Tutorial de pruebas de penetración: ¿Qué es PenTest?

¿Qué es la prueba de penetración?

Pruebas de penetración o Pen Testing es un tipo de Pruebas de seguridad Se utiliza para descubrir vulnerabilidades, amenazas y riesgos que un atacante podría explotar en aplicaciones de software, redes o aplicaciones web. El objetivo de las pruebas de penetración es identificar y evaluar todas las posibles vulnerabilidades de seguridad presentes en la aplicación de software. Las pruebas de penetración también se conocen como pruebas de penetración.

El siguiente diagrama muestra cómo una vulnerabilidad sin parchear en una aplicación se convierte en la puerta de entrada para un atacante.

La vulnerabilidad es el riesgo de que un atacante pueda interrumpir o acceder sin autorización al sistema o a los datos que contiene. Las vulnerabilidades suelen introducirse accidentalmente durante la fase de desarrollo e implementación del software. Entre las vulnerabilidades comunes se incluyen errores de diseño, errores de configuración y fallos de software. El análisis de penetración se basa en dos mecanismos: la evaluación de vulnerabilidades y las pruebas de penetración (VAPT).

Las dos partes de las pruebas de vulnerabilidad a menudo se confunden. Una evaluación de vulnerabilidad enumera las debilidades conocidas a gran escala y se detiene ahí, mientras que una prueba de penetración explota de forma segura una selección de ellas para demostrar su impacto en el mundo real. Al realizarse juntas, separan los hallazgos teóricos de aquellos que realmente ponen los datos en riesgo.

¿Por qué realizar pruebas de penetración?

Las pruebas de penetración son esenciales en una empresa porque:

• Los sectores financieros como los bancos, la banca de inversión y las bolsas de valores quieren que sus datos estén protegidos, y las pruebas de penetración son esenciales para garantizar la seguridad.
• Si el sistema de software ya ha sido pirateado, la organización quiere determinar si aún existen amenazas en el sistema para evitar futuros ataques.
• Las pruebas de penetración proactivas son la mejor protección contra los hackers.
• Los marcos de cumplimiento lo esperan. El requisito 11.4 de PCI DSS, por ejemplo, exige pruebas de penetración internas y externas al menos anualmente y después de cualquier cambio significativo.

Tipos de pruebas de penetración

El tipo de prueba de penetración seleccionado generalmente depende del alcance y de si la organización desea simular un ataque por parte de un empleado o administrador de red (fuentes internas) o por fuentes externas. Existen tres tipos de pruebas de penetración, y son:

• Negro Box Pruebas
• Blanco Box Pruebas de penetración
• Gris Box Pruebas de penetración

En las pruebas de penetración de caja negra, el evaluador desconoce los sistemas que se van a probar. Su responsabilidad consiste en recopilar información sobre la red o el sistema objetivo.

En las pruebas de penetración de caja blanca, el evaluador suele recibir información completa sobre la red o los sistemas que se van a probar, incluyendo el esquema de direcciones IP, el código fuente y los detalles del sistema operativo. Esto puede considerarse una simulación de un ataque por parte de cualquier fuente interna, como un empleado de la organización.

En las pruebas de penetración de caja gris, el evaluador dispone de un conocimiento parcial del sistema. Se puede considerar un ataque perpetrado por un hacker externo que ha obtenido acceso ilegítimo a la documentación de la infraestructura de red de una organización.

La tabla que aparece a continuación muestra los tres tipos uno al lado del otro para que pueda relacionar cada tipo de interacción con la amenaza que realmente desea modelar.

Aspecto	Negro Box	Blanco Box	Gris Box
Información proporcionada al evaluador	Ninguna	Completo: código fuente, esquema IP, detalles del sistema operativo	Parcial: credenciales o documentos limitados
Atacante simulado	Un forastero sin acceso	Un informante o desarrollador	Un forastero que ya había logrado afianzarse.
Tiempo dedicado al reconocimiento	Alto	Bajo	Moderado
Cobertura típica de la base de código	Solo lo que es accesible desde fuera	Más profundo, porque el interior es visible.	Centrado en la ruta de ataque expuesta

Cómo hacer pruebas de penetración

Para realizar una prueba de penetración, es necesario llevar a cabo las siguientes actividades. La siguiente imagen resume las cuatro fases antes de describir cada una de ellas.

Paso 1) Fase de planificación

1. Se determina el alcance y la estrategia de la tarea.
2. Las políticas y estándares de seguridad existentes se utilizan para definir el alcance.

Paso 2) Fase de descubrimiento

1. Recopile la mayor cantidad de información posible sobre el sistema, incluidos los datos del sistema, los nombres de usuario e incluso las contraseñas. Esto también se conoce como huella digital.
2. Escanee y sondee los puertos.
3. Verificar vulnerabilidades del sistema.

Paso 3) Fase de ataque

1. Encuentra exploits para las diversas vulnerabilidades. Necesitas los privilegios de seguridad necesarios para explotar el sistema.

Paso 4) Fase de presentación de informes

1. Un informe debe contener conclusiones detalladas.
2. Riesgos de las vulnerabilidades detectadas y su impacto en el negocio.
3. Recomendaciones y soluciones, si las hubiera.

La tarea principal en las pruebas de penetración es recopilar información del sistema. Hay dos maneras de recopilar información:

• Modelo 'uno a uno' o 'uno a muchos' con respecto al host: Un probador realiza técnicas de forma lineal contra un único host objetivo o un grupo lógico.ping de hosts de destino (por ejemplo, una subred).
• Modelo de "muchos a uno" o "muchos a muchos": El evaluador utiliza múltiples hosts para ejecutar técnicas de recopilación de información de forma aleatoria, con límite de velocidad y no lineal.

Ejemplos de herramientas de prueba de penetración

Existe una amplia variedad de herramientas que se utilizan en las pruebas de penetración, y la Herramientas importantes de Pentest son:

1) Teramind

Teramind ofrece un conjunto completo para la prevención de amenazas internas y el monitoreo de empleados. Mejora la seguridad mediante análisis de comportamiento y prevención de pérdida de datos, garantizando el cumplimiento y optimizando los procesos comerciales. Su plataforma personalizable se adapta a diversas necesidades organizativas y proporciona información procesable que se centra en aumentar la productividad y salvaguardar la integridad de los datos.

Características:

• Prevención de amenazas internas: Detecta y previene acciones de los usuarios que puedan indicar amenazas internas a los datos.
• Optimización de procesos empresariales: Utiliza análisis de comportamiento basados ​​en datos para redefinir los procesos operativos.
• Productividad de la fuerza laboral: Supervisa la productividad, la seguridad y el cumplimiento normativo de los empleados.
• Gestión del cumplimiento normativo: Ayuda a gestionar el cumplimiento con una solución única y escalable, adecuada para pequeñas empresas, grandes corporaciones y organismos gubernamentales.
• Análisis forense de incidentes: Proporciona evidencia para enriquecer la respuesta a incidentes, las investigaciones y la inteligencia sobre amenazas.
• Prevención de pérdida de datos: Supervisa y protege contra la posible pérdida de datos confidenciales.
• Supervisión de empleados: Ofrece funcionalidades para supervisar el rendimiento y las actividades de los empleados.
• Análisis del comportamiento: Analiza datos detallados sobre el comportamiento de los clientes en la aplicación para obtener información valiosa.
• Configuración de monitorización personalizable: Permite personalizar la configuración de monitorización para adaptarla a casos de uso específicos o para implementar reglas predefinidas.
• Información del panel de control: Proporciona visibilidad e información práctica sobre las actividades de la fuerza laboral a través de un panel de control integral.

Visitar Teramind >>

1. NMapa – Esta herramienta se utiliza para realizar escaneo de puertos, identificación del sistema operativo, trace la ruta y el escaneo de vulnerabilidades.
2. Nessus – Esta es una herramienta tradicional para detectar vulnerabilidades en la red.
3. Pass-The-Hash: esta herramienta se utiliza principalmente para descifrar contraseñas.

Función y responsabilidades de los probadores de penetración

El trabajo de un probador de penetración consiste en:

• Recopile la información necesaria de la organización para poder realizar pruebas de penetración.
• Encuentre fallas que podrían permitir a los piratas informáticos atacar una máquina objetivo
• Piensa y actúa como auténticos hackers, aunque de forma ética.
• Haz que el trabajo sea reproducible, para que a los desarrolladores les resulte fácil corregirlo.
• Acuerden de antemano la fecha de inicio y la fecha de finalización de la ejecución de la prueba.
• Asuma la responsabilidad por cualquier pérdida en el sistema o información durante el pruebas de software
• Mantenga la confidencialidad de los datos y la información.

Pruebas de penetración manuales frente a pruebas de penetración automatizadas

La mayoría de los proyectos reales combinan ambos enfoques. La siguiente comparación muestra dónde se justifica cada uno.

Pruebas de penetración manuales	Prueba de penetración automatizada
Prueba manual Requiere profesionales expertos para realizar las pruebas.	Las herramientas de prueba automatizadas brindan informes claros con profesionales menos experimentados.
Las pruebas manuales requieren Excel y otras herramientas para track eso	Pruebas de automatización Tiene herramientas centralizadas y estándar.
En las pruebas manuales, los resultados de las muestras varían de una prueba a otra.	En el caso de las Pruebas Automatizadas, los resultados no varían de una prueba a otra.
Los usuarios deben recordar la limpieza de la memoria.	Las pruebas automatizadas tendrán limpiezas integrales.

Desventajas de las pruebas de penetración

Las pruebas de penetración no pueden detectar todas las vulnerabilidades del sistema. Existen limitaciones de tiempo, presupuesto, alcance y las habilidades de los evaluadores de penetración.

Los siguientes serán efectos secundarios cuando realicemos pruebas de penetración:

• Pérdida de datos y corrupción
• Down Time
• Aumentar costos

La infografía que aparece a continuación recoge las mismas ventajas y desventajas, junto con las razones por las que las organizaciones realizan la prueba de todos modos.

Estas limitaciones explican por qué una prueba de penetración funciona mejor como complemento de una política de seguridad bien implementada, en lugar de sustituirla. Los evaluadores deben actuar como hackers reales, comprobar si el código está escrito de forma segura y repetir el ejercicio según un cronograma documentado.

Preguntas Frecuentes