La guía OSSTMM (Open Source Security Testing Methodology Manual) proporciona un marco
estructurado y confiable para realizar pruebas de penetración. A continuación, detallo cómo se
puede aplicar la OSSTMM en un proceso de pentesting para una compañía:
1. Definir el alcance del pentesting
Identificar los activos:
o Infraestructura: Servidores, redes, aplicaciones.
o Datos: Bases de datos, información confidencial.
o Usuarios: Sistemas internos o externos asociados.
Clasificar los objetivos:
o Áreas críticas del negocio que necesitan una mayor atención.
o Identificar qué pruebas están permitidas (internas, externas) y qué está fuera
de alcance.
Establecer límites legales:
o Obtener aprobación explícita de la organización.
o Documentar los acuerdos de confidencialidad y responsabilidades.
2. Seleccionar los módulos OSSTMM
OSSTMM organiza las pruebas en módulos, lo que permite adaptarlas según las necesidades
específicas. Algunos módulos incluyen:
Human Security Testing (Pruebas de ingeniería social)
Wireless Security Testing (Pruebas de redes inalámbricas)
Physical Security Testing (Seguridad física)
Data Networks Testing (Pruebas de redes de datos)
3. Planificar la metodología
La metodología OSSTMM utiliza principios fundamentales como:
1. Verificación vs Validez: Confirmar que algo funciona como se espera (verificación) y
que es apropiado para el entorno (validez).
2. Principios de la seguridad operativa (OpSec): Minimizar interrupciones al negocio
durante las pruebas.
4. Ejecutar el proceso de pentesting
Aplique las directrices de los módulos relevantes de OSSTMM siguiendo las fases:
1. Reconocimiento:
o Recopilar información pública sobre la compañía: dominios, subredes,
servidores.
o Identificar vulnerabilidades básicas sin interacciones activas (OSINT).
2. Identificación:
o Escaneo de puertos y servicios para detectar posibles puntos vulnerables.
3. Evaluación:
o Analizar el impacto de las vulnerabilidades identificadas usando herramientas
como Nessus, Nmap, Metasploit.
4. Explotación:
o Intentar acceder a los activos según lo acordado (legalidad confirmada en
contratos).
o Priorizar técnicas avanzadas como explotación de vulnerabilidades y pruebas
de inyección SQL.
5. Informe preliminar:
o Registrar los hallazgos, debilidades, e impacto sin remediar todavía.
5. Informe final según OSSTMM
Secciones del informe:
o Descripción general del alcance y objetivos.
o Metodología utilizada.
o Hallazgos:
Vulnerabilidades descubiertas clasificadas por criticidad.
Exploitaciones realizadas (si es el caso).
o Recomendaciones:
Cambios necesarios en políticas, configuraciones, entrenamiento.
o Impacto estimado en el negocio:
Riesgos asociados a las vulnerabilidades detectadas.
6. Aplicar planes de mejora y retest
Una vez que la compañía implemente las soluciones recomendadas:
Realice pruebas nuevamente para validar que las correcciones sean efectivas.
Prepare un informe actualizado que demuestre mejoras tangibles.
7. Herramientas recomendadas para pentesting con OSSTMM
1. Nmap: Escaneo de puertos.
2. Wireshark: Análisis de tráfico en redes.
3. Metasploit: Marco para pruebas de explotación.
4. Burp Suite: Pentesting de aplicaciones web.
5. Nessus/OpenVAS: Escaneos de vulnerabilidades.
8. Conclusión y plan de mejora
Detalle vulnerabilidades críticas y exponga el plan para mitigarlas.
Recomiende auditorías periódicas.
Proporcione sugerencias sobre capacitación del personal y cambios en las políticas de
seguridad.
La OSSTMM garantiza que las pruebas sean exhaustivas, repetibles y orientadas a las
necesidades del negocio, lo que facilita la priorización de los esfuerzos de seguridad y la mejora
