Saltar a contenido

Glosario de seguridad

Traducción automática del original francés.

Cada término se presenta dos veces: su definición general, y luego qué significa en este entorno. La segunda columna tiene el mismo número de elementos que la primera: a veces, una misma palabra puede referirse a dos cosas sin relación (el "SCA" en el análisis de dependencias no es el mismo "SCA" en un SIEM), y es ahí donde surgen los malentendidos.

Los términos están organizados por función principal, en el orden en que un ataque los encuentra: prevenir, identificar sus debilidades, detectar, responder, sobrevivir, probar.

Prevenir – evitar el acceso

Término Definición En este entorno
Borde, perímetro El primer componente que recibe el tráfico procedente de Internet. Un proxy de borde alojado en el NAS de almacenamiento, detrás del NAT del router. No es un contenedor.
Proxy inverso Servidor que recibe las solicitudes, finaliza el TLS y las reenvía al servicio interno correspondiente. Dos niveles: el borde, y luego un proxy interno (Caddy) que reenvía a los contenedores.
TLS, certificado Cifrado de transporte; el certificado prueba la identidad del sitio. Emitido por ACME; una sonda detecta los certificados que están realmente en uso, no los que están en el disco.
DNS-01 Desafío ACME donde se demuestra el control de un dominio publicando un registro DNS temporal. Permite emitir un certificado para un servicio que no está expuesto a Internet.
Bouncer Componente que aplica una decisión de bloqueo tomada en otro lugar. CrowdSec decide, un módulo integrado en el proxy interno aplica (respuesta 403).
L3 / L7 Capa de red (direcciones, paquetes) / capa de aplicación (HTTP). Un bloqueo en la capa L3 corta la conexión, mientras que un bloqueo en la capa L7 rechaza la solicitud. El bloqueo de los atacantes web se realiza en la capa L7: es la única capa donde se conoce la dirección real del cliente.
Fail-open / fail-closed Comportamiento de una protección cuando falla: dejar pasar todo (open) o rechazar todo (closed). Cada capa tiene un modo de fallo. Se elige y se configura: un modo de fallo predeterminado es una decisión que nadie ha tomado.
SSO Una única autenticación para todos los servicios. Authentik, proveedor de identidad único.
OIDC Protocolo estándar de delegación de identidad: la aplicación recibe un token firmado y sabe quién está conectado. La conexión predeterminada de cualquier nuevo servicio.
forward_auth El proxy pregunta al proveedor de identidad: "¿Tiene permiso?". La aplicación, en cambio, no sabe quién está conectado. Último recurso, para un servicio sin concepto de cuenta. Nunca combinado con OIDC.
MFA Segundo factor (código de uso único, clave física) además de la contraseña. Requerido en cuentas con privilegios, y verificado mediante una sonda en lugar de suponerlo.
Menor privilegio Cada cuenta solo tiene los derechos que necesita. Tokens de servicio limitados a su uso; una aplicación sin política de acceso explícita se considera abierta a cualquier cuenta autenticada, por lo que debe corregirse.
Almacén de secretos Almacenamiento centralizado y cifrado de contraseñas, tokens y claves. Auto-alojado; un valor leído en salida a través de un tubo, nunca desde la línea de comandos.
SOPS + edad SOPS calcula los valores de un archivo de configuración; "edad" proporciona el algoritmo y la pareja de claves. Las variables de entorno de los stacks están versionadas, cifradas y descifradas en memoria al inicio.
Cadena de suministro Todo lo que no se ha escrito, pero que se ejecuta: imágenes, paquetes, dependencias. Cubierto por cuarenta versiones, el escaneo de imágenes y los SBOM.
Cuarentena de versiones Rechazar cualquier versión de paquete publicada desde hace menos de N días. Siete días, en los tres gestores de paquetes JavaScript — cada uno con su unidad (días, minutos, segundos).
SBOM Software Bill of Materials (Inventario de componentes de software): el inventario de todos los componentes de un software. Un SBOM por imagen en funcionamiento, regenerado semanalmente.
CycloneDX Formato estándar (OWASP) de SBOM. Producido por Trivy.
Refuerzo Reducir la superficie de ataque de un sistema: servicios innecesarios, permisos, opciones. Evaluado continuamente por el SIEM contra los estándares CIS.
Estándares CIS Repositorio público de configuraciones seguras, por sistema operativo. Políticas de evaluación de configuración del SIEM.

Conocer sus debilidades — vulnerabilidades

Término Definición En este parque
CVE Identificador público de una vulnerabilidad conocida. Buscado en las imágenes (Trivy), en los hosts (SIEM) y en el inventario de versiones desplegadas (OpenCVE).
CVSS, severidad Puntuación de gravedad teórica de una CVE. Punto de partida para la clasificación, pero no su punto final.
EPSS Probabilidad de que una CVE sea explotada en los 30 días (publicado por el FIRST). Entra en la puntuación de riesgo.
KEV Catálogo de la CISA de las CVE realmente explotadas. Elimina una CVE de la lista. Una CVE del KEV puede tener un EPSS bajo: no se reemplazan mutuamente.
Exposición Accesibilidad de un servicio: público con su única autenticación de aplicación, público detrás del proveedor de identidad, o interno. Tercer eje de la puntuación, junto con la severidad y la explotación.
SAST Análisis estático del código fuente en busca de defectos. Semgrep, en los repositorios.
SCA (dependencias) Software Composition Analysis: las CVE de las bibliotecas que un proyecto utiliza. Trivy en modo de sistema de archivos. No tiene nada que ver con el SCA del SIEM de abajo.
Configuración incorrecta de IaC Defecto en un archivo de infraestructura (archivo de composición, YAML). Trivy, incluso en la misma pasada que las dependencias.
Triaje Decidir el destino de una vulnerabilidad encontrada: abierta, ignorada, reportada, falso positivo. Cada decisión se registra, junto con su autor, en un registro de auditoría.

Detectar — ver lo que está pasando

Término Definición En este parque
SIEM Plataforma que recopila, correlaciona y alerta sobre los registros de todo el parque. Wazuh: un manager, un agente en cada máquina.
EDR / XDR Detección y respuesta en los endpoints, extendido a múltiples fuentes. Los agentes de Wazuh y su respuesta automática.
FIM Monitorización de la integridad de los archivos: alerta cuando un archivo supervisado cambia. Módulo de integridad de Wazuh.
SCA (SIEM) Evaluación de la configuración de seguridad: evaluación de la configuración frente a una referencia. Benchmarks de CIS aplicados por Wazuh.
Rootcheck Búsqueda de rootkits, archivos y puertos ocultos. Módulo de Wazuh, lo que hace que las herramientas dedicadas del mismo tipo sean innecesarias.
osquery Consultar el estado de una máquina en SQL: procesos, servicios, tareas programadas. Integrado en el SIEM, no a un lado: un único inventario para reconciliar.
Persistencia Mecanismo que un atacante utiliza para sobrevivir a un reinicio: tarea programada, servicio, clave SSH autorizada. Enumerado por osquery en Linux, por KnockKnock en el escritorio de macOS.
IDS / NDR Detección de intrusiones de red: se aplican firmas al tráfico que pasa. Suricata, ubicado en el punto donde converge el tráfico.
Firma Patrón conocido de ataque, en un flujo o en un archivo. Conjuntos de reglas abiertos, actualizados sin intervención.
Llamada al sistema Solicitud que un programa realiza al núcleo: abrir un archivo, iniciar un proceso, establecer una conexión. Lo que observa la detección en tiempo de ejecución.
eBPF Mecanismo del núcleo de Linux que permite observar las llamadas al sistema sin cargar un módulo. La sonda "modern eBPF" de Falco: nada que compilar, nada que recompilar después de una actualización del núcleo.
Seguridad en tiempo de ejecución Detectar un comportamiento anómalo mientras se ejecuta un programa. Falco: un shell abierto en un contenedor, lectura de un archivo sensible, escritura en una tarea programada.
YARA Lenguaje de reglas para reconocer archivos maliciosos por su contenido. Miles de reglas públicas, más una regla de prueba interna.
Antivirus basado en firmas Reconoce un archivo malicioso ya conocido. Un motor ClamAV central, interrogado por la red.
Análisis estático profundo Desempaquetar un archivo (archivo dentro de un archivo, documento, objeto embebido) y analizar cada parte, sin ejecutarlo nunca. Strelka.
Entorno de pruebas Ejecutar un archivo sospechoso en un entorno desechable para observar su comportamiento. Descartado por decisión: el volumen de archivos no lo justifica. Regresará cuando un ejemplo real pase por ambos motores.
IOC Indicador de compromiso: direcciones, dominios o huellas conocidas como maliciosas. Tres listas (direcciones, dominios, huellas) consultadas en tiempo real por el SIEM.
Información sobre amenazas Flujo de IOC y contexto sobre los atacantes. Consumido, no producido: listas públicas y bloqueo comunitario de CrowdSec.
Lista CDB Clave → valor que las reglas de Wazuh consultan cuando llega el evento. Actualizada por una tarea programada, supervisada para su frescura.
Falso positivo Alerta sobre un comportamiento legítimo. Tratado mediante una excepción nombrada, nunca mediante la desactivación de una regla completa.
Ruido El volumen de alertas que un detector produce en un entorno sano. Medido antes de activar una notificación.
Prueba funcional, canary Elemento conocido, introducido específicamente para verificar que un detector sigue funcionando. Regla YARA canary, archivo EICAR, shell en un contenedor desechable, consulta de investigación en toda la flota.
EICAR Archivo de prueba inofensivo y estandarizado que todo antivirus debe reconocer. Prueba diaria del motor antivirus.

Responder – actuar

Término Definición En este parque
Distribuidor de alertas Punto único donde todos los emisores envían alertas, y que las duplica a los destinos. Un servicio dedicado; dos canales de salida, y una función de respaldo directo si el distribuidor no responde.
Histeresis Umbrales distintos para abrir y cerrar una alerta, para evitar que parpadee constantemente. Obligatorio para cualquier notificación recurrente.
Respuesta automática Acción desencadenada por una regla de detección: bloquear una fuente, reiniciar un servicio, aislar. Respuesta activa de Wazuh, vinculada a identificadores de reglas específicos.
Tiempo de espera (de un bloqueo) Duración durante la cual un bloqueo automático se levanta por sí solo. Sistemático: un bloqueo permanente en caso de falsos positivos es un fallo que nos infligimos.
SOAR Orquestación y automatización de la respuesta. El distribuidor y el motor de flujos de trabajo existentes; no hay un tercer orquestador.
DFIR Digital Forensics and Incident Response: investigar durante y después de un incidente. Velociraptor.
Investigación en caliente Interrogar las máquinas durante el incidente, para responder a una pregunta que no se había previsto. Velociraptor, cliente en cada máquina.
VQL Lenguaje de consulta de Velociraptor. Consultas registradas en un manual de procedimientos.
"Hunt" Una misma consulta lanzada sobre toda una flota a la vez. También sirve como testigo: tantas respuestas como puestos, de lo contrario, algo se queda en silencio.
Incidente importante (NIS2) Incidente que causa una interrupción grave o un daño considerable (art. 23 §3). Se registra en un registro dedicado, con sus plazos calculados.

Supervivencia — continuidad

Término Definición En este parque
RPO Objetivo de punto de recuperación: la pérdida máxima de datos aceptada, es decir, la antigüedad de la última copia de seguridad utilizable. Medido durante un ejercicio, no derivado de la planificación.
RTO Objetivo de tiempo de recuperación: la duración de la puesta en funcionamiento. Cronometrado hasta que la aplicación responda.
Inmutabilidad, solo lectura Una copia de seguridad que no se puede modificar ni eliminar desde el sistema original. Verificada intentando realmente eliminarla con los accesos del sistema original, y esperando un rechazo.
Bloqueo de objetos Inmutabilidad impuesta por el propio almacenamiento de objetos, durante un período determinado. Una de las formas posibles de inmutabilidad fuera del sitio.
Software de ransomware Software que cifra los datos, y crea copias de seguridad si los alcanza. Produce copias de seguridad recientes — de contenido cifrado.
Ejercicio de restauración Restauración real, cronometrada, en una máquina nueva. Registrada en un registro; una sonda falla si tiene más de 90 días.
Clave maestra La clave de la que dependen todas las demás. La clave de antigüedad que descifra todos los secretos de las pilas.
Copia fuera de línea Copia que no interactúa con ninguna red: papel, soporte desconectado. Para la clave maestra, verificable sin mostrarla nunca.

Demostrar – Cumplimiento

Término Definición En este parque
NIS2 Directiva (UE) 2022/2555: medidas de ciberseguridad obligatorias para las entidades esenciales y importantes. Aplicada voluntariamente, como marco de referencia: un parque personal no es una entidad NIS2.
Artículo 21 §2 Las diez medidas mínimas de NIS2, designadas de a) a j). Cada control del catálogo está asociado a ellas.
Artículo 23 Notificación de incidentes importantes: alerta temprana en menos de 24 horas, notificación en menos de 72 horas, informe final en un mes. Plazos calculados por el registro de incidentes.
SOC 2 Informe de un auditor cualificado (CPA) sobre los controles de una organización. Tipo I: en una fecha; Tipo II: durante un período. Ninguna herramienta es "certificada SOC 2": una herramienta puede producir el expediente de pruebas que un auditor solicitaría.
TSC Criterios de Servicios de Confianza: los criterios de SOC 2 – seguridad, disponibilidad, confidencialidad… Cada control está asociado a ellos, al igual que en NIS2.
Control Medida de seguridad cuya eficacia se puede demostrar. Aproximadamente treinta, identificadas y versionadas en un catálogo.
Referente de controles comunes Un control establecido una vez, asociado a múltiples referentes simultáneamente. Un único catálogo sirve para NIS2 y SOC 2.
Prueba Medida con fecha que demuestra que un control funciona. El veredicto de una sonda, o una declaración.
Sonda Script que mide un hecho y produce pass, fail o indeterminate. Una por hecho medido, iniciadas cada seis horas.
Indeterminado Veredicto de una sonda que no pudo medir. Un objetivo inaccesible produce indeterminate, nunca pass.
Declaración Declaración humana con fecha, para aquello que ninguna sonda puede medir: gobernanza, formación, proveedores. Reservada a una sesión autentificada, y expira.
Estado derivado Un estado calculado a partir de las pruebas, nunca capturado. "Efectivo", "fallido" o "no verificado", recalculado en cada lectura.
Registro en cadena Diario en el que cada entrada contiene la huella de la anterior: cualquier modificación rompe la cadena. Todas las pruebas se registran en él, añadiendo únicamente nuevas entradas.
Ancla Huella de encabezado del registro, publicada fuera de la máquina que lo mantiene. Se actualiza diariamente en Git, en dos repositorios remotos: revela una truncación que la cadena por sí sola no detecta.
Verificación inversa Fallar intencionalmente una comprobación para demostrar que puede fallar. Requerida de cada sonda antes de su admisión.
Documento de auditoría Exportación completa: catálogo, estatutos, pruebas, incidentes, método. Se genera a petición, en un único archivo.

Para leer después

Dernière vérification de cette page : 2026-09-11