Se denomina Test de Intrusión, también conocido como Pen Test, al conjunto de metodologías y técnicas que permite simular un ataque real a los sistemas de información de una organización (ya sea una red, sistema y/o aplicación) con el objetivo de determinar su nivel de seguridad y, por tanto, el grado de acceso que tendría un atacante con intenciones malintencionadas en los mismos.

El Test de Intrusión intenta reproducir intentos de acceso de un potencial intruso desde los diferentes puntos de entrada que existan (tanto internos como externos), ayudando a demostrar el grado de vulnerabilidades que posee la infraestructura tecnológica, al mismo tiempo que analiza las consecuencias y riesgos de un acceso ilegal.

El resultado de un Test de Intrusión debe ser analizado para estudiar y abordar soluciones que eliminen, o minimicen en su mayor medida, todos los problemas de seguridad detectados, reforzando el nivel de seguridad de los Sistemas de Información evaluados.

Tipos de enfoque

Existen tres tipos de Test de Intrusión:

• Caja Negra (Black-box). El ejecutor del Test de Intrusión no tiene conocimiento sobre el sistema de información a revisar. En general, suele ser el escenario de trabajo cuando la organización responsable del sistema de información a revisar contrata a un tercero la realización del Test de Intrusión desde el punto de vista de un atacante externo.
• Caja Blanca (White-box). El ejecutor del Test de Intrusión dispone de un conocimiento detallado del funcionamiento y características del sistema, arquitectura de red, sistemas operativos y software utilizados, etc.
• Caja Gris (Gray-box). Escenario cuando el ejecutor del Test de Intrusión simula la posición de un empleado interno de la organización que dispone de cierta información (por ejemplo, un usuario y contraseña de un sistema), pero «sin privilegios». El objetivo de este tipo de Test de Intrusión es detectar vulnerabilidades que permitan elevaciones de privilegios de dichos usuarios.

Alcance y objetivos

Es importante tener definido el alcance deseado de un Test de Intrusión antes de llevarlo a cabo. El alcance de un Test de Intrusión puede ser amplio, llegando incluso a cubrir toda la infraestructura tecnológica completa de la organización, o por el contrario, puede estar focalizado en un determinado sistema, equipo y/o aplicación sobre el cual se requiera llevar un control más exhaustivo.

Adicionalmente, una vez definido el alcance, se deben dar respuesta a cuestiones como:

• Horario de realización del Test de Intrusión (durante las horas laborales o fuera del horario laboral)
• ¿está permitido llevar a cabo denegaciones de servicio (DoS)?
• ¿está permitido instalar backdoors?
• ¿está permitido realizar defacement de las aplicaciones web?
• ¿está permitido llevar a cabo borrados de posibles logs?
• ¿el personal de la organización tendrá conocimiento de la realización del Test de Intrusión? ¿es posible llevar a cabo técnicas de Ingeniería Social?

Más información:

Test de Intrusión

Próxima entrega: ¿Qué es un test de intrusión? (2ª parte)