Network Penetration Test (NPT)

Descripción

El comercio electrónico, el B2B (Business-to-Business) en línea y la conectividad global, componentes fundamentales de cualquier estrategia empresarial de éxito, requieren que las empresas adopten procesos y prácticas de seguridad.

La mayoría de las empresas actúan con diligencia para mantener una política de seguridad eficiente y eficaz que implemente los productos y servicios más recientes para evitar fraudes, vandalismo, sabotaje y DoS (Denial of Service).

A pesar de este hecho, varias empresas no ponen el énfasis adecuado en un ingrediente clave para el éxito de una política de seguridad: verificar que las redes y los sistemas de seguridad funcionan según lo previsto.

Las actividades de las Network Penetration Test, que utilizan herramientas y métodos para escanear la infraestructura de la red en busca de vulnerabilidades, ayudan a dar el toque final a una política de seguridad corporativa, identificando las vulnerabilidades y asegurando que la implementación de la seguridad realmente proporciona la protección que la empresa exige y necesita.

Realizar regularmente pruebas de penetración ayuda a las empresas a descubrir los puntos débiles de la seguridad de su red, que pueden llevar a comprometer o destruir datos y equipos por medio de ataques de Exploit, Virus, Trojan, Denial of Services y otras intrusiones. El análisis puede mostrar otras vulnerabilidades que pueden ser introducidas por parches y actualizaciones o por errores en el Server, Router y Firewall.

Breve Network Penetration Test:

• La mayoría de los sistemas expuestos se analizan en busca de vulnerabilidades desde el exterior o el interior de la red.
• Las vulnerabilidades identificadas se explotan para violar el perímetro de la red.
• Se inspeccionan los sistemas internos en busca de vulnerabilidades adicionales que permitan obtener un mayor acceso a los datos e infraestructuras.
• Este proceso se repite siempre que dé resultados.

Especificaciones del servicio de Network Penetration Test

El servicio de Network Penetration Test es realizado por profesionales cualificados según metodologías reconocidas internacionalmente, como el OSSTMM (Open Source Security Testing Methodology Manual, una guía Open Source para la ejecución de pruebas de seguridad para infraestructuras y ciberactivos), adecuadas a las necesidades específicas del cliente y al área de ataque.

Cada servicio de ISGroup se personaliza según las necesidades del cliente y puede integrarse con nuestros otros servicios y productos. Un NPT puede centrarse en elementos puramente técnicos, pero incluso puede ampliarse a personas, procesos (Social Engineering) y aspectos de seguridad física. El cliente decidirá cuáles son los aspectos más importantes de la actividad y hacia dónde dirigir el esfuerzo del equipo de ataque.

Todas las tareas y técnicas más críticas son llevadas a cabo por investigadores de alto nivel para garantizar la máxima profesionalidad, de modo que no se produzcan daños ni en la infraestructura ni en los datos.

Los resultados de las actividades de prueba se resumen y presentan en el Report, un documento sencillo y detallado formado por tres secciones principales.

Desde el exterior (External PT) o el interior (Internal PT) de la red y con el nivel de información deseado elegido por el cliente (Black Box, Grey Box y White Box) para simular diferentes escenarios de ataque.

Escenarios de Network Penetration Tests

ISGroup realiza sus propias pruebas según las siguientes modalidades operativas:

Internal PT
Las pruebas se realizan dentro de la red empresarial.

External PT
Las pruebas se realizan de forma externa a la red empresarial.

Además, es posible diversificar entre las pruebas de Black Box, Grey Box y White Box, según la información proporcionada sobre los sistemas que tenemos que atacar. He aquí algunos ejemplos y conjuntos:

External PT Black Box
Simula un atacante aleatorio o externo (por ejemplo, un competidor) pero sin acceso a la información y las credenciales de la empresa.

Internal PT Black Box
Simula un atacante que tiene acceso físico (como un consultor externo o un visitante en una sala de reuniones) o remoto (como el ordenador de un secretario en peligro) a la red de la empresa.

External PT White Box
Intenta socavar los componentes expuestos externamente para entender qué nivel de acceso puede obtener un atacante a los demás activos corporativos.

Internal PT Black Box
Simula un atacante que tiene acceso físico (como un consultor externo o un visitante en una sala de reuniones) o remoto (como el ordenador de un secretario en peligro) a la red de la empresa.

Wireless Penetration Test
Simula un atacante que tiene acceso físico (como un consultor externo o un visitante en una sala de reuniones) o remoto (como el ordenador de un secretario en peligro) a la red de la empresa.

Social Engineering
En lugar de atacar únicamente los aspectos técnicos, se ataca el componente humano con técnicas de manipulación. Intentamos inducir a las personas a realizar acciones o a revelar información.

Output

El Report es un documento sencillo y detallado que resume los resultados de la actividad y se divide en tres áreas diferentes, como se ha descrito anteriormente:

Executive Summary
Se coloca al principio del Report y no tiene más de una página. Consiste en una visión general no técnica, destinada a Management.

Vulnerability Details
Consiste en una parte técnica que describe en detalle las vulnerabilidades descubiertas y su impacto. Está dedicado al Security Manager.

Remediation Plan
Una sección técnica con instrucciones detalladas y precisas sobre cómo resolver los problemas identificados. Dedicado al System Administrator.