Cómo prepararse para una prueba de penetración
Una prueba de penetración solo es tan útil como su alcance. Unos pocos días de preparación le permitirán obtener un informe mucho mejor.
En una prueba de penetración, un equipo especializado ataca su producto bajo reglas acordadas e informa de lo que encuentra. Los clientes y auditores suelen solicitarla, y es una de las mejores formas de detectar problemas que su propio equipo ya no ve. El provecho que obtenga depende en gran medida de la preparación.
Defina el alcance
Enumere con exactitud qué pueden atacar los evaluadores: la aplicación web, las aplicaciones móviles, la API, las herramientas de administración, la cuenta en la nube. Indique los entornos y los dominios. Todo lo que quede fuera de la lista no se probará, así que incluya las partes que les interesan a los clientes, no solo aquellas en las que confía. Si un proveedor administra algún componente, compruebe si tiene autorización para incluirlo.
Acuerde las reglas de la prueba
Ponga por escrito el período de pruebas, las direcciones desde las que trabajarán los evaluadores, lo que queda fuera de los límites (denegación de servicio, ingeniería social, datos reales de clientes) y a quién llamar si algo falla. Revise la política de su proveedor de alojamiento sobre pruebas de seguridad y avise con antelación si así lo requiere. Informe a quien supervise las alertas de que se está realizando una prueba, para no descartar un incidente real confundiéndolo con ella.
Prepare el entorno y las cuentas
Probar un entorno de staging suele ser más seguro, siempre que coincida realmente con el de producción: el mismo código, configuración y ajustes de seguridad. Cree cuentas de prueba para cada rol, incluidas cuentas en dos organizaciones de clientes independientes, de modo que los evaluadores puedan comprobar si un cliente puede ver los datos de otro. En un producto que presta servicio a muchos clientes, ese suele ser el hallazgo más importante.
Comparta documentación, especificaciones de la API y credenciales, a menos que busque específicamente una perspectiva externa. Los evaluadores que parten de lo que sabe alguien de dentro dedican su tiempo a encontrar problemas, no a redescubrir lo básico.
Corrija por severidad y por alcance
El informe clasificará los hallazgos por severidad. Corrija primero los críticos y los de nivel alto, pero considere también el alcance de cada hallazgo: un problema medio en la página de inicio de sesión puede importar más que uno alto en una herramienta interna. Guarde una breve nota sobre cada corrección, ya que los auditores y clientes podrían preguntar cómo se gestionaron los hallazgos.
Solicite una nueva prueba
La mayoría de los evaluadores incluyen u ofrecen una nueva prueba para los hallazgos corregidos. Aprovéchela. Una nueva prueba confirma que las correcciones funcionan y le proporciona un informe actualizado que las muestra resueltas, que es lo que los clientes quieren ver.
Comparta el documento adecuado
Los clientes rara vez necesitan el informe completo, que describe con detalle cómo atacar su producto. Pida a los evaluadores una carta de atestación: un breve resumen del alcance, las fechas y los resultados que podrá compartir libremente. Comparta el informe completo solo con quien realmente deba conocerlo.
En resumen
Un alcance claro, reglas por escrito, un entorno que coincida con producción, cuentas de prueba para cada rol y una nueva prueba tras las correcciones. Si prepara todo eso, el informe se convertirá en un plan en lugar de una sorpresa.