Ante el aumento de ataques de seguridad digital, es importante conocer, Pentesting: qué es, herramientas y mejores prácticas.
Pentesting: qué es
Las pruebas de penetración (pentesting por su traducción en inglés) combinan el uso de herramientas automáticas y procedimientos manuales por parte de hackers éticos para identificar vulnerabilidades en los sistemas, verificar capacidad de respuesta a los ataques, y brindar mayor seguridad a las empresas.
Este concepto viene de la palabra: “penetration” y “testing” y es una técnica que busca atacar diferentes entornos o sistemas con la finalidad de encontrar y prevenir posibles fallas.
Este concepto está involucrado con las prácticas de seguridad, por lo que se busca tener conocimiento del alcance y del nivel de respuesta del sistema.
El rol del Pentester
El “Pentester” o auditor de ciberseguridad es una de las profesiones más demandas dentro del mundo de la Seguridad Informática, ya que actualmente se prevé que el gasto mundial en tecnología y servicios de seguridad de la información y gestión de riesgos crezca un 12.4% hasta alcanzar los 150 mil 400 millones de dólares este año, de acuerdo con la Encuesta 2021 de Gartner a CIOs.
Herramientas para Pentesting
A continuación, algunas de las herramientas que pueden ayudar para realizar una buena auditoría de seguridad digital:
PentestBox
Es una herramienta para pruebas de penetración que funciona directamente en sistemas operativos Windows.
Además, no necesita instalación, por lo que no será necesario realizar ningún tipo de ajuste en las configuraciones y dependencias.
VMware
VMware permite crear máquinas virtuales con sistemas operativos reales para entrenar y para instalar sistemas operativos orientados al Pentesting. Esta herramienta ayuda a realizar pruebas de seguridad.
OWASP’s Testing Guide
Las siglas de OWASP significan Open Web Application Security Project es una comunidad abierta con alcance global que busca mejorar la seguridad de las aplicaciones.
Kali Linux
Se trata de un sistema operativo orientado al Pentesting y al Hacking Ético, cuenta con herramientas. Además tiene la capacidad de recolectar información, análisis de vulnerabilidades, informática forense y stress testing.
Mejores prácticas
Para Felipe Gómez, Latam manager de Fluid Attacks, “Hoy en día, hackers malintencionados han revitalizado y optimizado diferentes tipos de técnicas para el robo de información sensible. Ante esto, es fundamental que toda organización sepa elegir su proveedor de pentesting, un tipo de evaluación de seguridad en la que se simulan ataques reales para detectar los puntos vulnerables que los ciberdelincuentes podrían aprovechar en un determinado entorno”.
A continuación, se ofrecen cinco puntos claves que se deben tener en consideración al momento de elegir un equipo de pentesting adecuado.
Poseer un equipo capacitado
Es importante contar con un grupo de trabajo (no con un solo individuo encargado de las pruebas) que posea miembros con certificaciones profesionales reconocidas por la industria, tales como CEH, CRTE, OSCE, OSCP, OSWE y OSWP.
Estas certificaciones pueden generar cierta confianza respecto a las capacidades de los pentesters, sin embargo, es prudente también solicitar acceso a los repositorios y publicaciones del equipo para poder ser testigos de sus contribuciones a la comunidad de ciberseguridad.
Los analistas que evalúen los sistemas de una organización deben ser curiosos y creativos (ver lo que los cibercriminales pueden ver), contar con la capacidad de hallar vulnerabilidades desconocidas o de día cero (i.e., no incluidas dentro de las herramientas), y además tener un interés permanente en aprender sobre nuevas técnicas y ambientes en los cuales simular ataques.
Mantener procesos estandarizados y personalizados
El equipo de pentesting debe seguir y permitir el cumplimiento de estándares de seguridad como PCI DSS, HIPAA, GDPR y NIST, además de aquellos que se ajusten a las necesidades de sus clientes.
Es importante asegurarse de que el proveedor cuente con experiencia en evaluación de esa tecnología con la que la empresa cliente trabaja (e.g., redes, aplicaciones web y móviles, APIs) y dentro de diversidad de industrias, incluyendo, por supuesto, a la que el cliente pertenece.
Garantizar la seguridad de la información
El proveedor de la solución debe revelar en detalle quiénes serán los encargados del manejo de la información, cuál será su metodología, y qué registros se mantendrán en las pruebas.
Adicionalmente, el equipo debe reportar los resultados solo a las personas con acceso autorizado por el cliente.
Saber manejar y presentar los datos derivados del análisis
El equipo de pentesting, con sus herramientas, debe organizar informes detallados y priorizar los hallazgos según los riesgos que representen.
Los reportes deben ser comprensibles y servir de soporte para los equipos de desarrollo encargados de las estrategias y procesos de remediación. En este punto es fundamental solicitar, revisar y comparar los informes de prueba de diferentes proveedores.
Tener una mentalidad colectiva
Los miembros de estos grupos de evaluación deben ser formados para que más allá de compartir un contenido internamente, amplíen el conocimiento y lo transmitan a otros fuera de los límites empresariales, contribuyendo así a una comunidad comprometida con la ciberseguridad.
Leíste: Pentesting: qué es, herramientas y mejores prácticas, te recomendamos: Herramientas para expertos en ciberseguridad
Síguenos en nuestras redes sociales: