Glosario de seguridad

¿Qué son las pruebas de penetración?

Una prueba de penetración (pentest) es un ataque autorizado y simulado contra un sistema, realizado como lo haría un atacante real, para encontrar y confirmar debilidades antes de que lo haga alguien con malas intenciones. La palabra clave es «confirmar»: un pentest demuestra que el problema es explotable en lugar de limitarse a señalarlo como posible.

Valida, no solo escanea

La distinción clave, recogida en NIST SP 800-115, es que una prueba de penetración explota activamente una debilidad para confirmar que existe, en lugar de limitarse a informar de que una vulnerabilidad podría estar presente. Por eso un buen pentest separa lo real de los falsos positivos de los escáneres: cada hallazgo viene con su prueba. La contrapartida es que se trata de un ejercicio puntual y acotado en el tiempo, que refleja el sistema tal como se probó en la ventana acordada.

Cómo transcurre un proyecto

La mayoría de los proyectos siguen un proceso reconocido, como el Penetration Testing Execution Standard (PTES) o las cuatro fases de NIST SP 800-115: planificación, descubrimiento, ataque e informe. La fase de ataque vuelve a la de descubrimiento cuando un nuevo acceso abre nuevas rutas. El proyecto empieza con la definición del alcance y las reglas de actuación (en Vexaro, además, con un NDA antes de cualquier acceso) y termina con un informe priorizado y, con nosotros, una reevaluación gratuita de las correcciones dentro del plazo fijado en el SoW.

Qué se prueba

Los pentests se acotan a un objetivo: una aplicación web (según la OWASP Web Security Testing Guide), una API (el OWASP API Security Top 10), una app móvil (OWASP MASVS/MASTG), una red interna o externa, o la configuración de la nube. Cada objetivo necesita sus propios métodos (aplicar una lista de comprobación web a una API deja fuera la mayor parte del riesgo real), por eso los servicios se dividen por objetivo.

Tipos de caja y aseguramiento

El tester puede trabajar sin conocimiento previo (black-box), con conocimiento parcial, como credenciales y una especificación (grey-box), o con conocimiento total, incluidos el código fuente y la arquitectura (white-box). Más información suele significar una cobertura más profunda en el mismo tiempo, así que la elección depende de tu objetivo de aseguramiento, no de cuál suena más duro. El grey-box es la opción más rentable para la mayor parte del trabajo con aplicaciones y API.

Preguntas frecuentes

Es un ataque simulado y autorizado, llevado a cabo como lo haría un adversario real, para confirmar debilidades explotables en lugar de limitarse a señalar posibles: según el NIST SP 800-115, explota activamente una debilidad para demostrar que existe. Es un ejercicio puntual y acotado en el tiempo, que refleja el sistema tal como se probó en la ventana acordada.

La mayoría de los proyectos siguen un proceso reconocido, como PTES o las cuatro fases del NIST SP 800-115: planificación, descubrimiento, ataque e informe. Empieza con la definición del alcance y las reglas de enfrentamiento (en Vexaro, un NDA antes de cualquier acceso) y termina con un informe priorizado y, con nosotros, una nueva prueba gratuita de las correcciones dentro del plazo fijado en el SoW.

Las pruebas de penetración se acotan a un objetivo (una aplicación web, una API, una app móvil, una red o una configuración en la nube), porque cada objetivo requiere métodos distintos. El evaluador puede empezar sin conocimiento previo (caja negra), con conocimiento parcial como credenciales y una especificación (caja gris) o con el código fuente y la arquitectura completos (caja blanca). Se elige según el objetivo de aseguramiento, no según lo que suene más duro.

Habla con un profesional de verdad.

¿Tienes una pregunta que estas páginas no respondieron? Cuéntanos qué intentas proteger y te orientaremos hacia el proyecto adecuado. La primera consulta es gratuita.