LecturaQué es pentesting, ética y alcance
Un pentest, o prueba de penetración (del inglés penetration test), es un ejercicio autorizado en el que un profesional simula las acciones de un atacante para encontrar debilidades en un sistema antes de que alguien malintencionado las aproveche. Lo que separa a un pentester de un delincuente no son las herramientas ni las técnicas, que son casi idénticas, sino el permiso explícito y el objetivo de mejorar la seguridad.
Qué es y qué no es
Un pentest responde a una pregunta del cliente: "si alguien quisiera hacernos daño, ¿hasta dónde llegaría?". No es hacking "a lo loco": es metódico y documentado, y su valor está en el reporte final, no en haber "entrado".
| Actividad | Qué hace | Diferencia con un pentest |
|---|---|---|
| Escaneo de vulnerabilidades | Herramienta automática que lista posibles fallas | No las confirma ni mide su impacto real |
| Pentest | Persona que confirma y demuestra fallas dentro de un alcance | Lo que estudia este curso |
| Red team | Simula un adversario completo durante semanas | Mide la detección y la respuesta |
Breve historia
| Año | Hito |
|---|---|
| Fines de los 60 | El gobierno de Estados Unidos forma tiger teams, equipos que intentan entrar a sus propios sistemas |
| 1972 | El informe de James P. Anderson para la Fuerza Aérea de EE. UU. describe los pasos de una penetración |
| 1993 | Dan Farmer y Wietse Venema publican "Improving the Security of Your Site by Breaking Into It" |
| 1997 | Gordon Lyon publica nmap en la revista Phrack |
| 2001 | Nace OWASP, la comunidad abierta de seguridad de aplicaciones web |
| 2003 | H. D. Moore crea Metasploit |
| 2013 | Aparece Kali Linux, sucesora de BackTrack |
Por qué importa
- Para las organizaciones: un pentest encuentra fallas reales antes que un atacante y prioriza qué arreglar primero. Normas como PCI DSS, que rige a quien procesa tarjetas de pago, exigen pruebas de penetración periódicas.
- Para el defensor: entender cómo se ataca le ayuda a configurar mejor, detectar y explicar el riesgo con evidencia.
- Para su carrera: lo piden los roles de pentester, analista de vulnerabilidades, red teamer y consultor; hay certificaciones prácticas que lo evalúan en laboratorio.
Dónde se usa
| Ámbito | Qué se prueba |
|---|---|
| Red externa | Lo que la organización expone a internet: web, VPN, correo |
| Red interna | Lo que alcanzaría un empleado o un equipo infectado |
| Aplicaciones web y API | Inyección, control de acceso, autenticación |
| Nube | Permisos, almacenamiento expuesto, configuraciones |
| Ingeniería social | Correos de phishing simulados, siempre con autorización expresa |
Tipos de pentest según el conocimiento previo
| Tipo | Qué sabe el pentester | Se parece a |
|---|---|---|
| Caja negra | Nada, solo el nombre o la IP objetivo | Un atacante externo real |
| Caja gris | Credenciales de usuario básico, algo de información | Un empleado o cliente malicioso |
| Caja blanca | Acceso total: código, diagramas, credenciales admin | Una auditoría interna completa |
Alcance (scope): el límite que no se cruza
Antes de tocar una sola tecla se define el alcance: qué sistemas, IPs, dominios y horarios están incluidos y cuáles quedan fuera. Por ejemplo, dentro: app.ejemplo.cr y 203.0.113.0/24; fuera: el proveedor de correo y cualquier denegación de servicio. Salirse del alcance es una falta grave: si ve un riesgo fuera de él, lo reporta y pide autorización.
Marco ético y legal
- Autorización escrita: el permiso formal, firmado por alguien con autoridad para darlo.
- Acuerdo de confidencialidad (NDA): lo que encuentra no sale del cliente.
- Reglas de enfrentamiento (rules of engagement): horarios, contactos y qué hacer si algo se rompe.
En Costa Rica, la Ley 9048 de 2012 reformó el Código Penal para tipificar los delitos informáticos: acceder sin autorización a datos o comunicaciones ajenas, o alterar y sabotear sistemas, puede ser delito aunque no se robe nada. La autorización es su única protección.
Conceptos clave
| Concepto | Qué significa |
|---|---|
| Vulnerabilidad | Debilidad en un sistema que alguien podría aprovechar |
| Exploit | Técnica o código que aprovecha una vulnerabilidad concreta |
| Payload | Lo que se ejecuta después de explotar, por ejemplo una terminal remota |
| CVE | Common Vulnerabilities and Exposures: identificador público de una vulnerabilidad, como CVE-2011-2523 |
| CVSS | Puntaje de 0 a 10 que mide la gravedad de una vulnerabilidad |
| Superficie de ataque | Todo lo que un atacante puede alcanzar: puertos, servicios, formularios, personas |
| Prueba de concepto (PoC) | Demostración mínima de la falla, sin causar daño |
| Falso positivo | Una herramienta reporta una falla que en realidad no existe |
Cómo leer las sintaxis de este curso
En las sintaxis, los corchetes indican algo opcional, las MAYÚSCULAS lo que usted reemplaza y los tres puntos algo que se puede repetir:
nmap [OPCIONES] OBJETIVO...Para pedir ayuda use man herramienta (manual completo; salga con q) o herramienta --help.