¿POR QUÉ REALIZAR UNA EVALUACIÓN DE VULNERABILIDADES (VAPT)?
- Es importante para la ciberseguridad del negocio. (Definición de ciberseguridad)
- El proceso de localización y notificación de las vulnerabilidades, que proporciona una manera de detectar y resolver los problemas de seguridad mediante la clasificación de las vulnerabilidades antes de que alguien o algo pueda explotarlas.
- En este proceso se escanean los sistemas operativos, el software de aplicación y la red con el fin de identificar la aparición de vulnerabilidades, que incluyen el diseño inadecuado del software, la autenticación insegura, etc.
PROCESO DE EVALUACIÓN DE LA VULNERABILIDAD
- PRUEBAS DE CAJA NEGRA (Black Box Testing): Pruebas desde una red externa sin conocimiento previo de la red y los sistemas internos.
- PRUEBAS DE CAJA GRIS (Grey Box Testing): Pruebas desde redes externas o internas con el conocimiento de la red y el sistema interno. Es la combinación de las pruebas de caja negra y de caja blanca.
- PRUEBAS DE CAJA BLANCA (White Box Testing): Pruebas dentro de la red interna con el conocimiento de la red interna y el sistema. También se conoce como prueba interna.
PASO 4 -> DETECCIÓN DE VULNERABILIDAD: En este proceso, los escáneres de vulnerabilidad se utilizan para escanear el entorno de TI e identificar las vulnerabilidades.
PASO 5 -> ANÁLISIS Y PLANIFICACIÓN DE LA INFORMACIÓN: Se analizan las vulnerabilidades identificadas para elaborar un plan de penetración en la red y los sistemas.
¿CÓMO HACER UNA EVALUACIÓN DE VULNERABILIDADES?
PASO 1 -> CONFIGURACIÓN:
- Comenzar la documentación
- Asegurar los permisos
- Actualizar las herramientas
- Configurar las herramientas
PASO 2 -> EJECUCIÓN DE LA PRUEBA:
- Ejecutar las herramientas
- Ejecute el paquete de datos capturado (Un paquete es la unidad de datos que se encamina entre un origen y un destino). Cuando cualquier archivo, por ejemplo, un mensaje de correo electrónico, un archivo HTML o una solicitud de URL entre otros, se envía de un lugar a otro en Internet, la capa TCP de TCP/IP divide el archivo en una serie de «trozos» para un enrutamiento eficiente, y cada uno de estos trozos tendrá una numeración única e incluirá la dirección de Internet del destino. Estos trozos se denominan paquetes. Cuando lleguen todos los paquetes, la capa TCP los reensamblará en el archivo original en el extremo receptor mientras se ejecutan las herramientas de evaluación.
PASO 3 -> ANÁLISIS DE VULNERABILIDAD:
- Definir y clasificar los recursos de la red o del sistema.
- Asignación de prioridad a los recursos (por ejemplo, alta, media o baja).
- Identificar las amenazas potenciales para cada recurso.
- Desarrollar una estrategia para tratar primero los problemas más prioritarios.
- Definir e implementar formas de minimizar las consecuencias si se produce un ataque.
PASO 4 -> ELABORACIÓN DE INFORMES
PASO 5 -> REMEDIACIÓN:
- El proceso de corrección de las vulnerabilidades.
- Se realiza para cada vulnerabilidad
TIPOS DE ESCÁNER DE VULNERABILIDADES
BASADOS EN EL HOST
Identifica los problemas en el host o en el sistema.
- El proceso se lleva a cabo utilizando escáneres basados en el host y diagnosticando las vulnerabilidades.
- Las herramientas basadas en el host cargarán un software mediador en el sistema objetivo; rastreará el evento e informará al analista de seguridad.
BASADO EN LA RED
- Detectará el puerto abierto e identificará los servicios desconocidos que se ejecutan en estos puertos. A continuación, revelará las posibles vulnerabilidades asociadas a estos servicios.
- Este proceso se realiza mediante el uso de escáneres basados en la red.
BASADO EN LA BASE DE DATOS
- Identificará la exposición a la seguridad en los sistemas de bases de datos utilizando herramientas y técnicas para prevenir las inyecciones SQL.
VENTAJAS DE REALIZAR UNA PRUEBA
- Existen herramientas de código abierto.
- Identifica casi todas las vulnerabilidades
- Automatizado para el escaneo.
- Fácil de ejecutar de forma regular.
DESVENTAJAS DE REALIZAR UNA PRUEBA VAP
- Alta tasa de falsos positivos
- Puede ser fácilmente detectado por el sistema de detección Firewall.
- A menudo no se detectan las últimas vulnerabilidades.
MÉTODOS DE PRUEBAS DE VULNERABILIDAD
PRUEBAS ACTIVAS
- En las pruebas inactivas, el probador introduce nuevos datos de prueba y analiza los resultados.
- Durante el proceso de prueba, los probadores crean un modelo mental del proceso, que crecerá aún más durante la interacción con el software durante la prueba.
- Mientras realiza la prueba, el probador participará activamente en el proceso de descubrir nuevos casos de prueba y nuevas ideas. Si su empresa tiene un security operations center, le puede ayudar a realizar este tipo de procesos en su organización.
PRUEBAS PASIVAS
La prueba pasiva consiste en supervisar el resultado de la ejecución del software sometido sin introducir nuevos datos.
PRUEBAS DE RED
- Las pruebas de red son el proceso de medición y registro del estado actual del funcionamiento de la red durante un periodo de tiempo.
- Las pruebas se realizan principalmente para predecir el funcionamiento de la red bajo carga o para averiguar los problemas creados por los nuevos servicios.
- Es necesario probar las siguientes características de la red.
- Niveles de utilización.
- Número de usuarios.
- Utilización de aplicaciones.
PRUEBAS DISTRIBUIDAS
- Las Pruebas Distribuidas se aplican para probar aplicaciones distribuidas, es decir, las aplicaciones que están trabajando con múltiples clientes simultáneamente. Básicamente, probar una aplicación distribuida significa probar sus partes cliente y servidor por separado, pero utilizando un método de pruebas distribuidas, podemos probarlas todas juntas.
- Las partes de prueba interactuarán entre sí durante la ejecución de la prueba. Esto hace que se sincronicen de forma adecuada. La sincronización es uno de los puntos más cruciales en las pruebas distribuidas.
En la ingeniería de software, las pruebas de vulnerabilidades (VAPT) dependen de dos mecanismos: la evaluación de la vulnerabilidad y las pruebas de penetración. Ambas pruebas difieren entre sí en cuanto a la fuerza y las tareas que realizan. Sin embargo, para lograr un informe completo sobre las pruebas de vulnerabilidad, se recomienda la combinación de ambos procedimientos.
