¿Qué es y para qué sirve un Pentest?

Hay mucho desconocimiento sobre lo que es un Pentest, Penetration Test o pruebas de penetración, el para qué se utiliza y los beneficios que esta actividad puede proporcionar en cuestiones de seguridad.

Y es que, en la mayoría de las organizaciones, se da por hecho que la infraestructura tecnológica se encuentra segura con los controles en los que se ha invertido, sin embargo, ¿quién nos garantiza que estén funcionando adecuadamente y que nos protegen de los ataques?.

¿Qué es un Pentest y en qué nos beneficia como organización?

Un Pentest consiste en una serie de pruebas ofensivas, cuyo objetivo es evaluar los mecanismos de seguridad existentes en el entorno que se está analizando en búsqueda de vulnerabilidades o puntos débiles, tal como un atacante lo haría.

Estas pruebas son útiles para prevenir los daños que un incidente de seguridad podría ocasionar, ya que nos ayuda a descubrir cuáles son las posibilidades de ser vulnerados, identificar brechas que pudieran existir y hasta dónde podría llegar un ciberdelincuente si es que llegara a filtrarse o dañar algún servicio.

Los Pentest, deben de ser realizados por personas capacitadas en la materia, que en la mayoría de los casos cuentan con alguna certificación que los acredita para tal actividad, siendo conocidos en el mundo de la seguridad como hackers éticos, ya que todo lo que realizan es con fines informativos y de ayuda a las empresas para disminuir el riesgo de un ataque poniendo a prueba sus sistemas de seguridad e identificando las vulnerabilidades de un sistema.

Normalmente las pruebas de penetración se realizan después de un análisis de vulnerabilidades, debido a que en este punto se intenta explotar las vulnerabilidades detectadas, para así saber cuáles son las de mayor riesgo para la organización.

Principales beneficios de un Pentest

Algunos beneficios que podemos obtener de este análisis son:

• Probar la capacidad y servicio de ciberseguridad con el que se que cuenta.
• Descubrir debilidades de seguridad para tomar acción antes de que un ciberdelincuente lo haga.
• Ayuda a justificar la inversión en ciberseguridad en una organización.

El principal beneficio es que las pruebas de penetración ayudan a las organizaciones a determinar el alcance de los problemas de seguridad de un sistema, conocer los peligros a los que se enfrentan y el nivel de eficiencia de sus controles.

Tipos de Pentest

Podemos encontrar distintos tipos de Pentest que se utilizan dependiendo de la situación en la que se encuentre la empresa, con base en mi experiencia, puedo decir que el White Box puede brindar mayores beneficios e información para las personas que toman decisiones.

Pentest de Caja blanca (White Box)

Es el Pentest más completo, ya que evalúa y proporciona la información sobre todos los activos que componen la infraestructura tecnológica de la empresa.

Pentest de Caja negra (Black Box)

Se puede decir que este es más cercano a la realidad de un ciberdelincuente ya que el pentester no dispone de información de los sistemas de la organización, muy probablemente solo el nombre.

Pentest de Caja gris (Gray Box)

Esta prueba es una mezcla entre los dos anteriores ya que solo se cuenta con la información parcial del sistema, como diagramas de flujo, mapas de red, etc., para no comenzar desde cero.

Al final, la persona encargada de realizar el Pentest, entregará un informe con todos los eventos y la información que pudo recabar durante el periodo en el que se realizó, por lo que tendrás más claridad sobre lo que necesitas hacer para prevenir un ciberataque o un incidente de seguridad.

Y por supuesto, será una guía para generar un presupuesto con justificación y bases sólidas.