¿Qué es un pentest y en qué se diferencia de un análisis de vulnerabilidades?

Un análisis de vulnerabilidades es una revisión automatizada que recorre sus sistemas y devuelve una lista de fallos conocidos. Una prueba de intrusión, o pentest, es un ejercicio manual en el que alguien intenta de verdad entrar, encadenando esos fallos como lo haría un atacante, hasta demostrar hasta dónde puede llegar.

La diferencia en una frase: uno le dice qué puertas parecen abiertas y el otro le demuestra qué hay dentro de la casa.

Los dos son necesarios y hacen cosas distintas. El problema, que he visto muchas veces, es que se venden como si fueran lo mismo.

¿Qué hace exactamente un análisis de vulnerabilidades?

Una herramienta recorre las direcciones, los puertos y los servicios que usted le indique, compara lo que encuentra con una base de datos de fallos conocidos y produce un informe con todo lo que coincide, ordenado por gravedad.

Es rápido, es barato, se puede repetir cada semana y se automatiza entero. Por eso es la base de cualquier programa de gestión de vulnerabilidades que funcione.

Y tiene dos límites que conviene conocer antes de fiarse del informe.

No sabe si el fallo es explotable aquí. Reporta que existe, no que sirva. Una vulnerabilidad crítica en un servidor que no está expuesto y al que no llega nadie es, en la práctica, menos urgente que una media en el portal que usan todos sus clientes. La herramienta no hace esa distinción porque no conoce su negocio.

No encadena nada. Ve cada fallo por separado. Y los ataques reales casi nunca usan un solo fallo grave: usan tres pequeños, uno detrás de otro, que por separado nadie habría priorizado.

¿Y qué hace un pentest?

Una persona con criterio intenta entrar. Usa herramientas, por supuesto, pero lo que aporta es lo que ninguna herramienta hace: decidir qué camino probar a continuación en función de lo que acaba de encontrar.

Ese trabajo produce tres cosas que un escaneo no puede producir:

• Prueba. No un fallo teórico, sino la demostración de que con ese fallo se llega a un sitio concreto. Con capturas, con los pasos y con lo que se consiguió ver.
• Cadena. El recorrido completo, que suele ser el hallazgo más valioso y el que más sorprende: tres cosas menores que juntas dan acceso de administración.
• Contexto. Alguien que entiende que su base de datos de clientes importa más que el servidor de pruebas, y prioriza en consecuencia.

¿En qué se diferencian, punto por punto?

¿Por qué la confusión sale tan cara?

Porque el informe se parece. Los dos llegan en PDF, los dos traen una lista de hallazgos con colores por gravedad y los dos permiten poner en un documento de cumplimiento que se hizo la prueba.

Lo que cambia es el precio y lo que usted sabe después. He visto empresas pagar por lo que creían que era una prueba de intrusión y recibir, semanas más tarde, la salida de un escaneo automático con el logotipo del proveedor encima. Nada de lo entregado era falso. Simplemente no era lo que hacía falta.

La forma de saberlo de antemano es mirar tres cosas antes de firmar:

• Cuántas horas de persona incluye y quién las hace. Si la propuesta no dice horas, no es un pentest.
• Si el informe incluye el camino completo de al menos un acceso conseguido, con sus pasos, y no solo una lista.
• Qué metodología sigue. Un pentest serio se apoya en marcos públicos como la guía de pruebas de OWASP, y el proveedor debería poder decirle cuál usa sin dudar.

¿Qué tiene que traer el informe?

Aquí es donde se ve si lo que compró era lo que pensaba. Un informe de pentest serio, siguiendo lo que recoge la guía técnica de pruebas de seguridad del NIST, trae seis piezas:

• El alcance y las fechas. Qué se probó, qué quedó fuera y cuándo. Sin esto el informe no se puede comparar con el del año que viene.
• Un resumen para dirección que se entienda sin ser técnico y que diga lo importante: si se consiguió entrar, hasta dónde y qué significa para el negocio.
• Cada hallazgo con su reproducción. Los pasos exactos para volver a conseguirlo. Si su equipo no puede reproducirlo, tampoco puede comprobar que lo arregló.
• Al menos una cadena completa, contada de principio a fin. Esta es la parte que distingue un pentest de un escaneo maquillado, y es la primera que hay que buscar al abrir el documento.
• Una priorización que hable de su negocio, no solo puntuaciones técnicas. Un fallo medio en el sistema de facturación puede importar más que uno alto en un servidor de pruebas.
• Recomendaciones concretas, con qué cambiar y en qué orden. No “aplicar buenas prácticas”.

Y una pieza que casi nunca se pide y debería pedirse siempre: una prueba de verificación posterior. Es decir, que el proveedor vuelva unas semanas después a comprobar que lo que usted arregló quedó de verdad arreglado. Sin eso, el informe es una foto de problemas que nadie confirmó que se resolvieran.

¿Y si no encuentran nada?

Pasa, aunque menos de lo que la gente cree. Y cuando pasa conviene leerlo con cuidado, porque hay dos lecturas muy distintas.

Una es que su exposición externa está razonablemente bien cerrada, que es una buena noticia y merece decirse.

La otra es que el alcance era demasiado estrecho o el tiempo demasiado corto. Dos semanas sobre tres direcciones de internet pueden terminar sin hallazgos graves y no decir gran cosa sobre el resto de su empresa.

La pregunta que separa una lectura de la otra es sencilla: ¿qué quedó fuera del alcance? Si la respuesta es “casi todo”, el informe limpio no significa lo que parece.

¿Qué tipos de pentest existen?

Se clasifican por dos cosas: cuánta información se le da al que prueba, y desde dónde prueba.

Por información. En caja negra no se le da nada, y simula a un atacante externo que empieza de cero. En caja gris se le dan credenciales de usuario normal, que es el escenario más realista porque simula a alguien que ya consiguió una cuenta. En caja blanca se le da todo, incluido el código, y es el que más hallazgos produce por hora invertida.

La caja negra es la que más impresiona y la que menos rinde: buena parte del tiempo contratado se va en averiguar cosas que usted ya sabía.

Por posición. El externo prueba lo que se ve desde internet. El interno parte de dentro de su red y responde a la pregunta de qué pasaría si alguien ya entró, que es la más incómoda y la que casi nadie contrata.

¿Cuál necesito y cada cuánto?

Para una empresa mediana, lo razonable es esto:

• Análisis de vulnerabilidades continuo, automatizado, con alguien que revise los resultados. Sin esto lo demás no tiene sentido, porque un pentest sobre un entorno sin parchear solo confirma lo obvio.
• Una prueba de intrusión al año sobre lo que está expuesto a internet, más una extra cuando salga algo nuevo importante o cambie la arquitectura.
• Una prueba interna cuando haya presupuesto, porque suele ser la que más sorpresas trae.

Si tiene que elegir una sola cosa por presupuesto, empiece por el análisis continuo. Es menos impresionante y es más útil.

Y conviene entender qué no cubre ninguno de los dos: ambos son fotografías de un momento. El día después de entregarse el informe, su empresa vuelve a cambiar. De ahí para adelante lo que queda es buscar activamente y vigilar de forma continua.

Preguntas frecuentes

Una lista no es una prueba

La confusión entre las dos cosas no es un problema de vocabulario. Es un problema de expectativas: se paga creyendo que alguien comprobó de verdad si se podía entrar, y lo que se recibe es una lista de lo que podría fallar.

Las dos hacen falta. Pero solo una de ellas responde a la pregunta que de verdad quita el sueño, que no es cuántos fallos tengo, sino hasta dónde llegaría alguien que lo intentara en serio.