El conocimiento de las vulnerabilidades y los riesgos no protegidos es el punto de partida para determinar la mejor manera de alinear los recursos con la ciberseguridad. Mediante la realización de pruebas periódicas de ataques en el mundo real, las operaciones de seguridad pueden detectar los puntos débiles y, al mismo tiempo, obtener el control de los riesgos.

Las pruebas de ciberseguridad se despliegan para eliminar el riesgo, mejorar la continuidad del negocio y cumplir los requisitos de conformidad. Como mínimo, las pruebas de ciberseguridad deben llevarse a cabo siempre que haya nuevos cambios en la red o en los grupos de usuarios, nuevas configuraciones del sistema o lanzamientos de aplicaciones. Las tolerancias de riesgo de seguridad de una organización deben estar alineadas con una solución de pruebas que encuentre, escanee, explote e informe sobre sus riesgos específicos.

El desafío de las pruebas consiste en encontrar vulnerabilidades explotables dentro del entorno de una organización que supongan un riesgo real, y que sean fácilmente priorizables para su mitigación. Este enfoque basado en el riesgo valida y prueba los riesgos empresariales mediante pruebas de explotación en el mundo real. Dicho esto, dejemos que se exploren las distintas soluciones.

Escaneo de vulnerabilidades

Utilizando una base de datos de vulnerabilidades conocidas o sondas de fallos comunes, los escáneres de vulnerabilidad buscan configuraciones erróneas o fallos de código que supongan un riesgo potencial para la ciberseguridad. Escanean elementos del sitio web, aplicaciones, redes y sistemas de archivos, y hacen un inventario de cada sistema y dispositivo de red con sus vulnerabilidades asociadas.

Los escáneres generan miles de vulnerabilidades, todas ellas incluidas en el informe, porque están en la base de datos de vulnerabilidades conocidas de la herramienta. Enumeran las referencias de Vulnerabilidades y Exposiciones Comunes (CVE) y las puntuaciones del Sistema de Puntuación de Vulnerabilidades Comunes (CVSS). Sin embargo, como no hay contexto en el informe, el equipo de seguridad no tiene ninguna idea de cómo priorizar las vulnerabilidades o evaluar el impacto potencial.

Pruebas de penetración manuales

Las pruebas de ciberseguridad deben realizarse como si un hacker real intentara infiltrarse en un sistema o red. Las pruebas de penetración manuales realizan un reconocimiento y un examen detallados por parte de profesionales de la seguridad altamente cualificados. Intentan detectar y explotar varios puntos débiles dentro de la red y los sistemas conectados y evaluar hasta qué punto un intruso malintencionado podría tener acceso.

El pentesting y la red teaming juegan un papel importante en la identificación de exposiciones, vulnerabilidades y debilidades en las ciberdefensas de una organización. Por lo tanto, deben ser llevadas a cabo por proveedores de servicios examinados con certificaciones cualificadas.

Desgraciadamente, muchas organizaciones sólo realizan las pruebas anualmente o de forma puntual, y no es raro que pase un año entre ellas. Esto se debe principalmente a los elevados costes y al tiempo necesario para planificar, contratar, determinar el alcance, documentar los casos de uso, realizar las pruebas, informar y hacer un seguimiento de los problemas encontrados.

Un pentest representa un instante posterior a una actualización, una mejora o un cambio en el sistema. De hecho, pueden pasar semanas o meses hasta que se reciba un informe final. Para entonces, puede estar obsoleto, ya que pueden entrar en el entorno nuevas actualizaciones, configuraciones erróneas y otras vulnerabilidades.

Pentesting automatizado

En lugar de contratar servicios de pentesting de terceros, el pentesting automatizado es gestionado por el departamento de TI interno. No es necesario contar con expertos en seguridad altamente cualificados, ya que el administrador de TI puede ejecutar las pruebas. Al igual que un pentester humano, el pentesting automático busca un sistema para apoderarse de él e instalar un agente o bot impulsado por la IA. Una vez establecido, pueden pivotar por la red hasta las interfaces de programación de aplicaciones (API) y los servidores frontend/backend para descubrir otras áreas susceptibles de ataques.

El riesgo de ciberseguridad abarca las vulnerabilidades del sistema, las amenazas internas y externas y la protección de los activos. Para eliminar el riesgo, el auto pentesting lleva a cabo cuatro pasos principales: el descubrimiento de activos; el escaneo y la elaboración de informes sobre los activos descubiertos y las superficies de ataque de la infraestructura de red; la explotación mediante habilidades de hacking ético aprendidas de los probadores humanos; y la verificación posterior a la explotación mediante técnicas de prueba como la escalada de privilegios, Pass-the-Hash y otras.

Cada vez que se descubre una nueva superficie de ataque, los algoritmos impulsados por la IA utilizan información en tiempo real para generar estrategias de ataque dinámicas. A medida que se recopila más información de los objetivos y otras superficies de ataque, la plataforma ajusta sus técnicas sobre la marcha para realizar ataques iterativos. Al encontrar riesgos reales y explotables, los equipos de TI y de seguridad obtienen claridad para priorizar la corrección. Al puntuar los riesgos, las organizaciones pueden identificar de forma más lógica los problemas y priorizar los que pueden tener un mayor impacto.

Los bots de ataque de pentesting automático se conectan a la red, escaneando, sondeando y analizando, lo que puede llevarse a cabo las 24 horas del día. Se convierte en un equipo rojo virtual con el que empresas de cualquier tamaño pueden evaluar los sistemas de forma rápida y rentable para descubrir riesgos y vulnerabilidades.

Debido a los altos costos asociados a cada pentest manual, un pentester humano normalmente tiene un punto de entrada a la red. Por el contrario, el pentesting automático puede ejecutar la misma prueba varias veces desde diferentes puntos de entrada para descubrir rutas susceptibles y supervisar diferentes escenarios de impacto.

Despliegue de herramientas de pruebas de seguridad

Durante años, las organizaciones han incorporado herramientas de pruebas de seguridad como Burp Suite, Metasploit, Nmap y otras, para ayudar a descubrir las vulnerabilidades del sistema. Tanto si las herramientas de pruebas están en centros de datos como en la nube, las capacidades funcionales deben estar mejor integradas. La combinación de estas herramientas sólo aumenta los costos, los puntos ciegos y el esfuerzo manual adicional para tratar de elaborar un informe significativo.

El simple hecho de tener más herramientas de prueba no equivale a una postura de seguridad más fuerte. De hecho, reducen la visibilidad y crean lagunas de cobertura. Mientras que el pentesting manual utiliza múltiples herramientas, el pentesting automático oculta esta complejidad con un tejido integrado de múltiples capacidades de prueba interconectadas.

La eliminación de los riesgos derivados de los crecientes exploits en las superficies de amenazas en expansión requiere la validación de las amenazas y las vulnerabilidades, así como informes con pruebas sólidas. Estos desafíos no auguran nada bueno para las organizaciones que ya sufren la falta de personal de ciberseguridad cualificado que dedica gran parte de su tiempo a generar informes manuales a partir de herramientas dispares.

La transformación digital está acelerando las pruebas de seguridad

Depender de las intervenciones manuales para defenderse de las amenazas más sofisticadas es como luchar contra un incendio que se propaga rápidamente con una pistola de agua. Sin la automatización, las organizaciones se ven obstaculizadas y limitan su capacidad de ampliar las operaciones de seguridad para hacer frente a las nuevas amenazas.

La escasez de profesionales de seguridad cualificados obliga a los equipos de seguridad a hacer más con menos. La automatización puede reducir el tiempo y el esfuerzo de las pruebas para identificar y priorizar las superficies de ataque de días o semanas, a sólo minutos.

El pentesting automático permite a las organizaciones validar las nuevas implementaciones a lo largo del ciclo de DevOps e integrarlas en el pipeline de CI/CD. Las pruebas a lo largo del ciclo de vida del desarrollo permiten al personal de seguridad centrarse en la corrección, en lugar de probar manualmente cada proceso. Y como las pruebas de penetración son muy precisas, el personal de seguridad dedicará menos tiempo a la clasificación manual de los falsos positivos.

Acerca de la autora

Lydia Zhang es presidenta y cofundadora de Ridge Security. Posee un impresionante currículo centrado en el emprendimiento que incluye 20 años de funciones de liderazgo en seguridad de redes y cibernética. Lydia lidera un startup de ciberseguridad de Silicon Valley que desarrolla pruebas de penetración automatizadas con el objetivo de ofrecer tecnologías de seguridad innovadoras para todos.  Antes de fundar Ridge Security, Zhang ocupó puestos de vicepresidenta senior y de gestión de productos en Hillstone Networks y Cisco Systems. Tiene un doble máster, MA y MS, de la USC, y una licenciatura de la Universidad de Tsinghua en Ingeniería Biomédica.