Cuestionario de Ciberseguridad: Fortalecimiento de Apache

AI✦

¿Cuál es el principio fundamental que se aplica en el endurecimiento (hardening) de Apache y PHP?. Defensa en Profundidad (Defense in Depth). Máxima Eficiencia. Simplicidad de Configuración. Apertura Total.

¿Qué información puede revelar una configuración por defecto de Apache y PHP?. La versión exacta del servidor y del motor PHP, así como el sistema operativo. Solo la versión del servidor Apache. Únicamente la versión del motor PHP. Nada sensible, solo la información pública básica.

¿Qué técnica utiliza un atacante para obtener información sobre la versión de un servidor web?. Banner Grabbing. Phishing. Ingeniería Social. Escaneo de Puertos.

¿Qué riesgo de seguridad se incrementa al exponer la versión exacta de Apache y PHP?. Explotación de vulnerabilidades conocidas (CVEs) para RCE o Bypass de Autenticación. Ataques de Denegación de Servicio (DoS). Ataques de Man-in-the-Middle (MitM). Inyección SQL.

¿Qué directiva de Apache se utiliza para controlar la cantidad de información que se muestra en la cabecera 'Server'?. ServerTokens. ServerSignature. ServerAdmin. ServerRoot.

¿Cuál es el valor más seguro para la directiva 'ServerTokens' en Apache?. Prod. Full. Minimal. Major.

¿Qué directiva de Apache elimina el pie de página de Apache en páginas de error (como 404 o 500)?. ServerSignature. ServerTokens. ErrorDocument. CustomLog.

¿Qué configuración de PHP controla si se añade la cabecera 'X-Powered-By'?. expose_php. display_errors. log_errors. memory_limit.

¿Cuál es la configuración recomendada para 'expose_php' en un entorno endurecido?. Off. On. Default. 1.

¿Qué sucede por defecto en PHP si un script falla (ej. consulta SQL mal formada)?. Muestra el mensaje de error completo al navegador del usuario. Registra el error en un archivo de log y muestra una página genérica. Reinicia el servidor web. No muestra ningún mensaje.

¿Qué directivas se deben configurar para evitar la fuga de información en los errores de PHP?. display_errors = Off y log_errors = On. display_errors = On y log_errors = Off. display_errors = Off y log_errors = Off. display_errors = On y log_errors = On.

¿Qué tipo de información se puede filtrar a través de mensajes de error de base de datos expuestos?. Nombres de tablas, columnas, tipos de datos y drivers. Solo el nombre de la base de datos. La contraseña del usuario de la base de datos. La estructura de directorios del servidor.

¿Cuál es el principio de 'Fail-Secure' en la gestión de errores?. En caso de fallo, el sistema entra en un estado seguro, mostrando información genérica al usuario y registrando detalles internamente. En caso de fallo, el sistema se detiene por completo para evitar daños. En caso de fallo, se muestra toda la información posible para facilitar la depuración. En caso de fallo, se notifica al usuario con un mensaje de error detallado.

¿Qué tipo de ataque se mitiga limitando parámetros como 'memory_limit', 'upload_max_filesize' y 'post_max_size'?. Denegación de Servicio (DoS) y Esgotamiento de Recursos. Cross-Site Scripting (XSS). SQL Injection. Cross-Site Request Forgery (CSRF).

¿Qué valor se recomienda para 'memory_limit' en un entorno Apache endurecido para evitar el monopolio de memoria por proceso PHP?. 256M. Ilimitado. 64M. 512M.

¿Qué directiva limita el tamaño máximo de los archivos que se pueden subir a través de PHP?. upload_max_filesize. post_max_size. memory_limit. max_execution_time.

¿Cuál es el propósito principal de 'mod_rewrite' en Apache?. Traducir URLs amigables (Clean URLs) internamente a rutas de archivos existentes. Mejorar la velocidad de carga de las páginas. Cifrar las comunicaciones entre el servidor y el cliente. Bloquear el acceso a ciertos directorios.

¿Por qué es necesario activar 'mod_rewrite' (usando 'a2enmod rewrite')?. Porque el módulo no está activado por defecto en la mayoría de las instalaciones de Apache. Para mejorar el rendimiento general de Apache. Para habilitar el cifrado SSL/TLS. Para gestionar los logs de errores.

¿Qué es un archivo .htaccess y cuál es su función principal en relación con 'mod_rewrite'?. Un archivo de configuración de directorio que permite definir reglas de reescritura específicas para esa carpeta. Un archivo de log que registra todas las peticiones reescritas. Un script PHP que gestiona las URLs amigables. Un archivo de configuración global de Apache.

¿Qué directiva controla si Apache permite o ignora los archivos .htaccess?. AllowOverride. DirectoryIndex. Options. Require.

¿Cuál es el efecto de 'AllowOverride None' en un directorio?. Apache ignora completamente los archivos .htaccess en ese directorio. Apache permite todas las directivas de los archivos .htaccess. Apache permite solo las directivas de 'mod_rewrite'. Apache registra un error si encuentra un archivo .htaccess.

¿Cuál es la configuración recomendada de 'AllowOverride' para que funcionen las reglas de reescritura en un directorio?. AllowOverride All. AllowOverride None. AllowOverride Options. AllowOverride Limit.

¿Qué patrón de arquitectura se facilita al centralizar las peticiones en un único archivo como 'index.php' usando 'mod_rewrite'?. Front Controller. Model-View-Controller (MVC). Microservices. Layered Architecture.

¿Qué beneficio de seguridad aporta el patrón Front Controller y 'mod_rewrite'?. Ocultación de la tecnología del back-end y centralización de la lógica de seguridad. Mejora directa del rendimiento de la base de datos. Reducción de la necesidad de certificados SSL/TLS. Aislamiento total de los contenedores Docker.

En el contexto de la fortificación, ¿qué significa el acrónimo CVE?. Common Vulnerabilities and Exposures. Critical Vulnerability Evaluation. Code Version Examination. Certified Vulnerability Expert.

¿Qué tipo de ataque se puede prevenir al configurar 'log_errors = On'?. Pérdida de trazabilidad y capacidad de auditoría de incidentes. Ataques de fuerza bruta. Inyección de código malicioso. Suplantación de identidad.

¿Qué directiva de PHP es crucial para limitar el tiempo máximo de ejecución de un script y prevenir ataques de ejecución lenta?. max_execution_time. memory_limit. upload_max_filesize. post_max_size.

¿Qué significa la configuración 'ServerTokens Prod'?. Muestra solo el nombre del producto (Apache) sin número de versión ni sistema operativo. Muestra el nombre y la versión completa de Apache. Muestra la versión principal de Apache. Muestra toda la información posible sobre Apache y su sistema.

¿Cuál es el propósito de 'ServerSignature Off'?. Eliminar el pie de página de Apache en páginas de error. Desactivar el módulo de reescritura de URLs. Configurar el directorio raíz del servidor web. Establecer la dirección de correo del administrador del servidor.

Si se solicita una ruta que no es un archivo ni una carpeta real, y 'mod_rewrite' está activo con las reglas adecuadas, ¿hacia dónde se reescribe típicamente la petición?. index.php. Un archivo 404 Not Found. El archivo de configuración de Apache. El log de errores.