1

Pentesting

Michelle Lozano Bello

El pentesting, abreviatura de pruebas de penetración, es una evaluación de

ABSTRACT. seguridad proactiva y autorizada realizada en sistemas informáticos, redes y
aplicaciones. El objetivo de las pruebas de penetración es identificar
Penetration testing, often abbreviated as pentesting, is a proactive and vulnerabilidades y debilidades de seguridad que podrían ser explotadas por
authorized security assessment conducted on computer systems, atacantes.
networks, and applications. The goal of a penetration test is to
identify vulnerabilities and security weaknesses that could potentially Es importante tener en cuenta que las pruebas de penetración siempre deben
be exploited by attackers. realizarse con la debida autorización de la organización que está siendo evaluada
para garantizar la legalidad y los límites éticos. Las pruebas no autorizadas son
ilegales y pueden llevar a graves consecuencias legales.
It is important to note that penetration testing should always be
conducted with proper authorization from the organization being
tested to ensure legality and ethical boundaries. Unauthorized testing OBJETIVO
is illegal and can lead to severe legal consequences..
El objetivo principal del pentesting, o pruebas de penetración, es evaluar la
seguridad de un sistema, red o aplicación al simular ataques reales y descubrir
Palabras clave: Pentesting, penetración, seguridad, hacker, vulnerabilidades que podrían ser aprovechadas por atacantes malintencionados.
vulnerabilidad. Estas pruebas se llevan a cabo con el fin de:

Identificar vulnerabilidades: El pentesting tiene como objetivo principal

I. INTRODUCCIÓN descubrir vulnerabilidades en el sistema objetivo. Esto incluye identificar
brechas de seguridad en la configuración, debilidades en el software, deficiencias
El pentesting, también conocido como pruebas de penetración, es un en la implementación de controles de seguridad, entre otros aspectos.
proceso de evaluación de seguridad que busca identificar las
vulnerabilidades presentes en un sistema informático. A través de la Evaluar la efectividad de las defensas: El pentesting permite evaluar la eficacia
simulación de ataques reales, los expertos en seguridad buscan de las defensas y controles de seguridad implementados por una organización. Al
descubrir debilidades en la infraestructura, los protocolos de simular ataques, se puede determinar si las medidas de seguridad existentes son
comunicación, las aplicaciones y otras áreas vulnerables de una suficientes para proteger el sistema y cómo podrían ser mejoradas.
organización.
Medir el riesgo potencial: Al descubrir y explotar vulnerabilidades, el pentesting
proporciona una evaluación realista del riesgo potencial al que está expuesta una
La importancia de la ciberseguridad en el pentesting juega un papel de organización. Esto ayuda a priorizar los problemas de seguridad más críticos y
gran importancia, ya que es una discicplina que diseña e impulse a tomar medidas correctivas basadas en la gravedad y el impacto de las
los atacantes en vulnerabilidades identificadas.

Validar el cumplimiento normativo: El pentesting también puede ayudar a

verificar si una organización cumple con los requisitos de seguridad establecidos
por regulaciones y estándares de la industria. Esto puede incluir estándares como
PCI-DSS para el procesamiento de tarjetas de crédito, HIPAA para la protección
de datos médicos o GDPR para la privacidad de datos personales.

En general, el objetivo del pentesting es mejorar la seguridad general de una

organización al identificar y remediar las vulnerabilidades antes de que sean
explotadas por atacantes malintencionados. Esto ayuda a proteger los activos de
la organización, garantizar la confidencialidad y la integridad de la información,
y mantener la confianza de los clientes y socios comerciales.

PENTESTING.

Al realizar pruebas de penetración o pentesting, hay varios aspectos

importantes a tener en cuenta para garantizar su efectividad y seguridad. A
continuación se presentan algunos de los aspectos más relevantes:

Autorización y consentimiento: Es fundamental obtener la autorización y el

consentimiento por escrito de la organización propietaria del sistema o red que
será evaluado. Esto asegura que el pentesting se realice de manera legal y
ética, evitando cualquier implicación legal o interrupción no deseada de los
servicios.

Alcance y objetivos claros: Definir claramente el alcance y los
objetivos del pentesting es esencial. Esto implica determinar qué
sistemas, redes o aplicaciones se evaluarán, así como los límites y
restricciones de las pruebas. Establecer objetivos específicos ayuda a
enfocar y orientar el proceso de pentesting.
Uso de metodologías y marcos reconocidos: Utilizar metodologías y
marcos de trabajo reconocidos en el campo del pentesting, como el
estándar OWASP Testing Guide o el Open Source Security Testing
Methodology Manual (OSSTMM), puede ayudar a garantizar un
enfoque estructurado y completo durante las pruebas.
Recopilación de información adecuada: Antes de iniciar las pruebas, es
importante recopilar información relevante sobre el sistema objetivo.
Esto incluye detalles de la infraestructura, tecnologías utilizadas,
direcciones IP, nombres de host, servicios y cualquier otra información
que pueda ser útil durante el proceso de pentesting.
Técnicas de pruebas variadas: Utilizar una variedad de técnicas de
pruebas es importante para evaluar diferentes aspectos de seguridad.
Esto puede incluir escaneo de puertos, análisis de vulnerabilidades,
explotación de brechas de seguridad, ingeniería social y pruebas de
acceso físico, según sea aplicable.
Documentación detallada de hallazgos: Registrar y documentar todos
los hallazgos y resultados del pentesting de manera clara y detallada
es esencial. Esto incluye describir las vulnerabilidades encontradas,
los métodos utilizados para explotarlas, los posibles impactos y las
recomendaciones para su mitigación.
Protección de datos sensibles: Durante el pentesting, es importante
tener precauciones adecuadas para proteger la confidencialidad de los
datos sensibles que puedan ser accesibles o descubiertos durante el
proceso. Esto implica utilizar medidas de seguridad adecuadas para
evitar fugas o exposición no autorizada de información confidencial.
Colaboración con el equipo de seguridad interna: Trabajar en estrecha
colaboración con el equipo de seguridad interna de la organización
puede ayudar a facilitar el proceso de pentesting. El intercambio de
información, la comunicación constante y la colaboración activa
ayudan a garantizar una evaluación efectiva y una respuesta adecuada
a los hallazgos de seguridad.
Estos aspectos son fundamentales para llevar a cabo un pentesting
exitoso y efectivo, y deben tenerse en cuenta en cada etapa del
proceso, desde la planificación hasta la presentación de informes y la
implementación de medidas correctivas..
1. NMAP
Es una herramienta de escaneo de redes que permite identificar qué
servicios se están ejecutando en un dispositivo remoto, así como la
identificación de equipos activos, sistemas operativos en el equipo
remoto, existencia de filtros o firewalls, entre otros.
Cuando se va a atacar un servidor o dispositivo, el atacante podrá
realizar distintas arremetidas en función del servicio: no es lo mismo
dañar un servidor web, un servidor de base de datos o un router
2
perimetral. En cualquier despliegue, el primer paso será identificar los servicios
en la infraestructura, para decidir cómo avanzar y, considerando que en una
prueba de penetración se “imitan” los pasos de un atacante, también se iniciará
de la misma manera.
Existen algunas interfaces gráficas donde se debe indicar cuál será el o los
objetivos y la serie de parámetros que afectarán la forma determinada.
El pentesting, o pruebas de penetración, es de suma importancia en el ámbito
de la seguridad informática por diversas razones:
Identificación de vulnerabilidades: El pentesting permite identificar
vulnerabilidades y debilidades en los sistemas, redes y aplicaciones de una
organización. Esto ayuda a detectar y corregir posibles puntos de acceso para
los atacantes antes de que puedan ser explotados.
Evaluación de la postura de seguridad: A través del pentesting, se puede
evaluar la efectividad de las medidas de seguridad implementadas por una
organización. Esto incluye la revisión de controles, políticas y procedimientos
de seguridad para asegurar su adecuación y eficacia.
Mejora continua: El pentesting proporciona una oportunidad para mejorar
continuamente la seguridad de una organización. Al identificar y remediar las
vulnerabilidades descubiertas durante las pruebas, se fortalecen las defensas y
se minimiza el riesgo de ataques exitosos.
Protección de activos y datos: El pentesting ayuda a proteger los activos y
datos de una organización. Al identificar y corregir vulnerabilidades, se evita
el acceso no autorizado a información confidencial, se previenen pérdidas
financieras y se salvaguarda la reputación de la empresa.
Cumplimiento normativo: Muchas regulaciones y estándares de la industria
requieren pruebas de seguridad periódicas, como parte de los requisitos de
cumplimiento. El pentesting ayuda a asegurar que una organización cumpla
con estas obligaciones y demuestre su compromiso con la seguridad de la
información.
Concientización y educación en seguridad: El pentesting puede ser una
herramienta educativa para concienciar al personal sobre los riesgos de
seguridad y fomentar buenas prácticas en el manejo de la información. Las
pruebas de penetración pueden destacar las áreas donde se requiere una mayor
atención y capacitación.
Respuesta efectiva a incidentes: Al identificar las vulnerabilidades antes de un
ataque real, el pentesting permite a una organización estar preparada para
responder de manera más efectiva a incidentes de seguridad. Se pueden
establecer planes de respuesta y mitigación adecuados para minimizar el
impacto de un ataque.
En resumen, el pentesting es crucial para garantizar la seguridad de los
sistemas y redes de una organización. Proporciona una evaluación realista de la
postura de seguridad, identifica y corrige vulnerabilidades, y ayuda a proteger
los activos y datos de la empresa. Mediante la mejora continua, el pentesting
contribuye a mantener una postura de seguridad sólida y a cumplir con los
estándares y regulaciones aplicables.

El pentesting y la seguridad informática están estrechamente
relacionados. El pentesting es una actividad clave dentro del campo
de la seguridad informática y se utiliza como una medida proactiva
para identificar vulnerabilidades y evaluar la efectividad de las
defensas de seguridad.
El objetivo principal del pentesting es evaluar la seguridad de los
sistemas, redes y aplicaciones simulando ataques reales. Al llevar a
cabo pruebas de penetración, los profesionales de seguridad pueden
descubrir y explotar vulnerabilidades, lo que les permite comprender
la postura de seguridad de una organización y tomar medidas para
mitigar los riesgos identificados.
El pentesting es una parte integral de un programa de seguridad
informática completo, ya que proporciona información valiosa sobre
las vulnerabilidades y debilidades existentes en una infraestructura.
Estos hallazgos permiten a las organizaciones tomar decisiones
informadas para mejorar su seguridad, implementando controles y
medidas de mitigación adecuadas.
3
ejecuten las pruebas y los resultados que se obtienen. Puede
instalarse tanto en Linux, Windows, Mac u otros sistemas
operativos.
2. NESSUS
Nessus posee una extensa base de datos de vulnerabilidades
conocidas en distintos servicios y, por cada una de éstas, posee
plugins que se ejecutan para identificar si la vulnerabilidad existe (o
no) en determinado equipo objetivo. En resumen, al ejecutarse
Nessus sin parámetros específicos, se probarán miles de
vulnerabilidades y se obtendrá como resultado un listado de las
vulnerabilidades que fueron identificadas.
Hay que indicar el objetivo, en este caso la o las direcciones IP y los
parámetros. Estos permiten limitar el campo de búsqueda,
especialmente si en una etapa anterior se identificaron los servicios:
no tiene sentido buscar vulnerabilidades conocidas en Linux en un
equipo que tiene instalado Windows.
3. METASPLOIT FRAMEWORK.
Una vez identificados los servicios y sus vulnerabilidades,
el paso siguiente sería la explotación de las
vulnerabilidades. Es decir, primero se tiene que probar si
realmente las vulnerabilidades identificadas permiten a un
atacante causar algún daño.
 4

Asimismo, si se logra explotar la vulnerabilidad, podría

comprobarse y dimensionar cuál podría ser el daño hacia la
organización, en función de la información o sistemas que
estuvieran “detrás” de dichavulnerabilidad.

Metasploit posee una base de exploits que podrían

aprovecharlas. En otras palabras, en lugar de revisar si hay
una vulnerabilidad en un equipo remoto, directamente se
intenta la ejecución de un exploit y se simulan las
consecuencias posteriores, en caso de que éste se ejecutara
con éxito.

4. DVL – DVWA
Para probar las tres herramientas anteriores, es necesario definir un
sistema objetivo, un sistema en el que se harán las pruebas. Una
costumbre de quienes inician en este ámbito es realizar sus primeros
pasos y pruebas en sistemas públicos de Internet, en un entorno real.
Esto podría acarrear problemas legales y no es la forma correcta (ni
ética) de realizarlo.
También es posible “construir” nuestro propio sistema de pruebas:
tan solo instala cualquier sistema operativo (desactiva las
actualizaciones o instala una versión antigua) y sobre él comienza a
instalar servicios en versiones anteriores a la última. De esta forma,
tendrás tu propio sistema vulnerable para hacer pruebas. Este entorno
es el correcto para dar tus primeros pasos en Penetration Testing.

existen dos herramientas excelentes: Damn Vulnerable Linuxy

(DVL) y Damn Vulnerable Web Application (DVWA). Aunque el
primero está descontinuado, aún se puede conseguir en Internet para
hacer los primeros pasos y primeras pruebas. Se trata de un sistema
operativo y una aplicación web que poseen todo tipo de
vulnerabilidades, de tal forma que, la persona que los utiliza, puede
intentar explotarlas y experimentar.

El orden en que se presentaron las herramientas no es aleatorio, es lo

recomendable para comenzar a experimentar. Primero hay que
probarlas de forma aislada y luego, abocarse completamente a Kali
Linux.

Kali Linux puede ser descargada como imagen ISO o directamente pueden obtener una serie de conclusiones importantes para la
para VMWare. Una vez que inicias un sistema Kali Linux, verás un seguridad de los sistemas de unaorganización.
menú muy extenso con más de 300 herramientas para pentesters. Nmap
y Metasploit Framework están incluidos en esta lista, entre otros. 1.
Los atacantes no solo ejecutan herramientas, sino que piensan cómo
atacar. Al momento de realizar un Pentest es fundamental no perder
de vista nuestra herramienta principal: pensar. Independientemente de 2.
las herramientas de software que utilicemos, pensar constantemente
como un atacante, es la clave principal para realizar un Penetration
Testing de forma exitosa.
Hay dos tipos de ethical hacker, aquel que solo lee y utiliza lo que
dicen las herramientas y aquel que interpreta y pone su inteligencia 3.
para ofrecer un informe que realmente brinde valor a su cliente,
aquella empresa u organización que necesita conocer cómo mejorar
la protección de la información y su infraestructura.
4.
CONCLUSIONES.
A partir de la realización del artículo de penetración, también
conocido como pentesting, se
1.
2.
5
A través del pentesting se pueden identificar las debilidades
en los sistemas de la organización y proponer soluciones
para mejorar la seguridad.
Evaluación de la respuesta de seguridad, permitiendo al
pentesting evaluar la respuesta del equipo de seguridad de
la organización ante un ataque simulado y proponer
mejoras en este sentido.
Incremento de la conciencia de seguridad donde puede
ayudar a los miembros de la organización a comprender la
importancia de la seguridad informática y los riesgos a los
que están expuestos.
El pentesting es una herramienta valiosa para la
evaluación de la seguridad informática de una organización
y la identificación de áreas a mejorar para garantizar la
protección de los sistemas y la información sensible.
REFERENCIAS.
de Seguridad Informática, S. (2012, abril 11). Los
Objetivos del Pentesting. DragonJAR - Servicios de
Seguridad Informática; DragonJAR - Seguridad Informática.
https://www.dragonjar.org/los- objetivos-del-
pentesting.xhtml
Pruebas de penetración para principiantes: 5
herramientas para empezar. (s/f).
 6

Unam.mx. Recuperado el 9 de mayo de2023, de

https://revista.seguridad.unam.mx/numero-

18/pruebas-de-penetracion-para-

principiantes-5-herramientas-para-empezar