Las pruebas de penetración son ataques simulados autorizados. Un cliente contrata a un experto para que acceda a sus sistemas, redes o aplicaciones. El experto utiliza las mismas técnicas que un atacante real: reconocimiento, explotación, escalada de privilegios y movimiento lateral. La diferencia radica en los permisos y la documentación. Todo se desarrolla dentro de un ámbito definido, con reglas de actuación y un contrato firmado. Al finalizar, el cliente recibe un informe detallado sobre los hallazgos y las soluciones propuestas.

Existen diferentes tipos de pruebas. Las pruebas de caja negra no proporcionan al evaluador ningún conocimiento previo, simulando un ataque externo. Las pruebas de caja blanca ofrecen acceso completo al código fuente y la arquitectura, lo que permite detectar vulnerabilidades más profundas. Las pruebas de caja gris se sitúan en un punto intermedio. Las pruebas de aplicaciones web se centran en la inyección SQL, el cross-site scripting y las vulnerabilidades de autenticación. Las pruebas de red analizan los firewalls, la segmentación y los servicios expuestos. Las pruebas de ingeniería social se dirigen a las personas mediante phishing y suplantación de identidad. Una prueba de penetración es una instantánea. Detecta las vulnerabilidades en un momento dado. No sustituye la monitorización continua ni el desarrollo seguro. Valida que las defensas funcionan o muestra dónde fallan.

Tipos de pruebas de penetración

• Caja negra: sin conocimiento previo, perspectiva externa.
• Caja blanca: acceso completo, cobertura más profunda
• Caja gris: conocimiento parcial, equilibrio realista
• Aplicación web: se centra en el software orientado a la web.
• Ingeniería social: se dirige a las personas, no a los sistemas.

Una prueba de penetración sin medidas correctivas es un desperdicio de dinero. El informe solo importa si alguien actúa en consecuencia.