Fases de las pruebas de penetración: del reconocimiento al informe

Una prueba de penetración estructurada sigue un ciclo de vida definido que garantiza una cobertura exhaustiva, minimiza el riesgo para los sistemas de producción y produce resultados útiles. El framework más adoptado procede de PTES (Penetration Testing Execution Standard) y está alineado con el enfoque de NIST. Sus fases son: planificación y definición del alcance, reconocimiento, análisis, explotación, postexplotación y elaboración de informes. Cada fase se basa en la anterior: no puede explotar lo que no ha descubierto ni informar sobre lo que no ha documentado. Omitir fases o realizarlas con prisas produce evaluaciones incompletas y hallazgos poco fiables.

La fase de planificación establece la base legal y operativa del trabajo. Entre los principales entregables se incluyen: un Statement of Work (SOW) firmado que define los objetivos y los precios; un documento de Rules of Engagement (RoE) que especifica los objetivos autorizados, las franjas horarias, las técnicas prohibidas, los contactos de emergencia y los requisitos de gestión de datos; y una definición clara de los criterios de éxito (qué se considera el logro del objetivo). El alcance debe definirse con precisión para evitar la expansión involuntaria del alcance (probar accidentalmente sistemas no autorizados) y garantizar que la evaluación cubra los activos más críticos. Todos los canales de comunicación y procedimientos de escalamiento se establecen antes de comenzar cualquier trabajo técnico.

El reconocimiento pasivo recopila información sobre el objetivo sin interactuar directamente con sus sistemas, utilizando fuentes públicas que no generan registros en el objetivo. Entre las fuentes se incluyen: registros WHOIS (registro del dominio y contacto del titular), registros DNS, registros de transparencia de certificados (que revelan subdominios), LinkedIn (nombres de empleados, cargos y tecnologías utilizadas), ofertas de empleo (que revelan la pila tecnológica y las herramientas), Shodan/Censys (servicios expuestos a Internet y puertos abiertos), repositorios de GitHub (código fuente y credenciales incluidas accidentalmente) y Google dorking (búsquedas específicas de sitios para localizar archivos confidenciales e interfaces expuestas).

El reconocimiento activo implica interactuar directamente con los sistemas objetivo para recopilar información. Esto genera registros en el objetivo y es inherentemente más ruidoso que el reconocimiento pasivo. Entre las técnicas se incluyen el análisis de puertos (Nmap), la enumeración de servicios, los intentos de transferencia de zona DNS y la captura de banners. El límite entre el reconocimiento y el análisis no está claramente definido: el objetivo del reconocimiento es recopilar información, mientras que el análisis suele implicar la identificación de vulnerabilidades. Sin embargo, el reconocimiento activo puede activar alertas de IDS/IPS y ser detectado por un objetivo con una buena preparación de seguridad, por lo que los evaluadores equilibran exhaustividad y sigilo según el objetivo del trabajo (evaluar la detección frente a lograr un compromiso sigiloso).

La fase de análisis descubre sistemáticamente puertos abiertos, servicios, versiones de software y vulnerabilidades conocidas en los objetivos incluidos en el alcance. En esta fase se utilizan herramientas como Nmap para la enumeración de servicios y Nessus/OpenVAS para el análisis de vulnerabilidades. El profesional de pruebas de penetración revisa manualmente los resultados del escáner y correlaciona los hallazgos: una versión de Apache identificada por Nmap puede corresponderse con exploits conocidos en la base de datos de CVE. Esta fase también incluye el sondeo manual de aplicaciones web (con Burp Suite) y la evaluación de mecanismos de autenticación. El resultado es una lista priorizada de posibles rutas de ataque que se seguirán en la fase de explotación.

La fase de explotación intenta aprovechar las vulnerabilidades identificadas para obtener acceso no autorizado, escalar privilegios u alcanzar otros objetivos definidos. La explotación debe mantenerse estrictamente dentro del alcance y de las Rules of Engagement. Entre las técnicas se incluyen la explotación de vulnerabilidades sin parchear (mediante Metasploit o exploits manuales), los ataques contra credenciales (password spraying, credenciales predeterminadas y fuerza bruta), los ataques contra aplicaciones web (inyección SQL y explotación de XSS) y la ingeniería social, si está autorizada. Cada acción debe quedar documentada con marcas de tiempo: qué se hizo, cuándo, cuál fue el resultado y qué herramienta se utilizó. Esta documentación constituye la base de evidencias del informe final.

La postexplotación comienza después de obtener el acceso inicial y explora hasta dónde podría ampliar su alcance un atacante. Entre las actividades se incluyen: la escalada de privilegios (obtener permisos de administrador/root a partir del acceso limitado de un usuario), la obtención de credenciales (extraer hashes, tickets o contraseñas en texto plano), el movimiento lateral (acceder a otros sistemas mediante las credenciales obtenidas), el descubrimiento de datos (identificar datos confidenciales accesibles desde la posición comprometida) y el establecimiento de la persistencia (para simular el acceso a largo plazo de una APT). El objetivo es mostrar el impacto realista del compromiso inicial: no solo que se comprometió un sistema, sino hasta dónde podría llegar finalmente el atacante.

El pivoting utiliza un host comprometido como relay para alcanzar segmentos de red que, de otro modo, serían inaccesibles para el profesional de pruebas de penetración (por ejemplo, una VLAN de base de datos interna a la que solo se puede acceder desde el servidor de aplicaciones). El comando route add de Metasploit y los túneles SSH (ssh -L para el reenvío local o ssh -D para un proxy SOCKS) son mecanismos de pivoting habituales. El pivoting demuestra si la segmentación de red es realmente eficaz: una red bien segmentada debería impedir que un servidor DMZ comprometido acceda a las bases de datos internas, mientras que una red plana permite el movimiento lateral sin restricciones. Documentar las rutas de pivoting en el informe muestra exactamente dónde existen brechas de segmentación.

Una vez finalizadas las pruebas, los profesionales deben realizar la limpieza: eliminar las puertas traseras, las cuentas y las herramientas que hayan instalado. A diferencia de los atacantes reales, los profesionales de pruebas de penetración están obligados por las Rules of Engagement a restaurar los sistemas a su estado anterior a la prueba. Entre las tareas de limpieza se incluyen: eliminar las cuentas de usuario creadas, borrar los archivos depositados (payloads y herramientas), eliminar los mecanismos de persistencia (suscripciones WMI, tareas programadas y claves de ejecución del registro) y confirmar con el cliente que han desaparecido todos los artefactos de prueba. La preservación de evidencias se realiza en paralelo: deben conservarse todas las capturas de pantalla, los resultados de las herramientas, los registros y las notas en un formato seguro para redactar el informe y para una posible consulta legal.

El informe es el entregable definitivo que justifica el trabajo y orienta la corrección de los problemas. Un informe bien estructurado incluye: un resumen ejecutivo (calificación del riesgo, impacto empresarial y los tres hallazgos principales para la dirección); una sección de hallazgos técnicos (cada hallazgo con su gravedad, descripción, evidencias, pasos de reproducción, impacto empresarial y recomendaciones específicas de corrección); y un apéndice con los resultados sin procesar de las herramientas y cronologías detalladas. Los informes se clasifican como confidenciales, ya que contienen suficiente información para repetir el ataque. Normalmente, la entrega incluye una reunión informativa en la que el equipo de pruebas de penetración repasa los hallazgos y responde a las preguntas del cliente. Un buen informe es lo que diferencia un trabajo profesional de una simple exportación de resultados de un escáner.

Security+ evalúa con frecuencia la diferencia entre el reconocimiento pasivo y el activo. El reconocimiento pasivo consiste en recopilar información de fuentes públicas sin contactar directamente con los sistemas objetivo, por lo que no se crean registros en el objetivo. Algunos ejemplos son consultar registros WHOIS, revisar LinkedIn, consultar registros de transparencia de certificados y realizar búsquedas en Shodan. El reconocimiento activo implica interactuar directamente con los sistemas objetivo, por ejemplo, mediante el análisis de puertos, la captura de banners o los intentos de transferencia de zona DNS. El reconocimiento activo genera registros y puede activar alertas de IDS. En un trabajo real, el reconocimiento pasivo precede al activo para crear un mapa antes de establecer cualquier contacto detectable con la red objetivo.

Ponga a prueba su comprensión de los conceptos de CompTIA Security+ (SY0-701) de esta lección.

En esta lección ha aprendido que las pruebas de penetración siguen un ciclo de vida estructurado de planificación, reconocimiento, análisis, explotación, postexplotación y elaboración de informes; que el reconocimiento pasivo utiliza fuentes públicas de OSINT sin crear registros en el objetivo, mientras que el reconocimiento activo interactúa directamente con los sistemas; y que el informe final, con su resumen ejecutivo, sus hallazgos técnicos y sus recomendaciones específicas de corrección, es el entregable clave que impulsa las mejoras de seguridad. A continuación, exploraremos la puntuación CVSS y cómo priorizar la corrección de vulnerabilidades.