{"id":7004,"date":"2022-01-18T07:46:37","date_gmt":"2022-01-18T06:46:37","guid":{"rendered":"https:\/\/immune.institute\/?p=7004"},"modified":"2022-01-18T07:46:37","modified_gmt":"2022-01-18T06:46:37","slug":"pentest-usos-ciberseguridad","status":"publish","type":"post","link":"https:\/\/immune.institute\/en\/blog\/pentest-usos-ciberseguridad\/","title":{"rendered":"Pentest and its uses in cybersecurity"},"content":{"rendered":"

Las empresas tienen cada vez m\u00e1s claro <\/span>la importancia de la ciberseguridad<\/b>. La informaci\u00f3n generada, los datos, tiene que ser preservada de posibles ciberataques.\u00a0<\/span><\/p>\n

\n

Para ello, las organizaciones optan por contratar profesionales: verdaderos expertos en seguridad inform\u00e1tica, que se ocupan de la protecci\u00f3n de dichos datos.<\/span><\/p>\n<\/blockquote>\n

Existen muchas t\u00e9cnicas y metodolog\u00edas especializadas en seguridad inform\u00e1tica como, por ejemplo, <\/span>DevSecOps<\/span><\/a> (sobre el <\/span>software development process<\/span><\/a>) o el <\/span>Reversing de malware<\/span><\/a>, el estudio de c\u00f3digo malicioso.<\/span><\/p>\n

En este art\u00edculo queremos hablar sobre pentest y sus usos en la ciberseguridad, una abreviatura de <\/span>\u201cPenetration Test\u201d o \u201cprueba de penetraci\u00f3n\u201d<\/b>.\u00a0<\/span><\/p>\n

Pentesting: qu\u00e9 es y para qu\u00e9 sirve<\/span><\/h2>\n

\u00bfQu\u00e9 es pentesting y para qu\u00e9 sirve?<\/b> Antes de nada, explicarte que pentest es una de las acciones m\u00e1s utilizadas en el <\/span>ethical hacking<\/span><\/a>. S\u00ed, nos referimos a esas actividades que imitan las que realizan los piratas inform\u00e1ticos, pero con el fin de preservar la ciberseguridad (en vez de sacar provecho).\u00a0<\/span><\/p>\n

\n

\u201cPentesting\u201d hace referencia a un conjunto de ataques inform\u00e1ticos simulados, con el objeto de identificar las posibles vulnerabilidades en ciberseguridad de un sistema inform\u00e1tico en concreto.\u00a0<\/span><\/p>\n<\/blockquote>\n

In this way, <\/span>se detectan y testean las posibles brechas de seguridad de la empresa <\/b>y, por consiguiente, los expertos en seguridad inform\u00e1tica toman medidas para resolverlas, antes de que se produzca un ataque inform\u00e1tico de verdad.<\/span><\/p>\n

Tipos de Pentest<\/span><\/h2>\n

En funci\u00f3n de la informaci\u00f3n manejada del sistema para su testeo, encontramos <\/span>diferentes clasificaciones de pentest y sus usos en la ciberseguridad<\/b>:<\/span><\/p>\n

1. De caja negra o \u2018Black box\u2019<\/span><\/h3>\n

Es un test a ciegas. <\/b>Igual que lo realizar\u00edan los propios ciberdelincuentes. Los expertos en ciberseguridad no tienen ning\u00fan tipo de informaci\u00f3n sobre el sistema o equipo a atacar.<\/span><\/p>\n

2. De caja blanca o \u2018White box\u2019<\/span><\/h3>\n

Todo lo contrario ocurre en este tipo de pentest. Aqu\u00ed s\u00ed <\/span>se dispone de toda la informaci\u00f3n<\/b> sobre el sistema, aplicaci\u00f3n o arquitectura web que hay que atacar. Por ello, suele ser una prueba realizada por el propio equipo IT de una empresa.<\/span><\/p>\n

Es un an\u00e1lisis global y, por tanto, suele ser la opci\u00f3n m\u00e1s completa.<\/span><\/p>\n

3. De caja gris o \u2018Grey box\u2019<\/span><\/h3>\n

Esta suele ser la opci\u00f3n m\u00e1s recomendada, dada que <\/span>es una mezcla de las dos anteriores<\/b>. Aqu\u00ed se maneja parte de la informaci\u00f3n, pero no toda. De este modo, los expertos en ciberseguridad deben invertir m\u00e1s tiempo que en la segunda opci\u00f3n, a la hora de descubrir las posibles amenazas.<\/span><\/p>\n

\u00bfC\u00f3mo se ejecuta este test de intrusi\u00f3n inform\u00e1tica?<\/span><\/h2>\n

Para llevar adelante un pentest con \u00e9xito, es necesario <\/span>contar con profesionales especializados<\/b> en este \u00e1mbito, as\u00ed como marcar unos objetivos claros.<\/span><\/p>\n

Adem\u00e1s, se recomienda firmar un acuerdo de confidencialidad y elaborar un informe, donde toda la informaci\u00f3n quede registrada.\u00a0<\/span><\/p>\n

Dicho esto, podemos continuar con las diferentes fases de pentest.<\/span><\/p>\n

Fases del Pentesting<\/span><\/h2>\n

\u00bfCu\u00e1l es el proceso a seguir en pentesting? \u00bfQu\u00e9 fases encontramos en esta acci\u00f3n de hacking \u00e9tico?<\/span><\/p>\n

Auditor\u00eda Pentesting<\/span><\/h3>\n

El pentesting comienza con una auditor\u00eda, donde <\/span>se valora qu\u00e9 tipo de informaci\u00f3n recabar<\/b>. Se eval\u00faan los datos y el tipo de an\u00e1lisis a realizar.<\/span><\/p>\n

Informaci\u00f3n<\/span><\/h3>\n

Es el momento de <\/span>recopilar la informaci\u00f3n<\/b> de la entidad. Estos datos pueden provenir de la empresa en general, los sistemas, los usuarios, los empleados o los propios equipos. En definitiva, variables que pueden alterar la seguridad inform\u00e1tica.<\/span><\/p>\n

Ataque<\/span><\/h3>\n

El momento de la acci\u00f3n y, por tanto, una de las fases primordiales. Se llevan a cabo una serie de <\/span>cyber attacks<\/b>, con el objeto de encontrar los posibles fallos del sistema.<\/span><\/p>\n

Informe<\/span><\/h3>\n

Para concluir, <\/span>todo el proceso anterior debe estar reflejado en un informe<\/b>. En \u00e9l, se explicar\u00e1n los objetivos, las brechas de seguridad detectadas y las acciones a poner en marcha para su prevenci\u00f3n.<\/span><\/p>\n

Ventajas del Pentest en ciberseguridad<\/span><\/h2>\n

Entonces, <\/span>\u00bfpor qu\u00e9 utilizar pentest y sus usos en la ciberseguridad?<\/b><\/p>\n