9 métodos probados de pruebas de penetración para 2024: proteja su empresa

En el entorno corporativo actual, la seguridad se ha convertido en la preocupación más apremiante. A diario, escuchamos cómo atacantes vulneran sistemas informáticos y sustraen información crítica.

En 2019, se reportaron 1.473 violaciones de datos en Estados Unidos, exponiendo más de 164 millones de registros sensibles. En el primer semestre de 2020, la cifra ascendió a 540 incidentes. — Informe Statista

Para detectar debilidades y vulnerabilidades de seguridad, muchas grandes empresas realizan ciberataques simulados y autorizados contra sus propios sistemas. A esto se le denomina pruebas de penetración (o pen testing). El objetivo fundamental es identificar fallos de seguridad antes que los ciberdelincuentes y corregirlos de inmediato.

Más específicamente, las pruebas de penetración implican simular escenarios de ataque reales para encontrar y explotar brechas de seguridad (de forma controlada) que podrían derivar en robo de información, credenciales comprometidas u otros resultados perjudiciales para el negocio.

Pueden realizarse internamente mediante herramientas de pen testing o externalizarse a proveedores especializados. El proceso suele comenzar con un profesional de seguridad que enumera la red objetivo para detectar dispositivos o cuentas vulnerables, escaneando cada dispositivo en busca de puertos abiertos con servicios activos.

El nivel de intrusión depende del tipo de operación que el evaluador quiera explorar en el sistema objetivo. Por tanto, el tester debe conocer a fondo los tipos de pruebas de penetración más relevantes.

Las pruebas de penetración pueden clasificarse según cómo se realizan y los activos o componentes a los que se dirigen. En este artículo explicamos los diferentes tipos, diseñados para ser intensivos e invasivos.

Pruebas de penetración según la metodología empleada

1. Pruebas de caja negra (Black Box Testing)

• Los casos de prueba pueden diseñarse de inmediato
• Permiten detectar ciertos tipos de fallos

En las pruebas de caja negra, el evaluador no tiene acceso a la aplicación del cliente, su configuración de red ni ninguna información interna. Debe realizar todo el reconocimiento para extraer la información necesaria.

Este tipo de pruebas determina las debilidades explotables desde fuera de la red. Su hallazgo se basa en la inspección dinámica de programas y sistemas en ejecución dentro de la red objetivo.

El tester debe dominar software de escaneo automatizado y técnicas de pruebas de penetración manuales. Al carecer de conocimiento previo sobre la configuración del sistema o el código fuente, debe ser capaz de construir su propio mapa de la red objetivo basándose en sus observaciones.

El conocimiento limitado impide encontrar todas las vulnerabilidades del sistema. Ésta es la principal desventaja: si los evaluadores no logran traspasar todos los perímetros, las vulnerabilidades internas permanecen ocultas.

No obstante, pueden descubrir ciertos fallos, como errores de configuración del servidor y fallos de validación de entrada/salida. Para ser eficaces (detectar y remediar más vulnerabilidades), las metodologías de caja negra deben combinarse con otras herramientas de prueba.

Existen numerosas herramientas en el mercado para pruebas de caja negra. Wapiti, por ejemplo, analiza aplicaciones web en busca de responsabilidades potenciales inyectando datos temporales.

2. Pruebas de caja blanca (White Box Testing)

• Más exhaustivas
• Permiten optimización de código y detección de problemas de seguridad ocultos

Como su nombre indica, las pruebas de caja blanca son lo opuesto a las de caja negra. El evaluador tiene acceso completo a la documentación de arquitectura, código fuente y otra información del sistema.

Los testers examinan el gran volumen de datos disponible para detectar puntos débiles potenciales. Pueden utilizar analizadores de código estáticos y dinámicos, así como depuradores.

Al tener conocimiento total del sistema, lleva más tiempo decidir qué módulos probar primero y qué software específico utilizar.

JUnit, PyUnit, Selenium son algunas de las herramientas de caja blanca de código abierto más populares. Selenium, por ejemplo, se usa para validar aplicaciones web en diversos navegadores y plataformas.

3. Pruebas de caja gris (Gray Box Testing)

• Identifican vulnerabilidades más significativas con menos coste y esfuerzo
• Las pruebas se realizan desde la perspectiva del usuario, no del diseñador

Este enfoque combina las pruebas de caja negra y blanca. El evaluador de caja gris tiene conocimiento parcial de los entresijos del sistema, como bases de datos y documentos de diseño. Con esta información limitada, puede crear mejores datos de prueba y casos de prueba al elaborar el plan.

Este tipo de pruebas ofrece una evaluación más eficiente y enfocada de la seguridad del sistema comparada con las de caja negra. Puede identificar defectos debidos al uso indebido de aplicaciones o a una estructura de código inadecuada. Más concretamente, descubre errores contextuales centrándose en todas las capas de sistemas complejos.

Las pruebas de caja gris son ideales para pruebas funcionales, aplicaciones web, servicios web, evaluación de seguridad e interfaces gráficas. Burp Suite es una de las herramientas más populares de caja gris, que explota vulnerabilidades de aplicaciones atacando puntos inseguros tentativos.

Diferencias entre estas tres técnicas de prueba

Caja Negra	Caja Gris	Caja Blanca
No se requiere conocimiento del funcionamiento interno del sistema	Se requiere conocimiento parcial del funcionamiento interno	Se requiere conocimiento completo del funcionamiento interno
Muy difícil descubrir errores ocultos	Difícil descubrir errores ocultos	Sencillo descubrir errores ocultos
También llamadas pruebas de caja cerrada o basadas en datos	También llamadas pruebas translúcidas	También llamadas pruebas de caja clara, estructurales o basadas en código
Menos consumidoras de tiempo	Parcialmente consumidoras de tiempo	Más exhaustivas y consumidoras de tiempo
Ideales para encontrar errores de validación de entrada/salida	Más adecuadas para probar dominios de datos y diseño del sistema	Más adecuadas para probar algoritmos, estructura de código y límites internos
Realizadas por usuarios finales, desarrolladores y testers	Realizadas por testers independientes y desarrolladores	Realizadas por testers y desarrolladores

Pruebas de penetración según los componentes objetivo

1. Pruebas de servicios de red

• Previenen brechas de red y datos
• Garantizan la seguridad de la red y los sistemas

El proceso de pruebas de penetración de red implica descubrir vulnerabilidades de seguridad en aplicaciones y sistemas mediante diversos métodos maliciosos para examinar la seguridad de la red.

Normalmente, el tester identifica redes, hosts, sistemas y dispositivos explotables (como conmutadores y enrutadores) para descubrir debilidades. Dado que una red tiene puntos de acceso tanto externos como internos, es obligatorio realizar pruebas de forma remota desde el exterior y localmente en las instalaciones del cliente.

Esto ayuda a los evaluadores a comprender el nivel de riesgo al que se enfrenta la organización y cómo abordar y corregir los fallos de seguridad. Según el riesgo, pueden centrarse en diferentes áreas de la red. Por ejemplo, pueden realizar:

• Pruebas de análisis con estado (stateful)
• Pruebas de configuración de firewall
• Pruebas de evasión de firewall
• Ataques DNS

Los protocolos más comunes investigados en estas pruebas incluyen:

• Protocolo Simple de Transferencia de Correo (SMTP)
• Protocolo de Transferencia de Archivos (FTP)
• Secure Shell (SSH)
• MySQL y SQL Server

Según el tamaño y la complejidad del sistema, una prueba de penetración de red puede tardar entre una y cuatro semanas en completarse. Los evaluadores solo pueden ofrecer una estimación detallada tras definir el alcance del proyecto.

2. Pruebas de penetración de aplicaciones web

Pasos para realizar una prueba de penetración de aplicación web

• Identifica vulnerabilidades tanto en el diseño como en la configuración
• Localiza intrusos y los bloquea

Dado que muchas aplicaciones web almacenan información sensible, es necesario mantenerlas seguras en todo momento. Una forma de lograrlo es incluir las pruebas de penetración de aplicaciones web como parte del Ciclo de Vida de Desarrollo de Software (SDLC).

Las pruebas de penetración facilitan la determinación de vulnerabilidades de toda la aplicación web y sus componentes, incluyendo su base de datos, red de backend y código fuente. Esto ayuda a los desarrolladores a identificar y priorizar debilidades y errores, y a idear formas de mitigarlos.

Este tipo de pruebas implica recopilar datos sobre la aplicación web objetivo, mapear la red del host y examinar todos los posibles puntos de inyección o manipulación. Las razones más comunes para realizar pruebas de penetración de aplicaciones web son:

• Detectar vulnerabilidades desconocidas
• Verificar componentes expuestos públicamente, como enrutadores y firewalls
• Encontrar la ruta más vulnerable para un posible ataque
• Buscar lagunas que puedan resultar en robo de información
• Comprobar la eficacia de las políticas de seguridad existentes

Hay numerosas herramientas en el mercado para realizar pruebas de penetración de aplicaciones web (tanto manuales como automatizadas). Vega, Veracode y ZAP son algunas de las más habituales para pruebas rápidas.

3. Pruebas de penetración inalámbricas

• Determinan la postura de seguridad realista de las redes inalámbricas
• Abordan vulnerabilidades y políticas/procedimientos de seguridad

Las pruebas de penetración inalámbricas implican detectar y analizar las conexiones entre todos los dispositivos conectados al WiFi de la empresa: portátiles, smartphones, tabletas, impresoras y otros dispositivos de Internet de las Cosas (IoT).

Se prueban varios protocolos inalámbricos y puntos de acceso para descubrir lagunas de seguridad. Normalmente, estas pruebas se realizan in situ porque el evaluador debe estar dentro del rango de las señales inalámbricas para acceder al dispositivo.

En la mayoría de los casos, las vulnerabilidades se hallan en los puntos de acceso WiFi debido a la falta de filtrado MAC y a controles de acceso a la red insuficientes. Para remediar estos problemas antes de que ocurran realmente, es crucial probar la eficacia de la postura de seguridad y exponer debilidades no intencionadas.

También es importante recordar que el WiFi no es la única tecnología inalámbrica que los atacantes pueden explotar. Existen diversos dispositivos Bluetooth, Bluetooth Low Energy y otras tecnologías menos populares, como Z-wave y DECT (teléfonos inalámbricos), presentes en entornos públicos.

4. Pruebas de penetración del lado del cliente

• Detectan configuraciones erróneas de seguridad en software del lado del cliente
• Permiten el control adecuado del tráfico de red entrante y saliente

Esta es una prueba de penetración interna donde los evaluadores explotan vulnerabilidades en programas de aplicaciones del lado del cliente, como navegadores web, Adobe Acrobat, clientes de correo electrónico, Macromedia Flash, etc.

Aunque no hay una regla para realizar estas pruebas en intervalos específicos, las empresas deberían hacerlo cuando se añada nueva infraestructura TI o aplicaciones del lado del cliente, o cuando se modifique la infraestructura existente.

La mayoría de las vulnerabilidades del lado del cliente ocurren por software sin parchear instalado en portátiles u ordenadores de sobremesa. Algunos atacantes incluso interceptan el proceso de actualización, enviando código malicioso junto con la actualización original.

Los dispositivos USB también pueden infectarse con archivos maliciosos o código ejecutable. Estos archivos se ejecutan automáticamente en cuanto la víctima conecta el USB a su máquina. Cross-site scripting, suplantación de formularios, clickjacking, inyección HTML y redirección abierta son algunos de los ataques más comunes del lado del cliente.

Por eso es importante probar la susceptibilidad de los empleados y la capacidad de las redes para reconocer y responder a ataques del lado del cliente.

5. Pruebas de penetración externas

• Evaluación de seguridad de los sistemas perimetrales de una empresa
• Incluyen evaluaciones tanto a nivel de aplicación como de red

Las pruebas de penetración externas generalmente se realizan desde la perspectiva del atacante, sin acceso previo al sistema o red objetivo. Esto difiere de las pruebas internas, en las que el atacante ya tiene un punto de apoyo en la máquina comprometida.

En las pruebas externas, el evaluador intenta acceder a la red interna aprovechando vulnerabilidades halladas en los activos externos. Lleva a cabo reconocimiento sobre los activos en alcance, recopilando datos sobre todos ellos.

Estos datos pueden incluir puertos abiertos, vulnerabilidades o información de empleados para ataques de contraseñas. Una vez traspasado el perímetro, se alcanza el objetivo de la prueba de penetración externa, y el evaluador procede a las pruebas internas.

Lea también: 30 útiles herramientas de seguimiento de errores para desarrolladores

6. Ingeniería social

• Engaña a empleados desprevenidos para comprometer la seguridad de la empresa
• Explota la psicología humana para obtener datos confidenciales

El término ingeniería social abarca una amplia gama de actividades maliciosas logradas mediante interacciones humanas. Al basarse en el error humano (en lugar de debilidades en aplicaciones o redes), es menos predecible y más difícil de detectar que las intrusiones basadas en malware.

Este tipo de pruebas intentan obtener datos confidenciales engañando a los empleados de la empresa para que revelen información sensible. Esto puede lograrse mediante pruebas remotas o físicas.

Lea también: 15 mejores herramientas de generación de datos de prueba

Las pruebas remotas implican enviar correos electrónicos de phishing a los empleados o bombardear sus dispositivos con falsas alarmas o amenazas ficticias. En cambio, las pruebas físicas incluyen tailgating (seguir a alguien autorizado), suplantación de identidad, buzoneo (buscar información en la basura), amenazas físicas, etc.