CAPITULO 3 - THE OWASP TESTING FRAMEWORK

CAPITULO 3 - THE OWASP TESTING FRAMEWORK

1. Guías de Prueba OWASP

   • Guía de Pruebas de Seguridad Web (WSTG): Proporciona una lista exhaustiva de pruebas para aplicaciones web. Ayuda a identificar y mitigar vulnerabilidades específicas de web. Incluye pruebas de inyección, autenticación, autorización, y manejo de sesiones.
   • Guía de Pruebas de Seguridad Móvil (MSTG): Dirigida a aplicaciones móviles en plataformas Android e iOS. Ofrece directrices sobre configuración de entornos de prueba móviles. Enfatiza la importancia de revisar permisos, almacenamiento seguro, y comunicación segura.
   • Metodología de Prueba de Seguridad del Firmware: Diseñada para dispositivos IoT y firmware. Aborda la evaluación de integridad y seguridad de firmware. Pruebas incluyen la validación de autenticidad y resistencia a manipulaciones.

2. Estándar de Ejecución de Pruebas de Penetración (PTES)

   • 1) Interacciones previas al compromiso: Definición de los objetivos y alcance de las pruebas. Acuerdo sobre términos y condiciones con el cliente.
   • 2) Recogida de información: Recolección de datos sobre el objetivo. Técnicas incluyen escaneo de red, análisis de servicios y recopilación de información pública.
   • 3) Modelado de amenazas: Identificación y categorización de posibles amenazas. Evaluación del impacto potencial de cada amenaza.
   • 4) Análisis de vulnerabilidad: Escaneo y análisis de vulnerabilidades. Herramientas comunes incluyen escáneres de vulnerabilidades y análisis manual.
   • 5) Explotación: Intentos de explotar vulnerabilidades identificadas. Verificación de la posibilidad de compromiso y evaluación del impacto.
   • 6) Después de la explotación: Análisis de la extensión del acceso obtenido. Evaluación de las capacidades de persistencia y exfiltración de datos.
   • 7) Informes: Documentación detallada de hallazgos. Recomendaciones para mitigar las vulnerabilidades descubiertas.

3. Guía de Pruebas de Penetración PCI

   • Requisito 11.3 de PCI DSS
     • Componentes de pruebas de penetración: Pruebas internas y externas. Validación de reducción de alcance.
     • Cualificaciones de un evaluador de penetración: Conocimiento y experiencia en pruebas de seguridad. Certificaciones y formación continua.
     • Metodologías de pruebas de penetración: Basadas en enfoques aceptados por la industria. Pruebas de capa de aplicación y red.
     • Directrices para informes de pruebas de penetración: Estructura y contenido del informe. Detalle de hallazgos y recomendaciones.

4. Marco de Pruebas de Penetración (PTF)

   • Categorías de Pruebas
     • Huella de red (reconocimiento): Identificación de activos y servicios en la red.
     • Descubrimiento y sondeo: Detección de puertos abiertos y servicios disponibles.
     • Enumeración: Obtención de información detallada sobre servicios y usuarios.
     • Descifrado de contraseñas: Técnicas de cracking y análisis de fuerza bruta.
     • Evaluación de vulnerabilidad: Identificación de debilidades y posibles explotaciones.
     • Pruebas específicas (Bluetooth, Cisco, Citrix, VoIP, etc.): Evaluación de seguridad de tecnologías específicas.

5. Guía Técnica para la Evaluación y Pruebas de Seguridad de la Información (NIST 800-115)

   • Técnicas de Evaluación
     • Revisión: Análisis de documentación y configuración.
     • Identificación y análisis de objetivos: Definición de activos críticos y posibles vectores de ataque.
     • Validación de vulnerabilidades: Comprobación de la existencia y explotabilidad de vulnerabilidades.
     • Planificación de evaluación: Desarrollo de un plan detallado de pruebas.
     • Ejecución y actividades posteriores: Realización de pruebas y análisis de resultados.

6. Manual de Metodología de Pruebas de Seguridad de Código Abierto (OSSTMM)

   • Áreas Clave
     • Análisis de seguridad: Evaluación de riesgos y amenazas.
     • Métricas de seguridad operativa: Medición de la eficacia de controles de seguridad.
     • Análisis de confianza: Evaluación de la confianza en sistemas y procesos.
     • Pruebas de seguridad humana, física y de telecomunicaciones: Evaluación de seguridad en distintos dominios.
     • Normativas de cumplimiento: Adherencia a estándares y regulaciones.
     • Informes con el STAR (Informe de auditoría): Documentación de resultados y recomendaciones.