Pruebas de penetración: probadores
Está el tema de proteger los datos más críticos de la organización; por lo tanto, el papel de un probador de penetración es muy crítico, un error menor puede poner en riesgo a ambas partes (el probador y su cliente).
Por lo tanto, este capítulo analiza varios aspectos de un probador de penetración, incluida su calificación, experiencia y responsabilidades.
Cualificación de probadores de penetración
Esta prueba solo puede ser realizada por un probador de penetración calificado; por lo tanto, la calificación de un probador de penetración es muy importante.
Tanto un experto interno cualificado como un experto externo cualificado pueden realizar la prueba de penetración hasta que sean organizativamente independientes. Significa que el probador de penetración debe ser organizativamente independiente de la gestión de los sistemas de destino. Por ejemplo, si una empresa de terceros está involucrada en la instalación, el mantenimiento o el soporte de los sistemas de destino, esa parte no puede realizar pruebas de penetración.
Aquí hay algunas pautas que lo ayudarán al llamar a un probador de penetración.
Certificación
Una persona certificada puede realizar pruebas de penetración. La certificación que posee el probador es la indicación de sus habilidades y la competencia del probador de penetración capaz.
A continuación se muestran ejemplos importantes de certificación de pruebas de penetración:
Hacker Ético Certificado (CEH).
Profesional certificado en seguridad ofensiva (OSCP).
Certificaciones de pruebas de penetración CREST.
Certificación IT Health Check Service del Communication Electronic Security Group (CESG).
Certificaciones de Certificación de Aseguramiento de la Información Global (GIAC), por ejemplo, Probador de Penetración Certificado GIAC (GPEN), Probador de Penetración de Aplicaciones Web GIAC (GWAPT), Probador de Penetración Avanzada (GXPN) e Investigador de Explotación GIAC.
Experiencia pasada
Las siguientes preguntas lo ayudarán a contratar un probador de penetración efectivo:
¿Cuántos años de experiencia tiene el probador de penetración?
¿Es un probador de penetración independiente o trabaja para una organización?
¿Con cuántas empresas trabajó como tester de penetración?
¿Ha realizado pruebas de penetración para alguna organización que tenga un tamaño y alcance similar a la suya?
¿Qué tipo de experiencia tiene el probador de penetración? Por ejemplo, realizar pruebas de penetración de la capa de red, etc.
También puede solicitar la referencia de otros clientes para los que trabajó.
Al contratar a un probador de penetración, es importante evaluar la experiencia de prueba del año pasado de la organización para la que él (probador) ha trabajado, ya que está relacionada con las tecnologías implementadas específicamente por él dentro del entorno objetivo.
Además de lo anterior, para situaciones complejas y requisitos típicos del cliente, se recomienda evaluar la capacidad de un probador para manejar un entorno similar en su proyecto anterior.
Papel de un probador de penetración
Un probador de penetración tiene las siguientes funciones:
Identificar la asignación ineficiente de herramientas y tecnología.
Pruebas en los sistemas de seguridad internos.
Identifique las exposiciones para proteger los datos más críticos.
Descubra un conocimiento invaluable sobre vulnerabilidades y riesgos en toda la infraestructura.
Informar y priorizar las recomendaciones de corrección para garantizar que el equipo de seguridad esté utilizando su tiempo de la manera más eficaz, al tiempo que protege las mayores brechas de seguridad.