mi cliente quiere ver los resultados de nuestra prueba de penetración. ¿debo compartir los resultados con terceros?
no es una buena idea enviar resultados fuera de su empresa; un informe de prueba de penetración contiene información extremadamente confidencial y solo debe estar disponible para recursos internos de confianza en una base de "necesidad de saber". no se recomienda compartir informes detallados con personas externas. una vez que el informe se comparte con un tercero, es difícil garantizar el control sobre su distribución. un informe de prueba de penetración puede ser una hoja de ruta para las vulnerabilidades de una organización y no debe distribuirse afuera a menos que sea absolutamente necesario. un operador de penetración de red debe proporcionar una versión resumida del informe que detalle el alcance, el enfoque, las calificaciones y los resultados categóricos. este informe es más apropiado para que lo comparta una organización. es común incluir planes de remediación resumidos, si corresponde, pero en última instancia, el tercero debe recibir documentación que les brinde la tranquilidad de que existe un programa de pruebas continuas y maduras que evalúa proactivamente el entorno y que los hallazgos claves se están abordando de manera adecuada. proporcionar a la parte externa detalles específicos de la prueba podría presentar un riesgo de seguridad significativo. se puede proporcionar un resumen entregable a terceros que proporciona información sobre las pruebas sin revelar detalles confidenciales.
estos son términos inteligentemente utilizados para fines de marketing y no deben considerarse al momento de elegir un proveedor de pruebas de penetración. al seleccionar un equipo para realizar la prueba, la empresa debe centrarse en las credenciales de todos los miembros del equipo en el proyecto, su experiencia, las referencias de las empresas a las cuales el proveedor ha prestado servicios y, en última instancia, que su enfoque y metodología sean aceptados por la industria. estas características son lo que importa para garantizar que una prueba se realice de forma segura, integral y en la que se pueda confiar.
no es una buena idea enviar resultados fuera de su empresa; un informe de prueba de penetración contiene información extremadamente confidencial y solo debe estar disponible para recursos internos de confianza en una base de "necesidad de saber". no se recomienda compartir informes detallados con personas externas. una vez que el informe se comparte con un tercero, es difícil garantizar el control sobre su distribución. un informe de prueba de penetración puede ser una hoja de ruta para las vulnerabilidades de una organización y no debe distribuirse afuera a menos que sea absolutamente necesario. un operador de penetración de red debe proporcionar una versión resumida del informe que detalle el alcance, el enfoque, las calificaciones y los resultados categóricos. este informe es más apropiado para que lo comparta una organización. es común incluir planes de remediación resumidos, si corresponde, pero en última instancia, el tercero debe recibir documentación que les brinde la tranquilidad de que existe un programa de pruebas continuas y maduras que evalúa proactivamente el entorno y que los hallazgos claves se están abordando de manera adecuada. proporcionar a la parte externa detalles específicos de la prueba podría presentar un riesgo de seguridad significativo. se puede proporcionar un resumen entregable a terceros que proporciona información sobre las pruebas sin revelar detalles confidenciales. una prueba de penetración es un método para evaluar la efectividad de los controles de seguridad de una organización. las pruebas se realizan bajo condiciones controladas, simulando escenarios representativos de como un verdadero hacker atacaría la red. una prueba de penetración va más allá del análisis de vulnerabilidades básicas para determinar cómo un atacante podría tener acceso a activos de información confidencial, información de identificación personal, datos financieros, propiedad intelectual o cualquier otra información confidencial. las pruebas de penetración utilizan herramientas y técnicas, guiadas por una metodología disciplinada y repetible, que dan como resultado un informe que contiene hallazgos detallados y recomendaciones que permiten a una organización implementar medidas y mejorar la postura de seguridad de la organización. estas mejoras en última instancia reducen la probabilidad de que un atacante pueda obtener acceso a la red. tanto las pruebas de penetración como las evaluaciones de vulnerabilidades son herramientas útiles para encontrar vulnerabilidades en una red. si bien estos son diferentes métodos de prueba, son complementarios y ambos deben realizarse. una exploración de vulnerabilidad es un método automatizado para probar vulnerabilidades comunes de redes y servidores. muchas herramientas automatizadas están disponibles y la mayoría son configuradas fácilmente por el usuario final para analizar las vulnerabilidades publicadas de forma programada. si bien un análisis de vulnerabilidad automatizado es muy eficiente y rentable para identificar vulnerabilidades comunes, como parches faltantes, configuraciones erróneas del servicio y otras debilidades conocidas, no es tan preciso para validar las vulnerabilidades ni determinar completamente el impacto a través de la explotación. los escáneres automatizados son más propensos a reportar falsos positivos (reportan vulnerabilidades incorrectamente) y falsos negativos (fallan identificando vulnerabilidades reales, especialmente aquellas que afectan las aplicaciones web). una prueba de penetración se centra en la red total incluyendo redes wi-fi, redes internas, externas, y sitios web. en muchos sentidos, retoma el lugar donde se detienen los escáneres para proporcionar un análisis completo de la seguridad cibernética real de la empresa. la mayor parte de una prueba de penetración es manual por naturaleza. una prueba de penetración identifica vulnerabilidades que los exploradores automatizados no pueden encontrar, como fallas inalámbricas, vulnerabilidades de aplicaciones web y vulnerabilidades aún no publicadas. una prueba de penetración también incluye un proceso de explotación de las vulnerabilidades encontradas en forma segura y controlada para identificar el riesgo real de estas. procesos como elevación de privilegios para demostrar cómo un atacante podría obtener acceso a activos de información confidencial son parte de una prueba de penetración. las pruebas de penetración y las exploraciones de vulnerabilidad automatizadas tienen un propósito y ambos tipos de pruebas pertenecen a un programa de evaluación de vulnerabilidad integral. el análisis automatizado de vulnerabilidades debe programarse para ejecutarse con frecuencia, idealmente al menos semanalmente, con pruebas de penetración de la red programadas trimestralmente o cuando se planifican cambios significativos en un entorno de red. los objetivos de una prueba de penetración varían mucho según el alcance de la revisión. en términos generales, el objetivo de una prueba de penetración es validar la efectividad de los controles de seguridad diseñados para proteger el sistema o los activos protegidos. las pruebas de penetración deben realizarse por una variedad de razones. algunas de las razones más comunes por las que las empresas realizan pruebas de penetración de red incluyen:
los estándares regulatorios más relevantes requieren que se realicen pruebas de penetración.
las pruebas de penetración pueden identificar vulnerabilidades introducidas inadvertidamente durante cambios en el entorno, como una actualización importante o una reconfiguración del sistema.
las pruebas de penetración se pueden integrar en el proceso de control de calidad del ciclo de vida del desarrollo del software para evitar que los errores de seguridad entren en los sistemas de producción.
las organizaciones, especialmente aquellas que actúan como custodios de datos, deben realizar pruebas para asegurar que sus clientes están seguros cuando interactúan con los sistemas tecnológicos de la empresa. las pruebas de penetración pueden demostrar un compromiso con la seguridad desde la perspectiva del cliente y dar testimonio de que sus activos o servicios se están administrando de manera segura.
las pruebas de penetración son un requisito común como parte de los esfuerzos en curso para administrar amenazas, vulnerabilidades y riesgos para una organización. los resultados se pueden utilizar como entrada en un proceso de gestión de riesgos en curso.
las pruebas de penetración permiten a las empresas evaluar los controles de seguridad de los posibles objetivos vulnerables.
las pruebas de penetración pueden indicar a una organización dónde pueden existir vulnerabilidades para tener una respuesta integral y evitar futuros incidentes.
las pruebas de penetración permiten a las empresas evaluar de forma proactiva las vulnerabilidades emergentes o recién descubiertas que no se conocían o que aún no han sido publicadas.
las pruebas de penetración sirven como ayuda para los equipos de desarrollo que están escribiendo nuevas aplicaciones web. muchos ciclos de desarrollo incluyen pruebas de penetración en etapas claves del proceso. la corrección de fallas suele ser menos costosas cuando se realizan antes de que estas aplicaciones estén en producción. como se mencionó anteriormente, las pruebas de penetración son un proceso extremadamente disciplinado. seguridad-ofensiva mantiene a todas las partes interesadas bien informadas a través de cada etapa clave del proceso. nuestros clientes pueden esperar de nosotros:
un enfoque bien coordinado, planificado, documentado y comunicado a nuestros clientes en forma oportuna.
seguimos un enfoque disciplinado y repetible.
nuestro enfoque es personalizado para adaptarse al entorno único de su empresa.
utilizamos un proceso de iniciación, de planificación, pruebas coordinadas y un proceso de entrega colaborativo claramente definidos para garantizar resultados precisos y una comprensión clara de nuestros reportes para maximizar remediaciones de altos estándares. si la prueba de penetración no se planifica y coordina adecuadamente, puede ser perjudicial. por esta razón, es imperativo que la planificación se realice de manera adecuada e integral con el objetivo de identificar los riesgos potenciales de interrupción de los servicios y ajustar el enfoque en consecuencia. esta planificación debe llevarse a cabo antes de la fecha de inicio de las pruebas para garantizar un tiempo adecuado para la comunicación con las partes interesadas. la comunicación y el monitoreo deben continuar a lo largo de todo el proyecto. depende, ya que se debe pensar en una variedad de factores cuando se considera la frecuencia para realizar pruebas de penetración. esto incluye:
con qué frecuencia cambia el entorno: las pruebas de penetración se deberían sincronizar para que se correlacionen con los cambios en los sistemas de producción ya que los cambios podrían generar vulnerabilidades que son imperceptibles.
qué tan grande es el entorno: los entornos más grandes se prueban frecuentemente en fases para nivelar el esfuerzo de prueba, las actividades de remediación y la carga colocada en el entorno.
factores presupuestarios: las pruebas deben tener un alcance para enfocarse en los activos más críticos de acuerdo con un cronograma que es compatible con la asignación de presupuestos de seguridad. recuerde que la frecuencia de las pruebas debe ajustarse para satisfacer las necesidades únicas de la organización; y es importante que esas necesidades se comprendan e incorporen al enfoque de prueba desde el principio. las pruebas con poca frecuencia permiten una ventana que aumenta la exposición de una organización. por otro lado, si las pruebas se realizan con demasiada frecuencia, no hay tiempo suficiente para remediar las vulnerabilidades antes de que se reanuden las pruebas. por eso es importante lograr un equilibrio. las empresas que reconocen la importancia de las pruebas de penetración de red implementarán las pruebas de forma recurrente. los programas de prueba de penetración recurrentes permiten que los sistemas estén más seguros y que las vulnerabilidades sean remediadas de forma oportuna. el alcance de una prueba de penetración siempre debe personalizarse para adaptarse a la naturaleza única de su empresa. una variedad de consideraciones, tanto internas como externas a una organización, impactan y guían el alcance de una prueba de penetración:
la naturaleza del negocio y los tipos de productos/servicios ofrecidos
requisitos de cumplimiento y plazos
consideraciones geográficas
estructura organizativa
los planes estratégicos de la organización
expectativas del cliente, especialmente cuando una organización actúa como custodio de los datos de los clientes
el valor de los activos de la empresa
redundancia en el medio ambiente que puede afectar los umbrales de muestreo
segmentación de redes y conectividad
la edad de los diferentes componentes del entorno
cambios recientes o planificados en el entorno.
todos estos factores deben discutirse y entenderse para asegurarse de que el alcance sea adecuado y para asegurar que las pruebas se centren en las áreas del entorno que lo justifican. las áreas más comunes seleccionadas para una prueba de penetración incluyen típicamente redes externas, redes internas, aplicaciones web, redes inalámbricas y conciencia de seguridad de los empleados (a través de ingeniería social).
prueba de penetración de aplicaciones web:
hay más de 100 áreas específicas revisadas dentro de cada aplicación web. la prueba comienza inicialmente con la recopilación de información seguida por la administración de la configuración e implementación de pruebas, la administración de identidades, la autenticación, la autorización, la administración de sesiones, la validación de datos, el manejo de errores, la capacidad de criptografía, la lógica empresarial, la seguridad del lado del cliente y otras pruebas específicas de lenguaje de desarrollo, según corresponda. nuestro enfoque proporciona un marco flexible para identificar y evaluar vulnerabilidades técnicas de manera integral. nuestras pruebas se realizan con el conocimiento previo de nuestros clientes para asegurar una comprensión profunda del propósito de la prueba. se proporcionan credenciales para facilitar una revisión no solo desde la perspectiva de un usuario no autorizado, sino también para identificar posibles riesgos de autenticado, como la escalada de privilegios desde la perspectiva de un usuario autorizado.
prueba de penetración de la red externa:
pruebas de penetración de redes externas se centran en la red frente a internet en su conjunto. comienza con el reconocimiento para identificar objetivos potenciales. cualquier red, host o servicio que responda puede ser un posible punto de entrada en la red segura. si bien las aplicaciones web identificadas pueden utilizarse para obtener acceso, las pruebas de penetración de la red son mucho más amplias para explorar cualquier servicio expuesto y las relaciones entre ellos. las vulnerabilidades descubiertas se analizan para explotar las debilidades y escalar los privilegios hacia la red interna.
prueba de penetración de la red interna:
las pruebas de penetración de la red interna son muy similares a las pruebas de penetración externas con la excepción de la perspectiva. mientras que una prueba de penetración externa se realiza de forma remota para simular un atacante externo, una prueba de penetración de la red interna se realiza desde detrás de los cortafuegos perimetrales. el enfoque general es el mismo que el de una prueba de penetración externa, sin embargo, los sistemas y redes de destino son muy diferentes. la realización de pruebas en el sitio permite que el operador de la penetración se dirija a hosts no expuestos externamente, como controladores de dominio, servidores de archivos, servidores de aplicaciones internos, bases de datos, estaciones de trabajo de usuarios y otros dispositivos conectados.
prueba de penetración de redes inalámbricas:
las pruebas de penetración de redes inalámbricas evalúan la idoneidad de los múltiples controles de seguridad diseñados para proteger el acceso no autorizado a sus servicios inalámbricos. las pruebas analizan e intentan explotar las vulnerabilidades inalámbricas para obtener acceso a ssid inalámbricos privados (protegidos) autorizados para realizar pruebas. se pueden realizar escenarios de prueba adicionales, como cuando se proporciona acceso inalámbrico de invitados a los visitantes con expectativas de que el acceso esté limitado de alguna manera.
prueba de ingeniería social y concientización de seguridad para los empleados:
la ingeniería social es una evaluación remota realizada en condiciones controladas, diseñada para validar la efectividad de la conciencia de seguridad de los empleados y los procesos de respuesta a estos incidentes. las pruebas incluyen aprovechar un sitio web “malicioso” ficticio cuidadosamente diseñado, campañas de correo electrónico dirigidas a empleados específicos, contactos telefónicos u otros escenarios de ataques personalizados. esto se realiza comúnmente poco después del entrenamiento de seguridad o de las campañas de educación para validar su efectividad. verificación de remediación: las pruebas de verificación de remediación validan que las vulnerabilidades identificadas se han remediado exitosamente, proporcionando una confirmación independiente de que las medidas correctivas se han implementado de una manera que impide la explotación de las diferentes vulnerabilidades previamente descubiertas. cuando se contrata a un proveedor de pruebas de penetración, la empresa contratante debe esperar que cada equipo de pruebas de penetración incluya un gerente de proyecto dedicado, un equipo de pruebas capacitado y experimentado, y un punto de escalamiento. el equipo de prueba debe incluir personas con experiencia en profundidad en múltiples tecnologías, incluidas plataformas de clientes, infraestructuras de servidores, desarrollo de aplicaciones web y redes ip. las personas en el equipo deben tener certificaciones válidas relevantes para su función, tales como “windows red team certified expert”, “offensive security certified professional” y “crest – operador de prueba de penetración registrado”, entre otras. muchos operadores de penetración calificados también suelen poseer otras certificaciones de tecnología para demostrar su conocimiento y competencia. una vez que se completa la prueba de penetración, la empresa contratante debe recibir la documentación de la prueba de penetración en un informe que detalla todos los hallazgos, recomendaciones y evidencias de respaldo. el reporte debe documentar claramente el alcance y los límites del compromiso, así como las fechas en que se realizó la prueba. además, todos los hallazgos detallados deben incluirse en un formato técnico, así como resumirse para audiencias no técnicas. el informe debe incluir:
recomendaciones detalladas para mejoras que documenten claramente las vulnerabilidades observadas
una discusión de los impactos potenciales generados por las vulnerabilidades descubiertas en la red de la empresa
instrucciones específicas para remediar, incluyendo referencias de instrucción cuando sea apropiado
pruebas de apoyo y ejemplos
un tutorial paso a paso y pantalla por pantalla que muestra cualquier vulnerabilidad para permitir que una organización comprenda y reproduzca el escenario
informes ejecutivos y resumen para audiencias no técnicas.
en seguridad-ofensiva, nuestros operadores de pruebas de penetración están calificados para preparar estos documentos y reportes como parte del proceso. toda nuestra documentación es de alta calidad y revisada con el cliente para validar la precisión y garantizar que las recomendaciones se entiendan bien. la validación de la remediación de las vulnerabilidades se puede realizar mediante una variedad de métodos, ya sea internos o mediante pruebas de verificación independientes externas. algunas organizaciones prefieren realizar un seguimiento de la remediación en la empresa y poseen los recursos para validar de forma independiente una remediación exitosa. es por esto que es crítico que una prueba de penetración se realice de manera repetible. en general, no hay necesidad de preparar nada especial con respecto a cómo se administran los controles de seguridad en el día a día. recuerde que una prueba de penetración es una revisión puntual del entorno. la prueba evaluará la postura de seguridad en ese momento en particular. si los parches se implementan todos los miércoles, por ejemplo, no es necesario cambiar este comportamiento para adaptarse a la prueba de penetración en sí. si los resultados de la prueba de penetración de la red determinan que este proceso requiere atención, ese sería el momento adecuado para realizar el ajuste. una organización debe esperar participar en las actividades de preparación relacionadas con la planificación de la prueba de penetración en sí misma para garantizar que la prueba se pueda realizar en condiciones controladas. también puede ser necesaria alguna preparación relacionada con la colocación del operador de la penetración, específicamente cuando la prueba se realiza en el sitio. la empresa contratante debe estar preparada para participar en las actividades de planificación y coordinación. durante las pruebas internas de penetración de la red, a menudo se requieren credenciales de acceso de visitantes para los operadores de penetración. de lo contrario, no hay mucho más que deba hacerse antes de la prueba. lo primero que se debe hacer es averiguar si el tercero ya tiene un proveedor de pruebas de penetración de red de buena reputación en el sitio web. si es así, se necesita la debida diligencia para validar el alcance, revisar la metodología y comprender si se observaron y analizaron hallazgos claves. se debe confirmar cuándo se probó por última vez, cuándo se probará la próxima vez, y si hay alguna vulnerabilidad de seguridad que el proveedor de alojamiento determina como tolerable. si el tercero no está probando el sitio, o si la prueba que se está realizando no es adecuada, entonces sí, el sitio necesita ser probado. obtenga el permiso del tercero, ya que deberían participar en la planificación, para garantizar que el sitio se pruebe de forma segura y se coordine adecuadamente. si el tercero no permite las pruebas, uno debe considerar seriamente obtener una cláusula de "derecho a auditar" en su contrato o ubicar a otro proveedor de alojamiento que satisfaga la necesidad de una administración de vulnerabilidad continua, incluida la prueba de penetración de la red. debe evaluar todas las vulnerabilidades utilizando primero un modelo basado en el riesgo. cada vulnerabilidad debe evaluarse para determinar el impacto en el negocio y la probabilidad de ser explotada para, en última instancia, asignar una calificación de riesgo. las empresas deben tener criterios de riesgo definidos para determinar los umbrales de remediación. las vulnerabilidades por encima del umbral deben remediarse o compensarse adecuadamente para que se encuentren en niveles de riesgo tolerables. las vulnerabilidades que se encuentran dentro de un umbral aceptable pueden no requerir remediación y, en cambio, pueden ser monitoreadas con el tiempo en caso de que cambie el nivel de riesgo. los entregables de la prueba de penetración de la red deben contribuir a este proceso. en ciertas situaciones, las vulnerabilidades específicas se pueden ver como brechas de cumplimiento; y esas brechas generalmente son remediadas o se implementan controles compensatorios cuando la remediación no es posible. el costo de las pruebas de penetración varía enormemente. se utilizan varios factores para determinar la fijación de precios, que incluyen, entre otros, el alcance del proyecto, el tamaño del entorno, la cantidad de sistemas y la frecuencia de las pruebas. es fundamental tener una reunión de alcance detallada para lograr una comprensión muy clara de las necesidades y desarrollar una declaración de trabajo antes de realizar cualquier prueba de penetración. seguridad-ofensiva define una tarifa antes de realizar la prueba de penetración para eliminar cualquier costo inesperado o gastos no planificados. la tarifa cotizada incluye toda la mano de obra y las herramientas de prueba requeridas. seguridad-ofensiva dedica el tiempo adecuado para definir la planificación y el organigrama para realizar una prueba de penetración. se debe asignar tiempo adicional después de las pruebas para el desarrollo del informe y las reuniones de revisión posteriores, incluidas las discusiones de remediación. todo el esfuerzo varía mucho según el tamaño y la complejidad de la prueba de penetración de la red. cuanto más grande o más complejo sea el entorno, más esfuerzo se requiere. la duración de la prueba, sin embargo, es muy controlable. en general, de dos a cuatro semanas es una buena estimación de la duración de todo el proyecto desde la planificación hasta la entrega final. la prueba real en sí típicamente varía de una a dos semanas dependiendo del tamaño del entorno. es muy raro que una prueba demore más de dos semanas y, cuando el entorno es grande, se debe asignar un equipo de penetración más grande para mantener la ventana de la prueba a una o dos semanas como máximo. para entornos más grandes o más complejos, las pruebas pueden dividirse en fases. depende, ya que asignar recursos internos puede ser un enfoque viable en ciertas situaciones; sin embargo, si la empresa está considerando realizar pruebas de penetración internas, se debe considerar primero lo siguiente:
los operadores de penetración en el personal deben tener experiencia, capacitación y estar familiarizados con una variedad de tecnologías
el equipo de prueba de penetración debe tener una estructura de informes diferente a la de los equipos de ingeniería o de implementación. la separación entre los que administran el entorno y los que prueban el entorno es crucial. nadie, sin importar su habilidad, puede probar objetivamente su propio trabajo
algunos organismos reguladores tienen requisitos de independencia que pueden requerir cambios organizativos o capas adicionales de supervisión antes de que vean la prueba como verdaderamente independiente
se debe obtener y actualizar regularmente un repositorio de herramientas comerciales y de código abierto. como los costos de estas herramientas pueden ser significativos, esto debe incluirse como parte de la decisión para evitar costos inesperados
se necesitan capacidades de administración de proyectos con experiencia en el personal, especialmente en organizaciones más grandes donde se necesita la coordinación con varias unidades de negocios antes del comienzo de la prueba
la capacitación continua y el monitoreo continuo de las vulnerabilidades y amenazas recientemente descubiertas es necesario
también es necesario mantenerse actualizado con las metodologías de prueba, la planificación y los artefactos de entrega
los operadores de penetración deben tener acceso a un laboratorio de pruebas dedicado para desarrollar y probar explotaciones antes de su uso en un entorno de producción
si estos activos están disponibles para una organización o el costo de obtenerlos y mantenerlos es menor que el de un tercero, puede ser más rentable realizar las pruebas de penetración de la red en casa. la mayoría de las veces es mucho más rentable aprovechar a un tercero que ya está equipado para las pruebas de penetración de la red. estos son términos inteligentemente utilizados para fines de marketing y no deben considerarse al momento de elegir un proveedor de pruebas de penetración. al seleccionar un equipo para realizar la prueba, la empresa debe centrarse en las credenciales de todos los miembros del equipo en el proyecto, su experiencia, las referencias de las empresas a las cuales el proveedor ha prestado servicios y, en última instancia, que su enfoque y metodología sean aceptados por la industria. estas características son lo que importa para garantizar que una prueba se realice de forma segura, integral y en la que se pueda confiar.