Contenidos
Pentest youtube
El término “prueba de penetración” tiene múltiples significados; en la jerga militar, por ejemplo, se utiliza tanto para el proceso de probar el poder de penetración de las balas a través de objetos sólidos como para el intento de las fuerzas especiales de penetrar en una zona o instalación segura. Mientras que el primero es más bien una prueba de potencia, el segundo se refiere a la comprobación de las medidas de seguridad en busca de puntos débiles de forma controlada y sistemática. Es este último uso el que se ha adoptado en el campo de la seguridad de la información como término para probar los sistemas o aplicaciones de TI en busca de posibles debilidades. Aunque “prueba de penetración” es realmente la tarea de “entrar”, lo que se traduciría mejor en “obtener derechos de administrador” en el mundo de la informática, a menudo se utiliza como sinónimo de evaluación de vulnerabilidades.
Hay una clara diferencia entre los pentests y las evaluaciones de vulnerabilidad, ya que el segundo tiene como objetivo encontrar el mayor número de vulnerabilidades en un tiempo determinado, mientras que el primero tiene como objetivo intentar penetrar en las defensas. Un probador de penetración no necesita buscar más vulnerabilidades potenciales una vez que están “dentro”, ya que la tarea ya ha sido un éxito en ese punto. Sin embargo, al igual que ocurre con los términos “hacker” y “cracker”, la diferencia se ha perdido para muchos debido al uso erróneo de los términos por parte de los medios de comunicación.
Pentest whitebox vs blackbox
El término prueba de penetración (pentesting) se refiere a los procesos, herramientas y servicios diseñados e implementados con el propósito de encontrar vulnerabilidades de seguridad. Se puede realizar un pentest para un sistema informático, una red completa o una aplicación web.
El objetivo principal de un pentest es descubrir vulnerabilidades que los atacantes puedan explotar. Hay varias formas de descubrir estas vulnerabilidades. Puede optar por pentests manuales realizados por un equipo de hackers de sombrero blanco, o por pruebas de penetración automatizadas realizadas por una solución de software.
El proceso de pruebas de penetración suele incluir varias fases. En primer lugar, el probador (o la solución) recopila información sobre el objetivo e identifica los posibles puntos de entrada. A continuación, el probador intenta penetrar en el entorno probado. Por último, el probador elabora un informe en el que se detallan las vulnerabilidades encontradas y las sugerencias para mejorar la seguridad del entorno probado.
Las pruebas de penetración intentan comprometer el sistema de una organización para descubrir los puntos débiles de la seguridad. Si el sistema tiene suficiente protección, los equipos de seguridad deben ser alertados durante la prueba. En caso contrario, se considera que el sistema está expuesto a riesgos. Así, las pruebas de penetración pueden contribuir a mejorar las prácticas de seguridad de la información.
Pasos del pentesting
Las pruebas de penetración, también conocidas como pen testing, security pen testing y security testing, son una forma de hacking ético. Describe el lanzamiento intencionado de ciberataques simulados por parte de probadores de penetración de “sombrero blanco” que utilizan estrategias y herramientas diseñadas para acceder o explotar sistemas informáticos, redes, sitios web y aplicaciones. Aunque el objetivo principal de las pruebas de penetración es identificar los problemas explotables para poder aplicar controles de seguridad eficaces, los profesionales de la seguridad también pueden utilizar técnicas de pruebas de penetración, junto con herramientas de prueba especializadas, para comprobar la solidez de las políticas de seguridad de una organización, su cumplimiento de la normativa, la concienciación de sus empleados en materia de seguridad y la capacidad de la organización para identificar y responder a los problemas e incidentes de seguridad, como los accesos no autorizados, a medida que se producen.
Como un ciberataque simulado, las técnicas de hacking ético ayudan a los profesionales de la seguridad a evaluar la eficacia de las medidas de seguridad de la información en sus organizaciones. El “pen test” intenta perforar la armadura de las ciberdefensas de una organización, comprobando las vulnerabilidades explotables en las redes, las aplicaciones web y la seguridad de los usuarios. El objetivo es encontrar debilidades en los sistemas antes de que lo hagan los atacantes.
Tipos de pentesting
Una prueba de penetración, también conocida como pen test, es un ciberataque simulado contra su sistema informático para comprobar si existen vulnerabilidades explotables. En el contexto de la seguridad de las aplicaciones web, las pruebas de penetración se utilizan habitualmente para aumentar un cortafuegos de aplicaciones web (WAF).
Las pruebas de penetración pueden implicar el intento de violación de cualquier número de sistemas de aplicación, (por ejemplo, interfaces de protocolo de aplicación (API), servidores frontend/backend) para descubrir vulnerabilidades, como entradas no sanitizadas que son susceptibles de ataques de inyección de código.
En esta etapa se utilizan ataques a aplicaciones web, como el cross-site scripting, la inyección SQL y las puertas traseras, para descubrir las vulnerabilidades de un objetivo. A continuación, los probadores intentan explotar estas vulnerabilidades, normalmente escalando privilegios, robando datos, interceptando el tráfico, etc., para comprender el daño que pueden causar.
El objetivo de esta etapa es ver si la vulnerabilidad se puede utilizar para lograr una presencia persistente en el sistema explotado, lo suficientemente larga como para que un actor malo obtenga acceso en profundidad. La idea es imitar las amenazas persistentes avanzadas, que suelen permanecer en un sistema durante meses para robar los datos más sensibles de una organización.