Pentesting

CONCEPTO

PENTESTING

PENETRACIÓN

OBJETIVOS

FASES O ETAPAS

METODOLOGÍA

PRUEBAS DE PENETRACIÓN

HERRAMIENTAS DE TESTEO

FOCA

Kali Linux

NMap

Es una práctica o técnica, en al cual desde la perspectiva de un atacante se adelantan distintas pruebas simulando ataques a entornos o sistemas informáticos con la finalidad de identificar posibles vulnerabilidades

- El objetivo general al detectar vulnerabilidades en uno o varios sistemas es ofrecer al blanco, en este caso nuestro cliente, un panorama de riesgos al que se puede estar enfrentando

- Estos ataques organizados y controlados sirven para detectar los fallos de seguridad de una empresa, de esta manera se apoya la toma de decisiones y permiten poner en marcha acciones para estar prevenido ante futuros riesgos

RECOLECCIÓN DE INFORMACIÓN

ANÁLISIS DE VULNERABILIDADES

MODELADO DE AMENAZA

owasp

WHITE BOX

GREY BOX

BLACK BOX

Metasploit

Nessus

instrumento pensado por pentesters que hacen pentesting. Gracias a ello cuenta con un gran número de opciones imprescindibles a la hora de hacer auditorías de seguridad. Hace uso de la información facilitada por las fuentes OSINT, es decir, aquellas fuentes abiertas que están disponibles públicamente

distribución basada en Linux que incluye más de 300 herramientas con las que realizar pruebas de penetración. Sin duda es una de las más completas del mercado y es usada por un gran número de expertos en ciberseguridad

soluciones de hacking ético más veteranas y conocidas. Permite escanear los puertos de un servidor en busca de brechas de seguridad. Muchos expertos en ciberseguridad la utilizan para conocer las fallas de seguridad pública en las empresas

su auténtico poder se muestra a la hora de conocer el verdadero alcance de las brechas de seguridad y para establecer medidas para subsanarlas

permite probar vulnerabilidades sin establecer ningún parámetro, por lo que es ideal para principiantes en temas de ciberseguridad.

Fase inicial en la que a través de diversos medios se recopila la mayor cantidad de información posible, con el fin de dar un diagnóstico inicial

al realizar el test no cuentan con ninguna información sobre la aplicación, sistema o arquitectura.

cuenta con información parcial de la aplicación, sistema o arquitectura.

en esta prueba se tiene toda la información de la aplicación, sistema o arquitectura

Analizar el sistema de forma manual o automática para identificar posibles vulnerabilidades llegando a un acuerdo con el cliente y acotando la profundidad de las pruebas a realizar

con base a toda la información recaudada vamos a gestionar nuestro perfil de ataque, y veremos sobre la creación de nuestros diccionarios para ataques

EXPLOTACIÓN

Ha llegado el momento de intentar conseguir acceso a los sistemas objetivo de nuestro test de penetración

Finalmente tenemos que presentar el resultado de la auditoría al cliente, de manera que este comprenda la seriedad de los riesgos emanantes de las vulnerabilidades descubiertas

INFORME

ISAAF

el ataque simulado se realiza basándose en información que es organizada de acuerdo con los criterios de los expertos en seguridad cibernética

PCI DSS

Sistema Payment Card Industry Data Security Standard

Information Systems Security Assessment Framework

es usado por empresas dedicadas al procesamiento, almacenamiento y transmisión de datos de tarjetas de crédito o débito en las transacciones comerciales

PTES

Penetration Testing Execution Standard

de los métodos más usados al comenzar en el pentesting, usa los estándares generados por profesionales de esta área altamente cualificados, de hecho, es considerado un modelo a seguir en libros y cursos de aprendizaje.

OSSTMM

Open Source Security Testing Methodology Manual

Es un manual diseñado por más de 150 expertos, que insisten en el desarrollo de un marco de trabajo que facilite hacer auditorías de seguridad más eficientes

Open Web Application Security Project

el auditor prueba todos los procesos recomendados en la metodología, siguiendo una metodología estándar de Ethical Hacking