Auditoría de Seguridad - Hacking Ético
Enfoques para realizar una auditoría de seguridad
Dependiendo de sus necesidades, una revisión de seguridad puede hacerse con un enfoque de auditoría de seguridad o de test de intrusión.
En muchas ocasiones estos términos se usa de forma análoga, aunque una auditoría de seguridad se centra en identificar y analizar el impacto teórico de vulnerabilidades sobre un sistema, mientras que un test de intrusión es algo más completo e incluye la verificación, sobre el sistema afectado, del impacto real de las vulnerabilidades detectadas.
Se hace uso de métricas de seguridad como CVSS para clasificar el impacto de las vulnerabilidades y realiza las auditorías siguiendo dos puntos de vista diferentes:
Auditoría de seguridad de caja negra
Se denomina “caja negra” a la auditoría de seguridad, o test de intrusión, en la que el auditor no posee conocimientos de la infraestructura tecnológica subyacente.
Esta revisión de seguridad es ideal para simular ataques realizados por parte de personal externo a la organización y conocer el nivel de exposición a un ataque. En este tipo de revisión de seguridad el equipo de auditores tampoco disponen a priori de usuarios con los que interactuar con las aplicaciones a analizar.
El equipo de analistas deberá recopilar en este tipo de trabajo información sobre la plataforma, para plantear los escenarios de ataque más plausibles.
Auditoría de seguridad de caja blanca
Es una auditoría de seguridad más exahustiva. En ella, se facilita información técnica sobre los activos a auditar incluyendo, según los activos analizados, información tal como usuarios, contraseñas y mecanismos de seguridad existentes.
Con este enfoque el auditor no necesita dedicar un esfuerzo extra a la búsqueda de información y permite focalizar los esfuerzos en aquellos elementos que son críticos para su negocio.
Esta revisión es complementaria con una revisión de seguridad de caja negra. El objetivo de esta revisión es blindar una plataforma frente a ataques más sofisticados, frente a un atacante que dispone de mayores recursos o dotar a la plataforma de una mayor protección debido a la criticidad de la información que gestiona.
Las auditorías de seguridad informática que realiza el equipo de especialistas de ciberseguridad son llevadas a cabo en distintas modalidades: proyecto cerrado, bolsa de horas y servicios recurrentes.
Algunos de los tipos de auditorías de seguridad más habituales son los siguientes:
- Auditoría web: Su objetivo es lograr la protección de portales y aplicaciones web simulando ataques reales. La auditoría de aplicaciones Web también analiza vulnerabilidades en la infraestructura (Microsoft IIS, Apache, Websphere,nginx,..), vulnerabilidades asociadas a la tecnología utilizada (.NET, PHP, Java, Python…) y vulnerabilidades asociadas a la lógica de la aplicación.
- Auditoría eCommerce: Mejora la confidencialidad y disponibilidad de la plataforma ecommerce y ayuda a reducir el riesgo de fraude y los datos de pago (PCIDSS).
- Test de intrusión interno: Identificación de debilidades y vías de acceso a información confidencial dentro de los sistemas de la compañía. Este trabajo de test de intrusión ayuda a identificar áreas de mejora en la seguridad del directorio activo y servidores internos.
- Revisión de seguridad perimetral: Análisis del perímetro externo de la organización, analizando los servicios expuestos (Portales web,correo, DNS…) y las aplicaciones.
- Auditoría WiFi: Revisión del despliegue y de la seguridad de la infraestructura WiFi en redes enterprise y portales cautivos. Análisis de cobertura y triangulación de dispositivos y puntos de acceso.
- Auditoría de plataformas Microsoft Windows: Análisis de la infraestructura de directorio activo, políticas de seguridad, configuración de servidores y puestos de trabajo, así como elaboración de guías de configuración segura.
- Sistemas linux y Unix: Estudio de los mecanismos de seguridad implementados en los sistemas, debilidades y aspectos de mejora.
- Hardware hacking: Auditoría de seguridad de dispositivos hardware (routers de comunicaciones, cablemodems, dispositivos embebidos, alarmas, dispositivos IOT,..).
- Auditoría de app móvil: Pruebas de seguridad sobre aplicaciones móviles Android e IOS y auditoría de código de la aplicación móvil para analizar el almacenamiento, transmisión y procesamiento de datos por parte de las aplicaciones.