Tema 3
Una metodología convierte una prueba de penetración en un proceso repetible, ordenado y defendible. Ayuda a cubrir lo importante, evitar improvisaciones peligrosas y comunicar resultados con criterios claros de riesgo e impacto.
Un pentest profesional no debería depender únicamente de la intuición del evaluador. La experiencia es importante, pero necesita un marco que ordene el trabajo: qué se revisa, en qué secuencia, con qué profundidad, cómo se documenta y cómo se prioriza.
Las metodologías de pentesting ofrecen esa estructura. No son recetas rígidas ni reemplazan el criterio técnico, pero reducen omisiones, mejoran la comunicación con el cliente y permiten justificar decisiones durante la prueba.
En este tema veremos cómo usar metodologías como PTES, OWASP y NIST, y cómo combinarlas con un enfoque basado en riesgo para que la evaluación responda a lo que realmente importa en cada entorno.
Sin metodología, una prueba puede convertirse en una secuencia desordenada de herramientas. Eso suele producir reportes incompletos, hallazgos mal priorizados y baja trazabilidad entre objetivo, técnica, evidencia e impacto.
Una metodología aporta:
Una metodología útil debe ayudar a responder preguntas concretas antes, durante y después de la evaluación.
| Momento | Pregunta clave | Resultado esperado |
|---|---|---|
| Antes de probar | ¿Qué se evalúa y bajo qué límites? | Alcance, reglas de compromiso y plan de trabajo |
| Durante el reconocimiento | ¿Qué información permite entender la superficie de ataque? | Mapa de activos, tecnologías, servicios y dependencias |
| Durante la validación | ¿Qué vulnerabilidades son explotables y con qué impacto? | Evidencia controlada y análisis de riesgo |
| Durante el reporte | ¿Qué debe corregirse primero y por qué? | Hallazgos priorizados y recomendaciones accionables |
| Después del cierre | ¿Las correcciones fueron efectivas? | Retesting y mejora continua |
PTES es un estándar orientado a ordenar la ejecución de pruebas de penetración. Su valor está en presentar una visión completa del ciclo de trabajo, desde la interacción inicial con el cliente hasta el reporte final.
Las fases más conocidas de PTES son:
PTES es especialmente útil para pruebas amplias, porque obliga a pensar en negocio, amenazas, impacto y documentación, no solo en explotación.
Aplicar PTES no significa seguir una lista de tareas de forma mecánica. Significa usar sus fases para no perder dimensiones importantes del trabajo.
OWASP es una referencia central para seguridad de aplicaciones. Aunque es muy conocido por el OWASP Top 10, su valor para pentesting web y de APIs va más allá de esa lista.
Para pruebas profesionales, OWASP aporta guías, categorías de riesgo, criterios de verificación y documentación útil para evaluar aplicaciones web, APIs, autenticación, autorización, sesiones, entrada de datos, lógica de negocio y configuración segura.
El OWASP Top 10 es útil para comunicar riesgos frecuentes, pero no debe tratarse como una lista completa de todo lo que puede fallar en una aplicación. Sirve como punto de partida, no como techo metodológico.
Un pentest web que solo revise las categorías del Top 10 puede omitir fallas específicas de lógica de negocio, integraciones internas, reglas de autorización particulares, abuso de flujos o condiciones propias del contexto.
| Uso correcto | Uso insuficiente |
|---|---|
| Tomarlo como marco de riesgos comunes | Creer que todo riesgo web está dentro del Top 10 |
| Complementarlo con pruebas manuales | Marcar casillas sin validar impacto real |
| Usarlo para explicar hallazgos al cliente | Reemplazar la metodología completa por una lista corta |
| Adaptarlo al tipo de aplicación | Aplicarlo igual a un sitio simple, una API crítica y un sistema financiero |
La Web Security Testing Guide de OWASP organiza pruebas por áreas. Es especialmente útil para construir checklists de cobertura cuando se evalúa una aplicación web.
Entre sus áreas habituales se incluyen:
ASVS, Application Security Verification Standard, es útil cuando se necesita evaluar controles de seguridad de forma más estructurada. A diferencia de una prueba puramente exploratoria, ASVS permite medir requisitos verificables.
Puede usarse en pentesting, revisión de arquitectura, desarrollo seguro y validación de controles. En un curso de pentesting, conviene verlo como una referencia para no limitarse a encontrar fallas, sino también comprobar si los controles esperados existen y funcionan.
NIST aporta guías y marcos ampliamente usados para gestión de ciberseguridad, evaluación de controles y pruebas técnicas. En pentesting, resulta útil porque conecta la actividad ofensiva con gestión de riesgo, controles, documentación y mejora continua.
Mientras PTES se enfoca en la ejecución del pentest y OWASP en aplicaciones, NIST ayuda a ubicar la prueba dentro de un programa de seguridad más amplio: identificar, proteger, detectar, responder y recuperar.
| Marco | Enfoque | Uso en pentesting |
|---|---|---|
| PTES | Ejecución de pruebas de penetración | Organizar fases del trabajo ofensivo |
| OWASP | Seguridad de aplicaciones y APIs | Guiar pruebas web, APIs y verificación de controles |
| NIST | Gestión de riesgo, controles y ciberseguridad organizacional | Vincular hallazgos con controles, impacto y mejora continua |
NIST SP 800-115 es una guía técnica para pruebas y evaluación de seguridad de la información. Presenta actividades como revisión, análisis, identificación de vulnerabilidades, pruebas de penetración y documentación de resultados.
Su valor está en que trata las pruebas como parte de un proceso formal, no como una actividad aislada. Esto encaja bien en organizaciones que necesitan justificar evaluaciones ante auditoría, cumplimiento, gestión de riesgo o dirección.
Un enfoque basado en riesgo prioriza lo que puede afectar más al negocio, a los usuarios, a los datos o a la continuidad operativa. Esto evita invertir demasiado tiempo en hallazgos de bajo impacto mientras quedan sin revisar rutas críticas.
El riesgo surge de combinar varios factores:
La severidad técnica describe la gravedad de una vulnerabilidad en términos generales. El riesgo real depende del contexto. Un hallazgo puede tener una puntuación alta en una base de datos pública, pero representar bajo impacto si el activo está aislado, monitoreado y sin datos sensibles. También puede ocurrir lo contrario.
| Hallazgo | Severidad técnica | Contexto | Riesgo real |
|---|---|---|---|
| Servicio vulnerable en laboratorio aislado | Alta | Sin acceso desde redes productivas | Moderado o bajo |
| Contraseña débil en cuenta administrativa | Media | Acceso remoto expuesto y sin MFA | Crítico |
| Panel interno sin control de acceso correcto | Alta | Permite modificar datos de clientes | Crítico |
| Cabecera HTTP faltante | Baja | No habilita explotación directa en el flujo evaluado | Bajo |
No existe una única metodología correcta para todos los proyectos. La elección depende del tipo de objetivo, el alcance, la madurez del cliente, los requisitos regulatorios, el tiempo disponible y el nivel de profundidad esperado.
Adaptar una metodología no significa recortarla al azar. Significa ajustar profundidad, orden y técnicas al contexto del proyecto sin perder trazabilidad ni cobertura mínima.
Una adaptación responsable debería documentar:
Un checklist ayuda a mantener orden, siempre que no se use como sustituto del análisis. Para una prueba profesional, al menos debería cubrir estos puntos:
Supongamos una evaluación de una plataforma web con API, autenticación corporativa y despliegue en cloud. Una combinación razonable podría ser:
Este enfoque evita depender de una sola guía y permite que el plan de trabajo refleje la arquitectura real.
Las metodologías profesionales no existen para limitar el trabajo técnico, sino para hacerlo más consistente y útil. Un pentest bien organizado identifica vulnerabilidades, valida impacto, prioriza por riesgo y comunica resultados de forma que la organización pueda actuar.
En el próximo tema prepararemos el laboratorio, las máquinas vulnerables y el entorno de trabajo seguro que usaremos para practicar sin afectar sistemas reales ni salir del marco ético del curso.