El pasado marzo del 2022, un popular grupo de hackers de sombrero negro llamado Lapsus$, obtuvo el código fuente de Microsoft y extrajeron aproximadamente el 46 % de la infraestructura de Bing, el 90 % de Bing Maps y la gran mayoría de los códigos de Cortana; aunque la empresa niega cualquier daño a sus clientes, no se puede menospreciar el efecto indirecto de este ataque sobre los usuarios.
Incidentes como estos incrementan la importancia de cerrar las brechas en la seguridad cibernética con premura, por lo que los dueños de negocios deben enfocarse en buscar los puntos débiles de su sistema, ya que estos sirven como puertas de entrada a cualquier tipo de ataque. Las pruebas de penetración son útiles para bloquear este tipo de entradas maliciosas.
El objetivo de las pruebas de penetración es determinar qué tan fuerte o débil son tus sistemas contra múltiples tipos de ataques cibernéticos. Generalmente las empresas subcontratan esta labor a una empresa de seguridad en línea o a un probador de penetración independiente; no es extraño conseguir empresas que ofrecen recompensas por conseguir errores en sus sistemas si este ya ha sido atacado.
¿Qué es la prueba de penetración?
Los delincuentes cibernéticos atacan de forma agresiva a las empresas o entidades comerciales para robar información y contraseñas; debido a esto, los ataques tales como el ransomware, el phishing y el spoofing se han vuelto bastante. Solo en el año 2021, los piratas informáticos enviaron más de 3 millones de mensajes falsos utilizando más de 12,000 cuentas falseadas, un ejercicio de prueba de penetración podría haber evitado semejante embestida.
Queda saber entonces, ¿qué son las pruebas de penetración y por qué son importantes? Estas pruebas por sí solas son una técnica que ayuda a identificar las vulnerabilidades de ciertos elementos en la estructura de TI de tu empresa. La idea es encontrar las debilidades imitando ataques cibernéticos que ayudan a determinar qué tan lejos puede llegar ingresar un pirata informático, por lo que un probador de penetración debe pensar como estos mientras pasan por alto los sistemas de seguridad y aísla las susceptibilidades o defectos de este.
Una prueba de penetración no es algo que realizas una sola vez, este tipo de prueba debe llevarse a cabo regularmente para evitar la pérdida de datos; la frecuencia con la cual realizas la prueba depende de la evaluación de riesgos y la estructura de tu empresa. Ten presente que esta evaluación te permite saber qué tanto podría afectar tu sistema en caso de un ciberataque real.
¿Qué es lo que se prueba?
¿Qué hace un probador de penetración? Las personas encargadas de estas pruebas saben hacer pruebas de penetración paso a paso a través de ataques en línea simulados. Un probador de penetración lleva cabo estas pruebas para obtener información sobre los puntos de entrada y las lagunas presentes en el sistema; también comprueban interfaces de protocolo de aplicación (API), servidores front-end y back-end y usan esta información para ajustar tu firewall de aplicaciones web (WAF) así como para tomar otras medidas de seguridad.
Tipos de pruebas de penetración
Existen diferentes tipos de pruebas de penetración, dependiendo del área que se esté probando (red, aplicación web, aplicación móvil, lado del cliente, etc.), el hacker ético que lleva cabo la prueba puede usar varios:
- Técnicas: manual, automatizada o una combinación de ambas
- Métodos: externo, interno, ciego, doble ciego o dirigido
- Estilos: caja blanca, caja gris y caja negra
Instrumentos
Las herramientas usadas para pruebas de penetración hacen que el proceso sea más eficiente y requiera menos tiempo, mientras más investigues al respecto, te fijaras que hay varios disponibles, pero por ahora estamos discutiendo las de uso común. Ten presente que un probador profesional elegirá las herramientas necesarias de acuerdo con los requisitos de la evaluación, por lo tanto, no te alarmes si usan herramientas diferentes a tu última evaluación.
Netsparker
Un netsparker se puede usar en sitios web, servicios web y aplicaciones web para todo, funciona en base a una secuencia de comandos entre sitios hasta una inyección SQL y aprovecha de forma automática los elementos vulnerables en modo de lectura.
Wireshark
Anteriormente llamado Ethereal 0.2.0., Wireshark permite capturar e interpretar los paquetes de red para explorar los protocolos de origen y destino contenidos en estos.
Aircrack
Aircrack fue actualizado nuevamente en el año 2019 después de haber sido archivado en el 2010; es una herramienta que funciona detectando fallas dentro de conexiones inalámbricas, lo cual se hace mediante la recopilación de paquetes de datos. Los datos enviados a través de la red se transmiten en porciones más pequeñas llamadas paquetes de datos.
Esta herramienta tiene la particularidad de poder usar diccionarios de contraseñas y metodologías estadísticas para ingresar protocolos de privacidad equivalente por cable (WEP), el cual es un tipo de seguridad estándar.
BeEF
BeEF valida los navegadores web. Los evaluadores pueden usar los vectores de ataque del lado del cliente para verificar sus protocolos de seguridad, esta herramienta lleva a cabo sus funciones conectándose con múltiples navegadores para iniciar módulos de comandos directos.
Kali linux
Esta es una herramienta de prueba de penetración muy popular diseñada para inyectar y cortar contraseñas, para usarla es necesario tener conocimientos de protocolos TCP/IP para acceder a Kali Linux. El protocolo TCP/IP posee cuatro capas que son usadas para interconectar dispositivos en la red, la herramienta también ofrece listas de opciones de uso, seguimiento de versiones y paquetes de metadatos.
Lo positivo y lo negativo de las pruebas de penetración
Ya tenemos una idea general de lo que es una prueba de penetración, así como sus métodos, técnicas y etapas implementados en esta; también entendemos que su propósito es asistir la estructura IT de una empresa, pero cabe preguntarse, ¿son estas pruebas necesarias y positivas? La firme respuesta es un rotundo “no.” Ya que estas permitiendo que «extraños» ingresen a tu sistema para probar cómo se comporta; naturalmente existen beneficios y riesgos asociados a las pruebas de penetración.
Lo positivo
Estos son algunos beneficios de las pruebas de penetración para ayudarte a predecir y resolver los problemas en tus sistemas.
Te ayuda a encontrar vulnerabilidades
Los piratas informáticos van constantemente contra las empresas; para impedir esto los expertos en pruebas de penetración detectan tus vulnerabilidades e impiden la entrada de estos agregando medidas preventivas eficientes, lo cual por supuesto puede salvar la reputación y los ingresos de tu empresa.
Detectan debilidades grandes que resultan de vulnerabilidades pequeñas
Los piratas informáticos se valen de una combinación de pequeñas lagunas para realizar grandes ataques a tu sistema. Una vez que tienen acceso a este pueden robar datos, hacer mal uso de esta o alterar información crítica.
Una página de error benigna puede brindarles suficiente información sobre tu sistema para planificar un ataque mayor.
Procura remediación
Parte de lo que hace un probador de penetración incluye los informes que explican todo el proceso de evaluación a la vez que brinda consejos de seguridad. Estos informes no se generan automáticamente por lo cual contienen información veraz que sirve para mejorar el sistema de seguridad de tu empresa.
Lo negativo
Permitir que un pirata informático pruebe tus sistemas es un riesgo que debe considerarse con atención. ¿Qué sucede si la empresa que eliges para las pruebas no maneja sus datos de manera ética? ¿Qué sucede si hay problemas técnicos durante las pruebas y pierdes datos valiosos? Discutimos el impacto negativo de las pruebas de penetración a continuación.
Pueden causar daño si se hacen de forma incorrecta
Si la prueba se hace mal, el servidor puede bloquearse; también enfrentas el riesgo de que tus datos confidenciales, tales como la información de tus clientes y la codificación fuente de tu infraestructura pueden corromperse, eliminarse o filtrarse.
Tienes que confiar en el probador de penetración
Es difícil y arriesgado confiar en alguien con tu estructura de IT. En ocasiones se hace necesario darles la libertad de acceder a todos tus archivos.
Una prueba de penetración puede resultar contraproducente si el probador hace mal uso de sus habilidades y experiencia para explotar tu sistema.
En ocasiones los resultados pueden ser engañosos
Al llevar a cabo este tipo de pruebas los resultados pueden ser engañosos, lo que puede dificultar el funcionamiento de la infraestructura, por lo que se hace extremadamente necesario invertir en un probador de penetración competente.
La importancia de las pruebas de penetración para los negocios
Hay muchas razones por las que las pruebas de penetración son importantes. A continuación, discutiremos las tres principales.
Asegurar una infraestructura segura
Varias estrategias apuntan a la identificación de amenazas de seguridad detectando debilidades. Una prueba de penetración incluye sugerencias para consolidar el sistema y prohibir la entrada de piratas informáticos.
Construye y mantiene la reputación de la marca
La reputación de tu negocio es el activo más valioso que posees, ya que es la base de tus operaciones y no puedes dejar que nadie la empañe.
¿Qué pasa si alguien roba información importante de tus servidores y la noticia se hace pública? Tanto los clientes establecidos como los potenciales pierden la confianza en tu negocio de forma instantánea, llegando incluso a no optar futuras recepciones de servicio de tu parte.
Te mantiene preparado contra cualquier potencial ataque
Una prueba de penetración fortalece tu sistema contra todo tipo de ataques, manteniéndote preparado en caso de que un empleado filtre información a actores cibernéticos malintencionados a cambio de un soborno. Las manipulaciones y engaños de los piratas informáticos pueden amenazar al personal, obligándoles a engañar a su empleador.
Pensamientos finales
Es posible evitar que los piratas informáticos interrumpan, dañen u obtengan acceso no autorizado a tu sistema con pruebas de penetración; sin embargo, si este se lleva a cabo incorrectamente, tus datos pueden filtrarse y en el peor de los casos, todo el sistema puede colapsar. Es por esto que es imperativo darle dicha responsabilidad a una empresa con reputación y experiencia probada.
¿Cuál es el resultado final de una prueba de penetración? Esta tiene el potencial de hacer que tu sistema sea lo suficientemente fuerte para mantener alejados a los actores maliciosos, mientras resguarda tu negocio. Todas las empresas con una estructura IT deben llevar a cabo pruebas de penetración periódicas, para lo cual lo mejor es usar una combinación de tácticas manuales y automatizadas para garantizar la máxima protección.