¡Es hora de pasar a la ofensiva en materia de ciberseguridad!

A medida que se amplía la superficie de ataque y las organizaciones se ven acosadas por los ciberataques, la demanda de pruebas de penetración (también conocidas como pentesting y hacking ético) está aumentando claramente. Las pruebas de penetración no son un procedimiento nuevo. Ya en 1967, unos 15.000 expertos en seguridad y otros especialistas se reunieron en una conferencia para debatir si sería posible penetrar las líneas de comunicación.¹

En cierto modo, ello marcó el comienzo del procedimiento de las pruebas de penetración en el que los equipos de seguridad efectúan ataques a su infraestructura para encontrar vulnerabilidades en sistemas, redes, hardware, software, etc. Si bien los métodos han evolucionado, el objetivo sigue siendo cerrar brechas de seguridad y mejorar las precauciones.

Las organizaciones son conscientes de que muchos de estos ciberataques o filtraciones de información los realizan atacantes que aprovechan una o varias vulnerabilidades existentes en el sistema. Sin embargo, solo se dan cuenta de ello a posteriori, cuando ya se ha producido el ataque. Evidentemente, las pruebas de penetración son un buen enfoque proactivo para identificar vulnerabilidades en el sistema antes de que se produzca una incidencia de seguridad o una filtración de datos.
 

Las filtraciones de información ya son algo habitual. En 2023 se robaron más de 8000 millones de registros de datos en unas 2800 incidencias de seguridad.² Las filtraciones de datos pueden salir muy caras a las empresas. En 2023, el coste medio de una filtración de información ascendió a 4,45 millones de dólares.³ ¿Pueden evitarse las filtraciones de información con enfoques de seguridad ofensivos como las pruebas de penetración? La respuesta es claramente sí. 

Algunas de las razones más comunes de las filtraciones de información son una autenticación débil y no operativa, software sin parches, servicios y aplicaciones mal configurados, API inseguras, etc. Las pruebas de penetración permiten detectar estos problemas con antelación. Problemas como una autenticación deficiente y un control de acceso inadecuado pueden parecer insignificantes, pero causar daños catastróficos.
 

En 2019, First American Financial Corporation, una empresa estadounidense de servicios financieros, se vio afectada por una filtración de datos que divulgó unos 885 millones de documentos confidenciales.⁴ Estos documentos incluían números de cuenta de clientes, extractos bancarios, expedientes hipotecarios, etc. 

Todos estos documentos estaban almacenados en una página del sitio web de la empresa y destinados al acceso de determinados usuarios. Sin embargo, cualquiera que consiguiera encontrar el enlace a esta página podía acceder a estos datos sensibles de los clientes. Este es un caso simple de un problema de autenticación que fue instrumentalizado. En 2023, la empresa llegó a un acuerdo de un millón de dólares con el Departamento de Servicios Financieros del Estado de Nueva York (DFS).

Equifax, otra agencia de referencia de crédito estadounidense, sufrió una filtración de información en 2017 debido a una brecha de seguridad en un portal web que le costó 1400 millones de dólares en importes de conciliación. Lee más al respecto aquí.

Las herramientas de pruebas de penetración podrían haber descubierto las vulnerabilidades de seguridad en una fase temprana y evitado los perjuicios derivados de sus consecuencias. 

Las pruebas de penetración suele realizarlas el equipo de seguridad como se explica a continuación:

1. Planificación y exploración: Comprender el objetivo de las pruebas de penetración: qué sistemas atacar, qué herramientas de seguridad utilizar, etc.
2. Escaneado: Escanear los sistemas y redes para identificar vulnerabilidades.
3. Obtener acceso: Instrumentalizar una o más vulnerabilidades para penetrar en el sistema.
4. Conservar el acceso: Intentar pasar desapercibido en el sistema.
5. Análisis e informes: Analizar las vulnerabilidades de los sistemas, cómo se pueden instrumentalizar y otros detalles.

Además de identificar vulnerabilidades, las organizaciones realizan pruebas de penetración por otras razones, por ejemplo, para evaluar la eficacia de los controles de seguridad existentes, cumplir las exigencias del cumplimiento normativo, y gestionar y mitigar los riesgos de ciberseguridad. Así se genera confianza entre las partes interesadas y los clientes. 

Las pruebas de penetración son diferentes de los análisis de vulnerabilidades. El análisis de vulnerabilidades solo sirve para identificar las brechas de seguridad en los sistemas, mientras que el objetivo de las pruebas de penetración es instrumentalizar estas vulnerabilidades y determinar el impacto del ataque y la eficacia de los controles de seguridad.

Las pruebas de penetración se realizan para evaluar diversos aspectos, por ejemplo, redes, aplicaciones web, API, redes inalámbricas, ingeniería social (para comprobar vulnerabilidades en el comportamiento humano), penetración física, red team (simulación de un ataque en toda regla en condiciones reales), etc. 

Estos aspectos se ponen a prueba lanzando ataques desde el exterior y el interior de la organización. Existen tres categorías en función del acceso y la información que reciba el evaluador de la intrusión.

1. Pruebas de caja blanca
   Este tipo de pruebas se lleva a cabo para identificar vulnerabilidades desde la perspectiva de un infiltrado. Determinan cómo cualquier persona con acceso a los sistemas internos puede causar daños potenciales. Descubren vulnerabilidades como errores de programación, configuraciones inseguras, la estructura de la red interna, etc. 
2. Pruebas de caja negra
   Estas pruebas se llevan a cabo de forma similar a un ciberataque real desde el exterior desde la perspectiva de un atacante sin que el evaluador obtenga acceso al sistema ni información relacionada con él. Mediante las pruebas de caja negra, los evaluadores pueden encontrar vulnerabilidades relacionadas con ataques de inyección, DDoS, problemas de aplicaciones web, configuraciones inadecuadas de los servidores, autenticación y control de acceso viciado, etc. 
   Por ejemplo, un control de acceso incorrecto no es un problema inusual. En 2021, la OWASP informó de que el 94 % de las aplicaciones probadas tenían problemas con el control de acceso.⁵ Un control de acceso incorrecto podría permitir a los usuarios ver información que no deberían ver. Hay otras consecuencias, por ejemplo, el acceso no autorizado, la extensión de derechos, las filtraciones de datos, el incumplimiento normativo y muchas más. 
   En el caso de la filtración de datos de Equifax, se aprovechó una vulnerabilidad del portal web. Unos 143 millones de personas se vieron afectadas por esta filtración de datos. Estas vulnerabilidades existentes se pueden identificar mediante pruebas de penetración. En este caso concreto, las pruebas de caja negra pueden resultar muy útiles.
3. Pruebas de caja gris
   Este tipo de pruebas facilitan al evaluador determinada información sobre los sistemas. Con este conocimiento parcial, puede intentar encontrar vulnerabilidades tanto en la programación como a nivel funcional, lo que constituye un término medio entre las pruebas de caja blanca y de caja negra. 

Sin embargo, las pruebas de penetración manuales presentan algunos problemas.

1. Requieren mucho tiempo: En ocasiones, las evaluaciones de las medidas de seguridad y las validaciones manuales exhaustivas pueden llevar varios meses.
2. Consumen muchos recursos: Las empresas necesitan especialistas cualificados, las herramientas adecuadas y un presupuesto. 
3. Son propensas a errores: Las pruebas de penetración manuales son propensas a errores, ya que los equipos de seguridad pueden pasar por alto vulnerabilidades. El enfoque manual también genera muchos resultados falsos positivos y falsos negativos.
4. Su alcance es limitado: No se cubren todos los sistemas o superficies de ataque porque los evaluadores no prueban lo que no conocen o no ven y, por tanto, a veces no realizan pruebas de penetración suficientemente exhaustivas.
5. No son uniformes: Los expertos utilizan métodos diferentes, lo que se traduce en resultados que no reflejan plenamente la situación de las vulnerabilidades y las medidas de seguridad.
6. No son escalables: Para organizaciones que crecen con estrategias modernas de integración continua/despliegue continuo (CI/CD), las pruebas de penetración manuales son difíciles de escalar con recursos limitados.
7. Requieren disponibilidad de expertos: Debido a la complejidad de las pruebas, el mercado no dispone de un elevado número de evaluadores de pruebas de penetración altamente cualificados, lo que hace que la mano de obra cualificada sea escasa.
8. Costes: La mayoría de las empresas necesitan expertos externos y herramientas para llevar a cabo pruebas de penetración exhaustivas. Debido a la escasez de mano de obra cualificada, los precios de los trabajadores cualificados necesarios son elevados, lo que encarece mucho las pruebas en su conjunto.

Estas desventajas de las pruebas de penetración manuales son la razón por la que las empresas optan por pruebas de penetración automatizadas. 
 

También permiten la repetibilidad para que las empresas puedan realizar evaluaciones rutinarias. Con la posibilidad de escanear y supervisar de manera continua, las organizaciones pueden descubrir nuevas vulnerabilidades, aplicaciones obsoletas o sin parches, configuraciones inadecuadas, autenticación deficiente, controles de acceso incorrectos, etc. Todo ello se puede corregir para garantizar una interrupción mínima y la continuidad de la actividad. Las empresas también pueden obtener información mediante análisis detallados y funciones de elaboración de informes. Los informes también elaboran un perfil de riesgo del sistema clasificando las vulnerabilidades en función de su gravedad. 

Las empresas pueden utilizar las pruebas de penetración automatizadas en grandes infraestructuras sin tener que preocuparse por la escalabilidad y la cobertura. Este enfoque de pruebas es también una alternativa rentable, ya que las empresas no necesitan invertir mucho tiempo y dinero para contratar evaluadores de seguridad cualificados. 

Las pruebas de penetración automatizadas no suprimen por completo la necesidad de intervención humana, pero el esfuerzo se reduce, lo que permite a los equipos de seguridad centrarse en otras tareas importantes. 

Reconocimiento: Las herramientas automatizadas recopilan información sobre la red objetivo, los sistemas, las aplicaciones, los puntos de entrada y las vulnerabilidades.

Escaneado: Para examinar el entorno de destino en busca de puertos abiertos, servicios y vulnerabilidades se utilizan escáneres de forma sistemática.

Enumeración: Las herramientas automatizadas calculan los detalles del sistema, por ejemplo, cuentas de usuario, recursos compartidos de red y configuraciones, para limitar todavía más el alcance de los posibles ataques.

Instrumentalización: Se utilizan scripts que imitan escenarios de ataque de la vida real para instrumentalizar las vulnerabilidades y obtener acceso no autorizado, ejecutar comandos y manipular recursos del sistema.

Instrumentalización posterior: Mayor recopilación de información, extensión de privilegios y continuidad de acceso a los sistemas comprometidos.

Creación de informes: Creación de informes detallados sobre los resultados de las pruebas de penetración automatizadas. Los informes también indican el grado de gravedad, recomendaciones de medidas correctivas y una lista de prioridades.

Todas estas fases se realizan con ayuda de herramientas automatizadas. Estas herramientas ofrecen un marco para desarrollar, probar y ejecutar instrumentalizaciones contra los sistemas objetivo. Algunas de estas herramientas también disponen de una amplia base de datos de vulnerabilidades conocidas, lo que hace que las pruebas de penetración automatizadas sean muy eficaces. Pueden detectar vulnerabilidades relacionadas con inyecciones SQL, cross-site scripting (XSS), configuraciones inadecuadas de servidores, etc.

Algunas de las herramientas de pruebas de penetración automatizadas más populares del mercado son RidgeBot, Metasploit, Nessus, OpenVas, Burp Suite, Armitage, Nmap, SQL Map y ZAP.

Las empresas apuestan cada vez más por las pruebas de penetración automatizadas para identificar de manera proactiva las vulnerabilidades de sus sistemas y minimizar los riesgos de ciberataques y filtraciones de información. Desean mejorar su seguridad, aumentar su nivel de cumplimiento normativo y proteger sus datos con estrategias de seguridad ofensivas. Estos conceptos de seguridad permiten evitar perjuicios, como pérdidas económicas, daños a la reputación y responsabilidades derivadas de recursos.
 

Gracias a nuestra experiencia y conocimientos, podemos realizar pruebas de penetración exhaustivas en redes y aplicaciones web. Tras las pruebas, elaboramos un informe técnico y un informe ejecutivo con nuestras recomendaciones para ayudarte a priorizar los siguientes pasos. Nuestros expertos en seguridad son profesionales certificados en seguridad ofensiva (OSCP) y aplican las prácticas recomendadas del sector y las exigencias normativas. También seguimos el marco MITRE ATT&CK para la normalización, el trazado, la emulación de amenazas, la evaluación de riesgos y la mejora continua.

Genera confianza en una estrategia de ciberseguridad ofensiva con nosotros. Habla con nosotros para obtener más información.

Descarga el folleto para obtener información detallada.

¹ The History Of Penetration Testing, 2019, Infosec Institute
² List Of Data Breaches, 2024, IT Governance
³ Cost Of Data Breach, 2023, IBM
⁴ Artículo First American Financial Data Leak, 2019, Forbes
⁵ Broken Access Control Report, 2021, OWASP