La diferencia clave entre las pruebas de penetración y el escaneo de vulnerabilidades

La seguridad operativa, o así llamada soc, incluye la implementación de soluciones, el seguimiento de cambios, el mantenimiento adecuado de los sistemas, el cumplimiento de los estándares requeridos y el cumplimiento de las prácticas y objetivos de seguridad.

Una empresa no se beneficiará del desarrollo de una política de contraseña segura si nadie la aplica y los usuarios usan las contraseñas que desean.

Es como cambiar a un estilo de vida saludable. Si vas al gimnasio durante una semana y comes donas durante el resto del año, no puedes esperar mantenerte en forma.

La seguridad requiere disciplina, un régimen establecido y diligencia debida.

Aquí discutiremos las pruebas de penetración frente a la exploración de vulnerabilidades y su uso por parte de TI para la protección cibernética.

Principios básicos y beneficios del pentesting

Los servicios de Pentesting simulan ataques a las redes según la tarea de su propietario, un alto ejecutivo.

Mientras lo hace, el probador utiliza un conjunto de procedimientos y herramientas diseñados para probar e intentar eludir las defensas del sistema.

Su objetivo principal es evaluar el nivel de resistencia de una empresa a un ataque e identificar las debilidades en su entorno.

Las empresas deben evaluar de forma independiente la eficacia de sus herramientas de seguridad y no solo confiar en las promesas de los proveedores.

Una buena seguridad informática se basa en hechos, no solo en una idea de cómo deberían funcionar las cosas. Este método imita las mismas técnicas que utilizan los atacantes reales.

Los atacantes pueden ser inteligentes e inventivos en sus enfoques. Por lo tanto, las pruebas también deben usar las últimas técnicas de piratería y una metodología sólida para realizarlas.

Durante las pruebas, debe analizar cada equipo del entorno. No debe esperar que un atacante escanee solo una computadora y, al no encontrar vulnerabilidades en ella, elija otra empresa.

Las pruebas de penetración pueden verificar todos los puntos que los piratas informáticos reales pueden usar para acceder a datos confidenciales y valiosos, por ejemplo:

• servidores web y DNS;
• configuración de los enrutadores;
• la posibilidad de llegar a algunos datos críticos;
• sistemas de acceso remoto, puertos abiertos, etc.

Algunas pruebas pueden dañar la actividad de los sistemas e incluso desactivarlos. Es por eso que las fechas de las pruebas deben acordarse con anticipación.

El proceso no debe afectar significativamente el desempeño de la empresa. Y el personal de la empresa debe estar listo, si es necesario, para restablecer rápidamente el funcionamiento de los sistemas.

De acuerdo con los resultados del pentesting, se debe elaborar un informe que describa los problemas identificados, el grado de criticidad de los mismos y recomendaciones para su corrección.

Principios básicos y ventajas del análisis de vulnerabilidades

La realización de escaneos de vulnerabilidades manuales o automatizados (o mejor, una combinación de ellos) requiere que la empresa tenga empleados (o celebre un acuerdo con consultores) con amplia experiencia en seguridad, así como un alto nivel de confianza.

Incluso la herramienta de exploración de vulnerabilidades mejor automatizada produce resultados que pueden malinterpretarse (falsos positivos), o las vulnerabilidades identificadas pueden no importar a su entorno o ser compensadas por varias medidas de protección.

Por otro lado, se pueden encontrar dos vulnerabilidades separadas en la red, que no son significativas en sí mismas, pero en conjunto, son importantes.

Además, por supuesto, una herramienta automatizada puede pasar por alto vulnerabilidades individuales, como un elemento poco conocido que es importante para su entorno.

Los objetivos de tal evaluación son:

1. Evaluar el estado real de la seguridad del medio ambiente.
2. Identifique tantas vulnerabilidades como sea posible, y evalúe y priorice cada una.

En general, el escáner de vulnerabilidades de sitios web proporciona las siguientes funciones:

• Identificación de sistemas activos en la red.
• Identificación de servicios vulnerables activos (puertos) en sistemas encontrados.
• Identificación de aplicaciones que se ejecutan en ellas y análisis de banners.
• Identificación del sistema operativo instalado en ellos.
• Identificación de vulnerabilidades asociadas con el sistema operativo y las aplicaciones detectadas.
• Detección de ajustes incorrectos.
• Pruebas de conformidad con las políticas de uso de aplicaciones y las políticas de seguridad.
• Preparando la base para la realización del pentesting.

El equipo tiene que comprobar cómo responden los sistemas a determinadas acciones y ataques para conocer no solo la presencia de vulnerabilidades conocidas (versión desactualizada del servicio, cuenta sin contraseña), sino también la posibilidad de uso no autorizado de ciertos elementos del entorno. (inyección de SQL, desbordamiento de búfer, explotación de sistemas de fallas arquitectónicas (por ejemplo, en ataques de ingeniería social).

Antes de decidir el alcance de la prueba, el probador debe explicar las posibles consecuencias de la prueba.

Algunas de las pruebas pueden desactivar sistemas vulnerables; las pruebas pueden afectar negativamente el rendimiento de los sistemas debido a la carga adicional durante su prueba.

Además, la gerencia debe comprender que los resultados de las pruebas son solo una instantánea. Dado que el entorno cambia constantemente, pueden aparecer nuevas vulnerabilidades en cualquier momento.

La gerencia también debe ser consciente de que hay varias opciones de evaluación disponibles, cada una de las cuales identifica diferentes tipos de vulnerabilidades en el entorno, pero cada una tiene sus limitaciones.

Pruebas de penetración frente a análisis de vulnerabilidades. ¿Cual es la diferencia principal?

La elección de la prueba de penetración frente al análisis de vulnerabilidades depende de la empresa, sus objetivos de seguridad y los objetivos de su gestión.

Ambas opciones tienen ventajas y desventajas que deben tenerse en cuenta al planificar el proceso de prueba.

Algunas grandes empresas realizan rutinariamente pentesting en su entorno, utilizando diversas herramientas o dispositivos de escaneo que analizan continuamente la red de la empresa, identificando automáticamente nuevas vulnerabilidades en ella.

Otras empresas recurren a los proveedores de servicios para descubrir vulnerabilidades y realizar pruebas de penetración para obtener una visión más objetiva de la seguridad de su entorno.

Vale la pena utilizar ambos métodos en diferentes etapas y en diferentes momentos.

Por fin, cuanto más sepa sobre la protección existente de su organización y su confiabilidad, más podrá hacer para prevenir los ataques de piratas informáticos y ahorrar tiempo, dinero y reputación.

¿Tiene alguna idea sobre esto? Háganos saber a continuación en los comentarios o lleve la discusión a nuestro Twitter o Facebook.

Recomendaciones de los editores:

• Cyberlands.io ofrece API sólidas y pruebas de penetración móvil a las primeras empresas digitales
• Esa vulnerabilidad de Apple Watch Walkie-Talkie finalmente se ha solucionado
• El Samsung Galaxy 7 tiene una vulnerabilidad de piratería, pero sigue siendo un gran teléfono
• Aprenda a detener a los ciberdelincuentes con este paquete de cursos de piratería ética de $ 60