¿Qué es el Red Team?

Los servicios de Red Team van más allá de las vulnerabilidades tecnológicas y de las herramientas de hacking. Se trata de un equipo humano experto en hacking ético, que realiza ataques (siempre controlados) a un objetivo predefinido y bajo un estricto contrato de alcance, condiciones y confidencialidad.

El Red Team debe comportarse como una amenaza real, para que las conclusiones sean lo más completas y precisas que sea posible. Para conseguirlo pueden y deben utilizar no sólo técnicas usadas en test de intrusión convencional, sino, además, la ingeniería social para evaluar el componente humano. Los objetivos, límites y “reglas de juego” del Red Team se definen inicialmente en el contrato según las circunstancias de la organización.




Caja Blanca

Análisis de caja blanca


Existen diferentes variaciones de análisis de caja blanca, pero todas tienen una característica común. En este tipo de auditoría el analista dispondrá de toda la información y documentación sobre usuarios (no contraseñas), privilegios, mapas de red, firewalls, aplicativos,...

Podríamos, por tanto, incluir aquí las auditorías técnicas de seguridad más clásicas, en las que se analiza la documentación disponible, la infraestructura actual, se realizan entrevistas a los distintos responsables y usuarios clave, y se sacan conclusiones.



Caja Negra

Análisis de caja negra


El término pentesting, o pentest (Penetration Test) es utilizado en el ámbito de la seguridad cuando se realiza un test de intrusión o test de penetración en una empresa a través de sus sistemas de manera controlada.

El objetivo final de un pentest es el de acceder al sistema o el de lograr un objetivo previamente establecido con el cliente. La forma de actuar del analista simula un ataque real de un hacker con malas intenciones.

Estos test de intrusión son realizados por un equipo o por una persona que evalúa el estado de la seguridad de los sistemas e infraestructura de una empresa.

Leer más

Evaluación vs Pentest

¿Qué diferencias podemos encontrar?

Evaluación de
Vulnerabilidades

  • Examen de vulnerabilidades.
  • Tareas más o menos automatizables.
  • Test básico.
  • No intrusivo.
  • Coste medio.
  • Registro y categorización de todas las vulnerabilidades de un sistema.

Test de Penetración

  • Examen y explotación de una o más vulnerabilidades.
  • Tareas no automatizables. Se realizan manualmente.
  • Test en profundidad.
  • Intrusivo.
  • Coste elevado.
  • Explotación de vulnerabilidades para lograr la intrusión al sistema.

Caja Gris

Análisis de caja gris


Nos encontramos a medio camino entre una auditoría de caja blanca y una de caja negra. Este tipo de auditorías mixtas se realizan para poner a prueba la infraestructura externa sin descuidar la seguridad interna de la compañía.

Según los datos analizados por especialistas, es mucho más común una fuga de datos desde dentro de la empresa que desde un ataque externo.

Este tipo de auditoría podría equipararse a una simulación de un ataque interno, realizado por personal de la organización, o por expertos externos con la complicidad de personal interno, y por tanto con información privilegiada.
Se proporcionarán datos de infraestructura, cuentas de usuario (habitualmente sin privilegios), información general sobre las aplicaciones a analizar, y normalmente instrucciones concretas de las partes que deben ser analizadas.

Caja Blanca

Evaluación de vulnerabilidades


Es importante comprender la diferencia que existe entre un pentest y una evaluación de vulnerabilidades, pues ambos términos están ligados pero su finalidad es diferente.
Una evaluación de vulnerabilidades consiste en el proceso de evaluación de la eficacia de los controles de seguridad de los sistemas. El ámbito de este proceso es descubrir todas las vulnerabilidades a través de herramientas automáticas y acciones manuales.

Al contrario que en un test de penetración, en la evaluación de vulnerabilidades no se intentan explotar las vulnerabilidades detectadas, y no se llega a realizar intrusión en el sistema. Esto resulta en un conjunto de vulnerabilidades con posibles falsos positivos, pues hasta que no se intentan explotar no es posible confirmar su impacto en el sistema.

Las empresas realizan estas evaluaciones para conocer en qué estado se encuentran a nivel de seguridad, y para determinar y priorizar la solución de las vulnerabilidades según su criticidad y riesgo con mayor precisión.
Cuantos más puntos de vulnerabilidad se encuentren más completo será el análisis, otorgando un mejor enfoque y un mayor grado de entendimiento del estado en el que se encuentra la organización.

El auditor presenta un informe completo con todas las vulnerabilidades encontradas, categorizadas por impacto y riesgo.
Esta información permite al cliente definir un plan de actuación según las recomendaciones y según los riesgos con mayor precisión y realismo.

Evaluación vs Pentest

¿Qué diferencias podemos encontrar?

Evaluación de
Vulnerabilidades

  • Examen de vulnerabilidades.
  • Tareas más o menos automatizables.
  • Test básico.
  • No intrusivo.
  • Coste medio.
  • Registro y categorización de todas las vulnerabilidades de un sistema.

Test de Penetración

  • Examen y explotación de una o más vulnerabilidades.
  • Tareas no automatizables. Se realizan manualmente.
  • Test en profundidad.
  • Intrusivo.
  • Coste elevado.
  • Explotación de vulnerabilidades para lograr la intrusión al sistema.