Pruebas de penetración
Una prueba de penetración es un intento controlado de acceder a sus sistemas tal y como lo haría un atacante real, de modo que usted descubra la forma de entrar antes de que lo hagan ellos. No se trata de un análisis de vulnerabilidades con una portada más atractiva: un escáner enumera lo que podría estar mal; una prueba de penetración le indica si realmente es explotable y qué podría hacer alguien una vez que haya accedido.
Defino el alcance en función de lo que le resulte relevante: una prueba de red externa, una prueba interna que suponga que ya existe un punto de acceso, una aplicación web o móvil, o un sistema específico que le preocupe. El alcance debe corresponder a una pregunta concreta que necesite resolver, no a una casilla genérica que marcar.
Cómo trabajo
Comienzo con el reconocimiento —la misma recopilación de información de fuentes abiertas que llevaría a cabo un atacante real—, para luego pasar a identificar e intentar explotar las vulnerabilidades y, finalmente, mostrar a qué se puede acceder a partir de ahí. El objetivo no es encontrar todos los problemas teóricos, sino descubrir las vías que realmente conducen a algún sitio, encadenarlas tal y como lo haría un atacante y mostrarle el alcance real del impacto.
Cada prueba concluye con una conversación, no solo con un documento. El informe clasifica los hallazgos por orden de prioridad en función del riesgo real y la posibilidad de explotación, y lo repaso con su equipo para que las personas encargadas de solucionar los problemas comprendan exactamente qué ha ocurrido y por qué es importante —no se trata solo de una puntuación de gravedad sin contexto—.
¿Con qué frecuencia y de qué tipo?
Las pruebas anuales constituyen el requisito mínimo que exigen la mayoría de los marcos de cumplimiento, pero si está implementando cambios con frecuencia o acaba de llevar a cabo un cambio importante en la infraestructura, esa periodicidad no es suficiente por sí sola. Le diré con toda sinceridad si, en su caso concreto, tiene más sentido realizar una prueba completa o una comprobación más específica y frecuente.
¿Está listo para descubrir qué es realmente factible en su entorno? Hablemos del alcance.