OpoSERGASEl tema de seguridad perimetral de la parte específica del programa de Técnico especialista en Sistemas y TI (C1) del SERGAS es el tema 24 del Anexo II del DOG núm. 126 de 05/07/2021 (al que remite el DOG núm. 141 de 24/07/2025): plataformas de protección (NGFW, WAF, protección ante ataques DDoS, IDS/IPS), arquitectura de seguridad en redes y elementos de seguridad para Internet. Las dudas típicas son qué añade un NGFW a un cortafuegos de estado, en qué se diferencia un IDS de un IPS, dónde se coloca cada elemento, por qué se segmenta la red y qué hace un proxy.
Cómo cae este tema en el examen
Tenemos más de 60 preguntas de este tema en el banco de OpoSERGAS. De ellas, 13 proceden de exámenes oficiales y están clasificadas en este tema: 5 del examen de la parte específica de la OPE 2025 (con plantilla provisional, a la espera de la definitiva) y 8 de otros exámenes oficiales de TI incluidos en el banco (7 de TI Superior A1, de marzo, septiembre de 2025 y junio de 2026, y una de TI Xestión A2 de junio de 2026).
De las más de 500 respuestas registradas en OpoSERGAS en este tema hasta el 5 de noviembre de 2026, el 18 % fueron fallos. Los despistes frecuentes son confundir IDS con IPS, pensar que el WAF sustituye al cortafuegos de red y colocar los elementos en un orden imposible. Salen preguntas de definición («¿qué es un WAF?»), de ubicación («dónde se sitúa el IPS») y de selección de la solución para un caso concreto.
¿Qué añade un cortafuegos de nueva generación (NGFW)?
Un NGFW añade inspección a nivel de aplicación y usuario a lo que ya hacía el cortafuegos de estado. El filtrado de paquetes decide por direcciones y puertos; la inspección de estado (stateful) lleva una tabla de conexiones y descarta paquetes que no encajan con el estado esperado, como describe la guía NIST SP 800-41 Rev. 1. Un NGFW suma a eso identificación de la aplicación (aunque use un puerto habitual), control por usuario y, normalmente, funciones de prevención de intrusiones.
| Tipo | Qué mira | Limitación o ventaja |
|---|---|---|
| Filtrado de paquetes | Dirección, puerto y protocolo de cada paquete | Rápido y simple, pero sin memoria de la conexión |
| Inspección de estado | Estado de cada conexión en una tabla | Descarta paquetes fuera de lugar |
| Pasarela proxy de aplicación | Contenido de la aplicación; dos conexiones separadas | Oculta las IP internas, pero consume más recursos |
| NGFW | Aplicación y usuario, además de lo anterior | Control más fino; depende de cada fabricante |
¿Qué diferencia hay entre IDS e IPS?
El IDS detecta y avisa; el IPS detecta y además bloquea. Un IDS observa el tráfico (normalmente una copia) y genera alertas; un IPS se coloca en línea con el tráfico y puede descartarlo. Por eso un falso positivo de un IPS corta tráfico legítimo, mientras que el de un IDS se queda en una alerta innecesaria. El ENS pide en la medida op.mon.1 herramientas de «detección o prevención de intrusiones» en todas las categorías; el refuerzo R1 pide que estén basadas en reglas (categorías media y alta) y el R2 exige procedimientos de respuesta a las alertas (categoría alta). Tenemos el resumen conjunto de firewall, IDS e IPS en esta guía.
¿El WAF reemplaza al cortafuegos?
No: se complementan. El cortafuegos de red filtra el tráfico por red y transporte; el WAF (web application firewall) protege a las aplicaciones web analizando el tráfico HTTP, y se sitúa delante del servidor web, según NIST SP 800-41. El ENS exige a los servicios web prevenir ataques de inyección de código y de cross site scripting (medida mp.s.2). Un cortafuegos que deja pasar el puerto 443 no entiende qué petición HTTP lleva una inyección; el WAF sí lo intenta. Cómo se colocan DMZ, WAF y proxy inverso lo explicamos en DMZ, WAF y proxy inverso.
¿Cómo se protege una red de un ataque DDoS?
La protección es una combinación de capacidad, prevención y detección con reacción. El ENS lo recoge en la medida mp.s.4: se planificará y dotará al sistema de capacidad suficiente para atender con holgura la carga prevista y se desplegarán tecnologías para prevenir los ataques conocidos. En el refuerzo R1 (nivel alto de la dimensión disponibilidad) se pide un sistema de detección y tratamiento de DoS y DDoS y procedimientos de reacción que incluyan la comunicación con el proveedor de comunicaciones. La idea clave: un DDoS grande no se absorbe solo con el cortafuegos de la organización, porque el enlace se satura antes; hace falta coordinarse con el operador.
¿Por qué se segmenta la red?
Para que un incidente quede encerrado en su segmento y no se propague. La medida mp.com.4 del ENS lo dice así: la segmentación acota el acceso a la información y los incidentes quedan restringidos al entorno donde ocurren; el tráfico se segregará para que cada equipo tenga acceso solo a la información que necesita. Además, las comunicaciones inalámbricas irán en un segmento separado. El refuerzo R1 implementa los segmentos con VLAN y exige separar como mínimo usuarios, servicios y administración.
¿Qué hace un proxy y en qué se diferencia de un cortafuegos?
Un proxy es un intermediario: el cliente habla con él y él con el destino. Según NIST SP 800-41, la pasarela proxy de aplicación crea dos conexiones separadas y nunca permite una conexión directa entre los hosts, de modo que las direcciones internas no son visibles desde fuera. El proxy directo (forward) sirve a los usuarios internos que salen a Internet; el inverso (reverse) protege a los servidores que reciben tráfico. El ENS pide, además, proteger la navegación web de los usuarios internos (medida mp.s.3) y, en categoría alta, registrar su uso y fijar una lista negra de destinos vetados (refuerzo R1). Las dudas sobre el correo (SPF, DKIM y DMARC) están en la guía de DNS, DHCP y correo.
¿Qué es el perímetro y cómo lo pide el ENS?
Es la frontera entre la red interna y el exterior, y en el ENS es una medida que no depende de la categoría: la mp.com.1 obliga por igual en básica, media y alta. Lo que se pregunta es su idea central: no hay atajos, porque ningún flujo puede cruzar esa frontera sin pasar por el sistema de protección ni sin una autorización previa. Cómo se combina con la DMZ está en la guía de DMZ, WAF y proxy inverso enlazada más arriba. Ojo con el alcance del programa: el tema 24 de C1 enumera cortafuegos de nueva generación, cortafuegos de aplicaciones web, protección DDoS, IDS/IPS, arquitectura de seguridad en redes y elementos de seguridad para Internet; el SIEM figura en el tema equivalente de A2 (tema 35) y de A1 (tema 44), no en el de C1.
Truco para recordarlo
«El IDS Descubre y el IPS Para»: la D de IDS es de detectar y la P de IPS es de prevenir (bloquear). Para ubicar el WAF: «WAF = web delante». No es una sigla oficial, solo una regla para no mezclarlos.
Tres preguntas tipo test para practicar
1. ¿Qué elemento de seguridad analiza el tráfico HTTP y se sitúa delante del servidor web para frenar inyecciones y XSS?
- IDS pasivo.
- WAF.
- Cortafuegos de filtrado de paquetes.
- Servidor DHCP.
Respuesta: B. El WAF está pensado para el tráfico web. El IDS solo avisa; el filtrado de paquetes decide por puerto y dirección sin entender la petición, y el DHCP no es un elemento de seguridad.
2. Se instala un sistema que, además de generar alertas, descarta automáticamente el tráfico malicioso al estar en línea. ¿Cómo se llama?
- IDS.
- IPS.
- Proxy inverso sin reglas.
- Switch de capa 2.
Respuesta: B. Bloquear en línea es lo propio del IPS. El IDS solo detecta y avisa. Un proxy inverso sin reglas no inspecciona el tráfico y un switch de capa 2 no tiene esa función.
3. Según el ENS, ¿cuál es el objetivo principal de segmentar la red?
- Aumentar el ancho de banda.
- Reducir el coste de licencias.
- Acotar el acceso a la información y encapsular los incidentes en su segmento.
- Evitar tener que usar contraseñas.
Respuesta: C. Es la finalidad que describe la medida mp.com.4.
Preguntas frecuentes
¿Un IPS puede provocar falsos positivos?
Sí. Al bloquear tráfico en línea, una regla mal ajustada puede cortar tráfico legítimo; por eso se afinan las reglas antes de activar el bloqueo.
¿El WAF sustituye al cortafuegos?
No. El WAF protege las aplicaciones web (HTTP) y el cortafuegos filtra el tráfico de red; se usan juntos.
¿Qué pide el ENS sobre denegación de servicio?
La medida mp.s.4: capacidad suficiente, tecnologías de prevención y, en nivel alto de disponibilidad, detección y procedimientos de reacción.
¿Para qué sirve segmentar con VLAN?
Para separar usuarios, servicios y administración, de modo que un incidente no se propague por toda la red.
Referencias
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, Anexo II: medidas mp.com.1, mp.com.4, mp.s.2, mp.s.3, mp.s.4 y op.mon.1: BOE-A-2022-7191.
- NIST SP 800-41 Rev. 1, Guidelines on Firewalls and Firewall Policy (2009), apartados 2.1.2, 2.1.4 y 2.1.9.
- Programa de la parte específica, Técnico especialista Sistemas y TI: Anexo II del DOG núm. 126 de 05/07/2021, al que remite el DOG núm. 141 de 24/07/2025.
Practica estas preguntas en la preparación de Técnico de Sistemas TI, repasa los fundamentos en análisis de riesgos y dimensiones o empieza desde el registro.