¿Qué es una prueba de penetración?

Prueba de penetración: definición

En una prueba de penetración, o pentest, los expertos en seguridad se ponen en el papel de un atacante. Con los mismos métodos y herramientas, intentan acceder a un sistema definido previamente, como una aplicación web, una interfaz o la red de la empresa.

Lo decisivo es el encargo por escrito: solo con el permiso expreso del responsable y un alcance claramente definido es lícita una prueba de este tipo. Sin esa base, el mismo procedimiento sería un ataque punible. Este artículo no sustituye el asesoramiento jurídico.

Así se desarrolla una prueba de penetración

Un pentest profesional sigue un proceso fijo. Sirven de orientación, por ejemplo, las guías de la Oficina Federal de Seguridad de la Información de Alemania (BSI) o la OWASP Web Security Testing Guide.

Según la información previa de la que disponen los evaluadores, se distinguen las pruebas de caja negra (black box), sin información interna; las de caja gris (grey box), con información parcial, como un acceso de prueba; y las de caja blanca (white box), con acceso al código fuente y a la documentación. La variante adecuada depende del objetivo: una prueba de caja gris suele ofrecer una buena relación entre realismo y esfuerzo.

• Preparación: definir objetivos, alcance, franjas horarias y personas de contacto
• Recopilación de información sobre el sistema objetivo
• Análisis de vulnerabilidades con métodos automatizados y manuales
• Explotación controlada de las brechas encontradas
• Informe con evaluación de riesgos y recomendaciones de actuación
• Prueba posterior para comprobar si las brechas se han cerrado eficazmente

Ventajas y límites

Un pentest muestra lo vulnerable que es realmente un sistema, no solo en teoría. Encuentra errores en la lógica de negocio que los escáneres automáticos pasan por alto y proporciona una lista priorizada de lo que debe corregirse primero. Además, el informe sirve como prueba ante clientes, aseguradoras o auditores.

Los límites: un pentest es una instantánea. La próxima actualización ya puede abrir nuevas brechas. Además, solo encuentra lo que está dentro del alcance acordado. Por eso no sustituye ni un desarrollo seguro ni una gestión de parches periódica.

También es importante la calidad del informe: debe describir cada vulnerabilidad de forma clara y reproducible, clasificarla por gravedad e indicar pasos concretos para corregirla, de manera comprensible tanto para el equipo técnico como para la dirección.

¿Cuándo tiene sentido una prueba de penetración? Un ejemplo práctico

Un pentest tiene sentido antes de lanzar una aplicación con datos sensibles, tras reformas importantes, a intervalos regulares en sistemas críticos y cuando clientes o aseguradoras exigen una prueba. Las nuevas interfaces con socios o clientes también son un buen motivo.

Un ejemplo: antes de la puesta en marcha de un portal de clientes con datos contractuales, una empresa encarga una prueba de caja gris. Los evaluadores encuentran una función de carga que permite subir cualquier archivo sin comprobación. La brecha se cierra antes del lanzamiento y se confirma en la prueba posterior. Nano Concepts ayuda a proteger las aplicaciones antes de una prueba y corrige en el código las vulnerabilidades encontradas.