Tipos de pentesting

¿Conoces los diferentes tipos de pentesting que existen? El hacking ético está en auge, debido al aumento en la cantidad de ciberataques durante los últimos años. Hay diferentes formas de hacer este tipo de hacking y, finalmente, su propósito es el de verificar el funcionamiento de la seguridad informática de un sistema. Por eso, en este post te explicaremos los diferentes tipos de pentesting que se aplican en el hacking ético.

Tipos de pentesting

Existes tres tipos de pentesting. Cada uno de ellos puede ser más o menos recomendable, dependiendo de las necesidades de la compañía que haya contratado el test.

Black box pentesting

El pentesting de caja negra o black box es un tipo de pentest en el cual los hackers éticos que hacen la prueba no cuentan con ningún detalle interno acerca del sistema de la compañía objetivo. Este tipo de prueba de penetración es la más recomendable de todas, pues es la que más se asemeja a las condiciones en las que sucedería cualquier ataque. Sin embargo, a veces es necesario o inevitable contar con algunos datos internos sobre el sistema la empresa.

White box pentesting

El pentesting de caja blanca o white box es un tipo de pentest en el cual los expertos que realizan la prueba cuentan con un nivel absoluto de detalles acerca de la compañía que están auditando. Este método no es recomendable, en caso de que este no sea un escenario realista para un ciberataque.

Sin embargo, si se trata, por ejemplo, del examen de penetración de un código fuente de una aplicación, sí es necesario hacer este tipo de test.

Grey box pentesting

El examen de caja gris o grey box es una mezcla entre los otros dos tipos de pentesting. En este caso, los hackers éticos cuentan con algunos detalles acerca del sistema que se hallan auditando. Esto puede ocurrir cuando los auditores requieran acceso a ciertas partes del sistema que no consigan durante el test de caja negra. De este modo, evitan pasar por alto los ataques que se puedan hacer desde diferentes niveles de privilegio de usuario.

Fases del pentesting

Ahora que hemos visto los tres tipos de pentesting, te explicaremos cuáles son las seis diferentes etapas de cualquier examen de penetración en ciberseguridad:

Reconocimiento

La fase de reconocimiento del sistema, también conocida como information gathering, es el proceso de reunir toda la información pública que se encuentre expuesta acerca del sistema objetivo. Existen dos tipos de reconocimiento:

• Reconocimiento pasivo: no deja un rastro digital de que se ha estado investigando a un objetivo, pues no requiere de una interacción directa con este. Un tipo de reconocimiento pasivo muy utilizado en ciberseguridad es la inteligencia de fuentes abiertas (OSINT), que, a pesar de ser una técnica pasiva, es altamente poderosa.
• Reconocimiento activo: puede dejar un rastro digital y es ilegal si no se cuenta con el permiso del propietario del sistema. Se trata de un tipo de information gathering que requiere de la interacción directa con el objetivo y, por ende, genera ruido en la red.

Escaneo de vulnerabilidades

Tras reunir toda la información posible sobre un sistema, se hace un escaneo de todos los fallos de seguridad que puedan encontrarse. De este modo, el hacker ético tiene un punto de partida para desarrollar su ataque.

Obtención de acceso al sistema

Una vez identificados los fallos de seguridad del sistema, el hacker ético debe investigar qué tipos de exploits existen para aprovechar estas vulnerabilidades e infiltrarse en la red.

Mantenimiento del acceso

Después de infiltrarse en el sistema, viene una fase también conocida como la postexplotación. En ella, el hacker debe establecer persistencia para que sus acciones maliciosas no terminen cuando el usuario apague su ordenador. Llegado a este punto, el hacker ético notará qué ciberataques podría llevar a cabo e, incluso, simular algunos de forma controlada.

Borrado de huellas

Esta fase consiste de eliminar toda la evidencia digital que delate la presencia del intruso.

Elaboración del reporte

Finalmente, una de las tareas principales de un hacker ético es redactar un informe acerca de lo que ha descubierto por medio de su prueba.

Ahora sabes cuáles son los tres tipos de pentesting que existen en ciberseguridad. Si quieres seguir aprendiendo y especializarte en el ámbito de la seguridad informática, aquí tenemos la opción perfecta para ti. Entra en nuestro Ciberseguridad Full Stack Bootcamp y conviértete en un experto en menos de 7 meses. ¿A qué estás esperando? ¡Inscríbete ya!