¿Qué es el Pentesting?

El pentesting, también conocido como pruebas de penetración, es una práctica que pone a prueba un sistema informático, red o aplicación web con el fin de encontrar vulnerabilidades o fallas en la seguridad siempre adoptando la postura de un atacante maligno.

Las organizaciones que tienen mayor conciencia sobre los riesgos en la seguridad informática suelen invertir recursos que cubren el aspecto tecnológico, como firewalls, detectores de intrusos, antivirus, etc. así como en sistemas de monitoreo para detectar actividad maliciosa en sus redes, sistemas y aplicativos. Sin embargo, son aún más escasas las organizaciones que van más allá de las herramientas tecnológicas y deciden probar qué tan vulnerables pueden ser sus sistemas mediante pruebas de penetración y/o análisis de vulnerabilidades.

Una de las razones principales para adoptar esta práctica, es que al realizarlas se puede obtener una vision distinta a toda la información que proviene de la empresa, ya que el objetivo de estas pruebas es mostrar la manera en que un atacante podría comprometer el sistema o la información de la organización para así poder prevenir ataques externos hacia esos equipos o sistemas. Las pruebas de penetración no buscan reemplazar los otros controles y actividades de ciberseguridad de la organización sino complementarlas. 

El consultor responsable de ejecutar las pruebas de penetración, ya sea un recurso interno en la empresa o una empresa externa, debe tener el conocimiento y habilidades para tomar la información que nos otorgan las herramientas de seguridad y analizarlo desde la perspectiva de un atacante. 

Beneficios del Pentesting: 

• Se obtiene una perspectiva de lo que un atacante podría llegar a ocasionar.
• En el evento de que un atacante haya tenido éxito, un pentester les preverá un plan de remediación buscando las pistas que el atacante pudo haber dejado tras su cometido.
• Un pentester puede proveernos con información esencial y enfocada acerca de los posibles blancos que pudiera atacar.

Proceso del Pentesting:

1. Planeación y alcance
   Durante esta etapa se pretende que tanto el proceso de las pruebas como los requerimientos del cliente queden claras (generalmente por escrito). Esto se hace por medio de alcances y metodologías definidas y en contratos. Esta es la línea delgada que diferencia pruebas de penetración y hackeo.
2. Obtención de información e identificación de vulnerabilidades
   Una vez que los alcances estén claramente definidos comienza el trabajo, en esta fase el objetivo es obtener la mayor cantidad de información del entorno donde se encuentra el objetivo y prepararse para identificar vulnerabilidades.
3. Ataque y explotación
   Durante esta fase el objetivo es penetrar en la red lo más profundo que sea posible mediante técnicas y Exploits basadas en la información obtenida en la fase anterior, manteniendo en la vista los acuerdos y alcances (punto 1)que son los que marcaran los límites al pentester
4. Reportes y comunicado de resultados
   Un requerimiento clave para realizar una prueba de penetración exitosa es proveer información útil al cliente acerca de la seguridad y del entorno de tecnologías de información. Debe realizarse de manera clara y sobretodo dando recomendaciones para implementar nuevos controles de seguridad y/o mejorar los ya existentes.

Si estás interesado en recibir más información, por favor ponte en contacto con nosotros a través de este formulario. Recuerda que si estás pensando en adquirir servicios de Pentesting o estarías interesado en obtenerlos en el futuro, debes de acercarte a entidades de confianza, ya que estarías exponiendo gran parte de tus sistemas y sobretodo, ¡Tu información!.

Autor: Eleazar Salazar Oviedo

Edición: Martín Chávez

Diseño: Jesus Jezzini