, , ,

DIFERENCIA ENTRE ANÁLISIS DE VULNERABILIDADES, PENTESTING Y ETHICAL HACKING.

DIFERENCIA ENTRE ANÁLISIS DE VULNERABILIDADES, PENTESTING Y ETHICAL HACKING.

Cada cierto tiempo hago esta pregunta, la de saber diferencia entre Análisis de vulnerabilidades, Pentesting y Ethical Hacking, inclusive para los que llevan años trabajando en el tema puede llegar a ser confuso, es por este motivo que recordarlo o mantener estos conceptos en la memoria nunca estarán de más.

Para los que recién estén incursionando en el mundo de la ciberseguridad, el hacking, las redes, etc., deben saber que todo es vulnerable, nada es 100% seguro como dicen por ahí y es trabajo nuestro mitigar lo mejor posible estas brechas de seguridad en todos los niveles y en todas las áreas.

#Análisis de vulnerabilidades

El AV o análisis de vulnerabilidades, tiene como por objetivo evaluar las debilidades o brechas que puedan existir en un determinado software, aplicación o sistema  informático que pudiese afectar el normal desarrollo de éste durante su vida útil.

Para llevar a cabo dicha tares, es posible utilizar diversas metodologías, no es necesario amarrarse a una, y a propósito, a modo de guía existe una metodología general sobre el AV para empresas de mediana y pequeña escala, la cual se encuentra en aquí (para darle una mirada ).

El análisis de vulnerabilidades trata principalmente de realizar una identificación a todos los puertos abiertos, servicios, procesos, vulnerabilidades ya conocidas sobre sistemas operativos o aplicaciones, etc., con la finalidad de generar un reporte sobre las vulnerabilidades encontradas, este reporte debe ser lo más específico posible para poder mitigar lo descubierto  de manera expedita.

Para realizar este tipo de análisis existen diversas herramientas en el mercado, tanto open source como de pago, idealmente antes de comprar cualquiera de estas herramientas (si es el caso) dense el tiempo de estudiarlas y probarlas para ver cual se acomoda mejor a su forma de trabajar.

Nota 1: Para más detalles sobre herramientas gratuitas, puedes consultar el siguiente link.

Al realizar este tipo de auditorías, un profesional de la seguridad o la organización en sí, podrá determinar en qué nivel se encuentran la empresa (pyme, institución, entidad, microempresa, etc.) y como pueden llegar a afectar estas vulnerabilidades a la continuidad de negocio, para posteriormente comenzar a solucionar o mitigar éstas por parte del personal encargado o con el apoyo de especialistas en el área, evitando de esta forma sufrir ataques que repercutan en las tecnologías utilizada como por ejemplo y más importante aún, en los datos privados almacenados.

#Pentesting

Idealmente, antes de realizar este tipo de auditoria, es importante que se haya ejecutado un análisis de vulnerabilidades, esto nos dará mayores antecedentes para lo que se viene.

El pentesting consiste en realizar pruebas de penetración ya de manera ofensiva a los sistemas informáticos y en algunos casos, a las mismas personas o trabajadores de una organización gracias a la explotación de la ingeniería social, este tipo de pruebas tiene la finalidad de descubrir cualquier tipo de vulnerabilidad que pudiese afectar al entorno y tener la base para poder prevenir que este tipo de ataques, sean realizados por cibercriminales o delincuentes, además de permitir considerar robustecer los sistemas que deben soportar o defenderse las 24 horas los 365 días del año.

Para realizar este tipo de auditorías, es posible apoyarse por metodologías abiertas para la comunidad, dentro de las que se destacan la OSSTMM (Open Source Security Testing Methodology Manual) de ISECOM y la guía de pruebas de Owasp, con esto ya pueden tener una idea de como trabajar.

 

En esta etapa ya se tiene un objetivo definido al cual atacar para comprometer y explotar, ya sea gracias a alguna vulnerabilidad en el sistema o por descuido humano, el fin es penetrar en el sistema objetivo y analizar las repercusiones de esta intrusión, es muy importante también conocer la infraestructura considerando el comprometer firewall, IDS/IPS, balanceadores de carga, etc.

Para realizar pentesting es posible utilizar herramientas o frameworks para el apoyo en la detección de vulnerabilidades como:

Y lo que tu imaginación permita o quiera utilizar, existen una infinidad de herramientas para realizar pentesting, lo importante al final del día es realizar un buen análisis sobre lo recopilado.

#Ethical-Hacking

Para esta etapa en la Internet hay montones de definiciones, pero cuando hablamos de realizar un "ethical hackingnos referimos a realizar una prueba de penetración que abarca absolutamente todo, o dicho de otro modo, en este tipo de auditoria no hay un objetivo determinado, todo es explotable y conlleva a realizar una gran cantidad de ataques a diferentes sistemas, sectores, personas, tecnologías, etc. En este tipo de pruebas si hay explotación de vulnerabilidades una vez encontradas, por lo que además requiere de un profundo análisis de lo auditado, lo cual si bien es más complejo y requiere más tiempo, permite a la empresa o al individuo identificar de manera más detallada sobre sus vulnerabilidades y da paso a poder solucionarlas antes de ser explotada por terceros.

La idea es no dejar pasar nada, aquí el auditor debe ser meticuloso en cada ataque que realice, en especial en la ingeniería social que utilice para llevar a cabo su labor.

Nota 2: Para hacerse una idea más detallada de las herramientas que se pueden utilizar, existe una encuesta interesante realizada por insecure, la cual lista las 75 herramientas de seguridad más usadas y la  puedes encontrar aquí.

Para ir finalizando es importante también entender que nada de esto se hace porqué sí, todo debe estar previamente autorizado o estipulado legalmente, si vamos a realizar este tipo de pruebas debemos tener nuestro respaldo o ser los propietarios del sistema en cuestión, ya que un ataque podría provocar graves daños o borrado de data importante si no se hace con cuidado.

Para concluir, si están pensando que esto a futuro cambiara, están completamente equivocados, día a día surgen nuevas amenazas todo debido al crecimiento de las redes, <!--si ya casi todos los bebes nacen con el celular en la mano-->, lo cual es un claro ejemplo de la inmadurez tecnológica que los usuarios tienen a corta edad. Es muy poco común conocer a alguien que no sabe utilizar la red de redes, desconocimiento que siempre será lucrativo y llamativo para los cibercriminales que desarrollan o utilizan métodos delictivos para acrecentar sus ganancias, motivo por el cual es necesario siempre realizar evaluaciones de seguridad en todos los niveles posibles, en todas las organizaciones y también de manera personal e independiente.

Los análisis o auditorías siempre deben ser continuos, ¿para qué esperar que pase algo? el tomar cartas en el asunto con anterioridad podría llegar a evitar perdidas millonarias para algunas empresas o filtración de antecedentes personales para otros.

La seguridad es una inversión, no un gasto.

@DM20911 By #SombreroBlanco

One Response

Leave a reply