Revista TrendTIC Edición N°2

SEGURIDAD
Gabriel Bergel
Director de Servicios Profesionales & Senior Security Consultant
Dreamlab Technologies Chile.
CISSP; CISM; CBCP; ISO 27001 LA; EC-Council C|CISO
¿Ethical Hacking? ¿Pentest?
¿Qué? ¿Para qué?
Nos ha pasado en más de una
oportunidad que en una reunión
con un prospecto nos hayan
hecho estas preguntas cuando
explicábamos cual es un nuestra
especialización, seguramente
muchos tendrán las mismas
dudas y es la razón por la cual
dedicaremos algunas líneas para
hablar sobre el Hacking Ético,
Test de Penetración y las diferencias
entre ellos.
Si buscamos Ethical Hacking en
Wikipedia nos lleva a un articulo
donde parte hablando de los
hackers de sombrero blanco,
antes de continuar cabe aclarar
que un “Hacker” es un experto,
un investigador de seguridad,
que busca debilidades en las plataformas
con el fin de mejorar la
tecnología o alertar a la comunidad,
es un apasionado de la
seguridad y la tecnología, NO es
un Ciberdelincuente. Continuando,
en la comunidad hacker se
distinguen 3 tipos, de sombre
ro negro (ciberdelincuentes),
de sombrero gris (ambiguo)
y sombrero blanco, para denominar
a los hacker éticos,
por lo tanto partimos de la
base que un Ethical Hacking
es una actividad de auditoria
de seguridad ética y profesional.
Mucha literatura, papers,
estándares, empresas, profesionales
llaman Ethical
Hacking a un test de penetración
o Penetration Test o
solo Pentest, en este caso, se
refiere principalmente a una
auditoria técnica de seguridad
de la información compuesta
de etapas lógicas que
tienen por objetivo principal
identificar vulnerabilidades
para luego confirmarlas, por
ejemplo según OSSTMM1
que es la metodología mas
ocupada para hacer Ethical
Hacking las etapas son:
1. Descubrimiento.
2. Enumeración, Verificación.
3. Investigación de Vulnerabilidad
y Verificación.
4. Pruebas de Integridad.
5. Evaluación de Riesgos.
Nosotros en Dreamlab preferimos
hacer una diferencia entre
Pentest y Ethical Hacking, el
primero es una auditoria técnica
de seguridad donde una vez
detectadas las vulnerabilidades
o hallazgos, nos concentramos
en confirmar (actividad muy
importante para evitar falsos
positivos2) las vulnerabilidades
clasificadas como altas, es decir
las que tienen un mayor impacto
para la organización. En el caso
del segundo, el Ethical Hacking
lo hacemos siguiendo de manera
integra la metodología OSSTMM
26
Julio - Agosto