Las pruebas de penetración o penetration testing, coloquialmente llamadas pen testing, son una de las formas de auditoría en seguridad más usadas, en la cual se realiza un ataque simulado a un sistema para tratar de penetrar en el mismo y realizar acciones que comprometan su integridad.
Esta es una prueba que, bien realizada, nos proporciona muchísima información acerca de las vulnerabilidades de nuestro sistema de seguridad. Las metas a conseguir y la metodología dependen de la auditoría que estemos realizando, de lo que queramos averiguar o comprobar.
El pen testing requiere de una gran maestría y conocimiento en el campo de la seguridad, además de pericia y grandes dosis de capacidad innovadora. Realizamos estas pruebas con un éxito muy alto, y somos capaces de encontrar vulnerabilidades a un nivel profundo.
Esta es una prueba que, bien realizada, nos proporciona muchísima información acerca de las vulnerabilidades de nuestro sistema de seguridad. Las metas a conseguir y la metodología dependen de la auditoría que estemos realizando, de lo que queramos averiguar o comprobar.
El pen testing requiere de una gran maestría y conocimiento en el campo de la seguridad, además de pericia y grandes dosis de capacidad innovadora. Realizamos estas pruebas con un éxito muy alto, y somos capaces de encontrar vulnerabilidades a un nivel profundo.
A la hora de enfrentarnos al sistema de seguridad del cliente, podemos tomar diferentes aproximaciones. Una de ellas es lo que se conoce como black box pen testing, o pen testing de caja negra.
En este caso, el atacante no conoce de antemano los detalles del sistema a evaluar. Es decir, nos ponemos exactamente en la piel de un cibercriminal que quiera romper o penetrar en el sistema del cliente.
Las ventajas de este sistema radican en su similitud con la realidad y en la improvisación, que proporciona soluciones no contempladas. A cambio, es más difícil optimizar el tiempo de comprobación, y puede que no lleguemos a auditar todas las partes del sistema y las distintas posibilidades.
La caja blanca
Al contrario de lo que sucede con la caja negra, en el pen testing de caja blanca sí conocemos de antemano toda la información del sistema de seguridad a atacar. Esto permite profundizar mucho más en las opciones de comprobación y optimizar el tiempo dedicado a ello, además de poder evaluar de manera precisa todos los componentes.
Sin embargo, no se trata de un ataque realista, ya que el cibercriminal posiblemente carezca de todos los detalles del mismo.
Este tipo de pen testing es una mezcla de los dos anteriores, tomando lo mejor de cada uno. Se parte poseyendo información incompleta del sistema a atacar. Pueden ser algunos datos clave, topología de red, sistemas operativos y su versión, etc. Cuánta más información tengamos inicialmente, más “blanco” será el gris de la caja. Normalmente, esta información tendrá un equilibrio lógico, y puede simular la que tendría un cibercriminal después de haber estudiado el sistema durante un tiempo.
Esta metodología permite una penetración mayor y comprobación más exhaustiva que la de la caja negra, sin desechar totalmente el elemento de simulación real.
En cualquier caso, la selección del tipo de pen testing, y su correcta implementación, es algo que realizamos de manera habitual con total fiabilidad.
Auditoría WiFi
Otro de los servicios que ofrecemos dentro de nuestra batería de pruebas y herramientas de fortalecimiento es la auditoría de la red inalámbrica.
La red WiFi suele ser uno de los agujeros más grandes para la entrada de todo tipo de atacantes a nuestra red corporativa. Hay muchísimas técnicas bien documentadas para romper el cifrado y conseguir el acceso, capturar los paquetes de información que viajan por el aire y desencriptarlos, suplantar dispositivos, y un largo etcétera.
Nuestro servicio proporciona el análisis, auditoría y actuaciones que necesita para evitar que la red inalámbrica se convierta en el punto de fuga de datos más importante. Incluso, podemos detectar si su red está “pinchada” o comprometida.
