Escaneo de vulnerabilidades versus pruebas de penetración: ¿en qué se diferencian?

La seguridad del software es vital. Permita que ese software acceda a Internet y los requisitos de seguridad aumentarán en órdenes de magnitud inimaginables.

La protección exitosa del software y sus activos requiere un enfoque multifacético que incluya (entre otros) el escaneo de vulnerabilidades y las pruebas de penetración. Estos términos suelen confundirse en la industria de TI, y por una buena razón.

Las pruebas de penetración y los análisis de vulnerabilidad se confunden entre sí.

Evaluaciones de vulnerabilidad y escaneos de sistemas de búsqueda y perfiles para lo que usted esperaría: vulnerabilidades. Mientras que las pruebas de penetración prueban amenazas que intentan activamente debilitar un entorno. Una diferencia fundamental entre los dos es que el escaneo de vulnerabilidades se puede automatizar, mientras que una prueba de penetración requiere varios niveles de experiencia.

Todas las redes, independientemente de su escala, están potencialmente expuestas a amenazas. Supervisar y probar minuciosamente una red para detectar problemas de seguridad le permite eliminar las amenazas y reducir el riesgo general. Creer que su red es segura basándose en suposiciones en lugar de pruebas basadas en datos siempre proporcionará una falsa sensación de seguridad y podría conducir a resultados desastrosos.

¿Qué es el análisis de vulnerabilidades?

El escaneo de vulnerabilidades es un término para el software diseñado para evaluar otro software, operaciones de red o aplicaciones. Este software de prueba de vulnerabilidades buscará posibles debilidades en el código o la estructura. De la misma manera que un ingeniero de fabricación monitorea la integridad estructural de su producto, las pruebas de vulnerabilidad hacen lo mismo, buscando puntos débiles o una construcción deficiente. Los análisis identifican áreas donde un sistema puede estar abierto a ataques.

Hay dos tipos de análisis: autenticados y no autenticados. La diferencia es que los análisis autenticados permiten el acceso directo a la red mediante protocolos remotos como el shell seguro (SSH) o el protocolo de escritorio remoto (RDP). Un escaneo no autenticado solo puede examinar información visible públicamente y no puede proporcionar información detallada sobre los activos. Este tipo de análisis lo suelen utilizar los analistas de seguridad que intentan determinar la postura de seguridad de una red.

El software de escaneo moderno suele estar disponible como software como servicio (SaaS) por parte de proveedores específicos que crean aplicaciones de interfaz basadas en web. Estas aplicaciones tienen la capacidad de escanear software instalado, abrir puertos, validar certificados y mucho más.

Los escáneres se basan en listas de vulnerabilidades conocidas publicadas y actualizadas periódicamente, que están disponibles para software ampliamente utilizado. Las vulnerabilidades no aparecen en la lista hasta que haya una solución notable (lo que puede plantear dificultades para los ataques de estilo de día cero). Cuando el software detecta una anomalía, se entrega un parche. El software está diseñado para detectar problemas consultando el software para obtener información sobre la versión y observando las respuestas que el software proporciona a solicitudes específicas.

Las vulnerabilidades se clasifican por prioridad. Las vulnerabilidades críticas indican una alta probabilidad de que un atacante pueda aprovechar las debilidades y provocar daños. Las amenazas de menor prioridad pueden ayudar a los intrusos a recopilar información, pero no permiten directamente violaciones.

El Centro para la Seguridad de Internet (CIS) considera que el escaneo continuo de vulnerabilidades es un requisito crítico para una ciberdefensa eficaz.

¿Qué son las pruebas de penetración?

A diferencia del escaneo de vulnerabilidades, las pruebas de penetración (también conocidas como “pen test”) son un ataque autorizado, simulado en un sistema informático, diseñado para evaluar la seguridad del sistema. Se realizan pruebas para identificar debilidades (vulnerabilidades), como la capacidad de obtener acceso a las funciones o datos de un sistema. También elabora una evaluación de riesgos de todo el sistema.

Una prueba de penetración puede ayudar a determinar si un sistema es vulnerable a un ataque, si los sistemas de defensa actuales son suficientes y, en caso contrario, qué defensas fueron derrotadas.

Las pruebas de penetración pueden apuntar a vulnerabilidades conocidas en aplicaciones o patrones comunes que ocurren en muchas aplicaciones. Puede encontrar no sólo defectos de software sino también debilidades en una aplicación y configuración de red.

Normalmente hay cinco etapas de pruebas de penetración:

Reconocimiento: recopilación de información sobre el sistema al que se dirigirá.
Escaneo: herramientas de prueba de penetración utilizadas para ampliar el conocimiento del sistema por parte del atacante.
Obtener acceso: utilizando datos recopilados previamente, el atacante puede atacar un exploit en el sistema.
Mantener el acceso: tomar medidas para permanecer dentro del entorno de destino para recopilar la mayor cantidad de datos posible.
Cubrir pistas: el atacante debe borrar todo rastro del ataque del sistema, incluido cualquier tipo de datos recopilados o eventos registrados, para permanecer en el anonimato.

Los paquetes "fuzzed" son una técnica popular. Se trata de solicitudes legítimas a aplicaciones con uno o varios caracteres modificados aleatoriamente. Ejercen la capacidad del sistema para manejar limpiamente entradas erróneas.

Al igual que con los análisis de vulnerabilidades, las pruebas pueden autenticarse o no. Una prueba autenticada se ejecuta como un usuario registrado e iniciado sesión en la red interna, mientras que una prueba no autenticada sería de una fuente externa sin privilegios de red.

En algunos casos, las pruebas van más allá de enviar y recibir datos y examinan los procesos comerciales de una organización. Si está dentro de su alcance asignado, los evaluadores pueden enviar mensajes de phishing para probar la capacidad de los usuarios para detectar solicitudes fraudulentas. Incluso podrán intentar colarse en las instalaciones para poner a prueba la seguridad física.

Los expertos en seguridad clasifican las pruebas de penetración como “caja blanca” o “caja negra”. “Una prueba de caja blanca utiliza tanta información como sea posible sobre el sistema de destino. Esto incluye el software que ejecuta, la arquitectura de la red y, a veces, incluso el código fuente. Una prueba de caja negra utiliza únicamente información disponible públicamente.

Una prueba de caja blanca debería, en principio, encontrar más problemas, ya que tiene más información para continuar. Sin embargo, es fácil para un probador de penetración volverse dependiente de lo que sabe sobre el sistema y no usar tanto su imaginación. Los probadores de cajas negras parten de la misma posición que un intruso externo y tienen que encontrar puntos débiles sin ayuda. Es posible que ideen enfoques en los que los evaluadores de caja blanca no piensan. Ambos métodos tienen sus pros y sus contras.

Las pruebas de penetración no son una solución de seguridad singular, sino un componente de una auditoría de seguridad completa. Por ejemplo, para seguir cumpliendo con PCI, el estándar de seguridad de datos de la industria de tarjetas de pago requiere pruebas de penetración de seguridad programadas periódicamente, y especialmente después de cambios en el sistema.

Comprensión de los informes de pruebas de seguridad

El entregable para ambos tipos de pruebas es un informe detallado sobre cualquier problema encontrado. Los informes de vulnerabilidad son largos pero sencillos. Para cada problema, el informe enumera una fuente, una clasificación de gravedad, una descripción y una acción correctiva. La solución típica es instalar un parche. Si el software tiene debilidades y su editor ya no lo mantiene, puede ser necesario reemplazarlo por algo más seguro. El personal de InfoSec debe realizar una clasificación detallada de la lista, eliminando o aplazando acciones cuando la vulnerabilidad represente poco o ningún riesgo.

El informe de una prueba de penetración enumerará menos elementos, pero no son tan sencillos de explicar y remediar. Describirá la técnica de ataque, que suele ser ambigua. Explicará los posibles efectos. La solución podría ser sencilla, como restringir el acceso. En otros casos, encontrar una solución puede requerir un análisis serio. Un informe sólido pondrá los resultados en contexto y proporcionará recomendaciones detalladas para la remediación.

Diferencia entre pruebas de penetración y proceso de escaneo de vulnerabilidades

Realizar una prueba de penetración se considera más desafiante o al menos complicado que un escaneo de vulnerabilidades.

Una prueba de penetración intenta irrumpir en un sistema de seguridad. Si el sistema tiene las defensas adecuadas, esto disparará las alarmas. Aunque los administradores necesitan saber la diferencia entre una prueba y una amenaza real, no pueden bajar la guardia ante ataques creíbles que podrían estar ocurriendo al mismo tiempo.

Lo ideal sería realizar una prueba de penetración una vez al año, mientras que las pruebas de vulnerabilidad deberían realizarse de forma continua.

Una prueba de penetración requiere más creatividad que un escaneo de vulnerabilidades, ya que busca formas de explotar el curso normal de los negocios. Por ejemplo, un CEO podría transmitir su contraseña a su correo web, utilizando la misma contraseña que un LDAP interno. Para idear nuevas estrategias en las pruebas, querrá trabajar con personas que sean creativas pero también técnicamente capaces de ejecutar el ataque.

El análisis de vulnerabilidades es un proceso esencial para mantener la seguridad de la información y la red. Cada pieza de equipo o software recién agregado que se implemente debe tener un análisis de vulnerabilidad ejecutado en el plazo de un mes después de eso. Es esencial establecer una línea de base de equipos esenciales que se actualicen y mantengan periódicamente. Cualquier puerto abierto o cambio encontrado después de un análisis debe investigarse y considerarse grave.

Las pruebas de penetración y escaneo de vulnerabilidades son esenciales

Para garantizar un nivel de seguridad detallado y bien protegido para una red, se deben tomar medidas detalladas para realizar análisis de vulnerabilidades y pruebas de penetración. La búsqueda de vulnerabilidades encuentra software sin parches y con mantenimiento deficiente. Solicita al personal de TI que actualice el software que ha encontrado problemas o posibles debilidades. Si eso no es posible, el equipo debe encontrar una solución alternativa o reemplazar el software.

El escaneo no encontrará todos los problemas. La forma más segura de decidir si un sistema es seguro es intentar romperlo. Eso encontrará no sólo defectos de software sino también conexiones inseguras, debilidades de configuración y datos expuestos.