Nos pidieron un test de penetración — ¿qué es con un ejemplo real y de verdad lo necesitamos?

Los retailers corporativos le tienen pánico al riesgo de la cadena de suministro. Si en tu base de datos van a estar sus datos de tiendas o facturación, no le pueden rendir cuentas a su directorio sin esto. Ni se te ocurra entregar el reporte de un escáner automático de vulnerabilidades haciéndolo pasar por pentest; los equipos de seguridad corporativa lo detectan en la primera página y arruinas la venta.

Lo hicimos por primera vez el otoño pasado para nuestro software de logística de tamaño similar. El test duró 4 días hábiles y pagamos 3.200 GBP. Encontraron 6 vulnerabilidades en total, una de ellas crítica. Teníamos mucha confianza en nuestro código, pero por una fuga en los encabezados del servidor se leía clarito la versión de nuestra base de datos. Lo parchamos en una semana y al ver el informe el cliente firmó el contrato de una.

Tengan mucho cuidado al definir el alcance en el contrato. No incluyan al proveedor de hosting de su infraestructura en la nube, incluyan solo el código propio, los mecanismos de autorización y las APIs. Si no, se dedican a escanear los servicios del proveedor y les duplican el tiempo de prueba y el presupuesto.

No acepten la primera oferta que les envíen las empresas de seguridad. Muchas agencias piden precios desorbitados como 10.000 GBP y hacen la mayor parte del trabajo con herramientas automáticas. Pidan 2 o 3 presupuestos a expertos senior independientes o boutique que estén certificados. Confirmen que el informe se redacte según metodologías reconocidas internacionalmente.

Para un contrato que va a generar 52.000 GBP al año, un coste de prueba de unas 3.000 GBP es totalmente asumible como coste de adquisición. Además, una vez tengan este informe, se lo podrán presentar como prueba de confianza a los demás clientes corporativos con los que se sienten a negociar en los próximos 12 meses.

¿Qué pasa si durante la prueba se encuentra alguna vulnerabilidad y no podemos solucionarla de inmediato? ¿La empresa de seguidad le envía el informe directamente al cliente o nos lo da a nosotros primero?

Corrección: recordaba mal la cifra, era un poco más baja.

El flujo estándar del proceso consta de 4 pasos: 1) Definición del alcance y firma del acuerdo de confidencialidad, 2) Simulación de ataque en un entorno de pruebas (servidor clonado sin datos reales), 3) Entrega a su equipo del informe preliminar con la lista de vulnerabilidades y corrección de las mismas, 4) Verificación de los arreglos y elaboración del informe final limpio para entregar a la entidad.

Os cuento lo que me pasó a mí a ver si os sirve de ayuda. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Comprobado por experiencia.

¿Y cómo resolvieron esto? Si no lo pones por escrito desde el principio, luego surgen discusiones.

Antes de decidir, mirad qué datos tenéis en la mano. Eso es todo, disculpa si me he extendido demasiado.

Creo que es difícil hablar con tanta claridad sobre ejemplo prueba de penetracion pentest. Si regañas las falsas alarmas, nadie volverá a reportar.

Yo seguiría por ese camino.

Tomo nota, gracias.

Yo también tengo curiosidad. Si decidimos sin medir, siempre acabamos en el mismo punto.

La seguridad no es absoluta; significa hacer que el ataque no merezca la pena. También me gustaría saber si alguien lo hace de otra manera.

Gracias por escribir. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Todos los que se apresuran con ejemplo prueba de penetracion pentest se atascan en el mismo punto. Comprobado por experiencia.

Estoy de acuerdo a medias, en parte no. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Por supuesto, cambia si tu situación es diferente.

Voy a contar mi experiencia. Todos los que se apresuran con ejemplo prueba de penetracion pentest se atascan en el mismo punto.

Esta es mi opinión, no lo escribo como una verdad absoluta.

De acuerdo, incluso me gustaría recalcarlo. La respuesta varía mucho según el sector, no hay una regla general.

Por supuesto, cambia si tu situación es diferente.

Buen trabajo.

La respuesta de arriba ha dado en el clavo. Al tomar decisiones, escribe también el peor escenario no solo el mejor.

Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan. Comprobado por experiencia.