive environments. However, it is recommended to extend the analysis component in the form of modules that implement additional anomaly detection algorithms to allow a comparative analysis of the different alerts that may occur.

Las cadenas de bloques son la tecnología detrás de las criptomonedas; una tecnología que ha revolucionado el mundo de los sistemas de información. Las redes de cadenas de bloques permiten mantener registros descentralizados y distribuidos de transacciones digitales en forma de libro mayor de forma segura y transparente. El objetivo principal de este trabajo es exponer, analizar y describir todo aquello que se conozca acerca de los distintos tipos de cadenas de bloques. Para llevar a cabo este cometido, se ha seguido una metodología que incluye cinco etapas: la planificación del proyecto, una breve introducción a unos conceptos básicos necesarios para entender el funcionamiento de las cadenas de bloques, el análisis de cada uno de los distintos tipos, la realización de comparaciones entre los aspectos más relevantes de estos tipos y, finalmente, la exposición de las conclusiones obtenidas a raíz del análisis. Blockchain is the technology behind the cryptocurrency; a technology that has revolutionized the world of Information Systems. Blockchain networks allow their users to keep decentralized and distributed records of digital transactions in the form of a ledger, in a secure and transparent way. The main purpose of this paper is to expose, analyze and describe every information known about the different types of blockchains. In order to achieve this purpose, a five-stage methodology has been followed, which includes: a planning of the project, a brief introduction to some basic concepts necessary to understand how blockchains work, the analysis of each of the different blockchain types, some comparisons between the most relevant aspects of these types and, finally, the conclusions achieved as a result of the analysis. Les cadenes de blocs són la tecnologia darrere de les criptomonedas; una tecnologia que ha revolucionat el món dels sistemes d'informació. Les xarxes de cadenes de blocs permeten mantenir registres descentralitzats i distribuïts de transaccions digitals en forma de llibre major de manera segura i transparent. L'objectiu principal d'aquest treball és exposar, analitzar i descriure tot allò que es conegui sobre els diferents tipus de cadenes de blocs. Per a dur a terme aquesta comesa, s'ha seguit una metodologia que inclou cinc etapes: la planificació del projecte, una breu introducció a uns conceptes bàsics necessaris per a entendre el funcionament de les cadenes de blocs, l'anàlisi de cadascun dels diferents tipus, la realització de comparacions entre els aspectes més rellevants d'aquests tipus i, finalment, l'exposició de les conclusions obtingudes arran de l'anàlisi.

Els equips de resposta a incidents han de fer front cada cop a més incidents de seguretat i una resposta automatitzada a aquests ha passat a ser una necessitat per a aconseguir que el temps de resposta sigui el més petit possible. L´automatització no és quelcom nou ja que s´ha automatitzat des de sempre via scripts aprofitant les APIs de les aplicacions. Les eines modernes d´automatització de fluxos i de RPA permeten que perfils no programadors puguin automatitzar tasques/processos de forma més o menys senzilla tant a partir d´APIs com aprofitant les interfícies d´usuari de les aplicacions. L´entorn de treball utilitzat ha estat la versió actualitzada de CSIRT-KIT que ofereix un conjunt complet d´eines, de codi obert i gratuïtes, per a monitoritzar la seguretat i gestionar-ne els incidents. Les eines que formen el kit estan pre-integrades entre elles i l´objectiu d´aquest treball ha estat explorar les eines d´automatització de codi obert i gratuïtes disponibles, provar les que millor s´adapten a les eines que composen l´entorn de treball i aconseguir implementar uns casos d´ús d´automatització que aportin valor a la operativa diària que realitzen els equips de resposta a incidents. Els resultats d´aquest treball mostren que és viable automatitzar aquesta operativa amb les eines proposades, tant de forma col·laborada amb els operadors humans com de forma autònoma per part dels robots software, i fer-ho de forma segura podent cobrir un horari 24x7. Incident response teams must deal with more and more security incidents and an automated response to these incidents has become a necessity to keep response time as small as possible. Automation is nothing new because it has always been done via scripts using application APIs. Modern flow automation and RPA tools allow non-programmers to automate tasks and processes in a more or less simple way both from APIs and using Applications user interfaces. The working environment used has been the updated version of CSIRT-KIT, which offers a complete set of free and open-source tools for security monitoring, incident management and response. The tools that make up the kit are pre-integrated with each other and the objective of this work has been to explore the open source and free automation tools available, test those that best fit the tools that make up the working environment and implement automation use cases adding value to the daily operations performed by the incident response teams. The results of this work show that it is feasible to automate this operation with the proposed tools, both in collaboration with human operators and autonomously by software robots, and to do it in a safe way being able to cover a 24x7 schedule. Los equipos de respuesta a incidentes tienen que hacer frente cada vez a más incidentes de seguridad y una respuesta automatizada a estos ha pasado a ser una necesidad para conseguir que el tiempo de respuesta sea lo más pequeño posible. Automatización no es algo nuevo ya que se ha automatizado desde siempre vía scripts aprovechando las APIs de las aplicaciones. Las herramientas modernas de automatización de flujos y de RPA permiten que perfiles no programadores puedan automatizar tareas / procesos de forma más o menos sencilla tanto a partir de API como aprovechando las interfaces de usuario de las aplicaciones. El entorno de trabajo utilizado ha sido la versión actualizada de CSIRT-KIT que ofrece un conjunto completo de herramientas, de código abierto y gratuitas, para monitorizar la seguridad y gestionar los incidentes. Las herramientas que forman el kit están pre-integradas entre ellas y el objetivo de este trabajo ha sido explorar las herramientas de automatización de código abierto y gratuitas disponibles, probar las que mejor se adaptan a las herramientas que componen el entorno de trabajo y conseguir implementar unos casos de uso de automatización que aporten valor a la operativa diaria que realizan los equipos de respuesta a incidentes. Los resultados de este trabajo muestran que es viable automatizar esta operativa con las herramientas propuestas, tanto de forma colaboradora con los operadores humanos como de forma autónoma por parte de los robots software, y hacerlo de forma segura pudiendo cubrir un horario 24x7 .

The purpose of this work is the performance of a proof of concept for the choice of a vulnerability management tool in a real company. For this purpose, the state of the art in vulnerability management process and different comparisons between vulnerability management tools have been studied in order to identify the criteria used to compare them. Once this research has been made and theoretical basis has been defined, the need to implement this kind of tool in the company has been identified, analyzing the company's context. To select the vulnerability management tool, an evaluation procedure has been defined. This procedure consists of defining general criteria, based on the defined theoretical basis, and specific criteria based on the need of the company. These criteria have been weighted with percentages to establish how much weight they will have on the final score. Finally, the three leading tools in the market have been tested to evaluate each of the criteria. As a result, a final rating of the three tools has been calculated, being the tool with the best score the tool selected by the company to implement in the vulnerability management process. El objetivo de este trabajo es la realización de una prueba de concepto para la elección de una herramienta de gestión de vulnerabilidades en una empresa real. Para ello, se ha realizado el estado del arte sobre el proceso de gestión de vulnerabilidades y se han estudiado diferentes trabajos de comparaciones entre herramientas de gestión de vulnerabilidades, con el objetivo de identificar los criterios utilizados para compararlas. Una vez realizada esta investigación y definida la base teórica, se ha identificado la necesidad de implantación de este tipo de herramienta en la empresa, analizando el contexto de la compañía Para realizar la selección de la herramienta, se ha definido un procedimiento de evaluación, el cual consiste en definir unos criterios generales, basándose en la base teórica definida, y en unos criterios específicos basados en la necesidad de la empresa. Estos criterios se han ponderado con porcentajes para establecer cuánto peso tendrán sobre la calificación final. Finalmente, se han probado las tres herramientas líderes en el mercado para evaluar cada uno de los criterios. Como resultado, se obtiene una calificación final de las tres herramientas, siendo la herramienta con mejor puntuación la herramienta seleccionada por la compañía para implementar en su proceso de gestión de vulnerabilidades. L'objectiu d'aquest treball és la realització d'una prova de concepte per a l'elecció d'una eina de gestió de vulnerabilitats en una empresa real. Per a això, s'ha realitzat l'estat de l'art sobre el procés de gestió de vulnerabilitats i s'han estudiat diferents treballs de comparacions entre eines de gestió de vulnerabilitats, amb l'objectiu d'identificar els criteris utilitzats per a comparar-les. Una vegada realitzada aquesta recerca i definida la base teòrica, s'ha identificat la necessitat d'implantació d'aquesta mena d'eina en l'empresa, analitzant el context de la companyia. Per a realitzar la selecció de l'eina, s'ha definit un procediment d'avaluació, el qual consisteix a definir uns criteris generals, basant-se en la base teòrica definida, i en uns criteris específics basats en la necessitat de l'empresa. Aquests criteris s'han ponderat amb percentatges per a establir quant pes tindran sobre la qualificació final. Finalment, s'han provat les tres eines líders en el mercat per a avaluar cadascun dels criteris. Com a resultat, s'obté una qualificació final de les tres eines, sent l'eina amb millor puntuació l'eina seleccionada per la companyia per a implementar en el seu procés de gestió de vulnerabilitats.

The purpose of this work is to analyze the security context in REST APIs, identify the main vulnerabilitys faced by this type of architecture and list some of the possible solutions to them. This analysis has been carried out through a proof of concept in which a REST API created for this purpose has been defined, codified and protected. For its protection, an API Management product, WSO2 API Manager, has been used, positioning itself as an intermediary for the accesses that the API provides. This product allows adding a security layer between the consumer and the producer of the API independent to them, so that it has been installed and configured to protect the API against practical examples of the main attacks of which this type of REST architecture is objective. For the construction of the REST API, technological standards such as OpenAPI 3.0 or Spring Boot have been used, while for the protection of the API, security mechanisms such as HTTPS and JWS have been used. For the authentication and authorization of access to the API, the OAuth standard has been used, applying all these options in a transversal way through the configuration of the API Manager. The conclusions obtained have been satisfactory, since it has been possible to undertake protection actions against the vulnerabilities identified as most important through the proposed solution. La finalidad de este trabajo es analizar la seguridad en el contexto de las APIs REST, identificar las principales amenazas a las que se enfrenta este tipo de arquitecturas y enumerar algunas de las posibles soluciones ante las mismas. Este análisis se ha llevado a la práctica mediante una prueba de concepto en la que se ha definido, codificado y protegido un API REST creado al efecto. Para la protección del mismo se ha utilizado un producto de API Managment, WSO2 API Manager, situándose como intermediador de los accesos que el API proporciona. Este producto permite añadir una capa de seguridad entre el consumidor y el productor del API independiente a los mismos, de manera que se ha instalado y configurado para proteger el API frente a ejemplos prácticos de los principales ataques de los que este tipo de arquitecturas REST es objetivo. Para la construcción del API REST se han utilizado estándares tecnológicos como son OpenAPI 3.0 o Spring Boot, mientras que para la protección del API se han utilizado mecanismos de seguridad como HTTPS y JWS. Para la autentificación y la autorización de acceso al API se ha utilizado el estándar OAuth, aplicando todas estas opciones de manera transversal mediante la configuración del API Manager. Las conclusiones obtenidas han sido satisfactorias, ya que se han podido acometer mediante la solución propuesta acciones de protección frente a las vulnerabilidades identificadas como más importantes. La finalitat d'aquest treball és analitzar la seguretat en el context de les APIs REST, identificar les principals amenaces a què s'enfronta aquest tipus de arquitectures i enumerar algunes de les possibles solucions davant les mateixes. Aquesta anàlisi s'ha portat a la pràctica mitjançant una prova de concepte en la que s'ha definit, codificat i protegit un API REST creat a l'efecte. per la protecció de la mateixa s'ha utilitzat un producte d'API Managment, WSO2 API Manager, situant-se com intermediador dels accessos que l'API proporciona. Aquest producte permet afegir una capa de seguretat entre el consumidor i el productor de l'API independent als mateixos, de manera que s'ha instal·lat i configurat per protegir l'API davant exemples pràctics dels principals atacs dels que aquest tipus d'arquitectures REST és objectiu. Per a la construcció de l'API REST s'han utilitzat estàndards tecnològics com són OpenAPI 3.0 o Spring Boot, mentre que per a la protecció de l'API s'han utilitzat mecanismes de seguretat com HTTPS i JWS. per a la autenticació i l'autorització d'accés a l'API s'ha utilitzat l'estàndard OAuth, aplicant totes aquestes opcions de manera transversal mitjançant la configuració de l'API Manager. Les conclusions obtingudes han estat satisfactòries, ja que s'han pogut escometre mitjançant la solució proposada accions de protecció enfront de les vulnerabilitats identificades com a més importants.

La aceleración la implementación del trabajo a distancia y la inversión en transformación digital, el trabajar, comprar más a menudo online o estudiar en casa han traído una serie de desafíos en materia de ciberseguridad y privacidad, puesto que, además, el número de equipos informáticos por hogar, es reducido y compartido. La intimidad del hogar, ofrece también un marco interesante, para empleados desleales o que puedan llegar a realizar prácticas delictivas. Un ataque a una red domestica tiene u beneficio mucho mayor ahora que en el periodo pre pandemia por el número de potenciales activos involucrados: datos, fotos, información sensible, datos bancarios, información corporativa, acceso a bases de datos, El listado es interminable. Los sistemas de detección de intrusos (IDS, Intrusion Detection System) ofrecen una potente herramienta con la defenderse de intentos de invadir redes privadas de ámbito doméstico monitorizando el tráfico que circula por la red y avisando en caso de detectar algún evento sospechoso. De hecho, estos sistemas son habituales en las redes corporativas, incluyéndose junto al cortafuegos o incluso con un servidor dedicado en zona especiales como una red DMZ (desmilitarizada). El objetivo del presente trabajo persigue explorar opciones de bajo coste que permitan aumentar la visibilidad de los problemas de seguridad en los hogares y lugares destinados al trabajo a distancia. Para ello la meta es conseguir un prototipo de IDS (Intrusion Detection System) que ayude a mejorar la seguridad en el entorno familiar, así como su integración en un entorno corporativo. The accelerating implementation of remote working and investment in digital transformation, working, shopping more often online or studying at home has brought a number of cybersecurity and privacy challenges, as the number of computers per household is small and shared. The privacy of the home also provides an interesting setting for disloyal or potentially criminal employees. An attack on a home network has a much greater benefit now than in the pre-pandemic period because of the number of potential assets involved: data, photos, sensitive information, banking data, corporate information, access to databases, ... The list is endless. Intrusion Detection Systems (IDS) offer a powerful tool to defend against attempts to invade private home networks by monitoring the traffic flowing through the network and alerting if any suspicious event is detected. In fact, these systems are common in corporate networks, being included alongside the firewall or even with a dedicated server in special zones such as a DMZ (demilitarised) network. The aim of this work is to explore low-cost options to increase the visibility of security issues in homes and remote workplaces. The goal is to achieve a prototype IDS (Intrusion Detection System) that helps to improve security in the home environment, as well as its integration in a corporate environment. L'acceleració la implementació de la feina a distància i la inversió en transformació digital, el treballar, comprar més sovint en línia o estudiar a casa han portat una sèrie de desafiaments en matèria de ciberseguretat i privacitat, ja que, a més, el nombre d'equips informàtics per llar, és reduït i compartit. La intimitat de la llar, ofereix també un marc interessant, per a empleats deslleials o que puguin arribar a realitzar pràctiques delictives. Un atac a una xarxa domestica té o benefici molt més gran ara que en el període pre pandèmia pel nombre de potencials actius involucrats: dades, fotos, informació sensible, dades bancàries, informació corporativa, accés a bases de dades, El llistat és interminable . Els sistemes de detecció d'intrusos (IDS, Intrusion Detection System) ofereixen una potent eina amb la defensar d'intents d'envair xarxes privades d'àmbit domèstic monitoritzant el trànsit que circula per la xarxa i avisant en cas de detectar algun esdeveniment sospitós. De fet, aquests sistemes són habituals en les xarxes corporatives, incloent-se al costat de l'tallafocs o fins i tot amb un servidor dedicat en zona especials com una xarxa DMZ (desmilitaritzada). L'objectiu d'aquest treball persegueix explorar opcions de baix cost que permetin augmentar la visibilitat dels problemes de seguretat a les llars i llocs destinats a la feina a distància. Per a això la meta és aconseguir un prototip d'IDS (Intrusion Detection System) que ajudi a millorar la seguretat en l'entorn familiar, així com la seva integració en un entorn corporatiu.

Existen multitud de herramientas para efectuar ataques que comprometan la seguridad de los dispositivos TIC (smartphones, tablets, portátiles, servidores, cámaras de seguridad,...). Además, recientemente se ha incrementado la puesta a disposición del público general (sobre todo a través de Internet) de herramientas tanto de tipo hardware como software a un precio muy reducido o directamente de forma gratuita. En este TFM se analiza mediante pruebas de concepto distintos tipos de ataques (robo de credenciales, obtención de privilegios de administrador, hosts file poisoning, man-in-the-middle, password cracking,...) mediante diferentes herramientas hardware/software que han aparecido en los últimos años: USB Rubber Ducky, WiFi Pineapple Nano y Kali Nethunter, indicando asimismo su potencial, posibles implicaciones en el mundo de la seguridad y medidas para evitar estos vectores de ataque. Se concluye que las herramientas anteriores permiten realizar ataques sin necesidad de conocimientos técnicos en la materia y con bastante sencillez. Algunos de estos ataques se ven limitados por el hardware portable que sirve de soporte, pero la mayoría tienen plena eficacia e incluso varios de ellos son transparentes para la víctima. Esto unido al continuo incremento de los dispositivos conectados a Internet así como al aumento de la actividad online hace presagiar un aumento de los ataques, lo cual resalta la necesidad de utilizar software actualizado y debidamente configurado/protegido. Nowadays there are myriads of tools aimed at attacking the security of IT devices (such as smartphones, tablets, laptops, servers, security cameras,...). Moreover, the public availability of affordable or even free hardware and software tools has recently increased (mostly thanks to the Internet). In this work several types of attacks (stealing of credentials, getting of administration privileges, hosts file poisoning, man-in-the-middle, password cracking,...) are analyzed by performing proofs of concept. In order to do so we use both hardware and software tools that have appeared in the last years: USB Rubber Ducky, WiFi Pineapple Nano and Kali Nethunter, also indicating their potential, possible implications on the security world and measures to prevent these attack vectors. As a conclusion, these tools allow anybody to launch attacks easily, even if they do not have technical knowledge about the topic. Some of these attacks are limited by the portable hardware used, but most of them have full efficacy and some of them are even imperceptible for the victim. Together with both the continuous growth in Internet connected devices and the increase in online activity, it can be presaged that a rise of common attacks is about to come. Consequently, there is a need for using updated software and configure it properly in order to be protected. Existeixen multitud d'eines per a efectuar atacs que comprometin la seguretat dels dispositius TIC (telèfons intel·ligents, tauletes, portàtils, servidors, càmeres de seguretat,...). A més, recentment s'ha incrementat la posada a la disposició del públic general (sobretot a través d'Internet) d'eines tant de tipus maquinari com programari a un preu molt reduït o directament de manera gratuïta. En aquest TFM s'analitza mitjançant proves de concepte diferents tipus d'atacs (robatori de credencials, obtenció de privilegis d'administrador, hosts file poisoning, man-in-the-middle, password cracking,...) mitjançant diferents eines maquinari/programari que han aparegut en els últims anys: USB Rubber Ducky, Wifi Pineapple Nano i Kali Nethunter, indicant així mateix el seu potencial, possibles implicacions en el món de la seguretat i mesures per a evitar aquests vectors d'atac. Es conclou que les eines anteriors permeten realitzar atacs sense necessitat de coneixements tècnics en la matèria i amb bastant senzillesa. Alguns d'aquests atacs es veuen limitats pel maquinari portable que serveix de suport, però la majoria tenen plena eficàcia i fins i tot diversos d'ells són transparents per a la víctima. Això unit al continu increment dels dispositius connectats a Internet així com a l'augment de l'activitat en línia fa presagiar un augment dels atacs, la qual cosa ressalta la necessitat d'utilitzar programari actualitzat i degudament configurat/protegit.

La cultura DevOps y las metodologías de desarrollo ágiles han mejorado el flujo de desarrollo del software, permitiendo la implementación de nuevas funcionalidades en menor tiempo, un aspecto fundamental para destacar en el mercado frente al resto de aplicaciones. Sin embargo, muchas veces se ha sacrificado la seguridad del software desarrollado, por considerarla un freno para la implementación de nuevas características. La necesidad de contemplar la seguridad en la cultura DevOps, manteniendo la agilidad del ciclo de desarrollo ha dado lugar a DevSecOps. El objetivo de este trabajo es automatizar la seguridad en el ciclo de desarrollo del software siguiendo la cultura DevSecOps. Para esto, se ha llevado a cabo un estudio de los servidores de integración continua y de las herramientas de automatización de seguridad existentes. Se ha utilizado GitHub Actions para desarrollar una pipeline de integración continua en la que se han incluido diferentes pruebas de seguridad, entre ellas el escaneo de secretos, análisis de composición del código (SCA), pruebas de seguridad estáticas (SAST), pruebas de seguridad dinámicas (DAST) y pruebas de seguridad de la infraestructura. A pesar de las limitaciones que presenta este trabajo, relativas a la ausencia de presupuesto y a no poder probar el producto en un entorno real, los resultados son útiles para entender la cultura DevSecOps y su aplicación en el entorno empresarial. Investigaciones futuras deberían optimizar el rendimiento del producto obtenido además de incluir herramientas de gestión de logs y monitorización, con el fin de controlar el funcionamiento del software en producción. The DevOps culture and agile development methodologies have improved the software development flow, allowing the implementation of new functionalities in less time, a fundamental aspect to stand out in the market compared to other applications. However, the security of the developed software has often been sacrificed, because it has been considered a brake for the implementation of new features. The need to consider security in the DevOps culture while maintaining the agility of the development cycle has given rise to DevSecOps. The objective of this work is to automate security in the software development cycle following the DevSecOps culture. For this purpose, the project studies the existing continuous integration servers and security automation tools. GitHub Actions has been used to develop a continuous integration pipeline in which different security tests have been considered, including secrets scanning, Software Composition Analysis (SCA), Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST), and infrastructure security testing. Despite the limitations of this work, related to the lack of budget and not being able to test the product in a real environment, the results are useful for understanding the DevSecOps culture and its application in the enterprise environment. Future research should optimize the performance of the product obtained and include log management and monitoring tools, in order to control the operation of the software in production. La cultura devops i les metodologies de desenvolupament àgils han millorat el flux de desenvolupament de programari, permetent la implementació de noves funcionalitats en menor temps, un aspecte fonamental per destacar en el mercat enfront de la resta d'aplicacions. No obstant això, moltes vegades s'ha sacrificat la seguretat del programari desenvolupat, per considerar-la un fre per a la implementació de noves característiques. La necessitat de contemplar la seguretat en la cultura devops, mantenint l'agilitat de el cicle de desenvolupament ha donat lloc a DevSecOps. L'objectiu d'aquest treball és automatitzar la seguretat en el cicle de desenvolupament de programari seguint la cultura DevSecOps. Per això, s'ha dut a terme un estudi dels servidors d'integració contínua i de les eines d'automatització de seguretat existents. S'ha utilitzat GitHub Actions per desenvolupar una pipeline d'integració contínua en la qual s'han inclòs diferents proves de seguretat, entre elles l'escaneig de secrets, anàlisi de composició de el codi (SCA), proves de seguretat estàtiques (SAST), proves de seguretat dinàmiques (DAST) i proves de seguretat de la infraestructura. Tot i les limitacions que presenta aquest treball, relatives a l'absència de pressupost i a no poder provar el producte en un entorn real, els resultats són útils per a entendre la cultura DevSecOps i la seva aplicació en l'entorn empresarial. Investigacions futures haurien optimitzar el rendiment del producte obtingut més d'incloure eines de gestió de logs i monitorització, amb la finalitat de controlar el funcionament del programari en producció.

Este Trabajo busca determinar si Elastic Security es un buen candidato para que una organización despliegue una solución de seguridad que le permita dotarse de forma sencilla de capacidades de detección, prevención y análisis de incidentes de seguridad. Para ello se propone desplegar un entorno de evaluación donde poder probar en detalle las diferentes funcionalidades que ofrece la solución y que luego sea fácilmente trasladable a una infraestructura de tipo cloud que tuviera la organización. Tras el despliegue del entorno de evaluación y la realización de las pruebas se puede concluir que Elastic Security es efectivamente una buena alternativa para que una organización implemente una solución de este tipo. This dissertation tries to determine if Elastic Security is a good candidate for an organization to deploy a security solution to enable in an easy way capabilities for detection, prevention, and analysis of security incidents. This will be done through the deployment of a test environment where those capabilities can be tested. This environment must be easily transferable to a cloud-type infrastructure owned by the organization. After deploying the test environment and performing extensive testing of the different features offered by the solution, the conclusion is that Elastic Security is indeed a good candidate. Aquest Treball busca determinar si Elastic Security és un bon candidat perquè una organització desplegui una solució de seguretat que li permeti dotar-se de manera senzilla de capacitats de detecció, prevenció i anàlisi d'incidents de seguretat. Per a això es proposa desplegar un entorn d'avaluació on poder provar detalladament les diferents funcionalitats que ofereix la solució i que després sigui fàcilment traslladable a una infraestructura de tipus cloud que tingués l'organització. Després del desplegament de l'entorn d'avaluació i la realització de les proves es pot concloure que Elastic Security és efectivament una bona alternativa perquè una organització implementi una solució d'aquest tipus.

El presente proyecto incluye todas las fases de implantación de un SGSI, incluyendo las tareas, documentos, procedimientos y medias organizativas necesarias para cumplir con lo establecido por la norma. - Contextualización y situación actual de la organización. - Objetivos del SGSI. - Análisis de riesgos. Identificación y valoración de los activos. Identificación de amenazas, evaluación y clasificación. - Evaluación del nivel de cumplimiento de la ISO/IEC 27002:2013 - Proyectos a implantar para adecuar la gestión de la seguridad. - Esquema documental del SGSI. Information is one of the main assets that organizations currently have. For this reason, it must be duly protected, and its confidentiality, integrity and availability must be preserved. As well as safeguarding the systems and applications that deal with it. The ISO/IEC 27001: 2013 standard is a tool, which through its application aims to ensure that the organization reaches an adequate level of information security. It offers an initial vision of the state of the organization, its deficiencies and the necessary measures to correct these problems and the final situation after the implementation of the projects undertaken. It lays the foundations for the continuous improvement process and proposes the necessary actions to minimize the impact of potential risks. This project includes all the phases of implementation of an ISMS, including the tasks, documents, procedures and organizational means necessary to comply with the provisions of the standard. - Contextualization and current situation of the organization. - Objectives of the ISMS. - Risk analysis. Identification and valuation of assets. Threat identification, evaluation and classification. - Evaluation of the level of compliance with ISO/IEC 27002: 2013 - Projects to be implemented to adapt security management. - Documentary scheme of the SGSI. El present projecte inclou totes les fases d'implantació d'un SGSI, incloent les tasques, documents, procediments i mitjanes organitzatives necessàries per complir amb el que estableix la norma. - Contextualització i situació actual de l'organització. - Objectius de l'SGSI. - Anàlisi de riscos. Identificació i valoració dels actius. Identificació d'amenaces, avaluació i classificació. - Avaluació de l'nivell de compliment de la ISO / IEC 27002: 2013 - Projectes a implantar per adequar la gestió de la seguretat. - Esquema documental de l'SGSI.

El presente Trabajo Final de Master tiene como propósito presentar la implementación del Sistema de Gestión de la Seguridad de la Información de la empresa de servicios y soluciones informáticas EXPERTEC basado en la norma ISO/IEC 27001 y los controles del estándar ISO/IEC 27002 referente a las buenas prácticas. Para la implementación del SGSI se estableció diferentes etapas iniciando con un análisis DAFO para contextualizar y comprender la situación actual de la empresa en referencia al ámbito de la seguridad de la información, posterior se realizó un análisis diferencial de la empresa para evaluar la norma ISO/IEC 27001 y los controles de la norma ISO/IEC 27002 en su estado inicial; así mismo, se establecieron los documentos para el cumplimiento normativo de la implementación del SGSI. Por otra parte, se utilizó la metodología de análisis y gestión de riesgos MAGERIT para orientar a la empresa en la gestión de riesgos a los que está expuesta la empresa. Una vez definido el análisis y gestión de riesgos se establecieron propuestas de proyectos para implementar mejoras y medidas de control adecuadas que permitan mitigar los riesgos encontrados. Finalizando las etapas, se estableció un proceso de auditoría para analizar el nivel de capacidad de madurez en la que avanzo el SGSI después de implementar las propuestas de proyectos planteados junto con los resultados obtenidos. The purpose of this Master's Final Project is to present the implementation of the Information Security Management System of the IT services and solutions company EXPERTEC located in Colombia in the Department of Cauca in the city of Popayán, based on the ISO/IEC 27001 standard and the controls of the ISO/IEC 27002 standard referring to good practices. For the implementation of the ISMS, different stages were established, starting with a SWOT analysis to contextualize and understand the current situation of the company in reference to the field of information security, followed by a differential analysis of the company to evaluate the ISO/IEC 27001 standard and the controls of the ISO/IEC 27002 standard in its initial state; likewise, the documents for the regulatory compliance of the implementation of the ISMS were established. On the other hand, the MAGERIT risk analysis and management methodology was used to guide the company in managing the risks to which the company is exposed. Once the risk analysis and management was defined, project proposals were established to implement improvements and adequate control measures to mitigate the risks found. At the end of the stages, an audit process was established to analyze the level of maturity of the ISMS after implementing the project proposals and the results obtained. El present Treball Final de Màster té com a propòsit presentar la implementació de el Sistema de Gestió de la Seguretat de la Informació de l'empresa de serveis i solucions informàtiques EXPERTEC basat en la norma ISO / IEC 27001 i els controls de l'estàndard ISO / IEC 27002 referent a les bones pràctiques. Per a la implementació de l'SGSI es va establir diferents etapes iniciant amb una anàlisi DAFO per contextualitzar i comprendre la situació actual de l'empresa en referència a l'àmbit de la seguretat de la informació, posterior es va realitzar una anàlisi diferencial de l'empresa per avaluar la norma ISO / IEC 27001 i els controls de la norma ISO / IEC 27002 en el seu estat inicial; així mateix, es van establir els documents per al compliment normatiu de la implementació de l'SGSI. D'altra banda, es va utilitzar la metodologia d'anàlisi i gestió de riscos MAGERIT per orientar l'empresa en la gestió de riscos als quals està exposada l'empresa. Un cop definit l'anàlisi i gestió de riscos es van establir propostes de projectes per implementar millores i mesures de control adequades que permetin mitigar els riscos trobats. Finalitzant les etapes, es va establir un procés d'auditoria per analitzar el nivell de capacitat de maduresa en la qual avanço el SGSI després d'implementar les propostes de projectes plantejats juntament amb els resultats obtinguts.

Este documento tiene como finalidad principal proveer una guía metodológica que oriente al personal encargado de la gestión de la seguridad de la información de la Empresa Pública Aguas de Manta, conforme al despliegue completo de los procedimientos que debe seguir la organización con miras a establecer una gestión controlada y efectiva respecto a seguridad de Información. Su contexto encierra todo lo concerniente a la implantación de un modelo de gestión basado en las mejoras prácticas y controles anexos a la norma ISO 27001/IEC:2013 , en conjunto con la metodología de Análisis de Riesgos Magerit Versión 3.0 En síntesis este plan constituye la hoja de ruta que debe seguir la empresa para establecer controles, alcanzar metas y cumplir con indicadores que permitan conocer el estado de esta respecto a seguridad de la información, sin restarle importancia al despliegue de acciones que se deben ejecutar para mejorarla. Los resultados están a la vista, el análisis de riesgos y los proyectos propuestos en los siguientes capítulos son contundentes respecto a que la desatención de la seguridad de información. The main purpose of this document is to provide a methodological guide, to the personnel in charge of managing the information security of the "Aguas de Manta" Public Company, in accordance with the complete deployment of the procedures that the organization must follow in order to establish a management controlled and effective regarding information security. Aquest document té com a finalitat principal proveir una guia metodològica que orienti el personal encarregat de la gestió de la seguretat de la informació de l'Empresa Pública Aigües de Manta, d'acord amb el desplegament complet dels procediments que ha de seguir l'organització amb vista a establir una gestió controlada i efectiva respecte a seguretat d'Informació. El seu context tanca tot el concernent a la implantació d'un model de gestió basat en les millors pràctiques i controls annexos a la norma ISO 27001 / IEC: 2013, en conjunt amb la metodologia d'Anàlisi de Riscos Magerit Versió 3.0 En síntesi aquest pla constitueix la full de ruta que ha de seguir l'empresa per establir controls, aconseguir metes i complir amb indicadors que permetin conèixer l'estat d'aquesta respecte a seguretat de la informació, sense restar-li importància a el desplegament d'accions que s'han d'executar per millorar-la. Els resultats estan a la vista, l'anàlisi de riscos i els projectes proposats en els següents capítols són contundents respecte al fet que la desatenció de la seguretat d'informació.

Guía de adecuación al Esquema Nacional de Seguridad para una empresa privada. Guia d'adequació a l'Esquema Nacional de Seguretat per a una empresa privada. Guide of adaptation to the National Security Scheme for a private company.

Malware detection is a critical capability which is usually deployed in any production system as a first step to increase the infrastructure security. Due to this widespread security measure, and with the intention of carrying out the actions for which it has been designed, malwareis constantly evolving in order to evade common detection techniques, ranging from simple changes aimed to evade signature-based detection to complex variations involving malware virtualization which are able to evade behavioural-based detection. In this project, an experiment based on Reinforcement Learning is designed in order to improve the evasion capabilities of a given self-generated malware sample. Such design is carried out by defining the set of actions that can be taken in order to evade Static PE detection; an environment which evaluates the sample; a reward function that allows us to minimize thedetection rate, and an agent which coordinates the entire process. Tools used in the scope of this project are available for the general public, including those used for self-generating the samples as well as those used to emulate an environment with different antimalware solutions. La detecció de programari maliciós és una capacitat crítica que normalment es desplega en qualsevol sistema de producció com a primer pas per augmentar la seguretat de la infraestructura. A causa d'aquesta mesura de seguretat generalitzada, i amb la intenció de dur a terme les accions per a les quals ha estat dissenyat, el malware evoluciona constantment per eludir tècniques de detecció comunes, que van des de canvis senzills destinats a eludir la detecció basada en signatures fins a variacions complexes que impliquen malware. virtualització que és capaç d'evadir la detecció basada en el comportament. En aquest projecte, es dissenya un experiment basat en l'aprenentatge de reforç per tal de millorar les capacitats d'evasió d'una mostra de malware donada autogenerada. Aquest disseny es realitza definint el conjunt d'accions que es poden dur a terme per evitar la detecció de PE estàtic; un entorn que avalua la mostra; una funció de recompensa que ens permet minimitzar la taxa de detecció i un agent que coordina tot el procés. Les eines que s'utilitzen en l'àmbit d'aquest projecte estan disponibles per al públic en general, incloses les que s'utilitzen per autogenerar les mostres, així com les que s'utilitzen per emular un entorn amb diferents solucions antimalware. La detección de malware es una capacidad crítica que generalmente se implementa en cualquier sistema de producción como primer paso para aumentar la seguridad de la infraestructura. Debido a esta medida de seguridad generalizada, y con la intención de llevar a cabo las acciones para las que ha sido diseñado, el malware está en constante evolución para eludir las técnicas de detección habituales, que van desde simples cambios destinados a evadir la detección basada en firmas hasta complejas variaciones de malware virtualización que pueden evadir la detección basada en el comportamiento. En este proyecto, se diseña un experimento basado en el aprendizaje por refuerzo para mejorar las capacidades de evasión de una muestra de malware autogenerada determinada. Dicho diseño se lleva a cabo definiendo el conjunto de acciones que se pueden realizar para evadir la detección de PE estática; un entorno que evalúa la muestra; una función de recompensa que nos permite minimizar la tasa de detección, y un agente que coordina todo el proceso. Las herramientas utilizadas en el alcance de este proyecto están disponibles para el público en general, incluidas las utilizadas para autogenerar las muestras, así como las utilizadas para emular un entorno con diferentes soluciones antimalware.

El importante incremento de población en las áreas urbanas ha llevado a revisar el modelo de ciudad para poder garantizar la calidad de vida de sus habitantes, y que los recursos sean gestionados de forma inteligente, eficiente y segura. Los edificios han caminado de forma paralela: hoy día podemos hablar de lugares inteligentes, automatizados y conectados gracias a la evolución de la tecnología. De forma equivalente a lo que ocurre en el entorno de ciudad, edificios para mejorar la calidad de vida de sus ocupantes, mediante nuevas estrategias que permiten incrementar su rendimiento, garantizando el bienestar y la seguridad de todos. Este avance en tecnología conlleva nuevos retos y riesgos que han de ser identificados y solventados. Los edificios inteligentes presentan una serie de debilidades que ponen en peligro la disponibilidad y ciberseguridad de sus sistemas, la privacidad de la información e incluso la seguridad y salud de sus ocupantes. Este escenario promueve la necesidad de analizar con detalle los principales riesgos de seguridad asociados a los sistemas del edificio, y cuáles podrían ser los pasos a seguir para su mitigación. Herramientas como Shodan permiten escanear la red en búsqueda de elementos conectados y detectar las principales vulnerabilidades a las que se ven expuestos. En este trabajo, se realiza un análisis de riesgos y se propone una metodología de evaluación empleando Shodan que permite identificar los principales inconvenientes a fin de poder minimizar el impacto de configuraciones poco seguras, fallos en el despliegue o malas prácticas en materia de ciberseguridad. A significant increase in population in urban areas has led to a revision of the city model in order to guarantee the quality of life of its inhabitants, and that resources are managed in an intelligent, efficient and safe way. The buildings have walked in parallel: nowadays we can talk about smart, automated and connected places thanks to the evolution of technology. Equivalent to what happens in the city environment, these are buildings to improve the quality of life of their occupants, through new strategies that increase their performance, guaranteeing the well-being and safety of all. This advancement in technology entails new challenges and risks that must be identified and resolved. Smart buildings present a series of weaknesses that endanger the availability and cybersecurity of their systems, the privacy of information and even the safety and health of their occupants. This scenario promotes the need to analyse in detail the main security risks associated with building systems, and what could be the steps to follow to mitigate them. Shodan is a tool that allows to scan the network for connected items and detect the main vulnerabilities to which they are exposed. In this work, a risk analysis is carried out and an evaluation methodology is proposed using Shodan that allows identifying the main drawbacks in order to minimize the impact of insecure configurations, deployment failures or bad practices in terms of cybersecurity. L'important increment de població en les àrees urbanes ha portat a revisar el model de ciutat per poder garantir la qualitat de vida dels seus habitants, i que els recursos siguin gestionats de manera intel·ligent, eficient i segura. Els edificis han caminat de forma paral·lela: avui dia podem parlar de llocs intel·ligents, automatitzats i connectats gràcies a l'evolució de la tecnologia. De manera equivalent al que passa a l'entorn de ciutat, edificis per a millorar la qualitat de vida dels seus ocupants, mitjançant noves estratègies que permeten incrementar el seu rendiment, garantint el benestar i la seguretat de tots. Aquest avanç en tecnologia comporta nous reptes i riscos que han de ser identificats i solucionats. Els edificis intel·ligents presenten una sèrie de debilitats que posen en perill la disponibilitat i ciberseguretat dels seus sistemes, la privacitat de la informació i fins i tot la seguretat i salut dels seus ocupants. Aquest escenari promou la necessitat d'analitzar amb detall els principals riscos de seguretat associats als sistemes de l'edifici, i quins podrien ser els passos a seguir per a la seva mitigació. Eines com Shodan permeten escanejar la xarxa a la recerca d'elements connectats i detectar les principals vulnerabilitats a les que es veuen exposats. En aquest treball, es realitza una anàlisi de riscos i es proposa una metodologia d'avaluació emprant Shodan que permet identificar els principals inconvenients per tal de poder minimitzar l'impacte de configuracions poc segures, fallades en el desplegament o males pràctiques en matèria de ciberseguretat.

Cada día esta más presente en nuestras vidas los dispositivos IoT que nos permiten nuevas formas de entender y conocer el mundo que nos rodea. Este crecimiento ha ido de la mano en la forma en que nuevos ataques se dirigen hacia estos dispositivos y las infraestructuras que les dan soporte. Esto ha hecho que pongamos el foco en la necesidad de fomentar la seguridad, no solo en el ámbito tecnológico que esta suficientemente desarrollado sino en la forma de su aplicación practica y las buenas practicas que debemos seguir en todo momento a la hora de securizar entornos de dispositivos IoT. Esto nos lleva a tener que realizar un estudio y el correspondiente análisis de las tecnologías, equipamientos, entornos de programación y demás elementos que son necesarios en el despliegue de redes de sensores basados en dispositivos IoT, incluyendo los aspectos más bajo de la seguridad como es la securización física de los dispositivos. Every day IoT devices are more present in our lives that allow us new ways of understanding and knowing the world around us. This growth has gone hand in hand with the way new attacks are targeting these devices and the infrastructures that support them. This has made us focus on the need to promote security, not only in the technological field that is sufficiently developed but in the form of its practical application and the good practices that we must follow at all times when securing environments of IoT devices. This leads us to have to carry out a study and the corresponding analysis of the technologies, equipment, programming environments and other elements that are necessary in the deployment of sensor networks based on IoT devices, including the lowest aspects of security such as the physical security of the devices. Cada dia està més present en les nostres vides els dispositius Iot que ens permeten noves formes d'entendre i conèixer el món que ens envolta. Aquest creixement ha anat de la mà en la forma en què nous atacs es dirigeixen cap a aquests dispositius i les infraestructures que els donen suport. Això ha fet que posem el focus en la necessitat de fomentar la seguretat, no només en l'àmbit tecnològic que aquesta prou desenvolupat sinó en la forma de la seva aplicació pràctica i les bones pràctiques que hem de seguir en tot moment a l'hora de securitzar entorns de dispositius IOT. Això ens porta a haver de realitzar un estudi i la corresponent anàlisi de les tecnologies, equipaments, entorns de programació i altres elements que són necessaris en el desplegament de xarxes de sensors basats en dispositius Iot, incloent els aspectes més baix de la seguretat com és la securització física dels dispositius.

The study of cybersecurity threats is an increasingly relevant element for public and private organizations, due to the increasing number of cyber attacks and their impact on the organizations assets and their reputation. Collecting detailed information that allows to determine how future attacks will be is key to anticipate the organizations' defenses. Tactics, techniques and procedures used by threat actors can be collected using several approaches, one being honeypot systems. The effectiveness of these attack information collection targets depend significantly on their ability to present a realistic environment that can lure attackers to reveal their techniques. This project presents a study of designs and implementations of adaptive honeypots, focused on the use of reinforcement learning, to reach more realistic interactions between honeypots and attackers, and an analysis of the existing techniques and performance metrics. L'estudi de les amenaces de ciberseguretat és un element cada vegada més rellevant per a les organitzacions públiques i privades, a causa del nombre creixent d'atacs cibernètics i del seu impacte sobre els actius de les organitzacions i la seva reputació. La recopilació d'informació detallada que permeti determinar com seran els atacs futurs és clau per anticipar-se a les defenses de les organitzacions. Les tàctiques, tècniques i procediments utilitzats pels actors de les amenaces es poden recopilar mitjançant diversos enfocaments, un dels quals és el de sistemes de test. L'eficàcia d'aquests objectius de recollida d'informació sobre atacs depèn significativament de la seva capacitat per presentar un entorn realista que pugui atreure els atacants a revelar les seves tècniques. Aquest projecte presenta un estudi de dissenys i implementacions de pots de mel adaptatius, centrat en l'ús de l'aprenentatge de reforç, per assolir interaccions més realistes entre taques de mel i atacants, i una anàlisi de les tècniques i mètriques de rendiment existents. El estudio de las amenazas a la ciberseguridad es un elemento cada vez más relevante para las organizaciones públicas y privadas, debido al creciente número de ciberataques y su impacto en los activos de las organizaciones y su reputación. Recopilar información detallada que permita determinar cómo serán los ataques futuros es clave para anticipar las defensas de las organizaciones. Las tácticas, técnicas y procedimientos utilizados por los actores de amenazas se pueden recopilar utilizando varios enfoques, uno de los cuales son los sistemas honeypot. La efectividad de estos objetivos de recopilación de información de ataques depende significativamente de su capacidad para presentar un entorno realista que pueda atraer a los atacantes a revelar sus técnicas. Este proyecto presenta un estudio de diseños e implementaciones de honeypots adaptativos, enfocado en el uso del aprendizaje reforzado, para alcanzar interacciones más realistas entre honeypots y atacantes, y un análisis de las técnicas existentes y métricas de desempeño.

El uso de las Tecnologías de la Información y la Comunicación (TIC) en nuestra sociedad se ha convertido en un elemento imprescindible y debido al incremento de su uso en nuestras vidas y a la aparición de la navegación por red, surgen las cookies. En el presente Trabajo de Fin de Máster (TFM) se propone realizar un estudio en profundidad de la legislación europea y española vigente de aplicación en el ámbito web, con el objetivo de garantizar el cumplimiento normativo en el uso de las cookies y recogida de información personal en las páginas web. En el desarrollo del proyecto, se ha seguido una metodología ágil denominada Kanban que ha permitido gestionar y analizar diferentes páginas web mediante el uso de herramientas automatizadas como EU-EDPS y la aplicación de la normativa estudiada, para comprobar qué uso hacen de las cookies y de la información recogida. Por otro lado, se han aplicado los conocimientos aprendidos en mi página web personal haciendo uso de lenguajes de programación web permitiendo informar correctamente al usuario y obtener su consentimiento para el uso de cookies o datos personales. En conclusión, el proyecto ha cumplido con los objetivos definidos comprobando a qué nivel se les dota a los usuarios de una protección legal que les permite mantener su privacidad en internet. Detectando que existen páginas que no se adaptan correctamente a la normativa y además de poder ser sancionados, perjudican a su imagen y al derecho a la intimidad de sus usuarios. L'ús de les Tecnologies de la Informació i la Comunicació (TIC) en la nostra societat s'ha convertit en un element imprescindible i causa de l'increment del seu ús en les nostres vides i a l'aparició de la navegació per xarxa, sorgeixen les galetes. En el present Treball de Fi de Màster (TFM) es proposa realitzar un estudi en profunditat de la legislació europea i espanyola vigent d'aplicació en l'àmbit web, amb l'objectiu de garantir el compliment normatiu en l'ús de les cookies i recollida d'informació personal en les pàgines web. En el desenvolupament de el projecte, s'ha seguit una metodologia àgil anomenada Kanban que ha permès gestionar i analitzar diferents pàgines web mitjançant l'ús d'eines automatitzades com EU-EDPS i l'aplicació de la normativa estudiada, per comprovar quin ús fan de les galetes i de la informació recollida. D'altra banda, s'han aplicat els coneixements apresos a la meva pàgina web personal fent ús de llenguatges de programació web permetent informar correctament a l'usuari i obtenir el seu consentiment per a l'ús de cookies o dades personals. En conclusió, el projecte ha complert amb els objectius definits comprovant a quin nivell se'ls dota als usuaris d'una protecció legal que els permet mantenir la seva privacitat a internet. Detectant que hi ha pàgines que no s'adapten correctament a la normativa i més de poder ser sancionats, perjudiquen a la seva imatge i a el dret a la intimitat dels seus usuaris. The use of Information and Communication Technologies (ICT) in our society has become an essential element and due to the increase of its use in our lives and the emergence of web browsing, cookies arise. In this Master's Thesis (TFM) we propose to carry out an in-depth study of the current European and Spanish legislation applicable in the web field, with the aim of ensuring regulatory compliance in the use of cookies and collection of personal information on web pages. In the development of the project, an agile methodology called Kanban has been used to manage and analyze diferent web pages through the use of automated tools such as EU-EDPS and the application of the regulations studied, in order to check the use of cookies and the information collected. On the other hand, the knowledge learned has been applied in my personal web page using web programming languages allowing to correctly inform the user and obtain their consent for the use of cookies or personal data. In conclusion, the project has fulfilled the defined objectives proving that users are provided with a legal protection that allows them to maintain their privacy on the Internet. However, there're sites that don't adapt correctly to the regulations and, in addition to being liable to penalties, they damage their image and the right to privacy of their users.

En esta última década, el número de dispositivos conectados a la red ha crecido exponencialmente, lo que ha obligado a evolucionar las infraestructuras que los soportan, y proporcionan los servicios demandados. Los requisitos de accesibilidad, disponibilidad, seguridad y, en definitiva, la manera continua de explotar los servicios, han impactado directamente sobre los centros de datos. Esta transformación de los centros de datos plantea la duda de si los actuales sistemas de seguridad son capaces de mitigar las amenazas y, por consiguiente, eliminar posibles brechas de seguridad. En este TFM se realiza un recorrido por dicha evolución de los centros de datos, a la par que se estudia la evolución de las soluciones de seguridad para estos entornos de nueva generación. Además, se realiza un análisis de otras medidas de seguridad elaborando una guía de hardening para uno de los componentes de la capa virtual; el hipervisor. In the last decade, the number of devices connected to the network has grown exponentially, which has forced the infrastructures that support them to evolve and provide the services demanded. The accessibility, availability, security requirements and, ultimately, the continuous way of exploiting the services, have had a direct impact on the data centers. This transformation of data centers raises the question of whether current security systems are capable of mitigating threats and, consequently, eliminating potential security breaches. In this TFM, a tour of said evolution of data centers is carried out, at the same time as the evolution of security solutions for these new generation environments is studied. In addition, an analysis of other security measures is carried out, preparing a hardening guide for one of the components of the virtual layer; the hypervisor. En aquesta última dècada, el nombre de dispositius connectats a la xarxa ha crescut exponencialment, cosa que ha obligat a evolucionar les infraestructures que els suporten, i proporcionen els serveis demandats. Els requisits d'accessibilitat, disponibilitat, seguretat i, en definitiva, la manera contínua d'explotar els serveis, han impactat directament sobre els centres de dades. Aquesta transformació dels centres de dades planteja el dubte de si els actuals sistemes de seguretat són capaços de mitigar les amenaces i, per tant, eliminar possibles bretxes de seguretat. En aquest TFM es realitza un recorregut per aquesta evolució dels centres de dades, al mateix temps que s'estudia l'evolució de les solucions de seguretat per a aquests entorns de nova generació. A més, es realitza una anàlisi d'altres mesures de seguretat elaborant una guia de hardening per a un dels components de la capa virtual; l'hipervisor.

A medida que se conocen casos de censura y vigilancia apalancados por empresas y gobiernos, se hace necesario contar con herramientas que mitiguen escenarios en contra de la privacidad de los usuarios. Este trabajo aborda el diseño y construcción de una plataforma descentralizada apalancada en la red Tor, para la gestión de información crítica y confidencial como lo son credenciales y secretos de los usuarios. Teniendo en cuenta la importancia de la información tratada y las repercusiones que podría implicar el no tener acceso a esta información o el que un tercero lo acceda sin el consentimiento del propietario, el trabajo expone las razones y argumentos que motivaron la elección por ofrecer un sistema descentralizado, fuera del control de gobiernos, empresas y terceros, apalancándose bajo una red de anonimato y cifrado como la ofrecida por la red Tor, utilizando mecanismos de seguridad y usabilidad que deben ser considerados al utilizar este tipo de redes. Finalmente se presenta a disposición del público, una versión preliminar de una plataforma descentralizada y open source que he denominado dVault, para la gestión de credenciales a través de la red Tor que la comunidad puede usar, desplegar y mejorar. As cases of censorship and surveillance leveraged by companies and governments become known, it is necessary to have tools that mitigate scenarios against the privacy of users. This work deals with the design and construction of a decentralized platform leveraged on the Tor network, for the management of critical and confidential information such as user credentials and secrets. Taking into account the importance of the information processed, the repercussions as a result of not having access to this information, and the risk of a third party accessing it without the consent of the owner, the work sets out the reasons and arguments that motivated the choice to offer a decentralized system, A system which is outside the control of governments, companies and third parties, leveraging under a network of anonymity and encryption such as that offered by the Tor network, using security and usability mechanisms that must be selected when using this type of network. Finally, a preliminary version of a decentralized and open-source platform that I have called dVault, credential management through the Tor network, the community can use, deploy and improve, is presented to the public. A mesura que es coneixen casos de censura i vigilància palanquejats per empreses i governs, es fa necessari comptar amb eines que mitiguin escenaris en contra de la privacitat dels usuaris. Aquest treball aborda el disseny i construcció d'una plataforma descentralitzada palanquejada en la xarxa Tor, per a la gestió d'informació crítica i confidencial com ho són credencials i secrets dels usuaris. Tenint en compte la importància de la informació tractada i les repercussions que podria implicar el no tenir accés a aquesta informació o el que un tercer ho accedeixi sense el consentiment del propietari, el treball exposa les raons i arguments que van motivar l'elecció per oferir un sistema descentralitzat, fora del control de governs, empreses i tercers, palanquejant-se sota una xarxa d'anonimat i xifratge com l'oferta per la xarxa Tor, utilitzant mecanismes de seguretat i usabilitat que han de ser considerats en utilitzar aquest tipus de xarxes. Finalment es presenta a la disposició del públic, una versió preliminar d'una plataforma descentralitzada i open source que he denominat dVault, per a la gestió de credencials a través de la xarxa Tor que la comunitat pot usar, desplegar i millorar.

En la sociedad actual la informática es empleada en prácticamente todos los ámbitos, para ello se gestionan grandes cantidades de datos de distintos caracteres. Las empresas medianas y pequeñas no suelen tener medidas seguridad por el coste de implantar y mantener estas, todo esto lo conocen los cibercriminales y se aprovechan de esto para atacar y lucrarse. Un modus operandi habitual es realizar un ataque masivo, introduciéndose en las organizaciones mediante descargas por un correo o sitios web, explotando vulnerabilidades de sistemas o servicios expuestos, y de este modo alojar un programa malicioso que cifra la información, para no hacerla accesible, este programa es conocido por el nombre de Ransomware. Posteriormente, los atacantes piden un rescate para poder recuperar dichos datos y así sacar un beneficio económico, además pueden espiar, hacerse con propiedad intelectual o con información de gobiernos. Con este estudio se quiere realizar un estudio de la situación actual de una PYME o MicroPYME para evaluar las medidas antes de ser víctima de un ataque por Ransomware o cuando ya se ha visto afectada minimizar sus consecuencias o impacto. En la societat actual la informàtica és usada en pràcticament tots els àmbits, per a això es gestionen grans quantitats de dades de diferents caràcters. Les empreses mitjanes i petites no solen tenir mesures seguretat pel cost d'implantar i mantenir aquestes, tot això ho coneixen els cibercriminals i s'aprofiten d'això per a atacar i lucrar-se. Un modus operandi habitual és realitzar un atac massiu, introduint-se en les organitzacions mitjançant descàrregues per un correu o llocs web, explotant vulnerabilitats de sistemes o serveis exposats, i d'aquesta manera allotjar un programa maliciós que xifra la informació, per a no fer-la accessible, aquest programa és conegut pel nom de *Ransomware. Posteriorment, els atacants demanen un rescat per a poder recuperar aquestes dades i així treure un benefici econòmic, a més poden espiar, fer-se amb propietat intel·lectual o amb informació de governs. Amb aquest estudi es vol realitzar un estudi de la situació actual d'una PIME o microPime per a avaluar les mesures abans de ser víctima d'un atac per Ransomware o quan ja s'ha vist afectada minimitzar les seves conseqüències o impacte. In today's society, computer science is used in practically all areas, for these large amounts of data of different source. Medium and small companies do not usually have security measures for the cost of implementing and maintaining these, all this is known by cybercriminals and take advantage of this to attack and profit. A common modus operandi is to carry out a massive attack, entering organizations through email downloads or websites, exploiting system vulnerabilities or exposed services, and in this way, insert a malicious program that encrypts the information, in order not to make it accessible, this program is known by the name of Ransomware. Subsequently, the attackers ask for a ransom to be able to recover said data and thus obtain an economic benefit, they can also spy, get hold of intellectual property or information from governments. With this study we want to carry out a study of the current situation of a SME or Micro-SME to avoid being a victim of a Ransomware attack or when it has already been affected to minimize its consequences or impact.

The goal of this thesis is to propose a solution to prevent an attacker who has some degree of control over a network to impede voters which are using that network. That is a system that is resistant to forced-abstention coercion attacks. Although the goal for the thesis is forced-abstention attacks, indeed, such a system will also help prevent (or at least, make them more difficult) the other described attacks. The fact that an attacker cannot know when a voter did vote or even if they voted at all adds a layer of complexity to the hypothetical attack. El objetivo de esta tesis es proponer una solución para evitar que un atacante que tenga cierto grado de control sobre una red impida a los votantes que están utilizando esa red. Se trata de un sistema resistente a los ataques de coacción por abstención forzada. Aunque el objetivo de la tesis son los ataques de abstención forzada, de hecho, un sistema así también ayudará a prevenir (o al menos, a dificultar) los otros ataques descritos. El hecho de que un atacante no pueda saber cuándo ha votado un votante, o incluso si ha votado, añade una capa de complejidad al hipotético ataque. L'objectiu d'aquesta tesi és proposar una solució per a evitar que un atacant que tingui cert grau de control sobre una xarxa impedeixi als votants que estan utilitzant aquesta xarxa. Es tracta d'un sistema resistent als atacs de coacció per abstenció forçada. Encara que la finalitat de la tesi són els atacs d'abstenció forçada, de fet, un sistema així també ajudarà a prevenir (o almenys, a dificultar) els altres atacs descrits. El fet que un atacant no pugui saber quan ha votat un votant, o fins i tot si ha votat, afegeix una capa de complexitat a l'hipotètic atac.

La finalitat d'aquest treball ha estat la de analitzar si els sistemes de control d'accés a les xarxes de dades d'última generació (NAC) són una solució als riscos de seguretat que presenten els dispositius IoTs per les organitzacions empresarials. Per dur a terme aquest estudi, en primer lloc s'han analitzat els riscos i vulnerabilitats que presenten els dispositius IoTs. Després, s'han estudiat els ciberatacs més comuns que pateixen els dispositius IoTs. S'han presentant els sistemes de control d'accés a les xarxes de dades (NAC) com una possible solució per protegir els dispositius IoTs, i s'ha estudiat la manera com els sistemes NAC identifiquen i protegeixen els dispositius IoTs. Paral·lelament a l'estudi realitzat, s'ha dut a terme una recerca de quins són els principals fabricants de les solucions de control d'accés a les xarxes de dades a nivell Europeu, i s'ha finalitat l'estudi amb la realització d'una prova de concepte per tal de valorar l'efectivitat de la solució i contrastar-la amb la part teòrica estudiada. Finalment, les conclusions obtingudes han estat que els sistemes de control d'accés a les xarxes de dades ofereixen una bona solució pel al descobriment i el control d'accés dels dispositius IoTs, així com també una molt bona solució per la protecció dels atacs dels tipus de suplantació d'identitat dels IoTs. Tanmateix, les integracions del NAC amb productes de tercers per tal d'aconseguir la protecció post autenticació dels dispositius tenen encara molt recorregut per fer. La finalidad de este trabajo ha sido la de analizar si los sistemas de control de acceso a las redes de datos de última generación (NAC) son una solución a los riesgos de seguridad que presentan los dispositivos Yates por las organizaciones empresariales. Para llevar a cabo este estudio, en primer lugar se han analizado los riesgos y vulnerabilidades que presentan los dispositivos Yates. Después, se han estudiado los ciberataques más comunes que sufren los dispositivos Yates. Se han presentando los sistemas de control de acceso en las redes de datos (NAC) como una posible solución para proteger los dispositivos Yates, y se ha estudiado la manera como los sistemas NAC identifican y protegen los dispositivos Yates. Paralelamente en el estudio realizado, se ha llevado a cabo una investigación de cuáles son los principales fabricantes de las soluciones de control de acceso a las redes de datos a nivel Europeo, y se ha finalidad el estudio con la realización de una prueba de concepto para valorar la efectividad de la solución y contrastarla con la parte teórica estudiada. Finalmente, las conclusiones obtenidas han estado que los sistemas de control de acceso en las redes de datos ofrecen una buena solución por el al descubrimiento y el control de acceso de los dispositivos Yates, así como también una muy buena solución por la protección de los ataques de los tipos de suplantación de identidad de los Yates. Aun así, las integraciones del NAC con productos de terceros para conseguir la protección puesto autenticación de los dispositivos tienen todavía muy recorrido para hacer. The purpose of this work has been to analyze whether next-generation data network access control (NAC) systems are a solution to the security risks posed by Yates devices for enterprise organizations. To carry out this study, we first analyzed the risks and vulnerabilities presented by Yates devices. Then, the most common cyber-attacks suffered by Yates devices have been studied. Access control systems in data networks (NAC) have been presented as a possible solution to protect Yates devices, and the way in which NAC systems identify and protect Yates devices has been studied. At the same time, the study was carried out an investigation of the main manufacturers of access control solutions for data networks in Europe, and the study was completed with a proof of concept to evaluate the effectiveness of the solution and contrast it with the theoretical part studied. Finally, the conclusions obtained were that the access control systems in the data networks offer a good solution for the discovery and access control of the Yates devices, as well as a very good solution for the protection of the Yates against phishing attacks. However, NAC integrations with third party products for device authentication protection still have a long way to go.

La proliferació dels dispositius IoT als darrers anys i la gran quantitat d'escletxes de seguretat que hi ha aparegut en aquests dispositius ha provocat que els atacs dirigits a aquesta classe de dispositius hagin augmentat especialment. En aquest treball es demostra com realitzar una emulació d'un firmware d'un dispositiu IoT amb un hardware diferent al del dispositiu amb un técnica coneguda com rehosting per després publicar una aplicació d'aquest firmware a Internet i realizar un seguiment de totes les connexions des de l'exterior que arriben al nostre firmware emulat que estaria actuat com a honeypot. Amb aquest sistema en funcionament, es demostra que realitzar un honeypot per detectar les vulnerabilitats d'un firmware és una bona opció per saber si un firmware es vulnerable així com si no ho és saber quina és l'estratègia que han utilitzat els atacants per comprometre el sistema . També es demostra que tenir un dispositiu IoT a la xarxa d'Internet comporta un gran risc perquè hi ha una gran quantitat de sistema automatitzats d'atacants que están intentant comprometre el dispositiu. The proliferation of IoT devices in the last few years and the increase of the vulnerabilities that has appeared in these devices has led to an increase in attacks of this class of devices in particular. This work demonstrates how to emulate a firmware of an IoT device with a different hardware that the real device with a technique known as rehosting and then publish an application of this firmware on the Internet and track all connections from the outside networking coming to our emulated firmware which at this moment is acting as a honeypot. Which this system working, it is shown that performing a honeypot to detect vulnerabilities in a firmware is a good option to know if a firmware is vulnerable, as well as if is not to know what is the strategy that attackers have used to compromise the system. It is also shown that having an IoT device on the Internet carries a high risk because there are a big number of automated system attackers trying to compromise the device. La proliferación de los dispositivos IoT en los últimos años y la gran cantidad de brechas de seguridad que han aparecido en estos dispositivos ha provocado que los ataques dirigidos a esta clase de dispositivos hayan aumentado especialmente. En este trabajo se muestra como realizar una emulación de un firmware de un dispositivo IoT con un hardware diferente al del dispositivo con una técnica conocida como rehosting para después publicar una aplicación de este firmware en Internet y realizar el seguimiento de todas las conexiones que llegan desde el exterior a nuestro firmware emulado, que estaría actuando como un honeypot. Con este sistema en funcionamiento, se demuestra que realizar un honeypot para detectar las vulnerabilidades de un firmware es una buena opción para saber si un firmware es vulnerable así como si no lo es saber cual es la estrategia que han utilizado los atacantes para comprometer el sistema. También se demuestra que tener un dispositivo IoT en la red de Internet supone un gran riesgo porque hay una gran cantidad de sistemas automatizados de ataques que están intentando comprometer el dispositivo.

El presente trabajo tiene como finalidad estudiar distintas herramientas SAST,DAST,IAST y SCA mencionadas en la web de OWASP. Se seleccionan tres diferentes complementarias entre sí y proponiendo su integración dentro del ciclo de desarrollo y despliegue de una web basada en WordPress y construida con componentes de código abierto por un pequeño equipo. El objetivo es encontrar una solución que no castigue el ritmo de trabajo durante el proceso de desarrollo ni requiera mayor esfuerzo de aprendizaje, y consiga reducir significativamente el número de vulnerabilidades. Para alcanzar el objetivo, el trabajo se divide en dos partes, analizando primero las partes fuertes y débiles, funcionamiento y la forma en que presentan sus resultados varias herramientas. Seguidamente, se procede a integrar las herramientas seleccionadas en el SDLC, implementando una metodología para reducir falsos positivos a través de una estrategia pragmática de aprendizaje de buenas prácticas de seguridad de forma iterativa. La solución propuesta está compuesta íntegramente por herramientas de código abierto amadrinadas por la propia OWASP: ASST (SAST), ZAP (DAST) y Dependency-Check (SCA). Se propone también cómo integrar cada herramienta en las distintas fases y cómo aprovechar sus resultados en un proceso de mejora continua. A modo de ejemplo, se muestran los resultados de análisis sobre una web real desarrollada hace año y medio en WordPress. A pesar de las evidentes diferencias en cuanto funcionalidad e integración entre herramientas comerciales potentes y soluciones libres, éstas se han mostrado capaces de adaptarse al contexto con gran potencial de mejora y ofreciendo oportunidades de aprendizaje. El present treball té com a finalitat estudiar diferents eines SAST, DAST, IAST i SCA esmentades al web de OWASP. Es seleccionen tres diferents complementàries entre si i proposant la seva integració dins de l'cicle de desenvolupament i desplegament d'un web basat en WordPress i construïda amb components de codi obert per un petit equip. L'objectiu és trobar una solució que no castigui el ritme de treball durant el procés de desenvolupament ni requereixi major esforç d'aprenentatge, i aconsegueixi reduir significativament el nombre de vulnerabilitats. Per assolir l'objectiu, el treball es divideix en dues parts, analitzant primer les parts fortes i febles, funcionament i la forma en què presenten els seus resultats diverses eines. Seguidament, es procedeix a integrar les eines seleccionades en el SDLC, implementant una metodologia per reduir falsos positius a través d'una estratègia pragmàtica d'aprenentatge de bones pràctiques de seguretat de forma iterativa. La solució proposada està composta íntegrament per eines de codi obert amadrinadas per la pròpia OWASP: ASST (SAST), ZAP (DAST) i Dependency-Check (SCA). Es proposa també com integrar cada eina en les diferents fases i com aprofitar els seus resultats en un procés de millora contínua. A tall d'exemple, es mostren els resultats d'anàlisi sobre un web real desenvolupada fa any i mig a WordPress. Tot i les evidents diferències quant funcionalitat i integració entre eines comercials potents i solucions lliures, aquestes s'han mostrat capaços d'adaptar-se al context amb gran potencial de millora i oferint oportunitats d'aprenentatge. This essay aims to study different SAST, DAST, IAST and SCA tools mentioned in the OWASP website. Three different complementing tools are selected, offering a way to integrate them within the development and deployment cycle of a WordPress-based website built with open source components by a small team. The goal is to find a solution that doesn't impact the workflow of the development process, doesn't require a high learning curve, and significantly educes the number of vulnerabilities. To achieve the objective, the work is divided into two parts, first analysing the strengths and weaknesses, performance and the way in which various tools present their results. We then proceed to integrate the selected tools into the SDLC, implementing a methodology to reduce false positives through a pragmatic strategy of learning good security practices in an iterative way. The proposed solution is composed entirely of open source tools backed by OWASP itself: ASST (SAST), ZAP (DAST) and Dependency-Check (SCA). There's also a proposal of how to integrate each tool in the different phases and how to take advantage of their results in a process of continuous improvement. As an example, the results of analyses on a real website developed a year and a half ago in WordPress are shown. Despite the obvious differences in functionality and integration capabilities between powerful commercial tools and these open source solutions, the latter have proven to be able to adapt to the context with great potential for improvement and learning opportunities.

The rapid growth of IoT devices and its impact in our day to day is one of the biggest challenges for information security nowadays. Privacy in IoT is one of these challenges since IoT devices collect massive amounts of personal data about users and its environment unbeknownst to them and, due to the hardware limitations of the devices, they cannot apply traditional encryption schemes and other privacy centered architectures. We must search new ways to connect these devices without forfeit user privacy and to guarantee same security standards as other current user based applications. Currently, there are many ways to provide user privacy in several contexts but there is no standard to provide users and developers ways to achieve it IoT applications. This paper presents a framework proposal to connect one or several IoT devices to create applications with user privacy in its design through The Onion Router (TOR) to send data over the net anonymously. Our main contribution is to adapt a device whose capabilities to use a heavy encryption- based technology are limited into a fully extendable system that closes the gap between anonymity and IoT. El rápido crecimiento de los dispositivos IoT y su impacto en nuestro día a día es uno de los mayores retos para la seguridad de la información hoy en día. La privacidad en IoT es uno de estos retos ya que los dispositivos IoT recopilan cantidades masivas de datos personales sobre los usuarios y su entorno sin que ellos lo sepan y, debido a las limitaciones de hardware de los dispositivos, no pueden aplicar los esquemas tradicionales de cifrado y otras arquitecturas centradas en la privacidad. Hay que buscar nuevas formas de conectar estos dispositivos sin renunciar a la privacidad del usuario y garantizar los mismos estándares de seguridad que otras aplicaciones actuales basadas en el usuario. Actualmente, hay muchas formas de proporcionar privacidad al usuario en varios contextos, pero no hay ningún estándar que proporcione a los usuarios y a los desarrolladores formas de conseguirlo en las aplicaciones IoT. Este trabajo presenta una propuesta de marco para conectar uno o varios dispositivos IoT para crear aplicaciones con privacidad de usuario en su diseño a través de The Onion Router (TOR) para enviar datos a través de la red de forma anónima. Nuestra principal contribución es adaptar un dispositivo cuyas capacidades para utilizar una tecnología basada en la encriptación pesada son limitadas en un dispositivo totalmente extendido en un sistema totalmente ampliable que cierra la brecha entre el anonimato y el IoT. El ràpid creixement dels dispositius IoT i el seu impacte en el nostre dia a dia és un dels majors reptes per a la seguretat de la informació avui dia. La privacitat en IoT és un d'aquests reptes ja que els dispositius IoT recopilen quantitats massives de dades personals sobre els usuaris i el seu entorn sense que ells ho sàpiguen i, a causa de les limitacions de maquinari dels dispositius, no poden aplicar els esquemes tradicionals de xifratge i altres arquitectures centrades en la privacitat. Cal buscar noves maneres de connectar aquests dispositius sense renunciar a la privacitat de l'usuari i garantir els mateixos estàndards de seguretat que altres aplicacions actuals basades en l'usuari. Actualment, hi ha moltes maneres de proporcionar privacitat a l'usuari en diversos contextos, però no hi ha cap estàndard que proporcioni als usuaris i als desenvolupadors formes d'aconseguir-lo en les aplicacions IoT. Aquest treball presenta una proposta de marc per a connectar un o diversos dispositius IoT per a crear aplicacions amb privacitat d'usuari en el seu disseny a través de The Onion Encaminador (TOR) per a enviar dades a través de la xarxa de manera anònima. La nostra principal contribució és adaptar un dispositiu les capacitats del qual per a utilitzar una tecnologia basada en l'encriptació pesada són limitades en un dispositiu totalment estès en un sistema totalment ampliable que tanca la bretxa entre l'anonimat i el IoT.