Evaluaciones de vulnerabilidad y pruebas de penetración

Las evaluaciones de vulnerabilidad y las pruebas de penetración son técnicas utilizadas por los equipos de seguridad de TI para identificar y resolver problemas de seguridad en las redes, infraestructura, aplicaciones y otras áreas de TI de una organización. Aunque ambas técnicas comparten un objetivo común, sus métodos y enfoques difieren:

1. Evaluaciones de Vulnerabilidad:

   • Utilizan un enfoque amplio para identificar fallas y vulnerabilidades en toda la empresa.
   • Escanean una lista de riesgos conocidos, proporcionada a través de una base de datos de vulnerabilidades como CVE Details.
   • Se ejecutan automáticamente y de forma programada.
   • Priorizan las vulnerabilidades según la gravedad, urgencia y facilidad de reparación.
   • Proporcionan sugerencias para corregir las fallas identificadas.
   • Se centran en la identificación confiable de los riesgos y la corrección de fallas de TI en toda la empresa.

2. Pruebas de Penetración:

   • Utilizan un enfoque específico para intentar romper las defensas de TI.
   • Simulan un ataque de la vida real por hackers y otros malos actores.
   • Intentan obtener acceso a sistemas críticos e información sensible.
   • Se adaptan según la resistencia y buscan nuevos vectores de ataque.
   • No están tan preocupadas con vulnerabilidades específicas previamente identificadas.
   • Utilizan una variedad de software, hacks, scripts y otros métodos para penetrar las defensas.

Los análisis de vulnerabilidades pueden ser ejecutados de forma automática o manual, generalmente se ejecutan de forma automática y no buscan acceder a la información de los servicios evaluados. Por otro lado, las pruebas de penetración y ataque generalmente se ejecutan de forma manual por personal especializado llamado hackers éticos, estos hackers buscan ingresar a los servicios para identificar sus vulnerabilidades, documentan sus hallazgos y requieren de un proceso de autorización en las organizaciones debido a que pueden llegar a develar información sensible durante su análisis.

Generalmente los análisis de vulnerabilidades se pueden hacer varias veces en el año por personal interno, mientras que las pruebas de penetración y ataque se recomienda que se realicen al menos una vez al año por medio de un proveedor especializado en este tipo de ejercicios.

Algunos de los software más conocidos para realizar análisis de vulnerabilidades son: Qualys VMDR: Vulnerability Management Tool | Qualys, Tenable Nessus y InsightVM Vulnerability Management Tool - Rapid7. Por otro lado, realizar ejercicios de penetración y ataque requiere conocimientos técnicos que se pueden adquirir por medio de diversas certificaciones, entre ellas: Certified Ethical Hacker (CEH), PenTest+ (Plus) Certification | CompTIA y Certified Penetration Testing (CPENT) EC Council.

Te recomiendo profundizar con el siguiente artículo: ¿Cuál es la diferencia de un hacker ético a un ciberdelincuente?

Fuentes:

• Pruebas de Penetración y Análisis de Vulnerabilidades Entendiendo las Diferencias (consejosi.org)
• CVE security vulnerability database. Security vulnerabilities, exploits, references and more (cvedetails.com)
• 6 Best Vulnerability Management Software & Systems in 2024 (esecurityplanet.com)
• Penetration Testing Certification: Top 8 to Earn in 2024 (hackr.io)