¿Qué son las pruebas de penetración?

Aplicaciones. El evaluador de las pruebas de penetración utiliza herramientas automatizadas y pruebas manuales para buscar vulnerabilidades en las aplicaciones y las bases de datos conectadas. Esto podría implicar examinar los propios binarios de las aplicaciones o los procesos de autorización, cifrado, potencial de SQLi y métodos de ataque comparables.

Redes. La red debe someterse a rigurosas pruebas de penetración como perímetro de seguridad de la organización (al menos en teoría). El proceso suele implicar un análisis sistemático de los controles de acceso administrativos, la capa de sockets seguros (SSL), los protocolos de transporte cifrados, los certificados, la segmentación de red y mucho más.

Nube. Con la nube, el evaluador de las pruebas de penetración examina las configuraciones del sistema, las interfaces de programación de aplicaciones (API) y el almacenamiento. Probablemente, el evaluador también buscará instancias de nube que se hayan configurado sin las políticas estándar implementadas. Esto es más común de lo que la gente cree. Un desarrollador bien intencionado, pero mal informado puede implementar una aplicación y una base de datos en una plataforma en la nube sin aplicar controles de seguridad y ni siquiera notificar a nadie que la instancia en la nube existe.

Procesos de desarrollo de software. El flujo de trabajo de DevOps y el canal de integración e implementación continua (CI/CD) son lugares en los que los desarrolladores incrustan de forma involuntaria errores de codificación y otros errores en el software que hacen que la aplicación sea vulnerable a las filtraciones. Con las pruebas de penetración automatizadas de DevOps y el canal de CI/CD, el evaluador puede encontrar vulnerabilidades ocultas que no se detectan con el análisis de código estático. El evaluador de las pruebas de penetración también intentará acceder al flujo de trabajo del desarrollador y ver si puede insertar código malicioso en la base de código. Realizarán acciones similares con respecto a los contenedores, como Docker.

Dispositivos. El hardware puede ser vulnerable a una filtración tanto como una red o una aplicación. Un evaluador de las pruebas de penetración intentará entrar en el dispositivo a través de vulnerabilidades en los binarios de sus aplicaciones, el firmware y el software del sistema operativo. Es común que los evaluadores de las pruebas de penetración detecten puntos débiles en dispositivos que no han tenido parches de seguridad instalados.

Las API. Un evaluador de pruebas de penetración utilizará una combinación de procesos de pruebas de API manuales y automatizados para determinar si una API tiene alguna de los 10 principales riesgos de seguridad de API del Proyecto Abierto de Seguridad de Aplicaciones Web (OWASP), como la autorización a nivel de objeto comprometida (BOLA), al tiempo que analiza si una API no tiene limitación de velocidad o plantea problemas de autenticación de usuarios.

Las pruebas de penetración ofrecen una serie de ventajas que no están disponibles a través de otras modalidades de pruebas de seguridad. Lo que no resta importancia a las pruebas unitarias, pruebas funcionales y similares. Sin embargo, las pruebas de penetración permiten encontrar fallos de seguridad que otros procesos simplemente no pueden detectar.

Además, las pruebas de penetración pueden mostrar toda la cadena de ataque: cómo descubrió el atacante la vulnerabilidad, cómo la explotó, y cómo obtuvo acceso y lo mantuvo. Como consecuencia, las pruebas de penetración permiten a los equipos de seguridad solucionar problemas sistémicos que, de otro modo, serían invisibles. Una prueba de penetración eficaz también mostrará lo potente que es realmente un control o una contramedida. Esto es tanto más importante si se tiene en cuenta el cumplimiento de normativas como las PCI DSS y el RGPD.

Los enfoques de las pruebas de penetración varían en función del número y la naturaleza de los objetivos de explotación, el nivel de información disponible u obtenida por el evaluador, y las herramientas, habilidades y recursos que este tenga a su disposición. Varios enfoques de pruebas de penetración incluyen diversas formas de lo que se conoce como pruebas de caja:

Pruebas de penetración de caja negra: al adoptar un enfoque de caja negra (también conocido como caja cerrada o de simple ciego) para las pruebas de penetración, el evaluador no tiene conocimientos previos del sistema objetivo y lo prueba solo desde una perspectiva externa para simular un ataque real. Utilizan las tácticas más creativas e imparciales que pueden sin suposiciones. 

Pruebas de penetración de caja blanca: en un enfoque de caja blanca (también conocida como enfoque de caja abierta o caja transparente), el evaluador de las pruebas de penetración obtiene acceso aprobado previamente a la información de seguridad de la empresa. Por lo tanto, realizan la prueba desde una posición informada. Este enfoque le ahorra al especialista el tiempo que pasa haciendo conjeturas, lo que podría permitirle identificar más riesgos. También proporciona amplia información sobre el sistema objetivo, como diagramas de la arquitectura, código fuente y funcionalidad. Permite un análisis exhaustivo y detallado, que revela vulnerabilidades más profundas que podrían no ser visibles con información limitada. 

Pruebas de penetración de caja gris: en un enfoque de caja gris, el equipo de hackers tiene acceso a información parcial sobre el sistema de la empresa. Como resultado, tienen más posibilidades de identificar vulnerabilidades de alto riesgo y priorizar su corrección.

Un enfoque encubierto o doble ciego es aquel en el que los usuarios habituales, incluido el personal de TI, no son conscientes de que se está realizando la prueba. Prueba la capacidad de TI para responder a las filtraciones en tiempo real. Esta prueba podría incluir informar a las fuerzas del orden desde el principio para no causar falsas alarmas.