Recomiendan pentest con inteligencia artificial — ¿sustituye al test manual o es un escaneo empaquetado?

Las herramientas con apoyo de inteligencia artificial hoy solo tienen éxito en emparejar vulnerabilidades CVE conocidas y en enriquecer el texto del informe. Los vectores de ataque complejos que abren dos sesiones distintas y cruzan los permisos de rol entre sí o que rompen el orden lógico de una API, las herramientas autónomas todavía no los pueden construir.

El mercado ahora mismo está en una carrera de bajar precios pegándole la etiqueta de inteligencia artificial a cualquier script automático. Pide el borrador del contrato probablemente ponga que es un escaneo de vulnerabilidades y que los resultados no están garantizados. El auditor del cliente lo entiende al instante y te echa para atrás.

El año pasado presentamos un informe de escaneo autónomo similar a un cliente corporativo. El informe tenía 40 páginas pero el equipo de auditoría lo rechazó al segundo día. Como motivo indicaron que el informe no tenía validación de lógica de negocio y que había muchísimas falsas alarmas. Al final pagamos 5.200 EUR e hicimos que se realizara un test manual.

¿En qué marco se basa exactamente la auditoría que os pide vuestro cliente? ¿ISO 27001, SOC 2 o sus propias especificaciones internas de seguridad? Elegir una oferta sin conocer los criterios de aceptación del auditor conlleva el riesgo de tirar el dinero.

Hacedle una sola pregunta a la empresa que ofrece 1.200 EUR: ¿la prueba de explotación que no daña el sistema para las vulnerabilidades detectadas se genera manualmente? Si la respuesta es evasiva o solo entregan la salida de la herramienta, descartad esa oferta directamente.

nosotros tb casi caemos en la misma trampa. en la presentación de ventas lo contaron como si un hacker virtual se hiciera con el control de la empresa, y el informe de ejemplo que lleóg resultó ser la versión a color del log de escaneo semanal de siempre. no tiréis el dinero os lo digo.

Al comparar precios fijaos en el cálculo de días-hombre. El que ofrece 4.500 EUR está poniendo precio al tiempo de trabajo de un experto. La oferta de 1.200 EUR es probablemente la comisión de una suscripción de software que ejecuta un script en el servidor y en segundo plano convierte una plantilla ya preparada en PDF.

En su momento, nosotros también nos atascamos ahí. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Corrijanme si me equivoco.

Os explico cómo se hace en la práctica. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

No tengáis miedo de preguntar, quien no pregunta siempre paga más caro. Corrijanme si me equivoco.

La discusión se ha dispersado, voy a ordenarla. No confíes en una sola medida; ve capa por capa.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Guardado.

Me pasó lo mismo.

Tema muy oportuno.

Estoy siguiendo esto. Las decisiones apresuradas son las que hay que corregir seis meses después.

Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla. Eso es todo, disculpa si me he extendido demasiado.

Hay tres cosas que revisar al hacer esto. Todos los que se apresuran con test de penetración con inteligencia artificial se atascan en el mismo punto.

Ánimo.

Yo también estaba pensando en lo mismo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

me pasó lo mismo. pues lo importante no es la cifra sino en qué se basa esa cifra.

Estoy en la misma situación, por eso pregunto. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Espero que le sea útil.