¿Qué son las pruebas de penetración?
Una prueba de penetración, o "prueba de penetración", como también se la conoce, es donde las organizaciones llevan a cabo ataques cibernéticos simulados en sus redes para identificar vulnerabilidades, lo que les permite ajustar las políticas de seguridad y garantizar que los parches relevantes sean instalado.
Muchas regulaciones de protección de datos, como PCI DSS, HIPAA, FINRA y otras, requieren que las entidades cubiertas prueben periódicamente las medidas de seguridad que tienen implementadas. Las pruebas de penetración son el medio para hacerlo.
¿Cómo se utiliza la prueba de penetración?
La prueba de penetración se puede utilizar para probar una variedad de sistemas, funciones, dispositivos y aplicaciones, como interfaces de programación de aplicaciones (API), firewalls de aplicaciones web (WAF), servidores DNS y sitios web. Siempre es una buena idea probar rigurosamente cualquier formulario web público que tenga, ya que a menudo ocurre que las entradas no se han desinfectado adecuadamente, lo que abre la posibilidad de ataques de inyección de código. La prueba de penetración generalmente se divide en cinco etapas, que incluyen;
Etapas de las pruebas de penetración
1. Planificación y reconocimiento
Aquí es donde define el alcance de sus actividades de prueba de penetración, que incluye la creación de un inventario de todos los sistemas, funciones, activos y dispositivos. También incluye definir sus métodos de prueba y describir sus metas y objetivos.
2. Escaneo de seguridad de aplicaciones
Esta etapa implica el uso de herramientas de escaneo de vulnerabilidades para obtener conocimientos sobre cómo responde una aplicación a las amenazas de seguridad. Hay dos tipos de análisis de vulnerabilidades, que incluyen; análisis estático y análisis dinámico. El análisis estático consiste en escanear el código de una aplicación en un intento de identificar posibles vulnerabilidades. El análisis dinámico es esencialmente el mismo, sólo que el escaneo se lleva a cabo cuando la aplicación se está ejecutando para monitorear cómo responde a posibles amenazas en tiempo real.
3. Obtener acceso y explotar vulnerabilidades
Si logras encontrar vulnerabilidades en tu red, el siguiente paso es intentar explotarlas. Esto podría incluir el lanzamiento de una inyección SQL o un ataque de secuencias de comandos entre sitios, interceptar el tráfico, escalar privilegios, etc. Debe asegurarse de que todas las vulnerabilidades y exploits exitosos estén bien documentados.
4. Mantener el acceso
Una vez que haya obtenido acceso a su red, el truco consiste en ver cuánto tiempo puede mantener el acceso sin hacer sonar ninguna alarma. Las amenazas persistentes avanzadas (ATP), como se las conoce, pueden permanecer en un sistema durante meses, filtrando silenciosamente información confidencial.
5. Análisis e informes
Una vez que haya completado sus pruebas de penetración, deberá compilar todos sus hallazgos en uno o más informes detallados. El informe debe contener información detallada sobre;
- Las vulnerabilidades que se encontraron;
- Las vulnerabilidades que fueron explotadas y cómo fueron explotadas;
- Los sistemas, características, activos y dispositivos involucrados;
- El tiempo que el evaluador pudo permanecer en el sistema antes de ser detectado.
Esta información debe ser analizada por el personal de seguridad relevante para ayudarlos a establecer un plan para solucionar estos problemas, que podría incluir la instalación de los parches relevantes, abordar cualquier problema de validación de formularios, configurar firewalls y realizar mejoras en sus API.
Métodos de prueba de penetración
Existe una variedad de métodos de prueba de penetración que se pueden utilizar, algunos de los cuales incluyen:
Pruebas externas
Aquí es donde el probador de penetración se enfocará en servidores, aplicaciones, sitios web y datos de acceso público. Esto incluye cuentas de correo electrónico y contenedores de almacenamiento en la nube.
Pruebas internas
Aquí es donde el evaluador de penetración asume la posición de un empleado malicioso o negligente. Intentarán tantas formas como sea posible de aumentar sus privilegios o exponer datos confidenciales.
Pruebas ciegas/doble ciego
En una prueba a ciegas, el evaluador tendrá un conocimiento limitado del sistema que debe atacar. Normalmente, sólo se les dará el nombre de la organización. Con las pruebas doble ciego, el equipo de seguridad no recibirá ningún aviso previo del ataque.
Pruebas dirigidas
A diferencia de las pruebas ciegas y doble ciego, las pruebas dirigidas son aquellas en las que tanto el evaluador de penetración como el equipo de seguridad trabajan juntos, manteniéndose informados mutuamente sobre lo que están haciendo para poder monitorear la efectividad tanto de sus controles de seguridad como de sus esfuerzos de prueba de penetración.
Si desea ver cómo la plataforma Lepide Data Security puede agregar contexto y mejorar sus pruebas de penetración, programe una demostración con uno de nuestros ingenieros o comience su prueba gratuita hoy.