Test de Intrusión: Simulacro de ataque informático dirigido

Un test de intrusión es una prueba especializada que evalúa de manera controlada la seguridad de los sistemas de información de una organización y su ejecución es esencial para identificar vulnerabilidades, reducir riesgos y fortalecer de manera proactiva la seguridad de estos sistemas. 

Para no incurrir en delito, estos tests se llevan a cabo previo acuerdo perfectamente definido con la entidad que recurre a estos análisis de seguridad, quedando establecidos los límites de las acciones a realizar cuando el o la profesional que los ejecuta penetra en un sistema de información explotando sus puntos débiles, tanto tecnológicos como humanos, emulando exactamente lo que haría un/a ciberatacante. 

El test de intrusión es una herramienta formidable para determinar las necesidades de protección que han de tenerse en cuenta a la hora de minimizar las probabilidades de ser víctima de un ciberataque. Al abordar la seguridad desde el punto de vista ofensivo (RED TEAM), se destaca como un elemento que ayuda a conocer de manera inmejorable la forma en que se pudieran comprometer las defensas frente a un incidente real con intenciones criminales. Al ejecutarse de modo profesional, seguro y controlado, es posible descubrir vulnerabilidades que, para un análisis más genérico, pasarían inadvertidas. 

Por otra parte, la actual exigencia del mercado por demostrar el mayor compromiso posible en materia de ciberseguridad, lleva a las empresas a certificarse en normativas y estándares que, para su obtención, requieren recurrir al hacking ético como medida que avale la solvencia que en tal materia se atesora. 

Tipos de test de intrusión

Existen varios tipos de test de intrusión, en función de la cantidad de información acordada que se disponga para su realización:

• Test de caja negra
  Si no se cuenta con información proporcionada por la parte contratante (credenciales, etc.), porque esta requiere que el test de intrusión reproduzca paso a paso lo que un/a agente malicioso habría de poner en práctica de querer emprender un ciberataque desde el exterior, hablamos de test de caja negra. 
  
• Test de caja blanca
  Cuando se dispone de datos ofrecidos por la entidad objeto de auditoría de seguridad (como IPs, contraseñas, etc.) estamos frente a un test de caja blanca, el cual permite conocer el alcance de las debilidades de un sistema objeto de un ataque perpetrado desde un conocimiento preciso de la organización. 
  
• Test de caja gris
  Hablamos de un test de caja gris cuando, sin disponer de información completa (como en el caso anterior), pero tampoco careciendo completamente de datos (como en el primero de los tipos aquí descritos), se cuenta con cierto nivel de acceso al sistema y este puede ser empleado con malas intenciones.

Metodologías

Si bien existen varias metodologías, Penetration Testing Execution Estándar (PTES) y Open Web Application Security Project (OWASP) cuentan con gran reconocimiento dentro del sector.

La primera detalla las siete fases de un test de intrusión:

1. Interacción previa (fase de planificación acordada con el cliente para determinar el alcance, los objetivos y las condiciones)
2. Recopilación de información (versión de los sistemas operativos, software instalado, puertos, servicios, datos sobre empleados, etc.) 
3. Modelado de amenazas (identificación de los vectores de ataque desde el punto de vista de un cibercriminal)
4. Análisis de vulnerabilidades (descubrimiento de fallos de seguridad que comprometan al sistema y permitan el acceso a datos o la ejecución de código malicioso)
5. Explotación (hackeo de las vulnerabilidades detectadas)
6. Post-Explotación (control sostenido en el tiempo de los sistemas puestos a prueba, con la intención de seguir escalando privilegios, realizar movimientos laterales, etc.)
7. Informe (documentación de los resultados, señalando las vulnerabilidades detectadas y las acciones para mitigarlas)

La segunda se considera el estándar en lo concerniente al pentesting de aplicaciones web, evaluando su robustez contra las amenazas que proliferan en el contexto digital. 

Pentesting, mucho más que un análisis de vulnerabilidades

El pentesting es esencial para cualquier organización que quiera proteger sus sistemas y redes de ataques informáticos. Mediante él se detectan posibles brechas o fallos. Esto facilita tomar medidas correctivas o preventivas que dificulten a un atacante real comprometer la integridad, la confidencialidad o la disponibilidad de la información o los recursos.

Un test de intrusión no se limita al escaneo de vulnerabilidades mediante la aplicación de herramientas específicamente diseñadas para tal efecto (como, por ejemplo, Nessus).  De hecho, el ejercicio profesional del hacking ético va más allá de este aspecto, pues su ejecución permite además evaluar la solidez de un sistema de información ante un escenario de ataque real. 

A este respecto, se ha de tener muy en cuenta que la ciberdelincuencia no limitará sus acciones a utilizar únicamente exploits conocidos. La continua incorporación de técnicas novedosas, las cuales amplían la definición de un ciberataque, hace absolutamente necesario realizar labores de pentesting contando con profesionales cuyos conocimientos no se limiten a lo oficialmente contemplado desde el conocimiento que alimenta las bases de datos que, sobre vulnerabilidades, se divulgan desde entidades de prestigio.

Valoración de la gravedad y el riesgo de seguridad del sistema

El proceso de adentrarse en las debilidades de un sistema permite identificarlas y clasificarlas según herramientas como la reconocida internacionalmente Common Vulnerability Scoring System (CVSS). Esto contribuye a conocer el nivel de gravedad de las mismas, lo que permite priorizar y abordar las amenazas más críticas de manera eficiente, enfocándose en cerrar las brechas de seguridad más urgentes.

Cabe destacar que el indicador que acabamos de citar recoge, en su última versión 4.0, métricas que tienen en cuenta la seguridad de los seres humanos, no siendo esta la única de las novedades incorporadas. Una que está directamente relacionada con el tema que estamos tratando es una nueva métrica de explotación, denominada REQUISITOS DE ATAQUE (AT). Esta considera las condiciones de despliegue y ejecución que permiten un ataque malicioso, aspecto de gran interés al respecto de los test de intrusión.

Auditorías de seguridad y test de intrusión de JakinCode

Mediante servicios profesionales como los ofrecidos por JakinCode, basados en metodologías reconocidas y absolutamente respetuosas con las normas legales y éticas, las organizaciones pueden elevar su resiliencia frente a las amenazas digitales en constante evolución. Asimismo, JakinCode puede diseñar test de intrusión a medida de las necesidades de los clientes que así lo soliciten, sin que necesariamente tengan que estar relacionadas con vulnerabilidades técnicas. Un ejemplo de lo que se acaba de señalar sería la evaluación de políticas de cumplimiento.

Penetrar en un sistema sin permiso es ilegal, por lo que JakinCode estipula contractualmente las condiciones del test de intrusión como paso previo a su realización. De ahí que, además de los aspectos puramente técnicos, se haya de tener en cuenta también el aspecto jurídico, pues acceder a un sistema requiere incluir cláusulas que definan la autorización por parte de sus titulares. Bajo ningún concepto la persona encargada del test de intrusión podrá utilizar en beneficio propio los datos a los que acceda en el transcurso de su trabajo, ni causar perjuicio a la entidad que solicita sus servicios.