PT0-002 / Módulo 01: Determinación del alcance de los requisitos de la organización y del cliente para las pruebas de penetración
1. Introducción
Las pruebas de penetración (PenTest) son un método fundamental para evaluar y mejorar la postura de ciberseguridad de una organización. En este capítulo se presenta el proceso de PenTest, los requisitos de cumplimiento y las formas de mantener el profesionalismo durante el proceso de prueba.
Determinar el alcance de los requisitos de la organización y del cliente para las pruebas de penetración es un paso crucial en el proceso por varias razones importantes:
1. Definición de objetivos claros: la definición del alcance ayuda a establecer objetivos claros y específicos para la prueba de penetración. Esto garantiza que la prueba se ajuste a los objetivos de seguridad de la organización y aborde sus preocupaciones más urgentes.
2. Optimización de recursos: al definir claramente el alcance, las organizaciones pueden asignar recursos de manera más eficaz. Esto evita perder tiempo y esfuerzo en áreas de prueba que no son críticas o relevantes para la postura de seguridad de la organización.
3. Gestión de riesgos: una correcta definición del alcance ayuda a identificar y priorizar los activos y sistemas más críticos para las pruebas. Esto garantiza que las áreas de alto riesgo reciban la atención y los recursos adecuados durante la prueba de penetración.
4. Consideraciones legales y de cumplimiento: la determinación del alcance ayuda a garantizar que la prueba de penetración cumpla con las leyes, regulaciones y estándares de la industria pertinentes. Puede ayudar a prevenir problemas legales no deseados que podrían surgir al realizar pruebas más allá de los límites acordados.
5. Minimizar las interrupciones operativas: un alcance bien definido puede limitar la posibilidad de interrupciones en las operaciones comerciales normales. Puede especificar qué sistemas se pueden probar, cuándo se pueden realizar las pruebas y qué tipos de pruebas están permitidas.
6. Establecer expectativas: el alcance establece expectativas claras tanto para el equipo de pruebas como para el cliente. Ayuda a evitar malentendidos sobre qué se probará, cómo se probará y qué resultados se esperan.
7. Control de costos: al definir claramente el alcance, las organizaciones pueden estimar y controlar mejor los costos asociados con las pruebas de penetración. Esto evita la ampliación del alcance y los gastos inesperados.
8. Enfoque personalizado: cada organización tiene necesidades de seguridad únicas. El alcance permite un enfoque personalizado que aborda los requisitos, las preocupaciones y las limitaciones específicas de la organización.
9. Consideraciones éticas: Una definición adecuada del alcance garantiza que las pruebas de penetración se realicen de manera ética y responsable. Establece límites que impiden que los evaluadores accedan o pongan en peligro inadvertidamente datos o sistemas confidenciales fuera del alcance acordado.
10. Resultados mensurables: un alcance bien definido permite obtener resultados más mensurables y comparables. Esto resulta especialmente útil para realizar un seguimiento de las mejoras de seguridad a lo largo del tiempo o comparar los resultados de distintas pruebas de penetración.
11. Cumplimiento normativo: para las industrias sujetas a regulaciones específicas (por ejemplo, atención médica, finanzas), el alcance garantiza que las pruebas de penetración cumplan con los requisitos regulatorios y puedan usarse como evidencia de cumplimiento.
12. Facilitar la comunicación: un alcance claro proporciona un entendimiento común entre todas las partes interesadas, lo que facilita una mejor comunicación durante todo el proceso de prueba de penetración.
13. Centrarse en el contexto empresarial: el alcance permite alinear la prueba de penetración con el contexto empresarial de la organización, lo que garantiza que las pruebas y los resultados sean relevantes para la industria, el tamaño y el perfil de riesgo específicos de la organización.
14. Preparación para la remediación: al definir claramente lo que se probará, las organizaciones pueden prepararse mejor para posibles hallazgos y asignar recursos para los esfuerzos de remediación de manera más efectiva.
En conclusión, determinar los requisitos de la organización y del cliente para las pruebas de penetración es esencial para garantizar que las pruebas sean efectivas, eficientes, relevantes y estén alineadas con las necesidades y limitaciones de la organización. Establece las bases para una prueba de penetración exitosa que proporcione información valiosa y resultados prácticos para mejorar la postura de seguridad de la organización.
1. Compare y contraste los informes de gobernanza, riesgo y cumplimiento.
Explicación:
Los informes de gobernanza se centran en cómo se gestiona y controla una organización. Los informes de riesgo identifican y evalúan las amenazas potenciales a una organización. Los informes de cumplimiento demuestran el cumplimiento de las leyes, las regulaciones y los estándares de la industria.
Escenario ilustrativo:
Un banco multinacional, GlobalFinance, realiza evaluaciones anuales:
- Informe de gobernanza: describe la estructura de liderazgo del banco, los procesos de toma de decisiones y los controles internos.
- Informe de riesgos: identifica posibles amenazas cibernéticas, riesgos de mercado y vulnerabilidades operativas.
- Informe de cumplimiento: demuestra el cumplimiento de regulaciones como GDPR, PCI DSS y leyes bancarias locales.
Si bien el informe de gobernanza podría recomendar mejorar la supervisión de la ciberseguridad por parte de la junta directiva, el informe de riesgos podría destacar vulnerabilidades específicas en el sistema de banca en línea. El informe de cumplimiento mostraría entonces si esas vulnerabilidades violan algún requisito regulatorio.
2. La importancia del alcance y de los requisitos organizativos y del cliente
Explicación:
El alcance define los límites de una prueba de penetración, lo que garantiza que los esfuerzos de prueba estén enfocados, sean eficientes y estén alineados con las necesidades de la organización. Un alcance adecuado evita trabajo innecesario, reduce riesgos y garantiza que los sistemas críticos se examinen en profundidad.
Escenario ilustrativo:
TechInnovate, una empresa de software, solicita una prueba de penetración para su nueva aplicación basada en la nube. El proceso de determinación del alcance implica:
- Definir los límites de las pruebas (por ejemplo, solo la aplicación, no la infraestructura de nube subyacente)
- Identificación de activos críticos (por ejemplo, base de datos de usuarios, módulo de procesamiento de pagos)
- Establecer limitaciones de pruebas (por ejemplo, no se permiten ataques de denegación de servicio)
- Alineación con los requisitos organizacionales (por ejemplo, pruebas fuera de horas pico)
Este alcance garantiza que la prueba de penetración se centre en las preocupaciones más críticas de TechInnovate y, al mismo tiempo, evite interrumpir sus operaciones comerciales.
3. La importancia de la comunicación durante el proceso de pruebas de penetración
Explicación:
Una comunicación eficaz garantiza que todas las partes interesadas comprendan el progreso, los hallazgos y las implicaciones de la prueba. Ayuda a gestionar las expectativas, permite una respuesta rápida a los hallazgos críticos y garantiza que el informe final satisfaga las necesidades de la organización.
Escenario ilustrativo:
Durante una prueba de penetración para SecureHealth, un proveedor de atención médica, el equipo de pruebas descubre una vulnerabilidad crítica en el sistema de registros de pacientes. Inmediatamente se lo comunican al equipo de TI del cliente, lo que permite una pronta mitigación. Durante la prueba, brindan actualizaciones diarias y una sesión informativa a mitad de la prueba, lo que garantiza que la administración de SecureHealth esté completamente informada y pueda tomar decisiones oportunas sobre la asignación de recursos y la gestión de riesgos.
4. Ante un escenario, demuestre una mentalidad de piratería ética manteniendo el profesionalismo y la integridad.
Explicación:
Una mentalidad de hacking ético implica realizar pruebas con permiso, respetar límites, proteger datos confidenciales y priorizar la seguridad del cliente. Requiere mantener el profesionalismo y la integridad durante todo el proceso de prueba.
Escenario ilustrativo:
Durante una prueba de penetración para EduOnline, una plataforma de aprendizaje electrónico, el equipo de pruebas obtiene acceso a una base de datos que contiene información de los estudiantes. En lugar de extraer estos datos, documentan la vulnerabilidad, informan de inmediato al cliente y brindan recomendaciones para proteger la base de datos. También se aseguran de que todos los datos de prueba se eliminen de forma segura después de la prueba, lo que demuestra su compromiso con las prácticas éticas y la protección de datos.
5. Dado un escenario, realizar un reconocimiento pasivo.
Explicación:
El reconocimiento pasivo implica recopilar información sobre un objetivo sin interactuar directamente con sus sistemas. Esto puede incluir el uso de fuentes públicas, redes sociales y otra información disponible abiertamente.
Escenario ilustrativo:
Antes de comenzar una prueba de penetración autorizada para GreenEnergy, una empresa de energía renovable, el equipo de pruebas realiza un reconocimiento pasivo:
- Analizan el sitio web de GreenEnergy, anotando las tecnologías utilizadas y los potenciales puntos de entrada.
- Revisan las ofertas de trabajo de la empresa para comprender su pila tecnológica.
- Examinan registros públicos y comunicados de prensa para obtener información sobre la infraestructura de GreenEnergy.
- Utilizan herramientas OSINT para recopilar información sobre los rangos de red de la empresa y los formatos de correo electrónico.
Este reconocimiento pasivo proporciona información valiosa para las fases posteriores de la prueba de penetración, todo ello sin alertar a los sistemas de seguridad de GreenEnergy ni requerir interacción directa con su red.
Estos objetivos en conjunto garantizan que los evaluadores de penetración aborden su trabajo de manera metódica, ética y en consonancia con las necesidades del cliente y los requisitos reglamentarios. Hacen hincapié en la importancia de una comunicación clara, una conducta profesional y una preparación exhaustiva en el proceso de evaluación de penetración.
2. Definición de PenTesting Organizacional
2.1 Evaluación de la salud y resiliencia cibernética
Las organizaciones reconocen cada vez más la necesidad de proteger sus sistemas. Para garantizar la confidencialidad, integridad y disponibilidad (CIA) de los datos, muchas emplean tres tipos principales de controles:
a) Controles administrativos: incluyen políticas y procedimientos. Por ejemplo, políticas de contraseñas que requieren contraseñas complejas y cambios periódicos, o políticas de uso aceptable que definen cómo los empleados pueden utilizar los recursos de la empresa.
b) Controles físicos: se relacionan con la protección de activos físicos. Algunos ejemplos son las salas de servidores cerradas, las cámaras de seguridad y los sistemas de acceso biométrico.
c) Controles técnicos o lógicos: Engloban soluciones de software y hardware como firewalls, encriptación y sistemas de detección de intrusos.
Todos estos controles deben cumplir con el principio del mínimo privilegio, lo que significa otorgar a los usuarios solo el nivel mínimo de derechos de acceso que necesitan para realizar su trabajo. Este principio ayuda a minimizar los posibles daños derivados de accidentes o acciones maliciosas.
2.2 Reducción del riesgo general
Un objetivo principal de las pruebas de penetración es reducir el riesgo general. La fórmula para determinar el riesgo es:
RIESGO = AMENAZA * VULNERABILIDAD
Dónde:
- Las amenazas pueden ser malware, piratas informáticos o incluso desastres naturales.
- Las vulnerabilidades son debilidades o fallos en el sistema que podrían ser explotados.
Por ejemplo, si un servidor tiene una vulnerabilidad sin parchear (con una puntuación de 8 sobre 10 en gravedad) y la amenaza de explotación es moderada (5 sobre 10), el riesgo sería 8 * 5 = 40 sobre 100.
La gestión de riesgos implica identificar, evaluar, analizar y responder a estos riesgos. Las pruebas de penetración ayudan en este proceso al descubrir vulnerabilidades antes de que los actores maliciosos puedan explotarlas.
2.3 El proceso de prueba de penetración estructurada de CompTIA
CompTIA describe un proceso de ocho pasos para realizar pruebas de penetración:
1. Planificación y alcance: esto implica delinear el plan para la prueba de penetración, incluida la definición de objetivos, sistemas que se probarán y limitaciones.
2. Reconocimiento: recopilación de información sobre el objetivo. Puede realizarse tanto con métodos pasivos (información disponible públicamente) como activos (interacción directa con el objetivo).
3. Escaneo: identificación de hosts activos, puertos abiertos y servicios en ejecución. En esta fase se suelen utilizar herramientas como Nmap.
4. Obtener acceso: intentar explotar vulnerabilidades para ver hasta dónde puede llegar el evaluador en la red.
5. Mantener el acceso: una vez obtenido el acceso, el evaluador intenta mantenerlo sin ser detectado durante el mayor tiempo posible, simulando el comportamiento de un atacante real.
6. Cubrir huellas: eliminar cualquier evidencia de la penetración, como entradas de registro o archivos creados.
7. Análisis: Analizar los hallazgos y derivar un resumen de la calificación de riesgo para cada vulnerabilidad encontrada.
8. Informes: entregar los resultados en un informe completo, que a menudo incluye un resumen ejecutivo y hallazgos técnicos detallados.
Escenario: PenTest de sistemas de atención sanitaria MediTech
MediTech es un proveedor regional de atención médica con varias clínicas y un hospital central. Contrató a CyberShield, una empresa de ciberseguridad de renombre, para realizar una prueba de penetración integral de sus sistemas.
1. Planificación y alcance: CyberShield se reúne con los equipos de TI y de gestión de MediTech para delinear el plan de PenTest. Definen los objetivos (evaluar la seguridad de los registros de los pacientes y el sistema de citas), los sistemas que se probarán (red principal del hospital, redes de clínicas y portal de pacientes) y las limitaciones (no interrumpir los sistemas médicos críticos).
2. Reconocimiento: CyberShield comienza a recopilar información sobre MediTech:
- Pasivo: Buscan registros públicos, analizan el sitio web de MediTech y revisan los perfiles de redes sociales de los empleados.
- Activo: Realizan llamadas telefónicas a MediTech haciéndose pasar por potenciales pacientes para recabar información sobre sus sistemas.
3. Escaneo: Utilizando Nmap y otras herramientas, CyberShield escanea las redes de MediTech:
- Identifican anfitriones vivos en las redes de hospitales y clínicas.
- Descubren puertos abiertos en varios servidores, incluidos algunos puertos abiertos inesperados en el servidor del portal del paciente.
- Enumeran los servicios en ejecución y señalan una versión obsoleta de un servicio de base de datos en uno de los servidores de la clínica.
4. Obtener acceso: CyberShield intenta explotar las vulnerabilidades encontradas:
- Utilizan un exploit conocido para el servicio de base de datos obsoleto para obtener acceso inicial a un servidor de la clínica.
- Desde allí, explotan una contraseña débil en una cuenta de administrador para acceder a la red principal del hospital.
5. Mantener el acceso: Una vez dentro de los sistemas de MediTech, CyberShield:
- Crea una cuenta de usuario oculta con privilegios elevados.
- Instala una herramienta de acceso remoto disfrazada en varios servidores clave.
- Configura tareas programadas que se registran periódicamente con su servidor de comando y control.
6. Cubriendo rastros: Para permanecer sin ser detectado, CyberShield:
- Modifica los registros del sistema para eliminar evidencia de su intrusión.
- Elimina cualquier archivo temporal creado durante sus actividades.
- Garantiza que su herramienta de acceso remoto no aparezca en las listas de procesos en ejecución.
7. Análisis: CyberShield analiza sus hallazgos:
- Identifican vulnerabilidades críticas en el portal de pacientes y en las redes de clínicas.
- Evalúan el impacto potencial de cada vulnerabilidad, considerando factores como la facilidad de explotación y la posible exposición de datos.
- Califican cada vulnerabilidad en una escala de baja a crítica según su análisis.
8. Informes: CyberShield entrega un informe completo a MediTech:
- Resumen ejecutivo: descripción general de la prueba, hallazgos principales y evaluación general de riesgos.
- Hallazgos técnicos detallados: explicación detallada de cada vulnerabilidad, incluido cómo se descubrió y se explotó.
- Calificaciones de riesgo: desglose claro de los niveles de riesgo para cada vulnerabilidad.
- Recomendaciones: Pasos específicos y viables para que MediTech aborde cada vulnerabilidad.
- Apéndices: Datos sin procesar de los análisis, capturas de pantalla de exploits exitosos (con información confidencial redactada) y otra evidencia de respaldo.
Este escenario ilustra cómo se aplica cada paso del proceso de prueba de penetración en un contexto del mundo real, demostrando el enfoque metódico que adoptan los pentesters profesionales para evaluar exhaustivamente la postura de seguridad de una organización.
2.4 Comparación de los pasos que se siguen durante las pruebas de penetración
Es fundamental distinguir entre los equipos de PenTesting y los actores de amenazas reales:
- Equipo de PenTesting: El objetivo principal es probar las defensas de una infraestructura. Operan dentro de los límites acordados y con el permiso de la organización.
- Actor de amenaza: Su objetivo principal es alterar la integridad del sistema con fines maliciosos. No tienen límites y suelen tener como objetivo causar daños o robar información.
Comprender esta diferencia ayuda a simular ataques en el mundo real manteniendo los límites éticos y legales.
Escenario: Plataforma de banca en línea de SecureBank
SecureBank ha actualizado recientemente su plataforma de banca en línea y quiere garantizar su seguridad. Para ello, ha contratado a un equipo de pruebas de penetración para que realice una evaluación de seguridad. Mientras tanto, sin que SecureBank lo sepa, un grupo de actores de amenazas también ha puesto sus miras en los sistemas del banco.
Equipo de PenTesting:
1. Compromiso: El equipo es contratado oficialmente por SecureBank y firma un contrato que describe el alcance y las limitaciones de su trabajo.
2. Objetivos: Su objetivo es identificar vulnerabilidades en la plataforma de banca en línea para ayudar a SecureBank a mejorar su seguridad.
3. Metodología: Siguen un enfoque estructurado, comenzando con el reconocimiento y el escaneo, para luego intentar explotar las vulnerabilidades descubiertas.
4. Limitaciones: Operan dentro de límites acordados. Por ejemplo, pueden evitar realizar pruebas durante las horas pico para no molestar a los clientes.
5. Ética: Si obtienen acceso a datos sensibles, no los exfiltran ni hacen mal uso de ellos.
6. Comunicación: Mantienen contacto regular con el equipo de TI de SecureBank, especialmente si descubren vulnerabilidades críticas.
7. Duración: Su compromiso tiene un marco temporal establecido, normalmente unas pocas semanas.
8. Informes: Al final de la prueba, proporcionan un informe detallado de sus hallazgos y recomendaciones a SecureBank.
Actor de amenaza:
1. Compromiso: No están autorizados y operan ilegalmente, a menudo desde una ubicación remota.
2. Objetivos: Su objetivo suele ser obtener ganancias económicas, ya sea robando fondos directamente o vendiendo datos robados en la dark web.
3. Metodología: Si bien pueden utilizar herramientas y técnicas similares a las del equipo de PenTesting, no están sujetos a ninguna regla ni ética.
4. Limitaciones: No tienen limitaciones y pueden atacar en cualquier momento, incluso durante las horas pico para maximizar la confusión.
5. Ética: Si obtienen acceso a datos sensibles, los explotarán para beneficio personal o los venderán.
6. Comunicación: Evitan cualquier comunicación con SecureBank, intentando permanecer sin ser detectados el mayor tiempo posible.
7. Duración: Pueden persistir en el sistema durante meses o incluso años si no se detectan.
8. Informes: en lugar de un informe, podrían dejar una nota de rescate si deciden implementar ransomware o simplemente desaparecer con los datos robados.
Ejemplo de resultado:
Equipo de PenTesting: descubren una vulnerabilidad en la función de restablecimiento de contraseña que podría permitir el robo de cuentas. Notifican de inmediato a SecureBank, demuestran la vulnerabilidad en un entorno controlado y brindan recomendaciones para solucionarla. SecureBank corrige la vulnerabilidad en cuestión de días.
Actor de la amenaza: descubren la misma vulnerabilidad, pero la explotan para obtener acceso a múltiples cuentas de clientes. Transfieren fondos a cuentas imposibles de rastrear y venden datos de clientes en la red oscura. SecureBank solo descubre la brecha meses después, cuando los clientes denuncian transacciones no autorizadas.
Este ejemplo ilustra el marcado contraste entre los equipos de pruebas de penetración y los actores de amenazas. Si bien ambos pueden utilizar técnicas similares, sus intenciones, métodos y resultados son fundamentalmente diferentes. Los equipos de pruebas de penetración trabajan para mejorar la seguridad con el conocimiento y el consentimiento de la organización, mientras que los actores de amenazas buscan explotar las vulnerabilidades con fines maliciosos sin que la organización lo sepa.
3. Requisitos de cumplimiento
3.1 PCI DSS (Estándar de seguridad de datos de la industria de tarjetas de pago)
PCI DSS especifica los controles que deben implementarse para manejar datos de tarjetas de crédito. Los requisitos clave incluyen:
- Creación y mantenimiento de una infraestructura de red segura: Esto implica implementar firewalls y una segmentación adecuada de la red.
- Protección de los datos del titular de la tarjeta: uso de cifrado para la transmisión y el almacenamiento de datos.
- Mantener un programa de gestión de vulnerabilidades: Actualizaciones y parches regulares para los sistemas.
- Implementar fuertes medidas de control de acceso: utilizando autenticación multifactor y el principio del mínimo privilegio.
- Monitorear y probar regularmente las redes: Realizar análisis de seguridad y pruebas de penetración periódicamente.
- Mantener una política de seguridad de la información: documentar y aplicar prácticas de seguridad en toda la organización.
Las empresas deben estar atentas en sus esfuerzos por proteger los datos:
- Necesitan completar evaluaciones e informar los resultados.
- El nivel de comerciante define si debe completar un Informe de Cumplimiento (ROC).
- Los comerciantes de nivel 1 (que procesan más de 6 millones de transacciones con tarjetas al año) deben tener una auditoría externa realizada por un evaluador de seguridad calificado (QSA) aprobado.
- Los niveles 1 y 2 deberán completar un Informe de Cumplimiento.
- Los niveles 2 a 4 pueden tener un auditor externo o enviar un cuestionario de autoevaluación (SAQ) que demuestre que están tomando medidas activas para proteger la infraestructura.
3.2 Reglamento General de Protección de Datos (RGPD)
El RGPD se centra en la privacidad de los datos de los consumidores:
- Afecta a cualquiera que haga negocios con residentes de la UE y Gran Bretaña.
- Los componentes clave incluyen:
a) Requerir consentimiento: Las organizaciones deben pedir permiso para cada fuente de datos que recopilen de las personas.
b) Permitir la revocación del consentimiento: Los consumidores pueden optar por no hacerlo en cualquier momento.
c) Alcance global: se aplica a cualquier organización que maneje datos de residentes de la UE, independientemente de dónde tenga su sede la organización.
d) Restringir la recopilación de datos: las organizaciones deben recopilar sólo lo que sea necesario.
e) Notificación de infracciones: Las empresas deben informar de cualquier infracción dentro de las 72 horas siguientes al descubrimiento.
3.3 Otras leyes de privacidad
- Ley SHIELD (Stop Hacks and Improve Electronic Data Security): promulgada en el estado de Nueva York para proteger los datos de los ciudadanos. Obliga a las empresas a implementar salvaguardas para la “información privada” de los residentes de Nueva York.
- Ley de Privacidad del Consumidor de California (CCPA): esta ley otorga a los residentes de California más control sobre su información personal, incluido el derecho a saber qué datos se están recopilando y la capacidad de solicitar su eliminación.
- Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA): Esta ley estadounidense establece disposiciones de seguridad y privacidad de datos para salvaguardar la información médica. Se aplica a proveedores de atención médica, planes de salud y centros de intercambio de información sobre atención médica.
Ejemplos de empresas u organizaciones que necesitan aplicar PCI DSS, GDPR, SHIELD Act, CCPA y HIPAA, junto con casos de uso específicos y los beneficios del cumplimiento.
1. PCI DSS (Estándar de seguridad de datos de la industria de tarjetas de pago)
Organización de ejemplo: Global Retail Inc., una empresa internacional de comercio electrónico
Caso de uso: Global Retail procesa millones de transacciones con tarjetas de crédito anualmente a través de su tienda en línea y ubicaciones físicas en todo el mundo.
Aplicación: Deben implementar los estándares PCI DSS en todos sus sistemas de pago, incluidos:
- Cifrado de datos del titular de la tarjeta durante la transmisión y el almacenamiento
- Actualización y aplicación de parches regulares a los sistemas
- Implementación de controles de acceso sólidos
- Realizar evaluaciones de seguridad periódicas
Beneficios:
- Reducción del riesgo de violaciones de datos y de los costes asociados
- Mayor confianza y lealtad del cliente
- Cómo evitar fuertes multas y sanciones por parte de las marcas de tarjetas
- Postura de seguridad general mejorada
2. RGPD (Reglamento General de Protección de Datos)
Organización de ejemplo: EuroTech Solutions, una empresa de software con sede en EE. UU. y clientes en la UE
Caso de uso: EuroTech recopila y procesa datos personales de ciudadanos de la UE para sus actividades de CRM y marketing.
Solicitud: Necesitan:
- Obtener el consentimiento explícito para la recopilación de datos
- Proporcionar opciones para que los usuarios accedan, modifiquen o eliminen sus datos.
- Implementar medidas de protección de datos
- Designar un Delegado de Protección de Datos
Beneficios:
- Mayor confianza con los clientes y socios europeos
- Prácticas mejoradas de gestión de datos
- Prevención de multas severas según el RGPD (hasta el 4 % de la facturación anual global)
- Ventaja competitiva en mercados donde la privacidad es importante
3. Ley SHIELD (Ley para detener los ataques informáticos y mejorar la seguridad de los datos electrónicos)
Organización de ejemplo: NY Financial Advisors, una pequeña empresa de consultoría financiera de Nueva York
Caso de uso: La empresa maneja información financiera confidencial de residentes de Nueva York.
Solicitud: Deberán:
- Implementar un programa de seguridad de datos
- Capacitar a los empleados en prácticas de ciberseguridad
- Realizar evaluaciones de riesgos periódicas
- Asegúrese de que los proveedores de servicios externos puedan proteger los datos
Beneficios:
- Riesgo reducido de violaciones de datos
- Mayor confianza del cliente
- Cumplimiento de la ley del estado de Nueva York
- Prácticas de seguridad general mejoradas
4. CCPA (Ley de Privacidad del Consumidor de California)
Organización de ejemplo: TechGiant Corp, una gran empresa de tecnología con sede en California
Caso de uso: TechGiant recopila y procesa información personal de los residentes de California a través de sus diversos servicios en línea.
Solicitud: Necesitan:
- Proporcionar información clara sobre las prácticas de recopilación de datos.
- Ofrecer opciones de exclusión voluntaria para la venta de datos
- Responder a las solicitudes de los consumidores sobre acceso o eliminación de datos
- Implementar medidas de seguridad razonables
Beneficios:
- Mayor transparencia y confianza con los consumidores de California
- Gestión y organización de datos mejorada
- Cómo evitar las sanciones de la CCPA
- Preparación para posibles leyes federales de privacidad
5. HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico)
Organización de ejemplo: HealthCare Plus, un proveedor de atención médica multiestatal
Caso de uso: HealthCare Plus administra registros médicos electrónicos y se comunica con pacientes y otros proveedores electrónicamente.
Solicitud: Deberán:
- Implementar controles de acceso y autenticación sólidos
- Cifrar datos de pacientes en tránsito y en reposo
- Realizar evaluaciones periódicas de riesgos de seguridad
- Capacitar al personal sobre prácticas de privacidad y seguridad.
- Establecer acuerdos de asociados comerciales con proveedores
Beneficios:
- Protección de información sensible del paciente
- Mayor confianza y satisfacción del paciente
- Cómo evitar sanciones severas según la HIPAA
- Mejora de la eficiencia operativa mediante prácticas estandarizadas
En todos estos casos, el cumplimiento normativo no solo ayuda a las organizaciones a evitar sanciones, sino que también mejora su postura de seguridad general, genera confianza con los clientes y, a menudo, conduce a mejores prácticas operativas. Si bien la implementación inicial puede ser desafiante y potencialmente costosa, los beneficios a largo plazo en términos de reducción de riesgos y mejora de la reputación generalmente superan los costos.
4. Comparación de estándares y metodologías
4.1 Identificación de marcos de pruebas de penetración
Los marcos de pruebas de penetración son pautas y metodologías estructuradas que ayudan a los profesionales de seguridad a realizar evaluaciones de seguridad exhaustivas y consistentes. Estos marcos proporcionan un enfoque sistemático para identificar vulnerabilidades, explotar debilidades e informar los hallazgos de manera estandarizada.
1. OWASP (Proyecto de seguridad de aplicaciones web abiertas)
OWASP es una fundación sin fines de lucro que trabaja para mejorar la seguridad del software. Proporciona diversos recursos, herramientas y metodologías para la seguridad de aplicaciones web.
Componentes clave:
- OWASP Top 10: una lista actualizada periódicamente de los riesgos de seguridad de aplicaciones web más críticos
- Guía de pruebas de OWASP: una guía completa para probar la seguridad de las aplicaciones web
- OWASP ZAP (Zed Attack Proxy): un escáner de seguridad de aplicaciones web de código abierto
Ejemplo de aplicación: una empresa emergente de tecnología financiera está desarrollando una nueva plataforma de banca en línea. Utilizan la lista OWASP Top 10 como una lista de verificación para asegurarse de que están abordando los riesgos de seguridad más críticos. Durante el desarrollo, escanean regularmente su aplicación utilizando OWASP ZAP para identificar posibles vulnerabilidades. Antes del lanzamiento, realizan una evaluación exhaustiva siguiendo la Guía de pruebas de OWASP para garantizar una cobertura de seguridad integral.
2. NIST (Instituto Nacional de Estándares y Tecnología)
El NIST es una agencia del gobierno de los EE. UU. que desarrolla estándares y pautas de ciberseguridad. Si bien no es específicamente un marco de trabajo para pruebas de penetración, el NIST proporciona recursos valiosos para las pruebas de seguridad.
Componentes clave:
- NIST SP 800–115: Guía técnica para pruebas y evaluación de seguridad de la información
- Marco de ciberseguridad del NIST: proporciona un conjunto de pautas para mitigar los riesgos de ciberseguridad organizacional
Ejemplo de aplicación: Un importante contratista del gobierno se prepara para una auditoría de seguridad. Utiliza la norma NIST SP 800–115 para guiar su proceso de evaluación de seguridad interna, asegurándose de cubrir todos los aspectos de sus sistemas de información. También alinea su estrategia de seguridad general con el Marco de Ciberseguridad del NIST, utilizando sus cinco funciones principales (Identificar, Proteger, Detectar, Responder, Recuperar) para estructurar su programa de seguridad.
3. OSSTMM (Manual de metodología de pruebas de seguridad de código abierto)
OSSTMM es una metodología revisada por pares para realizar pruebas y métricas de seguridad. Proporciona un enfoque científico para probar la seguridad operativa de ubicaciones físicas, interacciones humanas y todas las formas de comunicación.
Componentes clave:
- Seis secciones que cubren diferentes tipos de seguridad (física, del espectro, de comunicaciones, de redes de datos, medioambiental y humana)
- RAV (valores de evaluación de riesgos): un enfoque cuantitativo para medir la seguridad
Ejemplo de aplicación: Una corporación multinacional desea evaluar la seguridad de todas sus operaciones, incluidas las oficinas físicas, la infraestructura digital y los factores humanos. Utilizan OSSTMM como marco integral para esta evaluación. Por ejemplo:
- Seguridad física: Prueban controles de acceso, sistemas de vigilancia y respuestas de alarmas.
- Redes de Datos: Realizan pruebas exhaustivas de penetración en la red.
- Humanos: realizan pruebas de ingeniería social para evaluar el nivel de concienciación de los empleados en materia de seguridad. Después de la evaluación, utilizan el sistema RAV de OSSTMM para cuantificar su postura de seguridad actual y hacer un seguimiento de las mejoras a lo largo del tiempo.
Aplicación comparativa de los marcos:
Consideremos un escenario en el que una gran empresa de comercio electrónico desea realizar una evaluación de seguridad integral:
1. OWASP: lo utilizarían principalmente para sus aplicaciones web y API. El equipo de seguridad:
o Consulte el Top 10 de OWASP para priorizar sus esfuerzos de pruebas.
o Utilice la Guía de pruebas OWASP para garantizar una cobertura exhaustiva de las pruebas de seguridad de aplicaciones web.
o Utilice herramientas como OWASP ZAP para el escaneo automatizado.
2. NIST: La empresa utilizaría las directrices del NIST para garantizar la solidez de su programa de seguridad general. Para ello:
o Siga la norma NIST SP 800–115 para estructurar su proceso de pruebas de seguridad.
o Alinear su estrategia de seguridad con el Marco de Ciberseguridad del NIST, garantizando que tengan procesos implementados para las cinco funciones principales.
3. OSSTMM: Se utilizaría para una evaluación de seguridad más integral. El equipo:
o Evaluar la seguridad física de sus centros de datos utilizando la sección de seguridad física de OSSTMM.
o Pruebe la seguridad de la red utilizando la sección de redes de datos.
o Realizar evaluaciones de factores humanos, incluidas pruebas de ingeniería social.
Al combinar estos marcos, la empresa de comercio electrónico puede garantizar una evaluación de seguridad integral que cubra las aplicaciones web, la postura general de ciberseguridad y aspectos técnicos y no técnicos específicos de su operación.
En conclusión, si bien cada uno de estos marcos tiene sus puntos fuertes, suelen ser más eficaces cuando se utilizan en combinación, lo que permite a las organizaciones beneficiarse de sus enfoques complementarios para la evaluación y mejora de la seguridad.
4.2 Proporcionar estructura y orientación
La estructura y la orientación en las pruebas de penetración hacen referencia a marcos y metodologías estandarizados que proporcionan un enfoque sistemático para realizar evaluaciones de seguridad. Estos marcos ofrecen varios beneficios:
1. Coherencia: garantiza que todos los aspectos de la seguridad estén cubiertos en cada evaluación.
2. Eficiencia: proporciona una hoja de ruta que los evaluadores pueden seguir, ahorrando tiempo y recursos.
3. Comparabilidad: permite realizar comparaciones significativas entre diferentes evaluaciones o a lo largo del tiempo.
4. Profesionalismo: Demuestra un enfoque metódico hacia los clientes y las partes interesadas.
Exploremos tres marcos destacados que brindan estructura y orientación en las pruebas de penetración:
1. ISSAF (Marco de evaluación de la seguridad de los sistemas de información)
ISSAF es un marco de código abierto desarrollado por el Grupo de Seguridad de Sistemas de Información Abiertos (OISSG).
Características principales:
- Cobertura integral de diversos dominios de seguridad.
- Metodología detallada para cada fase de pruebas de penetración
- Recomendaciones de herramientas y técnicas para cada paso
Estructura: La ISSAF se divide en tres fases principales:
1. Planificación y preparación
2. Evaluación
3. Informe, limpieza y destrucción de artefactos
Aplicación práctica: Una importante institución financiera decide realizar una evaluación integral de la seguridad de toda su infraestructura de TI. Eligen ISSAF por su enfoque exhaustivo.
- En la fase de planificación y preparación, definen el alcance, recopilan información sobre sus sistemas y preparan herramientas de prueba.
- Durante la fase de evaluación, siguen las pautas detalladas de ISSAF para el mapeo de la red, la identificación de vulnerabilidades y la explotación.
- En la fase final, compilan un informe detallado de sus hallazgos, limpian cualquier cambio realizado durante las pruebas y garantizan que todos los datos confidenciales recopilados se destruyan de forma segura.
2. PTES (Estándar de ejecución de pruebas de penetración)
PTES proporciona un lenguaje y un alcance comunes para realizar pruebas de penetración.
Características principales:
- Siete secciones principales que cubren todo el proceso de prueba de penetración
- Directrices técnicas para la realización de pruebas
- Énfasis en la comunicación clara de los hallazgos
Estructura:
1. Interacciones previas al compromiso
2. Recopilación de información
3. Modelado de amenazas
4. Análisis de vulnerabilidad
5. Explotación
6. Post-Explotación
7. Informes
Aplicación práctica: Una empresa de comercio electrónico de tamaño mediano desea probar la seguridad de su nuevo sistema de procesamiento de pagos. Adopta PTES para esta evaluación específica.
- En las Interacciones Previas al Compromiso, definen claramente el alcance, centrándose específicamente en el sistema de pagos.
- Durante la recopilación de inteligencia y el modelado de amenazas, identifican atacantes potenciales y sus métodos probables.
- En el análisis y explotación de vulnerabilidades, descubren e intentan explotar debilidades en el sistema de pagos.
- La post-explotación implica ver hasta qué punto pueden pivotar a partir del acceso inicial obtenido.
- Por último, elaboran un informe detallado siguiendo las directrices de PTES, comunicando claramente los riesgos a las partes interesadas tanto técnicas como no técnicas.
3. MITRE ATT&CK (Tácticas adversarias, técnicas y conocimiento común)
Si bien no es estrictamente un marco de pruebas de penetración, MITRE ATT&CK proporciona una base de conocimiento integral de tácticas y técnicas adversas basadas en observaciones del mundo real.
Características principales:
- Matriz detallada de tácticas y técnicas de los atacantes
- Actualizaciones periódicas basadas en la evolución del panorama de amenazas
- Aplicable tanto a operaciones ofensivas (equipo rojo) como defensivas (equipo azul).
Estructura: ATT&CK está organizado en tácticas (el “por qué” de una técnica de ataque) y técnicas (el “cómo”). Abarca todo el ciclo de vida del ataque, incluyendo:
- Acceso inicial
- Ejecución
- Persistencia
- Escalada de privilegios
- Evasión de defensa
- Acceso a credenciales
- Descubrimiento
- Movimiento lateral
- Recopilación
- Exfiltración
- Mando y control
Aplicación práctica: Una agencia gubernamental desea mejorar su postura de seguridad frente a amenazas persistentes avanzadas (APT). Incorpora MITRE ATT&CK en sus estrategias de defensa y pruebas de seguridad.
- Equipo rojo: el equipo de pruebas de penetración utiliza ATT&CK para modelar sus ataques y garantizar que se utilicen técnicas empleadas por adversarios del mundo real. Por ejemplo, podrían utilizar técnicas enumeradas en “Acceso inicial”, como phishing selectivo o explotación de aplicaciones públicas.
- Equipo Azul: El equipo defensivo utiliza ATT&CK para orientar sus estrategias de detección y respuesta. Se aseguran de tener controles y monitoreo implementados para cada táctica y técnica relevante para su entorno.
- Informe: Los hallazgos del equipo rojo se asignan a la matriz ATT&CK, que muestra qué técnicas del adversario tuvieron éxito y cuáles se detectaron o previnieron.
- Mejora: Con base en los resultados, la agencia prioriza las mejoras de seguridad, enfocándose en áreas donde múltiples técnicas ATT&CK tuvieron éxito.
En conclusión, estos marcos proporcionan una estructura y una guía esenciales para las pruebas de penetración, lo que permite realizar evaluaciones de seguridad más exhaustivas, consistentes y efectivas. Si bien cada uno tiene sus puntos fuertes, muchas organizaciones utilizan una combinación de marcos para garantizar una cobertura integral de sus necesidades de pruebas de seguridad.
4.3 ATAQUE DE MITRE
MITRE ATT&CK (Tácticas adversarias, técnicas y conocimiento común)
MITRE ATT&CK es una base de conocimiento accesible a nivel mundial sobre tácticas y técnicas de los adversarios basadas en observaciones del mundo real. Está diseñada para ser una matriz integral del comportamiento de los atacantes y proporcionar un lenguaje común para la comunidad de ciberseguridad.
Componentes clave:
1. Tácticas: el “por qué” de la acción de un atacante. Son los objetivos tácticos del adversario durante un ataque.
2. Técnicas: El “cómo” de un ataque. Son los métodos específicos que utilizan los adversarios para lograr sus objetivos tácticos.
3. Subtécnicas: Descripciones más específicas del comportamiento del adversario que las técnicas.
4. Procedimientos: Implementaciones específicas de técnicas o subtécnicas utilizadas por los adversarios.
Matriz ATT&CK: La matriz ATT&CK organiza las técnicas en categorías tácticas:
1. Acceso inicial
2. Ejecución
3. Persistencia
4. Escalada de privilegios
5. Evasión de la defensa
6. Acceso a credenciales
7. Descubrimiento
8. Movimiento lateral
9. Colección
10.Mando y control
11. Exfiltración
12. Impacto
Ejemplo de aplicación:
Consideremos un escenario de prueba de penetración para una institución financiera:
1. Acceso inicial: Los evaluadores de penetración podrían utilizar un ataque de phishing selectivo (Técnica T1566) para obtener acceso inicial.
2. Ejecución: Una vez que hayan obtenido acceso, podrían usar PowerShell (Técnica T1059.001) para ejecutar código malicioso.
3. Escalada de privilegios: podrían explotar una vulnerabilidad para la escalada de privilegios (Técnica T1068).
4. Descubrimiento: Los evaluadores podrían utilizar técnicas de descubrimiento de cuentas (Técnica T1087) para encontrar objetivos de alto valor.
5. Movimiento lateral: Podrán utilizar servicios remotos (Técnica T1021) para moverse dentro de la red.
6. Recopilación: El equipo podría utilizar datos de sistemas locales (Técnica T1005) para recopilar información confidencial.
7. Exfiltración: Finalmente, podrían exfiltrar datos a través de un protocolo alternativo (Técnica T1048) para simular el robo de datos.
Escenario del mundo real:
En 2019, FireEye informó sobre una campaña de ataques dirigida a sectores de servicios públicos, a la que denominaron “TEMP.Veles”. Utilizaron el marco MITRE ATT&CK para describir las acciones del adversario:
1. Acceso inicial: Los atacantes utilizaron correos electrónicos de phishing con archivos adjuntos maliciosos (Técnica T1566.001).
2. Ejecución: Aprovecharon scripts de PowerShell (Técnica T1059.001) para ejecutar su malware.
3. Persistencia: Los adversarios crearon tareas programadas (Técnica T1053.005) para mantener el acceso.
4. Escalada de privilegios: Explotaron vulnerabilidades en sistemas sin parches (Técnica T1068).
5. Evasión de defensa: Los atacantes utilizaron archivos ofuscados (Técnica T1027) para evitar ser detectados.
6. Comando y Control: Utilizaron protocolos C2 personalizados (Técnica T1094) para la comunicación.
Al mapear el ataque a ATT&CK, FireEye proporcionó una descripción clara y estandarizada del comportamiento del actor de la amenaza, lo que ayudó a otras organizaciones a comprender y defenderse contra ataques similares.
MITRE ATT&CK y CALDERA:
CALDERA (Cyber Adversary Language and Operations Description for Red Team Automation) es un sistema de emulación de adversarios automatizado de código abierto desarrollado por MITRE. Utiliza el marco ATT&CK para realizar operaciones de emulación de adversarios.
La integración de ATT&CK y CALDERA permite:
1. Pruebas automatizadas: CALDERA puede ejecutar automáticamente escenarios de ataque basados en técnicas ATT&CK.
2. Perfiles adversarios personalizables: los equipos de seguridad pueden crear perfiles que imiten actores de amenazas específicos o prueben cadenas de ataque particulares.
3. Mapeo en tiempo real: A medida que CALDERA ejecuta técnicas, las mapea a la matriz ATT&CK en tiempo real.
4. Medición defensiva: Las organizaciones pueden utilizar CALDERA para probar sus capacidades de detección y respuesta frente a las técnicas ATT&CK.
Ejemplo de uso combinado:
Una gran corporación quiere poner a prueba sus defensas contra un grupo APT específico. Para ello:
1. Utilice ATT&CK para identificar las técnicas comúnmente utilizadas por este grupo APT.
2. Cree un perfil de adversario personalizado en CALDERA basado en estas técnicas.
3. Ejecutar pruebas automatizadas utilizando CALDERA, que ejecuta las técnicas de manera controlada.
4. Observa cómo responden sus sistemas de defensa a cada técnica.
5. Utilizar los resultados para mejorar sus defensas, centrándose en áreas donde la detección o la prevención fallaron.
Esta combinación de la base de conocimientos integral de ATT&CK y las capacidades de automatización de CALDERA proporciona una herramienta poderosa tanto para las pruebas de seguridad ofensivas como para la mejora defensiva. Permite a las organizaciones probar y mejorar continuamente su postura de seguridad frente a escenarios de ataques del mundo real de una manera controlada y medible.
4.4 Investigación de CVE y CWE
- CVE (Common Vulnerabilities and Exposures): lista de vulnerabilidades de ciberseguridad divulgadas públicamente. Cada entrada incluye un número de identificación, una descripción y al menos una referencia pública.
- CWE (Common Weakness Enumeration): una lista desarrollada por la comunidad de tipos de debilidades de software y hardware. Sirve como lenguaje común para describir las debilidades de seguridad en la arquitectura, el diseño o el código.
5. Describir formas de mantener el profesionalismo
5.1 Validación del equipo
Cada miembro de un equipo de PenTesting debe demostrar que puede trabajar en un entorno seguro:
- Proporcionar credenciales: como certificaciones relevantes (por ejemplo, CompTIA PenTest+, CEH) que demuestren las habilidades adecuadas para realizar pruebas de penetración.
- Realice verificaciones de antecedentes recientes: pueden incluir puntajes crediticios y registros de conducción. Es fundamental asegurarse de que ningún miembro del equipo tenga antecedentes penales o condenas por delitos graves.
- Destacar la importancia de identificar y denunciar actividades delictivas: incluso si dichas actividades se descubren accidentalmente durante el curso de las pruebas.
5.2 Mantenimiento de la confidencialidad
- Todos los miembros del equipo PenTest deben aceptar cumplir con la política sobre el manejo de información confidencial y de propiedad exclusiva.
- El equipo debe indicar explícitamente al cliente que los evaluadores protegerán cualquier información que descubran durante las pruebas.
5.3 Cómo evitar el procesamiento
- Antes de comenzar cualquier prueba, el equipo debe delinear los términos del contrato en detalle.
- Revisar todas las posibles consideraciones legales que pudieran ser aplicables.
- Piense cuidadosamente en todos los escenarios que podrían ocurrir durante la prueba.
- Explicar cómo completarán las pruebas, junto con los posibles conflictos que podrían surgir.
Conclusión
Las pruebas de penetración son una herramienta fundamental para evaluar y mejorar la postura de ciberseguridad de una organización. Al cumplir con los procesos, estándares y requisitos legales establecidos, los profesionales de las pruebas de penetración pueden brindar el máximo valor a sus clientes y, al mismo tiempo, mantener los más altos niveles de profesionalismo y ética.
Esta guía completa cubre los aspectos clave de las pruebas de penetración, desde la comprensión de los conceptos básicos hasta el mantenimiento de estándares profesionales. Proporciona una base sólida para cualquier persona que desee comprender o realizar pruebas de penetración en un contexto organizacional.
################################################################
Ejemplo de escenario: Prueba de penetración de una empresa de comercio electrónico
Perfil de la empresa:
GlobalShop es una empresa de comercio electrónico de tamaño mediano que vende productos electrónicos en todo el mundo. Procesa más de 500.000 transacciones con tarjeta de crédito al año y almacena datos de los clientes, incluidos nombres, direcciones e historial de compras.
Situación:
El director ejecutivo de GlobalShop se ha mostrado cada vez más preocupado por la ciberseguridad tras enterarse de recientes filtraciones de datos de alto perfil. La empresa decide contratar a una empresa de pruebas de penetración profesional, SecureInsight, para evaluar su postura en materia de seguridad.
Proceso de prueba de penetración:
1. Planificación y alcance:
SecureInsight se reúne con el equipo de TI de GlobalShop para definir el alcance de la prueba. Acuerdan centrarse en la plataforma de comercio electrónico, el sistema de procesamiento de pagos y la base de datos de clientes. Establecen un plazo de dos semanas para la prueba y establecen reglas de participación, incluida una lista de “no realizar pruebas” para los sistemas de producción críticos.
2. Reconocimiento:
El equipo de SecureInsight comienza por recopilar información pública disponible sobre GlobalShop. Encuentran los rangos de IP de la empresa, examinan el código fuente de su sitio web y descubren varias direcciones de correo electrónico de empleados a través de las redes sociales.
3. Escaneo:
Utilizando herramientas como Nmap, el equipo escanea la red de GlobalShop e identifica puertos y servicios abiertos. Descubren una versión obsoleta de Apache ejecutándose en el servidor web y varias estaciones de trabajo sin parches.
4. Obtener acceso:
Aprovechando una vulnerabilidad conocida en la versión obsoleta de Apache, el equipo obtiene acceso inicial al servidor web. Desde allí, utilizan ataques de rociado de contraseñas con contraseñas de uso común y logran acceder a una cuenta de administrador.
5. Mantenimiento del acceso:
El equipo crea una puerta trasera en el servidor comprometido y la utiliza para moverse lateralmente dentro de la red, obteniendo eventualmente acceso a la base de datos de clientes.
6. Cubriendo pistas:
El equipo documenta cuidadosamente sus acciones y elimina cualquier artefacto creado durante la prueba, como archivos temporales o nuevas cuentas de usuario.
7. Análisis:
SecureInsight analiza sus hallazgos e identifica varias vulnerabilidades críticas:
- Software de servidor obsoleto
- Políticas de contraseñas débiles
- Segmentación de red insuficiente
- Datos de clientes sin cifrar
8. Informes:
El equipo prepara un informe completo que incluye:
- Un resumen ejecutivo del liderazgo de GlobalShop
- Hallazgos técnicos detallados
- Calificaciones de riesgo para cada vulnerabilidad
- Recomendaciones para la remediación
Implicaciones de cumplimiento:
- PCI DSS: La prueba revela que GlobalShop no cumple totalmente con los requisitos de PCI DSS, particularmente en áreas de sistemas seguros y encriptación.
- RGPD: El descubrimiento de datos de clientes de la UE no cifrados indica posibles violaciones del RGPD.
Conducta profesional:
Durante todo el proceso, SecureInsight mantiene una estricta confidencialidad sobre sus hallazgos. También se asegura de operar dentro del alcance acordado y detiene sus pruebas cuando llega a la base de datos del cliente en lugar de intentar extraer datos.
Resultado:
Según el informe de SecureInsight, GlobalShop implementa varias mejoras de seguridad:
- Actualización de todo el software del servidor
- Implementar políticas de contraseñas más fuertes y autenticación multifactor
- Mejorar la segmentación de la red
- Cifrado de todos los datos del cliente
Seis meses después, GlobalShop contrata a SecureInsight para una prueba de seguimiento, que muestra una mejora significativa en su postura de seguridad.
Este escenario ilustra cómo funcionan las pruebas de penetración en la práctica, abarcando el proceso de prueba, las consideraciones de cumplimiento y la conducta profesional. Muestra cómo las pruebas de penetración pueden identificar vulnerabilidades reales y generar mejoras concretas en la ciberseguridad de una organización.