Auditoría tipo Black box, White box y Gray box.

Básicamente existen tres tipos de auditorías a realizar para un testing de penetración cuando llega a una empresa para comprobar la seguridad de su infraestructura, de su sitio web, software o mapa de red, son conocidas por tres nombres comunes:

Auditoría de “Caja blanca”: son las auditorías que se realizan con acceso a la información interna de la empresa, por ejemplo: detalles de la red como: segmentos de red, mapa de red, firewall, impresora en red, sistemas operativos utilizados, tipo de autenticación, usuarios, tecnología del sitio web, etc. Se puede utilizar para simular un ataque a la infraestructura de una persona que pertenece a la organización, por ejemplo un trabajador cabreado.

Es útil porque no se invierte tiempo en el “fingerprint” (descubrimiento) de la infraestructura, sistemas utilizados, etc.

Auditoría de “Caja negra”: es la auditoría que se realiza sin dar ningún tipo de información al auditor y es el quien debe descubrir el segmento de red, los sistemas utilizados, la tecnología del sitio web, etc.

Es útil para simular un ataque de un intruso real y darnos una idea de las consecuencias que esto puede tener, puede llevar mas tiempo.

Auditoría de “Caja gris”: es la auditoría que mezcla características de las dos anteriores, posiblemnete sea la mejor porque simulemos un ataque y a la vez consigamos un mejor código de nuestras aplicaciones, se pude dar a conocer parte de la información al auditor y pedirle que a partir de ella intente “escalar” al resto del sistema además se puede intentar este test comenzando desde varios puntos, red interna, red externa, a través del wifi, a través del puesto de un empleado, a traves de la extranet, etc.

Pruebas 

Existen diversas pruebas que hay que hacer al software antes de su lanzamiento, (en orden de uso):

“Prueba Caja negra”: Lo que se hace es un prueba sin el codigo fuente, como si un atacante desde afuera este tratando de aprovecharse del software, Herramientas: ataques MIM (sniffers, cain&abel,wireshark, ettercap), desambladores, editores hexadecimales, softwares que dan informacion sobre el programa, scanners (nmap, scanners web) para rfi,xss,sql injection),fuzzers, y mucho uso del software.

“Prueba Caja Blanca”: Necesaria si la primera es positiva (se encuentra un error), es una prueba con el codigo fuente, que es muy util siesque la primera pueba encontro algo, como uno siempre programa y el debugger te dice que esta mal es más bien un prueba a la “logica” del programa, y además hace más rapido el programa , Herramientas: un idle, debugger just in time, etc, etc.. en sintesis un buen programador

“Prueba Caja gris”: Mezcla de ambos, es una especie de tester pero que sabe como funciona el programa, es decir, vio el codigo fuente pero trabaja sin poder modificarlo, dicen que a veces no es necesario, pero creo que si. Herramientas:Todas las anteriores.