Contenido del artículo
- En resumen
- Para qué sirve un pentest a una empresa
- En qué se diferencia de un escaneo y de un red team
- Cómo funciona un pentest: las etapas
- Caja negra, gris y blanca
- Qué te da el informe
- Cuánto dura y cada cuánto se hace
- El lado legal: la autorización escrita
- Checklist: ¿estás listo para un pentest?
- FAQ
- Referencias
Un pentest significa una revisión de seguridad en la que un especialista, con la autorización por escrito de la empresa, intenta entrar en su web, su app, su red o su nube con los mismos métodos que los atacantes, para encontrar los puntos débiles antes que ellos. El resultado es un informe: qué consiguió hacer, qué significa para el negocio y qué corregir primero.
El nombre completo es «test de penetración» o «prueba de penetración» (penetration testing). El NIST, el instituto de estándares de Estados Unidos, lo describe como la imitación de ataques reales para encontrar formas de saltarse la seguridad de una aplicación, un sistema o una red. [1] El NCSC británico compara el pentest con una auditoría financiera: una revisión externa muestra si tus procesos internos de seguridad funcionan de verdad. [3] Cómo se ve en la práctica está en la página de pentest.
En resumen
- Un pentest lo hace una persona, no solo un programa: busca qué se puede hacer de verdad con los puntos débiles.
- Las empresas lo encargan antes de lanzar un producto, tras cambios grandes, cuando lo pide un socio o un cliente y de forma periódica, normalmente una vez al año.
- Etapas: acuerdo y alcance, autorización escrita, pruebas, informe, correcciones y una nueva prueba.
- Sin la autorización escrita del dueño del sistema, el mismo trabajo se convierte en un acceso ilegal.
Para qué sirve un pentest a una empresa
Una empresa no suele saber cómo se ven sus sistemas con los ojos de un atacante. El equipo de desarrollo comprueba que las funciones funcionan, y el pentester comprueba que no se pueden usar de forma indebida: si un cliente puede ver los datos de otro, si se puede entrar sin contraseña, si hay un servicio innecesario abierto a internet.
Motivos típicos para encargar un pentest:
- el lanzamiento o una actualización grande de un producto con datos de clientes o pagos;
- la petición de un socio, un banco, un cliente grande o un regulador;
- una revisión tras un incidente, para ver dónde más hay agujeros;
- saber en qué gastar primero el presupuesto de seguridad.
Si al menos un motivo encaja contigo, planifica el pentest con antelación: preparar los accesos y la autorización también lleva tiempo.
En qué se diferencia de un escaneo y de un red team
| Pentest | Escaneo de vulnerabilidades | Red team | |
|---|---|---|---|
| Pregunta principal | ¿Qué podría hacer de verdad un atacante? | ¿Qué está anticuado, expuesto o mal configurado? | ¿Detectará y frenará el equipo un ataque dirigido? |
| Quién lo hace | Una persona, ayudada por herramientas | Sobre todo un programa | Un equipo que actúa como atacantes reales |
| Profundidad | A fondo, dentro de los sistemas acordados | Amplio pero superficial | Cualquier camino hacia un objetivo acordado |
| Para quién | La mayoría de empresas con producto propio | Todas, para el control periódico | Empresas con equipo de seguridad propio |
Un escaneo busca automáticamente problemas conocidos, y un pentest comprueba si se pueden aprovechar. Más detalle en pentest o escaneo de vulnerabilidades.
Un red team significa un grupo que imita un ataque dirigido contra toda la empresa para probar su defensa y su reacción, no para encontrar el mayor número de vulnerabilidades. [4] Hay una comparación en red team o pentest.
Cómo funciona un pentest: las etapas
El NCSC describe un pentest típico así: acuerdo inicial, alcance, pruebas, informe y seguimiento. [3] La guía SP 800-115 del NIST divide las pruebas en planificación, descubrimiento, ataque e informe. [2] En palabras sencillas:
- Acuerdo y alcance. Decidís juntos qué se revisa: qué webs, apps, direcciones y roles de usuario, y qué queda fuera.
- Autorización escrita y reglas. Fechas, horas, acciones prohibidas, contactos por si algo falla.
- Reconocimiento. El pentester reúne información: qué se ve desde internet, qué tecnologías se usan, cómo funciona el acceso.
- Ataque. Intenta aprovechar los puntos débiles encontrados y encadenar varios fallos pequeños en uno grave. Lo crítico lo comunica enseguida.
- Informe. Hallazgos, su impacto en el negocio y el orden de corrección.
- Nueva prueba. Tras las correcciones, el pentester confirma que los problemas están cerrados, si se acordó en el contrato.
Caja negra, gris y blanca
Estos nombres indican cuánto sabe el pentester del sistema al empezar.
- Caja negra (black box). El pentester no sabe nada, como un atacante externo. Es realista, pero algunos problemas pueden quedar sin descubrir en el tiempo disponible. [3]
- Caja gris (grey box). El pentester tiene cuentas de usuario normales y una descripción general del sistema. Así se ve qué podría hacer un cliente o un socio, y suele dar el mejor equilibrio entre profundidad y tiempo.
- Caja blanca (white box). El pentester tiene la documentación y a veces el código. Es la revisión más profunda, porque no se pierde tiempo adivinando. [3]
Qué te da el informe
Un buen informe sirve tanto a la dirección como al equipo de desarrollo:
- un resumen breve en lenguaje sencillo: qué se encontró y qué corregir primero;
- cada hallazgo con pasos para reproducirlo, para que el equipo de desarrollo pueda repetirlo;
- una valoración del riesgo con explicación, no solo la palabra «crítico»;
- recomendaciones concretas sobre qué cambiar;
- una lista de lo que no se revisó, para que nadie lo dé por seguro.
El NCSC recuerda que un pentest muestra el estado del sistema solo el día de la prueba. [3] Por eso el informe es útil cuando cada hallazgo tiene un responsable y un plazo.
Cuánto dura y cada cuánto se hace
El plazo depende del alcance: número de sistemas, roles y funciones. Para una aplicación web pequeña suele ser una semana o más, para varios sistemas, más tiempo. El plazo exacto se fija antes de empezar, tras hablar de tus sistemas. De qué se compone el alcance y el precio se explica en qué incluye un pentest y cuánto cuesta.
Cada cuánto: normalmente una vez al año y tras cambios grandes, como un producto nuevo, una integración o el paso a la nube. Entre pentests ayuda un escaneo periódico.
El lado legal: la autorización escrita
Un pentest es legal solo cuando el dueño del sistema ha dado una autorización por escrito. Sin ella, las mismas acciones son una intromisión ilegal en sistemas informáticos, que en Ucrania es un delito penal. El NIST aconseja acordar las reglas de la prueba y las cuestiones legales antes de empezar. [2]
La autorización suele indicar:
- qué sistemas se pueden revisar y desde qué direcciones;
- las fechas y horas de las pruebas activas;
- qué está prohibido, por ejemplo saturar un servicio o borrar datos;
- quién está disponible por tu parte y cómo detener la prueba.
Los servicios de terceros (hosting, nube, proveedor de pagos) pertenecen a otras empresas y tienen sus propias reglas. La autorización la firma una persona que de verdad puede decidir por la empresa. Cómo elegir un proveedor que te explique todo esto de antemano se cuenta en cómo elegir una empresa de pentest.
Checklist: ¿estás listo para un pentest?
Descargar la lista de preparación (PDF)PDF · A4
FAQ
¿Qué es un pentest en palabras sencillas?
Es una revisión en la que un especialista, con tu autorización por escrito, intenta entrar en tu web, tu app o tu red como lo haría un atacante. El objetivo es encontrar los puntos débiles antes que los atacantes reales y recibir un informe con el orden de corrección.
¿En qué se diferencia un pentest de un escaneo de vulnerabilidades?
Un escaneo busca automáticamente problemas conocidos en muchos sistemas. Un pentest lo hace una persona que comprueba si esos problemas se pueden aprovechar de verdad para llegar a datos, dinero o accesos ajenos.
¿Es seguro un pentest para un sistema en producción?
Hay riesgo si no hay reglas. Por eso antes de empezar se acuerdan las acciones prohibidas, las horas de prueba y un contacto por si algo falla. Parte de las pruebas se puede hacer en una copia de pruebas del sistema.
¿Cuánto dura un pentest?
Depende del alcance. Para una aplicación web pequeña suele ser una semana o más, para varios sistemas, más tiempo. El plazo exacto se fija antes de empezar.
¿Es legal hacer un pentest?
Sí, si el dueño del sistema ha dado una autorización por escrito con el alcance y las reglas. Sin esa autorización, las mismas acciones son un acceso ilegal.
