¿Qué son las pruebas de penetración en la red?

El objetivo de las pruebas de penetración en la red es revelar e identificar cualquier vulnerabilidad dentro de la organización. Esto incluye una evaluación en profundidad de las medidas de seguridad de red mediante pruebas externas e internas, como pruebas de aplicaciones web y simulacros de ataques de phishing.

La forma en que funciona la penetración en la red es que los hackers éticos, o equipos rojos, utilizan herramientas y técnicas de hacking para realizar un simulacro de ciberataque en el sistema informático de una organización. El objetivo es traspasar el firewall de la organización y obtener acceso no autorizado.

Las pruebas de penetración en la red pueden incluir ataques a aplicaciones web, API, endpoints y controles físicos. Los ataques simulados al sistema operativo pueden revelar puntos débiles de seguridad y mostrar a la organización dónde hay puntos débiles.

Los ataques falsos ayudan a los equipos de seguridad a descubrir vulnerabilidades de seguridad pertinentes en la infraestructura de red. Entre las amenazas más comunes que se pueden probar se incluyen un ataque de denegación de servicio distribuido (DDos, por sus siglas en inglés), un sistema de nombres de dominio (DNS), malware, phishing e inyección SQL.

Los evaluadores también utilizan herramientas para realizar reconocimientos y automatizar el proceso de pruebas de penetración. A menudo se utilizan dos tipos de pruebas: internas y externas.

Pruebas de red internas: en una prueba interna, los pentesters actúan como atacantes internos o como alguien que podría estar intentando realizar un acto malicioso con credenciales robadas. El objetivo principal de este tipo de prueba es encontrar vulnerabilidades que una persona o empleado podría utilizar desde dentro de la organización. Esta simulación se lleva a cabo mediante el robo de información y el abuso de los privilegios para acceder a datos privados o confidenciales.

Pruebas de red externas: los servicios de pruebas de penetración en redes externas tienen por objeto imitar a atacantes externos que intentan penetrar en la red. Estos expertos en pruebas de penetración trabajan para encontrar problemas de seguridad que estén conectados directamente a Internet, como servidores, enrutadores, sitios web, aplicaciones y ordenadores de los empleados, que son riesgos de código abierto.

A menudo, una prueba de penetración en la red sigue cuatro pasos específicos. La prueba concluye con un informe de la prueba de penetración en la red, que es un análisis detallado de los riesgos empresariales y las conclusiones sobre los riesgos.

En esta primera fase, los hackers éticos conversan con los principales stakeholders sobre cuál será el objetivo general de las pruebas y qué vulnerabilidades ha identificado la organización. Antes de realizar una prueba de penetración, debe hacerse una evaluación de la vulnerabilidad.

A partir de ahí, los expertos en pruebas de penetración y los stakeholders deciden qué pruebas realizar y las métricas de éxito que tienen planificado utilizar. Los expertos utilizan varias herramientas y metodologías diferentes para realizar los ataques falsos, como el escaneo de puertos y el mapeo de red (nmap).

Hay tres tipos de perspectiva de prueba que se utilizan habitualmente. Dependiendo de la organización, estas metodologías pueden utilizarse de forma individual o combinadas.

Pruebas de caja negra: una prueba de "caja negra" simula el enfoque de un hacker promedio, que carece de conocimiento interno de la red. Este tipo de prueba sería una prueba de penetración externa porque su objetivo es utilizar vulnerabilidades externas dentro de la red.

Pruebas de caja gris: este tipo de prueba de penetración en la red tiene un enfoque más interno y pretende representar a un hacker con acceso al sistema interno, al mismo tiempo que mantiene algunos de los aspectos de un hacker externo. La prueba de caja gris tiene como objetivo ser un mal actor dentro de una organización que podría tener privilegios elevados que estén siendo utilizados de forma maliciosa.

Pruebas de caja blanca: por último, la prueba de caja blanca es la más intrusiva de los tres tipos de pruebas de seguridad. Esta prueba se realiza para retratar a un informático o a alguien con acceso al código fuente de la organización y a todos los datos posibles sobre el sistema. Esta prueba suele realizarse en último lugar para comprobar la integridad de una arquitectura de TI. Y garantizar aún más la impenetrabilidad de posibles piratas informáticos y ciberataques al sistema de destino.

En la fase de reconocimiento y descubrimiento, los expertos en pruebas de penetración toman datos del reconocimiento para realizar pruebas en vivo y descubrir las vulnerabilidades existentes a través de tácticas, como la ingeniería social. Al utilizar herramientas engañosas para manipular a las personas y hacer que compartan información, los expertos en pruebas de penetración esperan encontrar dónde se encuentran los puntos débiles y comenzar a atacarlos.

En el paso de descubrimiento, los evaluadores pueden utilizar herramientas como un escáner de puertos y un escáner de vulnerabilidades. El escáner de puertos identifica los puertos abiertos en un sistema por los que los hackers podrían entrar y un escáner de vulnerabilidades identifica las vulnerabilidades existentes en un sistema.

El próximo paso consiste en poner en práctica todo el trabajo preliminar realizado hasta este momento. En este paso, estos expertos realizan las pruebas de penetración en la red utilizando herramientas que pueden explotar scripts o intentar robar datos. El objetivo es averiguar cuánto daño pueden causar los hackers éticos y, si consiguen acceder, determinar cuánto tiempo pueden permanecer dentro del sistema.

Los expertos en pruebas de penetración pueden comenzar probando una vulnerabilidad a la vez, pero deberían realizar pruebas en múltiples vulnerabilidades para asegurarse de que se adopta un enfoque amplio para abordar estos riesgos de seguridad.

El último paso consiste en documentar las pruebas de penetración en la red que se han llevado a cabo, revisar los resultados de cada una de ellas y discutir con el equipo de seguridad de la información los pasos para corregir cualquier problema detectado. El informe detalla todo el proceso de principio a fin e identifica las vulnerabilidades, pruebas, datos y recomendaciones para la organización.

Este informe es importante para que el propietario del negocio tenga una imagen completa de los riesgos que se han identificado y un análisis que le ayude a tomar decisiones informadas.