Tipos de pruebas (interna/externa).

La prueba de penetración es una de las formas más efectivas de evaluación de seguridad porque se dirige a los controles encargados de la protección de su red. Esto ayudará a su organización:

• ·         Determinar la efectividad de los controles de seguridad
• ·         Identificar las debilidades en los controles
• ·         Demostrar el impacto de esas debilidades

Existen varios tipos de pruebas:

• Pruebas externas

Una prueba de penetración externa simula en la organización dirigida a través de la Internet desde cualquier lugar por cualquier persona en el mundo. Un atacante externo puede orientar su organización por decisión propia o porque su organización tiene una tecnología en particular o tiene una configuración específica.

• Pruebas internas

Una prueba de penetración interna reproduce un ataque desde dentro de la red de su organización. El atacante podría ser un empleado pícaro o proveedor que está au

torizado para acceder a su red, o un atacante de su seguridad externa para acceder a su red interna. El atacante tiene acceso detrás de los cortafuegos, con o sin las credenciales.

Las pruebas de penetración son típicamente realizadas usando tecnologías manuales y automáticas. Escaneos de vulnerabilidad son muy útiles ya que le permiten al “hacker ético” cubrir mucho terreno rápidamente y los escaneos automatizados son útiles para reconocimiento. Sin embargo una verdadera prueba de penetración no solo se confía en los resultados del escaneo de vulnerabilidad y le ensena a la organización no solo a lo que son vulnerables pero también a lo que puede ser comprometido. Adicionalmente un reporte de prueba de penetración no debe de contener falsos positivos como son reportados y confirmados a través de explotar la validación.

En algunos casos el reporte de prueba de penetración puede contener hallazgos teoréticos que no fueron explotados. Un hallazgo teorético es apoyado por una referencia conocida y no s un falso positive. Por ejemplo, puede ser posible descifrar la encriptación de un cifrado débil pero puede durar más de lo que permite la ventana de tiempo de la prueba y por ende no es necesario probar ese punto. Un hallazgo así es teorético pero valido.