Pentesting - Tests de intrusión avanzados

Los test de intrusión son pruebas técnicas de seguridad donde se analizan uno o varios activos desde el exterior de una empresa o en la red interna, con la finalidad de encontrar aquellas debilidades que permitan cumplir con una serie de objetivos predefinidos, tales como:

• La comprobación de la robustez de medidas o controles de seguridad implementadas en una red corporativa.
• La identificación y posterior explotación de vulnerabilidades para evaluación de seguridad.
• La posibilidad de elevación de privilegios de usuario debido a fallos de arquitectura de seguridad o de implementación de medidas de seguridad insuficientes en aplicaciones y sistemas.
• Objetivos de compromiso de un sistema para ejercicios de post-explotación (persistencia, movimiento lateral, borrado de huellas, etc.).

Los pentester disponen de un alcance acotado y un tiempo disponible determinado para la realización de las pruebas y la preparación de un informe final. El resultado del trabajo de test de intrusión consiste en la preparación de un informe técnico con las evidencias y recomendaciones de seguridad para la mitigación y remediación de las amenazas y vulnerabilidades identificadas.

Los test de intrusión pueden clasificarse en los siguientes:

• Test de intrusión de caja negra, donde se parte del desconocimiento de la infraestructura o el activo a analizar. En esta modalidad el equipo a cargo de realizar el test de intrusión no dispone de ningún tipo de información previa acerca de las tecnologías utilizadas, código fuente de aplicaciones, mapas de red o usuarios corporativos para el análisis.
• Test de intrusión de caja blanca, donde se dispone de información detallada acerca de las tecnologías, código fuente, cuentas de usuario, mapas de red, arquitectura, y todo tipo de información, previo al inicio del trabajo.
• Test de intrusión de caja gris, donde el equipo a cargo de la ejecución dispone de información parcial acerca del objetivo, como cuentas de usuario legítimas, información parcial de las tecnologías utilizadas, inventarios de IP de la empresa, información del dominio u otra información útil para el análisis.

De igual forma, pueden tener distintas perspectivas:

• Test de intrusión Interno: Los test de intrusión internos se desarrollan desde la perspectiva de un ciber atacante con acceso a la red interna cableada o inalámbrica de la empresa, incluyendo accesos a la red interna remotos VPN.
• Test de intrusión externo: El perímetro de la empresa comprende todos los activos publicados en internet, incluyendo IP públicas, sitios web, DNS y cualquier servicio expuesto al que un ciber atacante podría acceder.

Es habitual que, dentro de la suite de herramientas de un pentester, se incluya como Sistema operativo una versión adaptada a Ciberseguridad de Linux, como Kali Linux y otras.

Por otro lado, dependiendo de la fase, objetivo o tipología de trabajo, podemos hacer uso de herramientas como las siguientes:

• Descubrimiento de segmentos de red vinculadas a la organización: Herramientas de Tarlogic para el análisis de RIRs (RIPE NCC, ARIN, APNIC, AFRINIC, LACNIC).
• Reconocimiento de la infraestructura: amass (Shodan, Censys, SecurityTrails, WhoisXMLAPI), uncover
• Herramientas de bruteforcing de subdominios: shuffledns, puredns
• Descubrimiento de puertos y servicios: nmap, masscan, naabu
• Reconocimiento de aplicaciones web: Aquatone, httpx, WaybackMachine, Waybackurls, gau
• Identificación de tecnologías web: wappalyzergo
• Análisis de vulnerabilidades en aplicativos web:  Burp Suite, OWASP ZAP, Nuclei, w3af, Acunetix, Nikto
• Análisis de suites de cifrado: Testssl, sslscan, Qualys SLLlabs
• Análisis y descubrimientos de secretos /APIKeys: Trufflehog, earlybird
• Análisis y descubrimiento de secretos en repositorios de github: gitGrabber, gitLeaks, github-search, github-tools-collections
• Análisis de vulnerabilidades de autenticación/autorización: Authorize (Burp Extension)
• Herramientas interacciones out of band: BurpCollaborator, interactsh
• Detección de WAFs/Análisis bypass de WAFs: wafw00f, cloudfail, hakoriginfinder
• Análisis de metadatos en documentos: FOCA, Exiftool, Exiftool Scanner
• Descubrimiento de recursos web: gobuster, dirbuster, wfuzz
• Herramientas para análisis de seguridad en CMS: CMSMap, WPScan
• Análisis automático de vulnerabilidades de SQL Injection: sqlmpa, sqlninja
• Análisis de vulnerabilidades de XSS: XSSer, XSSHunter, BeeF
• Análisis/explotación de vulnerabilidades de deserialización: Ysoserial
• Testing de vulnerablidades DoS en servidores web: Slowloris, SlowHTTPTest
• Herramientas de escaneo de vulnerabilidades: Nessus
• Soluciones para explotación de vulnerabilidades: Metasploit
• Cracking de credenciales: hashcat, John the ripper
• Ataques de fuerza bruta (password spraying): Hydra

Herramientas de pentesting Windows:

• Sysinternals Suite
• PowerView
• PowerUP
• Get-GPPPassword
• Bloodhound
• WinPeas
• CrackMapExec
• Responder
• Impacket
• Kerbrute
• Rubeus
• Mimikatz
• Network Monitor
• API Monitor

Herramientas de pentesting Linux:

• LinPeas
• Lynis
• Impacket
• LinuxSmartEnumeration
• py
• Sudo Killer

Análisis de comunicaciones y ataques de red:

• Wireshark
• Yersinia
• Vlan_Hopper
• netdiscover
• Scapy

 Análisis de seguridad en entornos cloud:

• Azure: ROADtools, stormspotter, microBurst, adconnectdump, scoutuite, APIs y herramientas CLI de Azure.
• AWS: SkyArk, BucketFinder, Boto3, Cloudspaining, Pacu, enumerate-iam, aws_consoler y herramientas de CLI de AWS
• Google Cloud Platform: ScoutSuite, GCP IAM Collector, GCP Firewall Enum, GCPBucketBrute, Hayat

El coste de un test de intrusión es variable y se calcula en función del objetivo, el volumen de activos a analizar, la complejidad de realización, el enfoque que se requiere y si va a ser en una modalidad de caja blanca o caja negra principalmente. Un rango de precio orientativo podría variar entre los 4.500€ para un test de intrusión acotado a un número más reducido de activos, a los 30.000€ para test de intrusión con objetivos mucho más amplios. También influye en el precio si el trabajo se realiza de forma única (one-shot) o si se requiere de un servicio continuo.

Otras características y requisitos particulares requieren hacer un estudio previo conjunto con el cliente para definir mejor el alcance y objetivos del trabajo, por ello recomendamos que te pongas en contacto con nosotros y que nuestros especialistas te asesoren acerca del mejor enfoque para la realización del trabajo y la consecución de tus objetivos.