Conclusiones
Entendiendo el Hacking Ético y las Pruebas de Penetración
Este tema cubre el hacking ético y las pruebas de penetración, explicando que un hacker ético es alguien que utiliza las mismas herramientas que los hackers no éticos para encontrar vulnerabilidades en la infraestructura de una red o sistema, pero informa de sus hallazgos al proveedor o cliente para ayudar a que el sistema sea más seguro. El propósito de las pruebas de penetración es identificar posibles vías de compromiso antes de que lo hagan los atacantes malintencionados. Es importante evaluar y probar la eficacia de las técnicas defensivas utilizadas para asegurar y defender las redes y los sistemas, y aquí es donde entran en juego las pruebas de penetración. El tema también describe diferentes tipos de actores de amenazas, incluidos el crimen organizado, los hacktivistas, los atacantes patrocinados por el estado y las amenazas internas.
Explorando las metodologías de pruebas de penetración
En este tema se analiza la importancia de usar una metodología para las pruebas de penetración con el fin de evitar la corrupción del alcance y se proporciona documentación de un procedimiento especializado que muchas organizaciones han utilizado con éxito para probar sus infraestructuras de red y datos. También enumera diferentes tipos de pruebas de penetración, incluidas las pruebas de infraestructura de red, las pruebas basadas en aplicaciones y las pruebas de penetración en la nube. En el tema se explican con más detalle las diferentes perspectivas desde las que se realizan las pruebas, incluidas las pruebas de entorno desconocido, las pruebas de entorno conocido y las pruebas de entorno parcialmente conocidas. Por último, el tema proporciona una descripción general de varias metodologías de pruebas de penetración, incluidas MITRE ATT&CK, OWASP WSTG, NIST SP 800-115, OSSTMM, PTES e ISSAF.
Construyendo tu propio laboratorio
En este tema se analiza la importancia de un entorno de laboratorio adecuado para las pruebas de penetración y los diferentes tipos de herramientas que se utilizan en el proceso de pruebas. Enfatiza la necesidad de probar las herramientas y técnicas en un entorno de laboratorio antes de ejecutarlas contra una red de clientes para evitar romper nada. Se analizan los requisitos para un laboratorio de pruebas de penetración típico, incluida una red cerrada, un entorno informático virtualizado, un entorno realista, supervisión del estado, recursos de hardware suficientes, múltiples sistemas operativos, herramientas duplicadas y objetivos de práctica. Los tipos de herramientas utilizadas en las pruebas de penetración dependen del tipo de pruebas que se realicen, como las herramientas basadas en infraestructura de red, las herramientas de prueba de aplicaciones web, las herramientas de análisis de vulnerabilidades automatizadas y las herramientas de prueba de aplicaciones móviles. Es importante tener un método de recuperación en caso de que algo se rompa durante las pruebas.
