Laboratorio 5.1. Auditoría de Red y Captura de Credenciales

Módulo: Seguridad Informática (0226) y Servicios en Red (0227) Ciclo: CFGM Sistemas Microinformáticos y Redes (SMR)
Curso: 2025-2026
Centro: IES Joan Fuster (Bellreguard)
Entrega: Informe técnico en PDF + capturas de pantalla integradas
Modalidad: Individual
Duración estimada: 3 sesiones de laboratorio

Descripción General

En esta práctica actuarás como técnico de seguridad contratado para auditar una red corporativa simulada. Tu objetivo es identificar vulnerabilidades, capturar evidencias y redactar un informe técnico profesional con los hallazgos y las medidas correctoras aplicadas.

Todo el trabajo se realizará en un entorno virtualizado con Oracle VM VirtualBox sobre Ubuntu 24.04 LTS. No se permite realizar ninguna de estas actividades fuera del entorno de laboratorio.

Aviso legal

La realización de estas técnicas fuera del entorno autorizado constituye un delito tipificado en el artículo 197 bis del Código Penal. El alumno es responsable del uso que haga de las herramientas proporcionadas.

Entorno de Trabajo

Antes de comenzar, debes tener operativo el siguiente entorno en VirtualBox. La configuración del entorno forma parte de la práctica y será evaluada.

Máquina Virtual	Sistema Operativo	Rol	Red
Auditor	Ubuntu 24.04 LTS	Máquina del técnico auditor	Red interna labnet
Servidor	Ubuntu 24.04 LTS (Server)	Servidor con servicios activos	Red interna labnet

Ambas máquinas deben estar en la misma red interna de VirtualBox (labnet) y comunicarse entre sí. Debes verificar la conectividad antes de comenzar.

Servicios que deben estar activos en la máquina Servidor:

• Servidor FTP (vsftpd) con un usuario y contraseña conocidos por ti.
• Servidor web Apache sirviendo una página por HTTP (puerto 80).
• Servidor SSH activo (puerto 22).

La instalación y configuración de estos servicios en la máquina Servidor es parte de la práctica.

Tareas

Tarea 1. Preparación del entorno (Requisito previo)

Configura el entorno de trabajo descrito anteriormente. Debes demostrar mediante capturas que:

• Las dos máquinas virtuales están en la misma red interna y se comunican.
• Los tres servicios (FTP, HTTP, SSH) están activos y accesibles desde la máquina Auditor.

Requisitos de entrega

• Captura de la configuración de red de ambas máquinas (direcciones IP).
• Captura que demuestre conectividad entre ambas máquinas.
• Captura del estado de los servicios en la máquina Servidor.

Tarea 2. Reconocimiento de la red

Desde la máquina Auditor, realiza un reconocimiento completo de la red para identificar todos los dispositivos activos y los servicios que ofrecen.

Requisitos de entrega

• Resultado del escaneo de descubrimiento de hosts en el segmento de red.
• Resultado del escaneo de puertos y versiones de servicios sobre la máquina Servidor.
• Tabla resumen elaborada por ti con los servicios detectados, sus puertos, versiones y una valoración del riesgo (Alto / Medio / Bajo) justificada.
• Identificación del fabricante de la tarjeta de red de la máquina Servidor a partir de su dirección MAC.

Tarea 3. Captura y análisis de tráfico

Desde la máquina Auditor, captura el tráfico generado por los servicios inseguros activos en el entorno.

Requisitos de entrega

• Captura de tráfico FTP que muestre claramente las credenciales de acceso (usuario y contraseña) en texto plano. Debes identificar y señalar los paquetes relevantes.
• Captura de tráfico HTTP que muestre el contenido de una petición GET o POST en texto plano. Utiliza la función Follow TCP Stream de Wireshark para reconstruir la sesión completa.
• Para cada captura, incluye una explicación de qué información ha quedado expuesta y qué consecuencias tendría en un entorno real.
• Fichero .pcap de al menos una de las capturas, adjunto al informe.

Tarea 4. Análisis de la tabla ARP

Desde la máquina Auditor, analiza el estado de la tabla ARP de la red.

Requisitos de entrega

• Captura de la tabla ARP de la máquina Auditor con ambas máquinas comunicadas.
• Explicación de cada entrada: qué IP corresponde a qué MAC y a qué dispositivo.
• Respuesta razonada a la siguiente pregunta: si en la tabla ARP observaras que la IP del gateway y la IP del Servidor tienen la misma dirección MAC, ¿qué tipo de ataque estaría ocurriendo y cómo lo detectarías?

Tarea 5. Identificación de banners y versión de servicios

Realiza banner grabbing manual sobre los servicios activos en la máquina Servidor sin usar Nmap.

Requisitos de entrega

• Captura del banner obtenido del servidor web (HTTP).
• Captura del banner obtenido del servidor SSH.
• Captura del banner obtenido del servidor FTP.
• Para cada banner, busca en https://nvd.nist.gov o https://www.cvedetails.com si existe alguna vulnerabilidad conocida para esa versión concreta. Incluye el resultado de la búsqueda (aunque no encuentres nada, debes documentarlo).

Tarea 6. Aplicación de medidas correctoras

Una vez identificadas las vulnerabilidades, aplica las siguientes medidas de seguridad en la máquina Servidor y demuestra su efecto.

6.1. Configuración del firewall con UFW

Requisitos de entrega

• Configura UFW para que solo permita el tráfico estrictamente necesario: SSH (puerto 22) y HTTPS (puerto 443). Deniega el resto, incluyendo FTP (21) y HTTP (80).
• Demuestra con una captura que, tras aplicar las reglas, ya no es posible conectarse al servicio FTP ni al HTTP desde la máquina Auditor.
• Muestra el estado final de UFW con todas las reglas activas.

6.2. Deshabilitación de servicios innecesarios

Requisitos de entrega

• Deshabilita el servicio FTP de forma permanente (que no se inicie al arrancar).
• Demuestra que el servicio ya no está activo ni se inicia tras un reinicio de la máquina Servidor.

6.3. Ocultación del banner del servidor web

Requisitos de entrega

• Configura Apache para que no revele su versión ni el sistema operativo en las cabeceras HTTP.
• Demuestra el antes y el después con capturas del banner grabbing.

Tarea 7. Reflexión final

Redacta en tu informe un apartado de conclusiones que responda a las siguientes preguntas. Las respuestas deben estar justificadas con lo observado durante la práctica, no con definiciones genéricas.

1. De todas las vulnerabilidades encontradas, ¿cuál consideras que supone un mayor riesgo y por qué?
2. Si este entorno fuera una empresa real con 50 empleados, ¿qué medida adicional (no vista en esta práctica) implementarías como primera prioridad?
3. ¿Qué diferencia has observado entre el tráfico FTP y el tráfico SSH al capturarlo con Wireshark? ¿Qué conclusión extraes?
4. Un compañero te dice que su servidor es seguro porque tiene contraseña de acceso. ¿Qué le responderás basándote en lo que has practicado hoy?

Formato del Informe

El informe debe entregarse en formato PDF y seguir la siguiente estructura:

1. Portada: nombre del alumno, título de la práctica, fecha y curso.
2. Índice.
3. Introducción: breve descripción del entorno montado y los objetivos de la auditoría.
4. Desarrollo: una sección por cada tarea (Tarea 1 a Tarea 6), con las capturas integradas y comentadas.
5. Conclusiones: respuestas a las preguntas de la Tarea 7.
6. Bibliografía: herramientas y fuentes consultadas.

Requisitos formales del informe

• Mínimo 10 páginas, sin contar portada ni índice.
• Todas las capturas de pantalla deben estar recortadas (sin mostrar el escritorio completo) y tener un pie de foto descriptivo.
• El texto debe explicar cada captura: no basta con pegar una imagen, hay que comentar qué se ve y qué significa.
• Redacción en castellano o valenciano. Sin faltas de ortografía graves.

Criterios de Evaluación

Tarea	Descripción	Puntuación
Tarea 1	Entorno correctamente configurado y documentado	1 punto
Tarea 2	Reconocimiento completo con tabla de riesgos justificada	1,5 puntos
Tarea 3	Capturas de credenciales en texto plano con análisis	2 puntos
Tarea 4	Análisis ARP correcto y respuesta razonada	1 punto
Tarea 5	Banner grabbing manual y búsqueda de CVEs documentada	1,5 puntos
Tarea 6	Medidas correctoras aplicadas y demostradas	2 puntos
Tarea 7	Reflexión crítica y justificada	1 punto
Total		10 puntos

Penalizaciones

• Informe sin estructura definida o sin índice: -0,5 puntos.
• Capturas sin comentar o sin pie de foto: -0,25 puntos por captura.
• Entrega fuera de plazo: -1 punto por día de retraso.
• Evidencia de copia entre alumnos: calificación de 0 para ambos y parte al jefe de estudios.

Fecha de Entrega

La práctica se entregará a través de la plataforma Aules en la tarea habilitada para ello antes de la fecha indicada por el profesor. No se aceptarán entregas por correo electrónico ni en formato distinto al PDF.