Tema 1
El pentesting es una evaluación autorizada que utiliza técnicas ofensivas para descubrir debilidades reales antes de que puedan ser aprovechadas por un atacante. Su valor no está en "romper" sistemas, sino en medir riesgo, demostrar impacto y orientar mejoras concretas.
La ciberseguridad no se limita a instalar controles defensivos. También necesita comprobar si esos controles resisten escenarios reales. El pentesting, o prueba de penetración, cumple esa función: simula acciones de un atacante dentro de un alcance autorizado para identificar vulnerabilidades, evaluar su impacto y proponer correcciones.
El ethical hacking aplica conocimientos ofensivos con permiso explícito, límites definidos y propósito defensivo. La diferencia entre una actividad profesional y una intrusión ilegal no está solo en la técnica, sino en la autorización, el alcance, la documentación, la responsabilidad y el objetivo de reducir riesgo.
Este primer tema establece el marco conceptual del curso. Antes de estudiar herramientas, escaneo, explotación, post-explotación o reporting, es necesario entender qué problema resuelve una prueba de penetración y qué responsabilidades tiene quien la ejecuta.
El pentesting es una evaluación técnica y controlada que busca descubrir, validar y comunicar vulnerabilidades explotables en sistemas, aplicaciones, redes, identidades, servicios cloud o procesos tecnológicos.
Una prueba de penetración profesional no se queda en listar fallas detectadas por una herramienta. Intenta responder preguntas más útiles para una organización:
Ethical hacking significa usar técnicas de hacking con autorización y con un propósito legítimo: mejorar la seguridad. La palabra "ético" no es decorativa. Implica respetar límites, proteger datos, evitar daños, reportar hallazgos con responsabilidad y actuar dentro de un marco legal.
Un hacker ético puede realizar tareas de reconocimiento, análisis, validación de vulnerabilidades, explotación controlada y documentación. Pero todas esas actividades deben estar acordadas previamente con el dueño del sistema o con quien tenga autoridad para autorizar la prueba.
| Aspecto | Hacking ético | Actividad no autorizada |
|---|---|---|
| Permiso | Existe autorización explícita | No existe autorización válida |
| Alcance | Está documentado y limitado | Se actúa sin límites acordados |
| Objetivo | Reducir riesgo y mejorar defensas | Obtener acceso, dañar, espiar o beneficiarse indebidamente |
| Evidencia | Se registra lo necesario para demostrar el hallazgo | Puede extraerse o alterar información sin control |
| Cierre | Se entrega reporte y se apoya la remediación | No hay rendición de cuentas profesional |
La seguridad ofensiva es el conjunto de prácticas que evalúan la seguridad desde la perspectiva de un adversario. Incluye pentesting, red teaming, pruebas de ingeniería social autorizada, simulación de adversarios, análisis de exposición y validación de controles defensivos.
Su propósito es revelar debilidades que podrían pasar desapercibidas en auditorías puramente documentales o en revisiones defensivas. Al adoptar una mentalidad ofensiva, se busca entender cómo se encadenan fallas pequeñas hasta producir un impacto mayor.
Un pentest debe tener objetivos claros. Sin objetivos, la prueba se vuelve una colección de acciones técnicas sin dirección. Los objetivos permiten definir alcance, esfuerzo, profundidad y criterios de éxito.
Comprender los límites del pentesting evita expectativas incorrectas. Una prueba de penetración no reemplaza todas las prácticas de seguridad ni garantiza que un sistema sea invulnerable.
Estos términos suelen mezclarse, pero no significan lo mismo. Diferenciarlos ayuda a elegir el tipo de evaluación adecuado para cada necesidad.
| Actividad | Propósito | Resultado típico |
|---|---|---|
| Análisis de vulnerabilidades | Detectar debilidades conocidas y configuraciones inseguras | Listado de hallazgos con severidad y recomendaciones |
| Pentesting | Validar vulnerabilidades explotables e impacto real | Reporte con evidencia, rutas de ataque y prioridades |
| Auditoría de seguridad | Revisar controles contra políticas, normas o requisitos | Brechas de cumplimiento y plan de corrección |
| Red team | Simular adversarios para evaluar detección y respuesta | Lecciones sobre exposición, defensa y capacidad operacional |
Una prueba puede diseñarse con distintos niveles de información entregada al equipo evaluador. Cada enfoque cambia el realismo, la velocidad y la profundidad del análisis.
Ningún enfoque es universalmente mejor. La elección depende del objetivo de negocio, el presupuesto, el tiempo disponible y el nivel de riesgo aceptable durante la prueba.
El pentesting puede aplicarse a distintos entornos. Cada ámbito requiere conocimientos, herramientas, riesgos y criterios de validación específicos.
Aunque cada metodología tiene sus propios nombres, una prueba de penetración suele recorrer fases comunes. En este curso las estudiaremos con más detalle en temas posteriores.
El alcance define qué se puede probar, qué queda fuera, con qué profundidad y bajo qué restricciones. Es uno de los elementos más importantes de una prueba profesional porque protege tanto al cliente como al equipo evaluador.
Un alcance claro debería indicar:
El conocimiento ofensivo puede causar daño si se usa sin criterio. Por eso la ética no es un tema secundario del curso: es una condición de trabajo. Quien realiza un pentest puede ver información sensible, detectar fallas críticas o generar impacto operativo si actúa con descuido.
Un hallazgo técnico solo es útil si se entiende su riesgo. Para eso hay que relacionar vulnerabilidad, probabilidad, impacto, contexto y evidencia. No todas las vulnerabilidades con nombre conocido tienen el mismo peso en todos los entornos.
Por ejemplo, una credencial débil en una cuenta sin privilegios y aislada no tiene el mismo impacto que una credencial débil con acceso administrativo a infraestructura crítica. Del mismo modo, un panel expuesto puede ser poco relevante si tiene autenticación robusta, o crítico si permite restablecer usuarios sin control.
La evidencia debe demostrar el hallazgo sin exponer datos innecesarios. Una captura parcial, un identificador de sistema, una respuesta controlada o una prueba de acceso limitada suelen ser suficientes para respaldar el reporte.
Las herramientas son importantes, pero no sustituyen el criterio. Escáneres, proxies, frameworks, scripts, clientes de red y utilidades de enumeración aceleran el trabajo, aunque también pueden producir falsos positivos, falsos negativos o impactos no deseados si se usan sin entender qué hacen.
Un pentester profesional necesita interpretar resultados, validar hipótesis, leer documentación técnica, entender protocolos y adaptar la prueba al contexto. La herramienta muestra una posibilidad; el criterio determina si esa posibilidad representa riesgo real.
| Recurso | Uso esperado | Riesgo de uso incorrecto |
|---|---|---|
| Escáneres | Detectar exposición y vulnerabilidades conocidas | Ruido, falsos positivos o carga excesiva |
| Proxies web | Analizar peticiones, sesiones y flujos de aplicación | Modificar datos sin control o perder trazabilidad |
| Frameworks | Validar pruebas conocidas en entornos autorizados | Ejecutar módulos con efectos no entendidos |
| Scripts propios | Automatizar tareas repetitivas o validaciones específicas | Errores lógicos, impacto operativo o exposición de datos |
El éxito de una prueba de penetración no se mide por la cantidad de sistemas comprometidos ni por la espectacularidad de una demostración. Se mide por la utilidad del resultado para reducir riesgo.
Este tema presenta la base conceptual. En los próximos temas avanzaremos por el ciclo completo de una prueba profesional, desde el marco legal y metodológico hasta las técnicas de evaluación en distintos entornos.
El pentesting y el ethical hacking son disciplinas prácticas, pero no empiezan con herramientas. Empiezan con autorización, objetivos, límites y responsabilidad. La técnica tiene valor cuando ayuda a comprender riesgo y a mejorar defensas reales.
En el próximo tema estudiaremos con más detalle la ética, la legalidad, la autorización formal y las reglas de compromiso que deben existir antes de ejecutar cualquier prueba.