Programa PenTesting
Realizar una prueba de pentesting de forma regular es una manera útil de identificar las vulnerabilidades graves en un entorno de TI. Este trabajo será realizado por un hacker ético de confianza utilizando un enfoque metódico y completo.
Para completarlo, hay 6 fases críticas que vamos a desarrollar para entenderlo:
FASE 1. Interacciones previas al compromiso
En esta fase se explicarán la logística de la prueba, las expectativas, las implicaciones legales, los objetivos de prueba que la empresa como cliente quisiera alcanzar. Les explicarían el riesgo asociado con la prueba que realizarán, su cultura organizativa y la estrategia de pentesting existente (en caso que tenga uno). Posteriormente se haría un contrato con la empresa y desarrollarían un plan adecuado con su colaboración.
FASE 2. Reunión de reconocimiento o inteligencia de código abierto (OSINT)
Ahora sí, comenzaría a ejecutarse…
Un pentester empezaría a trabajar para descubrir los “objetivos potenciales” para llevar a cabo los ataques.
Por ejemplo, puede realizar consultas de buscadores, buscadores DNS / WHIS, ingeniería social, registros de impuestos, huellas de Internet (dirección de correo electrónico, nombres de usuario, contraseñas, redes sociales, etc), huellas internas (barridos de ping, escaneo portuario, DNS inverso), etc.
FASE 3. Amenaza de modelamiento e Identificación de vulnerabilidad
Una vez que el pentester identificase los objetivos legítimos, trazará una estrategia detallada de ataque. Por ejemplo, identificará los activos comerciales críticos (datos de los empleados, datos de los clientes, otros datos técnicos) y planificará robarlos o acceder a ellos.
También identificará otras amenazas. Estas amenazas pueden emanar del interior de la organización (dirección, empleados, vendedores asociados, proveedores, etc.). También identificará amenazas externas, por ejemplo: puertos, protocolos de red, aplicaciones web, tráfico de red, etc.
Descubrirá todas las vulnerabilidades y hará un inventario de esas vulnerabilidades. Tras esto validará todas las vulnerabilidades y verá si es explotable o no.
FASE 4. Explotación
Con un mapa de todas las posibles vulnerabilidades y puntos de entrada en la mano, el pentester comenzará a probar las hazañas encontradas dentro de la red de la empresa, aplicaciones y datos. Verá hasta dónde puede llegar al entorno e identificar objetivos de alto valor, sin ser detectado.
Pero el pentester no irá más allá del alcance que se habría decidido en la etapa uno.
Por lo general tratará explotar los ataques de aplicaciones web, los de red, los basados en memoria, los de Wi-Fi, los de día cero, los físicos, los de ingeniería social, etc.
FASE 5. Post-explotación, análisis de riesgos y recomendaciones
En esta etapa, el pentester documentará todos los métodos que usó en la última etapa. También intentará determinar el valor de los datos capturados.
Un buen pentester tratará de mostrarte las recomendaciones para arreglar los agujeros de seguridad y las vulnerabilidades.
Tras haber compartido sus recomendaciones, procederá a limpiar y cualquier acceso que haya obtenido para penetrar en el entorno y eliminar todos los artefactos (por ejemplo, ejecutables-archivos, guiones, archivos temporales, cuentas de usuario creadas, etc). También reconfigurará el ajuste de ordenadores o dispositivos de vuelta a los parámetros originales que estaban allí antes del pentest.
También impedirá el acceso no autorizado futuro al sistema cualquiera que sea necesario.
FASE 6. Reporte
Este es quizá el aspecto más crítico. Es donde, se obtiene el informe integral sobre todas las vulnerabilidades encontradas y cómo fueron encontradas, métodos de ataque decididos y llevados a cabo, cuál fue el valor de los datos accedidos o robados.
El informe de penteración también puede darte un puntaje global del riesgo de seguridad y ser un ejercicio de apertura de ojos para mejorar tu postura general de seguridad.
Sin duda las pruebas de software son difíciles y divertidas al mismo tiempo. Aprovechamos para recomendaros un evento sobre Testing que tendrá lugar la próxima semana durante los días 20, 21, 22 octubre en formato online. Se trata de la 20ª Conferencia Internacional sobre Testing y Calidad de Software en Sistemas Embebidos con ponentes de todo el mundo hablarán de los temas más actuales como security management, security testing, IOT testing o testing AI, pero también de disciplinas más tradicionales como test automation, estrategias de validación y verificación o técnicas de testing. Redborder también tendrá su stand como solución de ciberseguridad NGIPS, ¡no podríamos perdérnoslo!
