{"id":4256,"date":"2022-10-17T17:12:14","date_gmt":"2022-10-17T15:12:14","guid":{"rendered":"https:\/\/kalweit-its.de\/puesta-en-marcha-de-las-pruebas-de-penetracion-que-hay-que-tener-en-cuenta\/"},"modified":"2023-02-24T10:21:47","modified_gmt":"2023-02-24T09:21:47","slug":"puesta-en-marcha-de-las-pruebas-de-penetracion-que-hay-que-tener-en-cuenta","status":"publish","type":"post","link":"https:\/\/kalweit-its.de\/es\/puesta-en-marcha-de-las-pruebas-de-penetracion-que-hay-que-tener-en-cuenta\/","title":{"rendered":"Puesta en marcha de las pruebas de penetraci\u00f3n: \u00bfQu\u00e9 hay que tener en cuenta?"},"content":{"rendered":"\n
Qu\u00e9 hay que tener en cuenta en la puesta en marcha<\/strong><\/p>\n\n La prueba de penetraci\u00f3n debe prestar atenci\u00f3n a<\/strong><\/p>\n\n La amenaza que suponen los ciberdelincuentes no deja de aumentar en Alemania. Seg\u00fan el Informe Federal sobre la Situaci\u00f3n de la Ciberdelincuencia de la Oficina Federal de Polic\u00eda Criminal (BKA<\/strong>), que se publica anualmente, el n\u00famero de casos registrados aument\u00f3 m\u00e1s de un 12% hasta alcanzar los 146.363 el a\u00f1o pasado. No hay que olvidar que los casos no s\u00f3lo aumentan en cantidad, sino tambi\u00e9n en calidad. As\u00ed es como los ciberdelincuentes son cada vez m\u00e1s capaces de penetrar en los sistemas seguros.<\/p>\n\n La BKA entiende la ciberdelincuencia en sentido estricto como \u00ablos delitos dirigidos contra Internet, los sistemas inform\u00e1ticos o sus datos\u00bb. Se trata, por ejemplo, de ataques que provocan una sobrecarga deliberada de la red de una instituci\u00f3n o una empresa.<\/p>\n\n \u00bfC\u00f3mo pueden las instituciones o empresas protegerse de esto? \u00bfQu\u00e9 papel desempe\u00f1an las pruebas de penetraci\u00f3n y qu\u00e9 hay que tener en cuenta a la hora de encargarlas?<\/strong><\/p>\n\n Las pruebas de penetraci\u00f3n (pentest para abreviar) son pruebas de seguridad de ordenadores individuales o redes de cualquier tama\u00f1o. Al comprobar el mayor n\u00famero posible de componentes y aplicaciones de un sistema de red o de software, la seguridad se pone a prueba para identificar las vulnerabilidades. Para ello se utilizan los mismos m\u00e9todos que podr\u00eda utilizar un atacante real. De este modo, se puede simular la sensibilidad de un sistema en un escenario realista.<\/p>\n\n Las pruebas de penetraci\u00f3n pueden:<\/strong><\/p>\n\n Otras ventajas que ofrece una prueba de penetraci\u00f3n:<\/strong><\/p>\n\n Para entender al atacante, hay que actuar como un atacante potencial. Este enfoque ofrece una mejor visi\u00f3n de las posibles vulnerabilidades y de c\u00f3mo las explotar\u00eda un atacante. Este cambio de perspectiva es importante para poder aclarar cuestiones concretas sobre la seguridad del sistema. Las pruebas de penetraci\u00f3n tambi\u00e9n son variables y vers\u00e1tiles, por ejemplo, para probar un componente espec\u00edfico del sistema de forma m\u00e1s expl\u00edcita. Estos pueden ampliarse f\u00e1cilmente para incluir la ingenier\u00eda social o las pruebas f\u00edsicas, que ponen a prueba la seguridad de los edificios de oficinas y las competencias previas de los empleados para el tema de la seguridad inform\u00e1tica. <\/p>\n\n Por lo tanto, hay muchas razones por las que se necesita un pentest. A primera vista, uno tiene la impresi\u00f3n de que los pentests s\u00f3lo ofrecen ventajas a una organizaci\u00f3n, pero \u00bfqu\u00e9 pasa con las posibles desventajas?<\/p>\n\n \u00bfQu\u00e9 desventajas puede tener una prueba de penetraci\u00f3n?<\/strong><\/p>\n\n Si los pentests no se llevan a cabo de forma profesional, se pueden causar da\u00f1os importantes a su empresa.<\/p>\n\n Por ejemplo, pueden fallar componentes individuales o incluso toda la red.<\/p>\n\n Adem\u00e1s, pueden producirse p\u00e9rdidas de datos, por ejemplo, si la base de datos se modifica por una consulta SQL mal planteada.<\/p>\n\n Adem\u00e1s, se puede filtrar informaci\u00f3n sobre las vulnerabilidades encontradas u otra informaci\u00f3n que pueda formar un vector de ataque al atacar.<\/p>\n\n Por lo tanto, depende mucho del proveedor que elija. Porque algunas empresas venden bajo el t\u00e9rmino prueba de penetraci\u00f3n, escaneos de seguridad que no corresponden al alcance habitual de una prueba de penetraci\u00f3n. A menudo, esto se debe a la falta de cualificaci\u00f3n, al ahorro de costes o al ahorro de tiempo, ya que las pruebas de penetraci\u00f3n, por regla general, duran al menos dos semanas y, en consecuencia, consumen mucho tiempo.<\/p>\n\n La conclusi\u00f3n de los contras es comprobar que el proveedor ofrece pruebas de penetraci\u00f3n cualificadas. Para tenerlo todo en cuenta a la hora de la puesta en marcha, este aspecto se tratar\u00e1 con m\u00e1s detalle en el siguiente subcap\u00edtulo. Pero antes de pasar al \u00faltimo paso, la puesta en marcha, est\u00e1 la cuesti\u00f3n de cu\u00e1ndo y con qu\u00e9 frecuencia tiene sentido un pentest.<\/p>\n\n \u00bfCu\u00e1ndo tiene sentido una prueba de penetraci\u00f3n?<\/strong><\/p>\n\n En principio, un sistema puede probarse en cualquier momento. Sin embargo, no tiene mucho sentido que los pentests se lleven a cabo repetidamente en una infraestructura inform\u00e1tica que no ha cambiado. Por lo tanto, distinguimos entre un pentest de primera vez, c\u00edclico y m\u00ednimo.<\/p>\n\n En consecuencia, recomendamos diferentes enfoques:<\/p>\n\n Primera<\/strong> vez: Si el pentest se realiza por primera vez, debe hacerse a fondo para determinar el estado actual de la organizaci\u00f3n. Esto significa que todos los componentes de la infraestructura inform\u00e1tica deben ser examinados a fondo y estar bien documentados.<\/p>\n\n C\u00edclico<\/strong>: Para poder mantener el nivel de seguridad, los pentests regulares son la mejor opci\u00f3n. Esto suele implicar el desarrollo de un programa independiente de pruebas de penetraci\u00f3n con la empresa de seguridad inform\u00e1tica. Este programa se adapta regularmente a la situaci\u00f3n de la organizaci\u00f3n, especialmente en caso de cambios. As\u00ed se garantiza que todas las innovaciones resultantes de los cambios est\u00e9n suficientemente probadas.<\/p>\n\n M\u00ednimo<\/strong>: Toda organizaci\u00f3n deber\u00eda realizar un pentest detallado en todos los componentes al menos una vez al a\u00f1o para poder evaluar bien su propia situaci\u00f3n de seguridad inform\u00e1tica.<\/p>\n\n En la pr\u00e1ctica, se ha demostrado que es \u00fatil realizar primero un pentest puntual y luego desarrollar un programa c\u00edclico de pruebas de penetraci\u00f3n. Esto mantiene los est\u00e1ndares de seguridad tan altos como sea posible y ofrece a un potencial atacante pocos o ning\u00fan vector de ataque. El principio de las pruebas y el calendario de las mismas estar\u00edan as\u00ed cubiertos, pero \u00bfqu\u00e9 hay que tener en cuenta ahora a la hora de la puesta en marcha?<\/p>\n\n \u00bfQu\u00e9 debe buscar en un comisario?<\/strong><\/p>\n\n A continuaci\u00f3n se exponen 5 puntos que las organizaciones pueden utilizar como lista de comprobaci\u00f3n a la hora de encargar un trabajo:<\/p>\n\n Cl\u00e1sicamente, las empresas de seguridad inform\u00e1tica son una GmbH, AG o GmbH & Co. KG. Las excepciones confirman la regla, pero tambi\u00e9n hay algunos puntos que deber\u00edan hacernos reflexionar:<\/p>\n\n Se trata de una empresa muy joven. Una empresa que no estaba dispuesta a realizar una aportaci\u00f3n de capital de 25.000 euros o que todav\u00eda no pod\u00eda hacerlo. En este punto, recomendamos encargar s\u00f3lo estudios peque\u00f1os con un volumen de proyecto inferior a 10.000 euros.<\/p>\n\n Las pruebas de penetraci\u00f3n pueden causar da\u00f1os como los enumerados anteriormente en las desventajas. Esto se puede mitigar con una suma asegurada que cubra adecuadamente. Antes de la puesta en marcha, hay que hacer una estimaci\u00f3n de la cuant\u00eda de los da\u00f1os y compararla con la suma m\u00e1xima asegurada.<\/p>\n\n Si la persona responsable es una persona f\u00edsica en lugar de una persona jur\u00eddica, recomendamos no encargarla. No hay manera de probar la autenticidad de una persona. Tambi\u00e9n se recomienda precauci\u00f3n en el caso de GbR. No hay obligaci\u00f3n de inscribirse.<\/p>\n\n Los desaparecidos Ust. Id. No. muestra directamente que el contratista potencial s\u00f3lo ha realizado muy pocos y peque\u00f1os proyectos en el \u00faltimo a\u00f1o y en el actual. Se debe evitar la puesta en marcha.<\/p>\n\n Si la empresa no est\u00e1 cualificada de forma demostrable, desaconsejamos encargarla. S\u00f3lo aquellos que puedan presentar los certificados adecuados (por ejemplo, CSP, CEH, CISSP, OSCP, conceptos de implementaci\u00f3n BSI\/PTES\/MITRE Attack Framework, etc.) pueden realizar las pruebas correctamente de acuerdo con determinadas normas.<\/p>\n\n Los proveedores de servicios inform\u00e1ticos grandes o muy grandes pueden tener los recursos financieros y humanos necesarios para satisfacer las demandas de varias empresas principales, pero recomendamos que se encargue a las peque\u00f1as y medianas empresas la realizaci\u00f3n de una prueba de penetraci\u00f3n. Suelen ofrecer una mayor flexibilidad, jerarqu\u00edas planas y la posibilidad de finalizar r\u00e1pidamente los proyectos.<\/p>\n\n \u00bfHa encontrado una empresa que tenga una forma jur\u00eddica adecuada y cuente con el personal y los conocimientos necesarios para llevar a cabo una prueba de penetraci\u00f3n?<\/em><\/strong><\/p>\n\n – pida ahora un presupuesto.<\/em><\/strong><\/p>\n\n Mediante una direcci\u00f3n IP est\u00e1tica, el cliente no s\u00f3lo puede realizar una lista blanca, sino que tambi\u00e9n puede ver de un vistazo qu\u00e9 ataques y pruebas est\u00e1 realizando el contratista en su propia infraestructura. Adem\u00e1s, las listas blancas permiten al departamento de TI del cliente determinar si los ataques detectados forman parte de la prueba de penetraci\u00f3n o si se trata de un ataque real.<\/p>\n\n Una persona de contacto permanente por parte del contratista y del cliente es importante para la comunicaci\u00f3n sobre el estado actual del proyecto. Esto minimiza el esfuerzo y el n\u00famero de reuniones. De este modo, ambas personas de contacto intercambian la informaci\u00f3n y las preguntas necesarias entre ellas y, si es necesario, las transmiten a sus colegas para que las aclaren.<\/p>\n\n Conclusi\u00f3n<\/strong><\/p>\n\n En resumen, las pruebas de penetraci\u00f3n son indispensables en la era digital actual. El n\u00famero de casos registrados por el Bundeslagebild Cybercrime de la BKA (Informe Federal de Situaci\u00f3n de la Ciberdelincuencia) aumenta cada a\u00f1o, aunque el n\u00famero de casos resueltos se mantiene m\u00e1s o menos constante en 39.000 – 43.000. Esto significa que cada vez hay m\u00e1s casos que no se pueden resolver. Por lo tanto, es necesaria la autoprotecci\u00f3n, en la que las pruebas de penetraci\u00f3n desempe\u00f1an un papel fundamental, ya que minimizan significativamente el riesgo de verse afectado por los ciberataques. Si ahora encarga<\/a> una prueba de penetraci\u00f3n<\/a> y tiene en cuenta los puntos descritos anteriormente, nada deber\u00eda interponerse en su camino para llevarla a cabo con \u00e9xito y mejorar su nivel de seguridad.<\/p>\n","protected":false},"excerpt":{"rendered":" Qu\u00e9 hay que tener en cuenta en la puesta en marcha La prueba de penetraci\u00f3n debe prestar atenci\u00f3n a La amenaza que suponen los ciberdelincuentes no deja de aumentar en Alemania. Seg\u00fan el Informe Federal sobre la Situaci\u00f3n de la Ciberdelincuencia de la Oficina Federal de Polic\u00eda Criminal (BKA), que se publica anualmente, el n\u00famero […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"categories":[12],"tags":[],"class_list":["post-4256","post","type-post","status-publish","format-standard","hentry","category-sin-categorizar"],"yoast_head":"\n<\/td><\/tr> <\/td> <\/td><\/tr><\/tbody><\/table><\/figure>\n\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n