¿Qué son las pruebas de penetración? {Pasos, Métodos, Tipos}

Eliminar los puntos débiles de los sistemas y aplicaciones es una prioridad de ciberseguridad. Las empresas dependen de varias técnicas para descubrir fallas de software, pero ningún método de prueba proporciona un análisis más realista y completo que una prueba de penetración.

Este artículo es una introducción a las pruebas de penetración. Continúe leyendo para saber cómo funcionan las pruebas de penetración y cómo las empresas utilizan estas pruebas para evitar infracciones costosas y dañinas.

Definición de pruebas de penetración

La prueba de penetración (o prueba de penetración) es una simulación de un ciberataque que prueba un sistema informático, una red o una aplicación en busca de debilidades de seguridad. Estas pruebas se basan en una combinación de herramientas y técnicas que los piratas informáticos reales utilizarían para violar una empresa.

Otros nombres comunes para las pruebas de penetración son ataques de sombrero blanco y piratería ética.

Los evaluadores de penetración suelen utilizar una combinación de herramientas de prueba de automatización y prácticas manuales para simular un ataque. Los evaluadores también utilizan herramientas de penetración para escanear sistemas y analizar resultados. Una buena herramienta de pruebas de penetración debería:

• Ser fácil de configurar y usar.
• Sea rápido en el escaneo del sistema.
• Clasifique las debilidades según la gravedad.
• Automatizar la verificación de puntos débiles.
• Vuelva a verificar los exploits pasados.
• Proporcionar informes y registros detallados.

El objetivo principal de una prueba de penetración es identificar problemas de seguridad dentro de los sistemas operativos, servicios, aplicaciones, configuraciones y comportamiento del usuario. Esta forma de prueba permite a un equipo descubrir:

• Vulnerabilidades del sistema y fallos de seguridad.
• Falta de cumplimiento de las normas de seguridad y privacidad de datos (PCI, HIPAA, GDPR, etc.)
• Falta de conciencia de seguridad en todo el equipo.
• Fallos en los protocolos de identificación de amenazas.
• Margen de mejora en el plan de respuesta a incidentes.
• Errores en la política de seguridad.

Las empresas suelen contratar contratistas externos para realizar pruebas de penetración. La falta de conocimiento del sistema permite que un evaluador externo sea más minucioso e inventivo que los desarrolladores internos. Algunas empresas también ejecutan programas de recompensas que invitan a trabajadores independientes a piratear sistemas con la promesa de una tarifa si violan el sistema.

¿Cuál es el resultado final de una prueba de penetración?

El resultado final de una prueba de penetración es el informe de prueba de penetración. Un informe informa a los administradores de sistemas de red y TI sobre los fallos y vulnerabilidades descubiertos en la prueba. Un informe también debe incluir pasos para solucionar los problemas y mejorar las defensas del sistema.

Cada informe de prueba de penetración debe incluir:

• Un resumen ejecutivo: el resumen ofrece una descripción general de alto nivel de la prueba. Los lectores no técnicos pueden utilizar el resumen para obtener información sobre los problemas de seguridad revelados por la prueba de penetración.
• Herramientas, métodos y vectores: esta sección cubre las herramientas y métodos detrás de la prueba. Los evaluadores también describen paso a paso los patrones de ataque que llevaron a una infracción exitosa.
• Resultados detallados: esta sección enumera todos los riesgos de seguridad, vulnerabilidades, amenazas y preocupaciones descubiertas por la prueba de penetración. A diferencia del resumen ejecutivo, esta parte del informe profundiza en los detalles técnicos.
• Recomendaciones: La sección de recomendaciones explica cómo mejorar la seguridad y proteger el sistema de ciberataques reales.

¿Con qué frecuencia se deben realizar pruebas de penetración?

Las empresas realizan pruebas de penetración con regularidad, normalmente una vez al año. Además de las pruebas anuales, una empresa también debe organizar una prueba de penetración siempre que el equipo:

• Agrega nueva infraestructura de red.
• Instala nuevas aplicaciones.
• Actualiza o modifica significativamente la infraestructura o las aplicaciones.
• Establece una oficina en una nueva ubicación.
• Agrega nuevos parches de seguridad.
• Realiza cambios en las políticas del usuario final.

Dependiendo del tamaño y el presupuesto de su empresa, puede que no sea realista realizar una prueba de penetración cada vez que el equipo realiza un cambio. En ese caso, el equipo debería utilizar una combinación de pruebas de penetración y análisis de vulnerabilidades. Si bien no son tan eficientes, los análisis de vulnerabilidades automatizados son más rápidos y económicos que las pruebas de penetración.

Pasos de la prueba de penetración

Las pruebas de penetración son una práctica compleja que consta de varias fases. A continuación se muestra paso a paso cómo una prueba de penetración inspecciona un sistema de destino.

Alcance de las pruebas de penetración

Este paso implica la preparación inicial para la prueba. El equipo debería:

• Describe la logística de la prueba.
• Definir el alcance de la prueba.
• Establece expectativas.
• Objetivos fijados.
• Definir los límites de agresión del equipo de penetración.
• Considere las posibles implicaciones legales.

Reconocimiento (reunión de inteligencia)

Los piratas informáticos comienzan a aprender sobre el sistema y buscan posibles puntos de entrada durante la etapa de recopilación de inteligencia. Esta fase requiere que el equipo recopile principalmente información sobre el objetivo, pero los evaluadores también pueden descubrir puntos débiles a nivel de superficie.

El paso de reconocimiento incluye el escaneo de:

• Todo el hardware.
• Las redes locales e inalámbricas.
• Cortafuegos.
• Aplicaciones pertinentes.
• Sitios web.
• Sistemas basados en la nube.
• Comportamiento y protocolos de los empleados.

Otro término común para la etapa de reconocimiento es recopilación de inteligencia de código abierto (OSINT).

Modelado de amenazas

Los evaluadores utilizan los conocimientos de la fase de reconocimiento para diseñar amenazas personalizadas para penetrar el sistema. El equipo también identifica y clasifica diferentes activos para realizar pruebas.

Explotación

Los probadores intentan entrar en el objetivo a través de los puntos de entrada que encontraron en etapas anteriores. Si violan el sistema, los evaluadores intentan elevar sus privilegios de acceso. Moverse lateralmente a través del sistema permite a los evaluadores identificar:

• Configuraciones deficientes de segmentación de red.
• Acceso a datos y recursos sensibles.
• Débil gestión de cuentas y contraseñas.

Post-explotación

Los probadores de penetración evalúan el alcance del daño que podría causar un pirata informático al explotar las debilidades del sistema. La fase posterior a la explotación también requiere que los evaluadores determinen cómo el equipo de seguridad debe recuperarse de la infracción de la prueba.

Análisis, informes y creación de pasos prácticos para la protección

Los evaluadores compilan los resultados de la prueba en un informe que describe:

• El desglose paso a paso de la actividad de los piratas informáticos.
• Los puntos débiles y vulnerabilidades descubiertos.
• Los evaluadores de datos pudieron llegar.
• Cuánto tiempo los evaluadores permanecieron sin ser detectados dentro del sistema.
• Pasos que la empresa debe tomar para eliminar vulnerabilidades y protegerse contra ataques reales.

Volver a probar

Una vez que el equipo de seguridad implementa los cambios del informe del corral, el sistema está listo para volver a probarlo. Los evaluadores deberían ejecutar los mismos ataques simulados para ver si el objetivo ahora puede resistir el intento de infracción.

Metodologías estandarizadas de pruebas de penetración

Las empresas suelen confiar en uno de los cinco métodos de prueba de penetración estandarizados: OWASP, OSSTMM, ISSAF, PTES y NIST.

OWASP

El OWASP (Proyecto abierto de seguridad de aplicaciones web) es un marco para identificar vulnerabilidades de aplicaciones. Este método permite a un equipo:

• Reconocer vulnerabilidades dentro de aplicaciones web y móviles.
• Descubra fallas en las prácticas de desarrollo.

OWASP también permite a los evaluadores calificar los riesgos, lo que ahorra tiempo y ayuda a priorizar los problemas. Este marco tiene una enorme comunidad de usuarios, por lo que no faltan artículos, técnicas, herramientas y tecnologías de OWASP.

OSSTMM

El OSSTMM (Manual de metodología de pruebas de seguridad de código abierto) se basa en una metodología científica para las pruebas de penetración de redes. Este marco revisado por pares proporciona una caracterización precisa de la seguridad operativa ideal para la piratería ética.

OSSTMM permite a los pentesters ejecutar pruebas personalizadas que se ajusten a las necesidades tecnológicas y específicas de la organización.

ISSAF

El ISSAF (Marco de evaluación de la seguridad del sistema de información) proporciona un enfoque especializado y estructurado para las pruebas.

Este marco es ideal para los evaluadores que buscan planificar y documentar cada paso de la prueba de penetración en detalle. La ISSAF también es útil para los evaluadores que utilizan diferentes herramientas, ya que el método le permite vincular cada paso a una herramienta específica.

PTES

El PTES (Metodologías y Estándares de Pruebas de Penetración) ofrece un enfoque de prueba altamente estructurado de siete pasos. Esta metodología guía a los evaluadores a través de todos los pasos de las pruebas de penetración, desde el reconocimiento y la recopilación de datos hasta la postexplotación y la presentación de informes.

La PTES requiere que los evaluadores conozcan los procesos de la organización para ejecutar pruebas exitosas.

NIST

El NIST (Instituto Nacional de Estándares y Tecnología) ofrece pautas precisas de pruebas de penetración para mejorar la ciberseguridad general. Este marco es popular en industrias de alto riesgo como la banca, las comunicaciones y la energía.

Cumplir con el NIST suele ser un requisito reglamentario para las empresas estadounidenses. Para cumplir con el NIST, una empresa debe realizar pruebas de penetración en aplicaciones y redes.

Tipos de pruebas de penetración

Las pruebas de penetración difieren en términos de objetivos, condiciones y objetivos. Dependiendo de la configuración de la prueba, la empresa proporciona a los evaluadores distintos grados de información sobre el sistema. En algunos casos, el equipo de seguridad es el que tiene conocimientos limitados sobre la prueba.

Pruebas de penetración de caja negra

El equipo de penetración no tiene información sobre el sistema objetivo en una prueba de caja negra. Los piratas informáticos deben encontrar su propio camino hacia el sistema y planificar cómo orquestar una infracción.

Normalmente, los evaluadores solo tienen el nombre de la empresa al inicio de una prueba de caja negra. El equipo de penetración debe comenzar con un reconocimiento detallado, por lo que esta forma de prueba requiere un tiempo considerable.

Prueba de penetración de caja gris

El equipo de pruebas tiene el conocimiento de un usuario con privilegios elevados. El hacker sabe acerca de:

• El diseño y arquitectura de la documentación.
• Estructuras internas.

Una prueba de caja gris permite al equipo centrarse en los objetivos con mayor riesgo y valor desde el principio. Este tipo de prueba es ideal para imitar a un atacante que tiene acceso prolongado a la red.

Pruebas de penetración de caja blanca

Los probadores de penetración tienen información sobre el sistema de destino antes de comenzar a trabajar. Esta información puede incluir:

• Direcciones IP.
• Esquemas de infraestructura de red.
• Protocolos de usuario.
• Artefactos del sistema (código fuente, binarios, contenedores).

Dependiendo de la configuración, los evaluadores pueden incluso tener acceso a los servidores que ejecutan el sistema. Si bien no es tan auténtico como las pruebas de caja negra, la caja blanca es rápida y económica de organizar.

Pruebas dirigidas

El personal de TI de la empresa y el equipo de pruebas trabajan juntos para realizar pruebas específicas. Los evaluadores y el personal de seguridad conocen la actividad de los demás en todas las etapas.

Otro término para las pruebas dirigidas es el enfoque de “luces encendidas”, ya que la prueba es transparente para todos los participantes.

Pruebas externas

Las pruebas externas simulan un ataque a servidores o dispositivos visibles externamente. Los objetivos comunes para las pruebas externas son:

• Servidores de nombres de dominio (DNS).
• Aplicaciones web.
• Servidores de correo electrónico.
• Sitios web.
• Servidores web y de aplicaciones.
• Cortafuegos.

El objetivo de las pruebas externas es descubrir si un atacante externo puede ingresar al sistema. El objetivo secundario es ver hasta dónde puede llegar el atacante tras una infracción.

Pruebas internas

Las pruebas internas imitan una amenaza interna procedente de detrás del firewall. El punto de partida típico para esta prueba es un usuario con privilegios de acceso estándar. Los dos escenarios más comunes son:

• Un empleado descontento que decidió dañar el sistema.
• Un atacante que accedió al sistema mediante un ataque de phishing.

Las pruebas internas son ideales para determinar cuánto daño puede causar al sistema un empleado malintencionado o comprometido.

Pruebas ciegas

Las pruebas a ciegas simulan un ataque de la vida real. Si bien el equipo de seguridad conoce la prueba, el personal tiene información limitada sobre la estrategia de infracción o la actividad del evaluador.

Prueba doble ciego

En una configuración doble ciego, sólo una o dos personas dentro de la empresa conocen la próxima prueba. Las pruebas doble ciego son ideales para examinar:

• Sistemas de vigilancia de seguridad.
• Protocolos de identificación de incidentes.
• Procedimientos de respuesta.

Una prueba doble ciego proporciona una visión auténtica de la capacidad del equipo de seguridad para detectar y responder a un ataque de la vida real.

Enfoques de pruebas de penetración (áreas de prueba)

A continuación se detallan los diferentes enfoques de pruebas de penetración que puede ejecutar para examinar las defensas de su empresa.

Pruebas de penetración y explotación de redes

Las pruebas de penetración de redes imitan técnicas de piratería para violar redes, enrutadores, conmutadores y hosts.

Esta forma de prueba incluye:

• Omisión del cortafuegos.
• Evadiendo un sistema de prevención de intrusiones de próxima generación (NGIPS).
• Pruebas de enrutadores y servidores proxy.
• Evasión de IPS y DPS.
• Escaneo de puertos abiertos.
• Ataques de seguridad SSH.
• Probar políticas que detengan el movimiento lateral.
• Interceptar el tráfico de la red.
• Descubrir dispositivos heredados y dispositivos de terceros.

Este tipo de prueba incluye la explotación de la red tanto interna como externa. Los puntos débiles comunes que se descubren en la penetración de la red son:

• Activos mal configurados.
• Vulnerabilidades específicas del producto.
• Debilidades de la red inalámbrica.
• Servicios deshonestos.
• Protocolos de contraseña débiles.

Un ataque simulado a la infraestructura de red de una empresa es el tipo más común de prueba de penetración.

Pruebas de seguridad de aplicaciones web

Las pruebas de seguridad de aplicaciones buscan riesgos potenciales en las aplicaciones del lado del servidor. Los temas típicos de estas pruebas son:

• Aplicaciones web.
• API.
• Conexiones.
• Marcos.
• Aplicaciones móviles.

Las vulnerabilidades comunes de las aplicaciones incluyen:

• Falsificación y secuencias de comandos de solicitudes entre sitios.
• Defectos de inyección.
• Mala gestión de sesiones.
• Referencias inseguras a objetos directos.
• Errores de codificación.
• Protocolos de autenticación o autorización rotos.
• Criptografía débil.

Del lado del cliente o sitio web y red inalámbrica

Este tipo de prueba inspecciona infraestructuras y dispositivos inalámbricos en busca de vulnerabilidades. Una prueba de penetración inalámbrica descubre configuraciones de red inalámbrica inseguras y comprobaciones de autenticación deficientes.

Este tipo de prueba incluye el escaneo de:

• Malas configuraciones del servidor web.
• Estrategias antimalware y de prevención de DDoS.
• Inyecciones SQL.
• Falsificación de direcciones MAC.
• Reproductores multimedia y software de creación de contenidos.
• Secuencias de comandos entre sitios.
• Hotspots y puntos de acceso.
• Protocolos de cifrado.

Ataques de ingeniería social

Las pruebas de ingeniería social buscan vulnerabilidades dentro de los protocolos y comportamientos de los empleados. Ser víctima de un ataque de ingeniería social puede provocar acceso no autorizado, malware, ransomware o credenciales comprometidas.

Las pruebas de penetración de ingeniería social suelen imitar ataques del mundo real, como:

• Escuchas.
• Seguir de cerca.
• Ataques de phishing.
• Spear-phishing.
• Cebo.
• Scareware.
• Pretexto.

Pruebas físicas

Las pruebas de penetración física intentan obtener acceso físico a áreas comerciales. Este tipo de prueba garantiza la integridad de:

• Sistemas RFID.
• Cámaras.
• Porteros electrónicos y teclados.
• Comportamiento de empleados y proveedores.
• Sensores de movimiento y luz.

Los piratas informáticos suelen combinar pruebas físicas con ingeniería social para crear condiciones de ataque realistas.

Prueba de lápiz en la nube

Las pruebas de penetración de la nube examinan las defensas que protegen los activos de la nube. Las pruebas de penetración identifican exposiciones potenciales dentro de aplicaciones, redes y configuraciones en la nube que podrían brindar a los piratas informáticos acceso a:

• Credenciales de la empresa.
• Sistemas internos.
• Informacion delicada.

Este tipo de pruebas es esencial para las empresas que dependen de soluciones IaaS, PaaS y SaaS. Las pruebas de penetración en la nube también son importantes para garantizar implementaciones seguras en la nube.

Una parte clave de cualquier estrategia de evaluación de riesgos

Las pruebas de penetración permiten a una empresa descubrir de forma proactiva las debilidades del sistema antes de que los piratas informáticos tengan la oportunidad de causar daños. Ejecute ataques simulados regulares en sus sistemas para garantizar operaciones de TI seguras y evitar costosas infracciones.