Una prueba de penetraci\u00f3n (tambi\u00e9n conocida como pentest) es una evaluaci\u00f3n de seguridad que simula las actividades de los atacantes del mundo real para identificar agujeros de seguridad en sus sistemas o aplicaciones de TI. <\/p>\n
El objetivo de la prueba es comprender qu\u00e9 vulnerabilidades tiene, c\u00f3mo podr\u00edan explotarse y cu\u00e1l ser\u00eda el impacto si un atacante tuviera \u00e9xito.<\/p>\n
Por lo general, se realiza primero, una prueba de penetraci\u00f3n externa (tambi\u00e9n conocida como prueba de penetraci\u00f3n de red externa) es una evaluaci\u00f3n de sus sistemas perimetrales. Su per\u00edmetro son todos los sistemas a los que se puede acceder directamente desde Internet. Por definici\u00f3n, est\u00e1n expuestos y, por lo tanto, son los que se atacan con mayor facilidad y regularidad.<\/p>\n
Prueba de debilidades<\/h2>\n
Las pruebas de penetraci\u00f3n externas buscan formas de comprometer estos sistemas y servicios externos accesibles para acceder a informaci\u00f3n confidencial y ver c\u00f3mo un atacante podr\u00eda atacar a sus clientes o usuarios. <\/p>\n
En un pentest externo de alta calidad, los profesionales de seguridad copiar\u00e1n las actividades de piratas inform\u00e1ticos reales, como ejecutar exploits para intentar obtener el control de sus sistemas. Tambi\u00e9n probar\u00e1n el alcance de las debilidades que encuentren para ver hasta d\u00f3nde un atacante malicioso podr\u00eda meterse en su red y cu\u00e1l ser\u00eda el impacto comercial de un ataque exitoso.<\/p>\n
Ejecute pentests externos primero<\/h2>\n
Las pruebas de penetraci\u00f3n externas asumen que el atacante no tiene acceso previo a sus sistemas o redes. Esto es diferente a una prueba de penetraci\u00f3n interna que prueba el escenario en el que un atacante ya tiene un punto de apoyo en una m\u00e1quina comprometida o est\u00e1 f\u00edsicamente en el edificio. Por lo general, tiene sentido cubrir primero los fundamentos y considerar las pruebas internas despu\u00e9s de que se hayan realizado tanto el escaneo de vulnerabilidades regular como las pruebas de penetraci\u00f3n externas.<\/p>\n
C\u00f3mo realizar pruebas de penetraci\u00f3n externa<\/h2>\n
Entonces, \u00bfc\u00f3mo haces para obtener una prueba de penetraci\u00f3n externa? Programar un pentest externo deber\u00eda ser tan simple como preguntarle a su proveedor de servicios administrados o consultor\u00eda de TI, y apuntarlos a sus sistemas perimetrales (una lista de dominios y direcciones IP\/rango).<\/p>\n
Una prueba de penetraci\u00f3n externa normalmente se ejecuta sobre la base de una “caja negra”, lo que significa que no se proporciona informaci\u00f3n privilegiada (como credenciales de aplicaciones, diagramas de infraestructura o c\u00f3digo fuente) a los evaluadores. Esto es similar a donde comenzar\u00eda un pirata inform\u00e1tico real que se dirige a su organizaci\u00f3n, una vez que haya descubierto una lista de sus direcciones IP y dominios.<\/p>\n
Pero hay algunos consejos importantes y diligencia debida que vale la pena tener en cuenta al organizar su prueba de penetraci\u00f3n externa:<\/p>\n
- \n
- \u00bfQui\u00e9n est\u00e1 realizando tu prueba? <\/strong>\u00bfSon un probador de penetraci\u00f3n calificado? Puede obtener m\u00e1s informaci\u00f3n sobre las certificaciones de pruebas de penetraci\u00f3n y elegir una consultor\u00eda en la gu\u00eda sobre c\u00f3mo elegir una empresa de pruebas de penetraci\u00f3n<\/a>.<\/li>\n
- \u00bfCu\u00e1nto se le cobrar\u00e1?<\/strong> Las cotizaciones normalmente se basan en una tarifa por d\u00eda, y su trabajo se define en funci\u00f3n de la cantidad de d\u00edas que llevar\u00e1 realizar la evaluaci\u00f3n. Cada uno de estos puede variar entre compa\u00f1\u00edas, por lo que podr\u00eda valer la pena comparar para ver qu\u00e9 se ofrece.<\/li>\n
- \u00bfQue esta incluido?<\/strong> Los proveedores de servicios respetables deben ofrecerle una propuesta o declaraci\u00f3n de trabajo que describa el trabajo que se llevar\u00e1 a cabo. Est\u00e9 atento a lo que est\u00e1 dentro y lo que est\u00e1 fuera del alcance.<\/li>\n
- \u00bfQu\u00e9 m\u00e1s se recomienda?<\/strong> Elija un proveedor que incluya la verificaci\u00f3n de sus servicios expuestos para la reutilizaci\u00f3n de credenciales violadas, ataques de rociado de contrase\u00f1as y pruebas de aplicaciones web en aplicaciones de acceso p\u00fablico.<\/li>\n
- \u00bfDeber\u00edas incluir la ingenier\u00eda social?<\/strong> Puede ser un buen valor agregado, aunque este tipo de prueba casi siempre tiene \u00e9xito cuando lo intenta un atacante con suficiente determinaci\u00f3n, por lo que no deber\u00eda ser un requisito dif\u00edcil si su presupuesto es limitado.<\/li>\n<\/ul>\n
Pruebas de penetraci\u00f3n externa frente a an\u00e1lisis de vulnerabilidades<\/h2>\n
Si est\u00e1 familiarizado con el an\u00e1lisis de vulnerabilidades, notar\u00e1 que un pentest externo comparte algunas similitudes. Entonces, \u00bfcu\u00e1l es la diferencia?<\/p>\n
Por lo general, una prueba de penetraci\u00f3n externa incluye una prueba completa escaneo de vulnerabilidades externas<\/a>, pero ah\u00ed es donde comienza. Todos los resultados de las herramientas de escaneo ser\u00e1n investigados manualmente por un pentester para eliminar los falsos positivos, ejecutar exploits para verificar el alcance\/impacto de la debilidad y “encadenar” m\u00faltiples debilidades para producir exploits m\u00e1s impactantes. <\/p>\n
Donde un esc\u00e1ner de vulnerabilidad simplemente informar\u00eda que un servicio tiene una debilidad cr\u00edtica, un pentest intentar\u00eda explotar esa debilidad y obtener el control del sistema. Si tiene \u00e9xito, el pentester utilizar\u00e1 su acceso para ir m\u00e1s all\u00e1 y comprometer m\u00e1s sistemas y servicios.<\/p>\n
Pentests profundiza en las vulnerabilidades<\/h2>\n
Si bien los esc\u00e1neres de vulnerabilidades a menudo identifican problemas potenciales, un probador de penetraci\u00f3n los explorar\u00eda completamente e informar\u00eda si la debilidad necesita atenci\u00f3n o no. Por ejemplo, los esc\u00e1neres de vulnerabilidad informan de forma rutinaria sobre la ‘Lista de directorios’, que es donde los servidores web ofrecen una lista de todos los archivos y carpetas del servidor. Esto no es necesariamente una vulnerabilidad en s\u00ed misma, pero necesita investigaci\u00f3n.<\/p>\n
Si un archivo confidencial (como un archivo de configuraci\u00f3n de copia de seguridad que contiene credenciales) se expone y se incluye en la lista de directorios, un simple problema de informaci\u00f3n (seg\u00fan lo informado por un esc\u00e1ner de vulnerabilidades) podr\u00eda convertirse r\u00e1pidamente en un riesgo de alto impacto para su organizaci\u00f3n. El trabajo del pentester incluye revisar cuidadosamente el resultado de una variedad de herramientas, para asegurarse de que no quede piedra sin remover.<\/p>\n
\u00bfQu\u00e9 pasa si necesito pruebas m\u00e1s rigurosas?<\/h2>\n
Tambi\u00e9n se pueden incluir algunas actividades adicionales que realizar\u00eda un atacante real y que no son realizadas por los esc\u00e1neres de vulnerabilidades, pero estas var\u00edan entre los probadores. Verifique la propuesta o haga preguntas antes de programar el pentest si desea que est\u00e9n dentro del alcance. Por ejemplo:<\/p>\n
- \n
- Ataques sostenidos de adivinaci\u00f3n de contrase\u00f1as (rociado, fuerza bruta) para intentar comprometer las cuentas de usuario en VPN expuestas y otros servicios<\/li>\n
- Raspar la web oscura y las bases de datos de infracciones en busca de las credenciales incumplidas conocidas de sus empleados, y colocarlas en paneles y servicios administrativos<\/li>\n
- Pruebas de aplicaciones web donde est\u00e1 disponible un mecanismo de autorregistro<\/li>\n
- Ataques de ingenier\u00eda social como phishing a sus empleados<\/li>\n<\/ul>\n
Los pentest no pueden reemplazar las pruebas regulares de vulnerabilidad<\/h2>\n
Recuerde que diariamente se descubren nuevas vulnerabilidades cr\u00edticas, y los atacantes suelen explotar las debilidades m\u00e1s graves dentro de una semana de su descubrimiento. <\/p>\n
Si bien una prueba de penetraci\u00f3n externa es una evaluaci\u00f3n importante para analizar en profundidad la seguridad de sus sistemas expuestos, es mejor utilizarla como un servicio adicional para complementar el escaneo de vulnerabilidades regular, \u00a1que ya deber\u00eda tener implementado!<\/p>\n
Acerca del intruso<\/h2>\n
- \u00bfCu\u00e1nto se le cobrar\u00e1?<\/strong> Las cotizaciones normalmente se basan en una tarifa por d\u00eda, y su trabajo se define en funci\u00f3n de la cantidad de d\u00edas que llevar\u00e1 realizar la evaluaci\u00f3n. Cada uno de estos puede variar entre compa\u00f1\u00edas, por lo que podr\u00eda valer la pena comparar para ver qu\u00e9 se ofrece.<\/li>\n