¿Qué son las pruebas de penetración?

Las pruebas de penetración, pen testing o hacking ético, es la práctica de probar la ciberseguridad de un sistema informático, red o aplicación web buscando vulnerabilidades de seguridad explotables. Las pruebas de penetración pueden automatizarse con herramientas de pruebas de penetración o manualmente mediante probadores de penetración.

En esencia, las pruebas de penetración buscan responder:

¿Cómo superaría un ataque mi programa de seguridad?
¿Cómo obtendrían acceso a mis datos confidenciales y a los de mis clientes?

Visualiza su red, aplicación, dispositivo y seguridad física a través de los ojos de un actor malintencionado y un equipo de seguridad experimentado para descubrir debilidades e identificar cómo se podría mejorar su postura de seguridad. Es un aspecto importante de la ciberseguridad que todas las organizaciones deberían emplear.

Los probadores de penetración lanzan ataques cibernéticos autorizados diseñados para obtener acceso a información confidencial, simulando a qué se dirigiría un ataque del mundo real, cómo se comportarían sus controles de seguridad y la magnitud de una posible violación de datos.

¿En qué consiste una prueba de penetración?

Por lo general, se identifica un sistema objetivo y se define un objetivo particular, por ejemplo, obtener acceso a la PII y la PHI que resultaría en una violación de datos notificable.

A continuación, los probadores de penetración revisan la información disponible y utilizan varios métodos para intentar alcanzar su objetivo. Por ejemplo, pueden emplear inyecciones SQL, phishing y otros ataques de ingeniería social, secuencias de comandos entre sitios o explotar vulnerabilidades.

Una vez completada la prueba de penetración, los expertos en seguridad proporcionan una evaluación de seguridad a los propietarios del objetivo. En general, la evaluación describe el impacto potencial y las contramedidas diseñadas para reducir el riesgo de ciberseguridad.

Conoce las diferencias entre ciberseguridad y hacking ético.

¿Cuáles son las áreas comunes para las pruebas de penetración?

Las áreas comunes para las pruebas de penetración incluyen:

Pruebas de penetración de aplicaciones: identifica problemas como la falsificación de solicitudes entre sitios, secuencias de comandos entre sitios, fallas de inyección, administración de sesiones débil y más
Pruebas de penetración de red: destaca los fallos a nivel de red, como errores de configuración, vulnerabilidades específicas de productos, vulnerabilidades de redes inalámbricas, servicios fraudulentos, contraseñas débiles, protocolos vulnerables y contraseñas predeterminadas.
Pruebas de penetración física: Revela cómo se podrían superar los controles físicos, como cerraduras, escaneos biométricos, sensores y cámaras.
Pruebas de penetración de IoT: descubre vulnerabilidades de hardware y software en dispositivos de Internet de las cosas (IoT), incluidas contraseñas predeterminadas, protocolos inseguros, API abiertas, configuraciones incorrectas y más.

¿Cuál es el objetivo de una prueba de penetración?

El objetivo de una prueba de penetración dependerá del tipo de actividad aprobada y de sus requisitos de cumplimiento. Las pruebas de penetración pueden ayudar a las organizaciones a:

Determinar la viabilidad de vectores de ataque particulares
Identifique las vulnerabilidades de alto riesgo que resultan de vulnerabilidades de menor riesgo explotadas de una manera particular
Resalte las vulnerabilidades que no se detectan en el software automatizado de análisis de vulnerabilidades de redes o aplicaciones
Evalúe el posible impacto comercial, operativo y regulatorio de los ataques cibernéticos exitosos
Pruebe la defensa de la red y la capacidad de su organización para detectar, responder y detener con éxito un ataque
Proporcionar contexto para respaldar una mayor inversión en políticas, procedimientos, personal o tecnología de seguridad de la información.
Cumplir con los requisitos de cumplimiento, por ejemplo, todas las entidades reguladas por FISMA deben cumplir con NIST SP 800-115, Guía técnica para las pruebas y evaluaciones de seguridad de la información. El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) también requiere pruebas de penetración periódicas.
Validar la implementación de nuevos controles de seguridad implementados para frustrar ataques similares

Al final, el objetivo estándar es encontrar problemas de seguridad que podrían ser explotados por un atacante y, a continuación, compartir esta información, junto con las estrategias de mitigación pertinentes con el objetivo.

Si bien las pruebas de penetración pueden ayudar a identificar debilidades en la seguridad de la red, la seguridad de la información, la seguridad de las aplicaciones y la seguridad de los datos, son solo una parte de una auditoría de seguridad completa.

¿Cuáles son las seis etapas de las pruebas de penetración?

Las pruebas de penetración se pueden dividir en seis etapas:

Reconocimiento: Recopilación de información sobre el objetivo que se utilizará para atacar mejor al objetivo. Por ejemplo, el uso de Google Hacking para encontrar datos que se puedan utilizar en un ataque de ingeniería social.
Escaneo: Uso de herramientas técnicas para obtener un mayor conocimiento de los activos externos del objetivo, por ejemplo, usar Nmap para buscar puertos abiertos.
Obtención de acceso: Utilizando los datos recopilados en las fases de reconocimiento y escaneo, el probador de penetración puede entregar una carga útil para explotar el objetivo. Por ejemplo, Metasploit se puede utilizar para automatizar ataques a vulnerabilidades conocidas, como las que se enumeran en CVE.
Mantener el acceso: Después de obtener acceso, el probador de penetración puede tomar medidas para obtener acceso persistente al objetivo con el fin de extraer la mayor cantidad de datos posible.
Cubrir pistas: El paso final es borrar cualquier rastro de su acceso eliminando pistas de auditoría, eventos de registro, etc.
Informes: describe los hallazgos, proporcionando una evaluación de vulnerabilidades con pasos de corrección sugeridos.

Tenga en cuenta que este proceso se puede repetir a medida que el probador de penetración encuentra nuevos problemas de seguridad.

¿Quién proporciona los servicios de pruebas de penetración?

Los servicios de pruebas de penetración generalmente son proporcionados por un consultor externo o un equipo rojo interno con poco o ningún conocimiento previo de cómo se asegura el objetivo.

Esto les permite exponer posibles puestos ciegos que el equipo de seguridad interna pasa por alto.

¿Cuáles son los tipos de pruebas de penetración?

Prueba de lápiz de caja blanca: A los hackers éticos se les proporciona información de fondo y del sistema, como correos electrónicos de empleados, sistemas operativos, políticas de seguridad o código fuente. Se podría decir que este tipo de pruebas de seguridad imitan las amenazas internas.
Prueba de penetración de caja negra: a los profesionales de seguridad se les proporciona información básica o nula más allá del nombre del objetivo. Esto significa que los probadores de penetración solo tienen acceso a la información que pueden recopilar a través del escaneo de vulnerabilidades, fallas OPSEC, ingeniería social y análisis de postura de seguridad externa. Esto imita a los atacantes externos que intentan obtener acceso a su organización.
Prueba de penetración de caja gris: una combinación de una prueba de caja blanca y una prueba de caja negra, en la que se comparte con el probador de penetración un conocimiento limitado del objetivo. Este tipo de pruebas de seguridad puede ayudar a determinar qué sistemas son vulnerables a los atacantes que pueden obtener acceso inicial a su red interna.
Prueba de penetración encubierta/doble ciego: describe una situación en la que muy pocas personas saben que se está realizando una prueba de penetración, incluidos los equipos de TI y seguridad que responderán al ataque.
Prueba de penetración externa: Es cuando un hacker ético se dirige a la tecnología externa de una empresa, como su sitio web y sus servidores de red externos. Este tipo de pruebas de penetración generalmente se realizan desde una ubicación remota.
Prueba de penetración interna: Esta prueba se realiza desde dentro de la red interna de la empresa y es útil para determinar cuánto daño podría causar una persona interna desde el firewall de la empresa.
Prueba de penetración dirigida: El probador de penetración y el equipo de seguridad trabajan juntos, informándose mutuamente de los pasos tomados para atacar al objetivo y defender el ataque. Esto sirve como un ejercicio de entrenamiento que proporciona retroalimentación en tiempo real.

¿Por qué son importantes las pruebas de penetración?

Las pruebas de penetración son importantes porque ayudan a determinar qué tan bien su organización está cumpliendo sus objetivos de seguridad.

El propósito de estos ataques simulados es identificar debilidades en los controles de seguridad de los que los atacantes podrían aprovecharse.

Las pruebas de penetración, y la ciberseguridad en general, son cada vez más importantes a medida que dependemos más de la tecnología para procesar información confidencial.

Como parte de un programa de ciberseguridad, las pruebas de penetración le ayudan a mejorar la calidad de sus controles de seguridad. También puede ayudar a reducir el coste y la frecuencia del tiempo de inactividad, mejorar el tiempo medio de reparación (MTTR), proteger la reputación de la marca, mantener la confianza de los clientes, evitar litigios y garantizar el cumplimiento normativo.

¿Por qué las pruebas de penetración no son suficientes?

Los profesionales de la seguridad no están de acuerdo sobre la importancia de las pruebas de penetración. Algunos creen que es lo más importante, otros creen que es una pérdida de tiempo.

Al igual que con la mayoría de las prácticas de seguridad, la verdad está en algún punto intermedio y su eficacia depende de la aplicación y el alcance.

Las pruebas de penetración por sí solas nunca son suficientes para prevenir las filtraciones de datos, pero la información obtenida de ellas puede desempeñar un papel fundamental para reforzar los controles de seguridad de su organización.

Si bien existen numerosos marcos que describen un proceso de prueba de penetración, sigue siendo un término amplio que abarca una gran cantidad de actividades diferentes diseñadas para identificar debilidades en su ciberseguridad.

Esto podría implicar el uso de herramientas de seguridad especializadas como Kali Linux o Backbox y Metasploit o Nmap para descubrir y explotar vulnerabilidades, llevar a cabo ataques de ingeniería social para probar controles físicos o emplear hackers éticos para simular ataques cibernéticos.

Al final, el objetivo es el mismo: mejorar su postura de seguridad y reducir el riesgo de ciberseguridad.

Incluso las aplicaciones e infraestructuras más probadas pueden ser víctimas de filtraciones de datos o fugas de datos. Esa es la desalentadora verdad de la ciberseguridad: a veces, los atacantes están un paso por delante de su equipo de seguridad.

Además, incluso los mejores probadores de penetración solo pueden trabajar con el conocimiento y las herramientas a su disposición.

En el caso de exploits de día cero, como EternalBlue que condujo al gusano ransomware WannaCry, lo mejor que puede hacer es responder rápidamente. Si a esto le sumamos el hecho de que los proveedores externos manejan cada vez más información confidencial, no es difícil entender que, si bien las pruebas de penetración son importantes, no pueden ser lo único que hagas.

Para tener un impacto duradero en la organización, las pruebas de penetración deben integrarse con la supervisión continua de la seguridad en tiempo real de primeras, terceras y cuartas partes.

Estas herramientas pueden detectar automáticamente vulnerabilidades conocidas, ayudar a mitigar vulnerabilidades de alto riesgo, proporcionar evaluaciones continuas de riesgos de proveedores y ayudarlo a escalar sus esfuerzos de administración de riesgos de proveedores.

¿Cuáles son los Marcos Comunes de Pruebas de Penetración?

Existen varios marcos y metodologías para realizar pruebas de penetración, entre ellos:

Manual de Metodología de Pruebas de Seguridad de Código Abierto (OSSTMM)
Estándar de Ejecución de Pruebas de Penetración (PTES)
NIST SP 800-115
Marco de evaluación de la seguridad de los sistemas de información (ISSAF)
Guía de pruebas de OWASP

Empresas como Intercontinental Exchange, Taylor Fry, la Bolsa de Nueva York, IAG, First State Super, Akamai, Morningstar y la NASA utilizan UpGuard para proteger sus datos, prevenir violaciones de datos, monitorear vulnerabilidades y evitar malware.

Somos expertos en filtraciones y filtraciones de datos, nuestra investigación ha aparecido en el New York Times, Wall Street Journal, Bloomberg, Washington Post, Forbes, Reuters y Techcrunch.

UpGuard Vendor Risk puede minimizar la cantidad de tiempo que su organización dedica a administrar las relaciones con terceros mediante la automatización de cuestionarios de proveedores y el suministro de plantillas de cuestionarios de proveedores que se asignan al marco de ciberseguridad del NIST y otras mejores prácticas. Podemos ayudarlo a monitorear continuamente la postura de seguridad de sus proveedores a lo largo del tiempo mientras los comparamos con su industria.

Cada proveedor se califica en función de 50+ criterios, como la presencia de SSL y DNSSEC, así como el riesgo de secuestro de dominio, ataques de intermediario y suplantación de identidad de correo electrónico para phishing.

Cada día, nuestra plataforma califica a sus proveedores con una calificación de seguridad cibernética de 950. Te avisaremos si su puntuación baja.

UpGuard BreachSight puede ayudar a monitorizar DMARC, combatir el typosquatting, prevenir violaciones de datos y fugas de datos, evitando multas reglamentarias y protegiendo la confianza de sus clientes a través de calificaciones de ciberseguridad y detección continua de exposiciones.