Pruebas de Penetración

Una análisis de vulnerabilidades (VA por sus siglas en inglés) es una evaluación sistemática de la seguridad de un sistema informático o red, con el objetivo de identificar vulnerabilidades potenciales. La evaluación generalmente implica una revisión de la arquitectura, las configuraciones y el software instalado del sistema, así como un análisis de cualquier tráfico de red disponible. El objetivo es identificar las debilidades que un atacante podría explotar, pero no explotarlas realmente. En cambio, una prueba de penetración (PT por sus siglas en inglés), por otro lado, es un ataque simulado intencional en un sistema o red informática, diseñado para evaluar su seguridad. El objetivo es identificar y demostrar vulnerabilidades de seguridad reales explotándolas. El objetivo de una prueba de penetración es evaluar el riesgo real para el sistema e identificar áreas que requieren mejoras. En resumen, un análisis de vulnerabilidades identifica vulnerabilidades potenciales en un sistema, mientras que una prueba de penetración simula un ataque para determinar si esas vulnerabilidades realmente pueden ser explotadas.

Cada empresa cuenta con tecnologías distintas y una lógica de negocio particular, por lo que no se puede estandarizar el costo de una Prueba de Penetración. Todas nuestras propuestas son hechas a la medida para cumplir perfectamente con todos tus requerimientos y objetivos de seguridad. A través de una videollamada con nuestros especialistas podremos dimensionar tu arquitectura y generar un plan de trabajo a la medida. Para determinar el costo de las Pruebas de Penetración, utilizamos una tarifa diaria o Daily Rate, multiplicada por los días que necesitamos para realizar el proyecto.

Existen tres tipos de pruebas de penetración, los cuales están diferenciados por el alcance que cubren: caja negra, caja gris y caja blanca. Estas pruebas, a pesar de ser diferentes entre sí, tienen un objetivo en común: encontrar vulnerabilidades en la seguridad.

   i. Caja negra o black box

• Es el intento de comprometer el sistema informático sin previo conocimiento. Esta prueba muestra errores o fallos de seguridad en la aplicación que puedan llegar a ser explotados por algún ciberdelincuente que realice ataques externos, sin acceso al sistema.

   ii. Caja gris o grey box

• En esta prueba se proporciona cierta información confidencial sobre la aplicación, como contraseñas de acceso y vista general de la arquitectura. Esto ayuda a ampliar los casos de prueba que se van a ejecutar, por lo que se suelen hallar brechas de seguridad de mayor criticidad e importancia.

   iii. Caja blanca o white box

• Durante el pentesting de caja blanca, se proporciona la información confidencial completa de la aplicación y del sistema, incluyendo el diseño de la arquitectura del mismo, credenciales de acceso y lo más importante: se comparte el código fuente para revisarlo en su totalidad y poder hallar aún más vulnerabilidades.

1. Caja negra: 8 días hábiles.
2. Caja gris: Depende del número de roles de la aplicación. Normalmente tardan entre 2 a 3 semanas.
3. Caja Blanca: Depende del número de roles y la cantidad de líneas de código de la aplicación. Normalmente tardan entre 3 a 4 semanas.

Mientras que los pentesters se centran únicamente en llevar a cabo pruebas de penetración según lo definido por el cliente, el hacking ético es un rol mucho más amplio que utiliza una mayor variedad de técnicas para prevenir diferentes tipos de ataques cibernéticos. Si bien los hackers éticos pueden usar pruebas de penetración en el proceso de identificar vulnerabilidades en un sistema y cuantificar la amenaza que los ataques cibernéticos representan para una organización, las pruebas de penetración son solo una de las muchas herramientas que utilizan. En resumen, las metodologías y roles de un hacker ético son más variados que los de un probador de penetración.

Algunas de las herramientas que utilizamos para la realización de estas pruebas son:

• Acunetix Pro
• Nessus Professional
• Burp Suite Pro
• Nmap
• SQLMap
• Nuclei
• Metasploit