Consejos para las pruebas de penetración

Para obtener el máximo valor de una prueba de penetración, la organización de pruebas debe recibir tantos detalles como sea posible. Estas organizaciones también firmarán acuerdos de confidencialidad para que usted pueda sentirse más seguro acerca de las políticas, los procedimientos y otra información clave sobre la red.

También determine qué sistemas necesitan pruebas. Si bien no quiere perderse sistemas potencialmente comprometidos, es posible que desee subcontratar las pruebas de penetración en etapas para que cada etapa pueda centrarse en una parte diferente de la red.

También debe desarrollar estándares de prueba, de modo que los probadores de penetración puedan detectar vulnerabilidades y realizar pruebas, pero no deben usarlos porque esto puede comprometer el sistema que está tratando de proteger.

Además, también es necesario proporcionar canales de prueba adecuados. Si desea probar un sistema en la Zona Desmilitarizada (DMZ), el mejor lugar para probarlo es en el mismo segmento de red. Hacer que los probadores de penetración prueben fuera del firewall puede parecer más práctico, pero las pruebas internas pueden aumentar en gran medida la probabilidad de descubrir vulnerabilidades de seguridad del servidor ocultas dentro del firewall. Porque, una vez que se cambia la configuración del firewall, estas vulnerabilidades pueden quedar expuestas o alguien puede usar el servidor DMZ para atacar a otros servidores a través de las vulnerabilidades. ¿Recuerdas el virus Nimda? Después del primer ataque exitoso, utiliza el servidor web para lanzar otros ataques.

Tomemos como ejemplo un servidor web o de aplicaciones que requiere acceso externo. Si sus pruebas involucran estos scripts o programas, debería considerar compartir el código fuente de estas aplicaciones con sus evaluadores de penetración. Sin código fuente, es difícil probar un script ASP o CGI, y no es prudente suponer que un atacante no puede ver el código fuente en absoluto. Las vulnerabilidades en el software del servidor web a menudo exponen scripts y aplicaciones a atacantes remotos. Si el código fuente de la aplicación está disponible, puede aumentar la eficiencia de las pruebas de la aplicación. Después de todo, usted paga a los probadores de penetración para que encuentren vulnerabilidades, no para que pierdan el tiempo.