Metodología PTES (Penetration Testing Execution Standard).

PTES

PTES (Penetration Testing Execution Standart) consta de siete (7)

secciones principales. Pretende unir esfuerzos de analistas y expertos en seguridad para hacer un estándar que pueda completar una auditoría en todos sus procesos más habituales. Estos cubren todo lo relacionado con una prueba de penetración:

• Herramientas requeridas

Son esos programas, aplicaciones o simplemente instrucciones usadas para efectuar otras tareas de modo más sencillo. En un sentido amplio del término, podemos decir que una herramienta es cualquier programa o instrucción que facilita una tarea, pero también podríamos hablar del hardware o accesorios como herramientas.

• Recolección de información

Recopilación de información de inteligencia competitiva publicada en motores de búsqueda que

nos dará una idea del objetivo que estamos estudiando y de las personas que trabajan dentro dela empresa..

• Análisis de vulnerabilidades

Como su propio nombre indica entramos en materia. De forma activa y ya 'tocando' el objetivo, se identifican puertos y servicios existentes en busca, de forma manual y automática vulnerabilidades existentes.

En este apartado básicamente se define el ámbito y alcance del test de intrusión. Se llega a un acuerdo con el cliente acotando la profundidad

de las pruebas a realizar, permisividad de ataques (ataques DOS, fuerza bruta....), enfoque del test (caja negra, gris o blanca) presentación de evidencias (goals), etc.

• Explotación

Con la información proporcionada por las dos fases anteriores, se definen líneas de negocios existentes, importancia de los activos IT (accesibles) visibles en nuestro estudio para definir vectores de ataques posteriores

• Post-explotación

Esta fase se centra en la recopilación de evidencias y en cómo valorar el impacto real de la intrusión y hasta donde podemos llegar desde el sistema comprometido. Se contempla borrado de huellas y hacer persistente el ataque (puertas traseras, conexión inversa o rootkits)

• Informes

Explica qué deben contener los reportes (ejecutivo y técnico) que entreguemos como conclusión de nuestro estudio

Esta metodología maneja niveles de riesgo dirigidos a un lenguaje para el negocio y maneja una descripción cualitativa, lo que permite la fácil comunicación con el cliente. Las razones para las que se solicitó el test deben ser los primeros aspectos relevantes del informe final. Seguido de los posibles riesgos y su valoración. Las métricas utilizadas y las contra medidas propuestas para los riesgos analizados.