Pruebas de penetración: manuales y automatizadas

Tanto la prueba de penetración manual como la prueba de penetración automatizada se realizan con el mismo propósito. La única diferencia entre ellos es la forma en que se llevan a cabo. Como sugiere el nombre, las pruebas de penetración manuales las realizan seres humanos (expertos en este campo) y las pruebas de penetración automatizadas las realiza la propia máquina.

Este capítulo le ayudará a conocer el concepto, las diferencias y la aplicabilidad de ambos términos.

¿Qué es la prueba de penetración manual?

La prueba de penetración manual es la prueba que realizan los seres humanos. En este tipo de prueba, un ingeniero experto prueba la vulnerabilidad y el riesgo de una máquina.

Generalmente, los ingenieros de pruebas realizan los siguientes métodos:

• Data Collection- La recopilación de datos juega un papel clave para las pruebas. Se pueden recopilar datos manualmente o utilizar servicios de herramientas (como la técnica de análisis del código fuente de una página web, etc.) disponibles gratuitamente en línea. Estas herramientas ayudan a recopilar información como nombres de tablas, versiones de bases de datos, bases de datos, software, hardware o incluso sobre diferentes complementos de terceros, etc.

• Vulnerability Assessment - Una vez que se recopilan los datos, ayuda a los probadores a identificar la debilidad de seguridad y tomar las medidas preventivas correspondientes.

• Actual Exploit - Este es un método típico que utiliza un tester experto para lanzar un ataque a un sistema objetivo y, de la misma forma, reduce el riesgo de ataque.

• Report Preparation- Una vez realizada la penetración, el tester prepara un informe final que describe todo sobre el sistema. Finalmente, el informe se analiza para tomar medidas correctivas para proteger el sistema de destino.

Tipos de pruebas de penetración manual

Las pruebas de penetración manual se clasifican normalmente de dos formas siguientes:

• Focused Manual Penetration Testing- Es un método muy enfocado que prueba vulnerabilidades y riesgos específicos. Las pruebas de penetración automatizadas no pueden realizar estas pruebas; solo lo realizan expertos humanos que examinan las vulnerabilidades específicas de las aplicaciones dentro de los dominios dados.

• Comprehensive Manual Penetration Testing- Es a través de la prueba de sistemas completos conectados entre sí para identificar todo tipo de riesgo y vulnerabilidad. Sin embargo, la función de esta prueba es más situacional, como investigar si múltiples fallas de menor riesgo pueden generar un escenario de ataque más vulnerable, etc.

¿Qué son las pruebas de penetración automatizadas?

Las pruebas de penetración automatizadas son mucho más rápidas, eficientes, fáciles y confiables y prueban la vulnerabilidad y el riesgo de una máquina automáticamente. Esta tecnología no requiere ningún ingeniero experto, sino que puede ser ejecutada por cualquier persona que tenga menos conocimientos en este campo.

Las herramientas para las pruebas de penetración automatizadas son Nessus, Metasploit, OpenVAs, backtract (serie 5), etc. Estas son herramientas muy eficientes que cambiaron la eficiencia y el significado de las pruebas de penetración.

Sin embargo, la siguiente tabla ilustra la diferencia fundamental entre las pruebas de penetración manuales y automatizadas:

Prueba de penetración manual	Pruebas de penetración automatizadas
Requiere un ingeniero experto para realizar la prueba.	Está automatizado, por lo que incluso un alumno puede ejecutar la prueba.
Requiere diferentes herramientas para la prueba.	Tiene herramientas integradas que no requiere nada del exterior.
En este tipo de prueba, los resultados pueden variar de una prueba a otra.	Tiene resultado fijo.
Esta prueba requiere que el probador recuerde haber limpiado la memoria.	No es asi.
Es exhaustivo y toma tiempo.	Es más eficiente y rápido.
Tiene ventajas adicionales, es decir, si un experto hace una prueba de penetración, entonces puede analizar mejor, puede pensar lo que puede pensar un hacker y dónde puede atacar. Por lo tanto, puede poner seguridad en consecuencia.	No puede analizar la situación.
Según el requisito, un experto puede realizar varias pruebas.	No puede.
Para condiciones críticas, es más confiable.	No lo es.