Glosario de seguridad

Pruebas de penetración frente a escaneo de vulnerabilidades

Estos dos conceptos se confunden a menudo, y a veces se venden como si fueran lo mismo, pero responden a preguntas distintas. Un escaneo de vulnerabilidades pregunta «¿qué podría estar mal aquí?», mientras que una prueba de penetración pregunta «¿qué puede hacer realmente un atacante?». Normalmente necesitas ambos, con distinta frecuencia.

Un escaneo de vulnerabilidades: amplitud automatizada

Un escaneo de vulnerabilidades es una herramienta automatizada que compara los sistemas con una base de datos de problemas conocidos y configuraciones incorrectas y genera una lista de vulnerabilidades potenciales, normalmente con una etiqueta de severidad. Es rápido, barato y repetible, lo que lo hace ideal para ejecutarlo a menudo y cubrir mucho terreno. Pero informa de posibilidades, genera falsos positivos y no puede decirte si un hallazgo es realmente explotable en tu contexto.

Una prueba de penetración: profundidad liderada por personas

Una prueba de penetración la dirigen personas: un tester confirma las debilidades explotándolas y encadena problemas menores por separado en una ruta de ataque realista. Esto es lo que la automatización no puede hacer. La propia OWASP ASVS señala que las herramientas no pueden verificar por completo los requisitos más complejos ni los ligados a la lógica de negocio y al control de acceso. Un pentest encuentra los fallos de lógica y de autorización (como el IDOR entre inquilinos) que los escáneres pasan por alto por su propia naturaleza.

Amplitud frente a profundidad, falsos positivos frente a prueba

Piénsalo como amplitud frente a profundidad. Un escaneo cubre mucha superficie de forma superficial y te deja el triaje de qué es real; un pentest cubre un alcance acotado en profundidad y te entrega hallazgos confirmados con prueba de concepto, contexto de riesgo de negocio y remediación. La salida de un escaneo es un punto de partida; la de un pentest tiene grado de decisión.

Cuándo usar cada uno

Escanea de forma continua, por ejemplo cada mes o en cada despliegue, para detectar problemas conocidos y regresiones a bajo coste. Haz pruebas de penetración de forma periódica y con cada cambio importante, cuando necesites la seguridad de que las rutas de ataque reales están cerradas, o cuando un estándar lo exija. Muchos marcos de cumplimiento esperan ambas cosas: PCI DSS, por ejemplo, exige en el Requirement 11 escaneos de vulnerabilidades periódicos y pruebas de penetración aparte.

Preguntas frecuentes

Un escaneo de vulnerabilidades es una herramienta automatizada que contrasta los sistemas con una base de datos de problemas conocidos e informa de posibilidades; una prueba de penetración la dirigen personas y confirma las debilidades explotándolas, encadenando problemas menores en una ruta de ataque realista. Un escaneo pregunta «¿qué podría estar mal?»; una prueba de penetración pregunta «¿qué puede hacer realmente un atacante?».

No. Un escaneo informa de posibilidades, genera falsos positivos y no puede decir si un hallazgo es realmente explotable; el propio OWASP ASVS señala que las herramientas no pueden verificar por completo requisitos complejos ligados a la lógica de negocio y al control de acceso. Una prueba de penetración encuentra los fallos de lógica y autorización, como el IDOR entre inquilinos, que los escáneres pasan por alto por diseño.

Escanea de forma continua, por ejemplo cada mes o en cada versión, para detectar problemas conocidos a bajo coste. Haz pruebas de penetración periódicamente y con cada cambio importante. Muchos marcos de cumplimiento esperan ambas cosas: PCI DSS, por ejemplo, exige en el Requirement 11 escaneos de vulnerabilidades periódicos y pruebas de penetración independientes.

Habla con un profesional de verdad.

¿Tienes una pregunta que estas páginas no respondieron? Cuéntanos qué intentas proteger y te orientaremos hacia el proyecto adecuado. La primera consulta es gratuita.