Certificación VAPT
Evaluación de vulnerabilidades y pruebas de penetración
La certificación de evaluación de vulnerabilidades y pruebas de penetración es el arte de encontrar vulnerabilidades y profundizar para averiguar qué proporción de un objetivo puede verse comprometido, solo en caso de un ataque legítimo. Una prueba de penetración implicará explotar la red, los servidores, las computadoras, los firewalls, etc., para descubrir vulnerabilidades y resaltar los riesgos prácticos involucrados con las vulnerabilidades identificadas.
Etapas de evaluación de vulnerabilidades y pruebas de penetración
Prueba de penetración La certificación se puede dividir en varias fases; esto variará según la organización y el tipo de prueba realizada, interna o externa. Analicemos cada fase:
- Fase de acuerdo.
- Planificación y reconocimiento.
- Obtener acceso.
- Mantener el acceso.
- Recopilación de pruebas y generación de informes.
¿Por qué es importante la certificación de pruebas de penetración ?
Pueden ofrecer al personal de seguridad experiencia real para hacer frente a una intrusión.
Se debe realizar una certificación de prueba de penetración sin informar a los trabajadores y permitirá a la gerencia verificar si sus políticas de seguridad son realmente efectivas o no.
Una certificación de prueba de penetración se puede imaginar como un simulacro de incendio. Descubrirá aspectos de una política de seguridad que faltan. Por ejemplo, varias políticas de seguridad se centran mucho en prevenir y detectar un ataque a los sistemas de gestión, pero descuidan el proceso de desalojo de un atacante.
Puede descubrir durante una certificación de prueba de penetración que, si bien su organización detectó ataques, el personal de seguridad no pudo eliminar al atacante del sistema de manera eficiente antes de que causaran daños.
Proporcionan comentarios sobre las rutas de mayor riesgo en su empresa o aplicación. Los probadores de penetración piensan fuera de la caja e intentarán ingresar a su sistema por cualquier medio posible, como lo haría un atacante del mundo real, lo que podría revelar inconmensurables vulnerabilidades importantes que su equipo de seguridad o desarrollo nunca consideró. La certificación le brinda comentarios sobre cómo priorizar cualquier inversión futura en seguridad.
Los informes de certificación de pruebas de penetración se pueden utilizar para ayudar a capacitar a reducir errores. Si los desarrolladores pueden ver, sin embargo, un atacante externo irrumpió en una aplicación o parte de una aplicación que ayudarán a desarrollar, será mucho más motivados para su educación en seguridad y evitar crear errores similares en el futuro.
Tipos de pruebas de penetración basadas en el conocimiento del objetivo
Caja negra
Cuando el atacante no conoce el objetivo, se denomina prueba de penetración de caja negra. Este tipo requiere mucho tiempo y el pen-tester utiliza herramientas automatizadas para encontrar vulnerabilidades y puntos débiles.
Caja blanca
Cuando al probador de penetración se le da el conocimiento completo del objetivo, se le llama prueba de penetración de caja blanca. El atacante tiene un conocimiento completo de las direcciones IP, los controles implementados, las muestras de código, los detalles del sistema operativo, etc. Requiere menos tiempo en comparación con las pruebas de penetración de caja negra.
Caja gris
Cuando el probador tiene la mitad de información sobre el objetivo, se denomina prueba de penetración de caja gris. En este caso, el atacante tendrá algún conocimiento de la información del objetivo, como URL, direcciones IP, etc., pero no tendrá acceso o conocimiento completo.
Tipos de pruebas de penetración según la posición del evaluador
- Si la prueba de penetración se realiza desde fuera de la red, se denomina prueba de penetración externa
- el atacante está presente dentro de la red, la simulación de este escenario se conoce como prueba de penetración interna
- Las pruebas dirigidas generalmente las realiza el equipo de TI de la organización y el equipo de pruebas de penetración trabajando juntos
- En una prueba de penetración ciega, el probador de penetración no recibe información previa, excepto el nombre de la organización
- En una prueba doble ciego, como máximo, solo una o dos personas dentro de la organización pueden saber que se está realizando una prueba.
Tipos de pruebas de penetración según el lugar donde se realiza
Prueba de penetración de red
La actividad de prueba de penetración de red tiene como objetivo descubrir debilidades y vulnerabilidades relacionadas con la infraestructura de red de la organización. Implica la configuración del firewall & amp; pruebas de omisión, pruebas de análisis de estado, ataques de DNS, etc. Los paquetes de software más comunes que se examinan durante esta prueba incluyen:
- Secure Shell (SSH)
- SQL Server
- MySQL
- Protocolo simple de transferencia de correo (SMTP)
- Protocolo de transferencia de archivos
- Pruebas de penetración de aplicaciones
En las pruebas de penetración de aplicaciones, el probador de penetración comprueba si se descubren vulnerabilidades o debilidades de seguridad en aplicaciones basadas en web. Se examinan los componentes principales de la aplicación, como ActiveX, Silverlight y Java Applets, y las API. Por lo tanto, este tipo de pruebas requiere mucho tiempo.
Prueba de penetración inalámbrica
En las pruebas de penetración inalámbrica, se prueban todos los dispositivos inalámbricos que se utilizan en una corporación. Incluye elementos como tabletas, computadoras portátiles, teléfonos inteligentes, etc. Esta prueba detecta vulnerabilidades en términos de puntos de acceso inalámbricos, credenciales de administrador y protocolos inalámbricos.
Ingeniería social
La prueba de ingeniería social implica intentar obtener información confidencial o sensible engañando deliberadamente a un empleado de la organización. Tienes dos subconjuntos aquí.
- Prueba remota: implica engañar a un empleado para que revele información confidencial a través de medios electrónicos.
- Pruebas físicas: implica el uso de un medio físico para recopilar información confidencial, como amenazar o chantajear a un empleado.
Prueba de penetración del lado del cliente
El propósito de este tipo de prueba es identificar problemas de seguridad en términos del software que se ejecuta en las estaciones de trabajo del cliente. Su objetivo principal es buscar y aprovechar las vulnerabilidades en los programas de software del lado del cliente. Por ejemplo, navegadores web (como Internet Explorer, Google Chrome, Mozilla Firefox, Safari), paquetes de software de creación de contenido (como Adobe Framemaker y Adobe RoboHelp), reproductores multimedia, etc.
Para obtener más información sobre el organismo de certificación de pruebas de penetración y el papel que podemos desempeñar en sus esfuerzos para lograr la certificación, no dude en contactarnos. Para comenzar con el proceso de certificación, también puede solicitar un presupuesto.
Contáctenos o visite nuestras preguntas frecuentes para obtener más información sobre la certificación VAPT.