Que es un pentesting

Antes de definir lo que es un Penetration Testing, primero corresponde pensar como lo entendemos o lo interpretamos.

¿Qué es para ti?

"Por favor, antes de seguir, pregúntate a ti mismo ¿qué es un Penetration Test?"

Ahora veamos qué es lo que dicen las principales fuentes de información tomando a Wikipedia, OSSTMM, y NIST a efectos de obtener una concepción más acertada, permitiéndonos continuar el avance del presente escrito con los conocimientos necesarios.

• “Método para evaluar la seguridad de un sistema o red informática simulando un ataque de origen hostil” (Wikipedia)
• “Una prueba de seguridad con un objetivo específico que termina cuando dicho objetivo se obtiene o se acaba el tiempo disponible” (OSSTMM – Open Source Security Testing Methodology Manual)
• “Prueba de seguridad donde los evaluadores copian ataques reales para subvertir las funciones de seguridad de un aplicativo, sistema o red” (NIST – National Institute of Standards and Technology)

Por lo tanto un Penetration Testing, permite identificar falencias tecnológicas identificando vulnerabilidades, mediante la simulación del comportamiento de intrusos. Realizar dicha prueba no certifica que un sistema es "seguro"; hoy puede ser seguro a las 00:00 horas pero a 00:01 ya no es seguro, porque todo está en constante actualización. Por otro lado, entra por medio el Factor Humano -que por pereza o simpleza no modifica o deja las configuraciones por defecto- aunado además, que la seguridad absoluta no existe, es solo una ilusión falsa de seguridad, por lo que es ilustrativa la siguiente analogía.

• ¿Por qué tenemos paredes en nuestras casas?
• ¿Por qué tenemos una puerta en nuestro hogar?

Las repuestas se resumen en que: "Solo damos una falsa sensación de estar seguros, de que nadie podrá observarnos ni robar nuestras pertinencias; ya que si un ladrón desea ingresar a tu casa lo hará". Con la seguridad informática ocurre lo mismo, por más que estemos totalmente seguros que nada malo va a ocurrir la Ley de Murphy se hace presente.

Actualmente, un Penetration Testing es considerado un recurso más inmerso en las tareas de seguridad de las empresas, ya que algunas cuentan con un área específica que se dedica totalmente a esta actividad. Un Penetration Testing llega a tener diferentes alcances tomando en cuenta lo que desea y la definición de lo que se hará y lo que no.