Por Josué García 
- Linux/Security Engineer
- Alumno de la 8ª edición del Máster en Ciberseguridad del Campus Internacional de Ciberseguridad.
Por Josué García
- Linux/Security Engineer
- Alumno de la 8ª edición del Máster en Ciberseguridad del Campus Internacional de Ciberseguridad.
En este documento se muestra la compilación de herramientas de software que existen actualmente para la exploración y análisis de información obtenida con base en automatizaciones de escaneo dirigidas a servicios y entornos digitales conectados en red, además de su respectiva clasificación y relación con las fases de un test de penetración (Pentesting).
¿Innovación Tecnológica o Ciberseguridad?
La constante innovación e irrupción en las tecnologías de la información y comunicaciones trae consigo una serie de retos, tendencias y necesidades para los sectores público, privado y ONGs a nivel mundial. En la actualidad, la mayoría de actores directos e indirectos que son parte de esta gran revolución, se encuentran en un gran dilema entre priorizar sus adopciones enfocadas hacia la innovación tecnológica o hacia la ciberseguridad, ¿selección binaria? ¿desarrollo de ambas en paralelo?
Gracias a la era digital que nos envuelve, acompaña, y al mismo tiempo exige participar activamente en la incorporación y aprovechamiento de las TICs, es indispensable consolidar ambos conceptos de innovación y ciberseguridad sobre cualquiera de los proyectos internos o externos que sean desarrollados en las organizaciones. Definitivamente es fundamental iniciar, planificar, ejecutar y cerrar proyectos embozados con la innovación tecnológica, pero también acompañado de los elementos de ciberseguridad que sumen a la fortificación, seguridad, monitoreo, respaldo, resguardo, resiliencia, disponibilidad, confidencialidad e integridad de los activos de información.
Una organización de cualquier sector nace, crece y se desarrolla en forma globalizada, adquiriendo implícitamente riesgos tecnológicos debido al procesamiento de datos on-premise, en la nube pública, en la nube privada y/o en esquemas hibridos. La manipulación e intercambio de datos de forma inconsciente, indiscriminada o irracional podría derivar en impactos financieros, de reputación, sociales o políticos para una organización, supeditado en la operación de sistemas informáticos no seguros
¿Por qué considerar la ciberseguridad?
A partir de la nueva ola de servicios en internet llamada “web 2.0” (término utilizado por Tim O’Reilly en octubre de 2004) y su amplio contenido de aplicaciones web repletas de semántica, multimedia, folcsonomía, redes sociales, colaboración online, datos abiertos, blogs, wikis, etc se propagaron intempestivamente diversos tipos de ciberataques informáticos en la world wide web, generando entonces, uno de los más grandes retos en materia de protección de infraestructuras e información digital. Al concepto que engloba los términos y sus implicaciones de ataque, defensa y contra-ataque informático dentro de una red pública o privada se le conoce como ciberseguridad.
El diseño de arquitectura, calidad y tiempos de respuesta de las estrategias, plataformas y mecanismos como respuesta a incidencias digitales en internet, son directamente proporcionales a la clasificación de criticidad y priorización de la información que cada una de las organizaciones realizan.
Según la “Encuesta Global de Seguridad de la Información 2021” [1], la situación y complicaciones que atrajo la pandemia por COVID-19 ha preocupado en demasía a las organizaciones, reflejándose en el dato interesante que sitúa sólo al 9% de los CISOs con plena confianza sobre las medidas de mitigación de riesgos de ciberseguridad en su organización, disminuyendo significativamente respecto al 20% que se tenía en 2020 (inicio de pandemia).
¿Por qué hacer pentesting en nuestras organizaciones?
El pentesting muchas veces es visto como un simple análisis de vulnerabilidades que se puede cubrir con cualquier herramienta del mercado y que no requiere un seguimiento o tiene un ciclo de vida, esto debido a falta de conciencia por parte de áreas organizacionales estratégicas que no están convencidas de una inversión en el sector para proteger lo más valioso que hoy en día cualquiera puede tener: la información.
A menudo que avanza la tecnología con la tecnificación de infraestructuras tecnológicas, sistemas de aplicaciones, datos en la nube, entrega e interacción de servicios entre organizaciones y usuarios, es importante incrementar nuestra protección en seguridad informática, ya que la omisión incluso puede atraer problemas de índole legal en términos de transparencia y uso de datos personales en la mayoría de países del mundo. Derivado de la pandemia por COVID-19, el trabajo y sus formas han dado un giro impresionante, ya que ahora las organizaciones han tomado ciertas medidas forzadas de alguna forma para trabajar desde casa o en forma hibrída (forzado al inicio por razones de contagio); pero que ahora son una realidad que incrementa el nivel de riesgos y posibles brechas de seguridad que puede traer consigo estos esquemas.
Al trabajar usuarios desde casa y conectarse a redes VPN o cualquier tipo de tunnelización para acceder a sistemas en nube o en infraestructuras propias de las organizaciones, los datos sensibles e importantes quedan expuestos y sujetos muchas veces a las condiciones que tenga el propio empleado en su casa, en un café público y redes externas no supervisadas por la organización.
Si bien, pentestIO en su versión inicial es una herramienta auxiliar debido a que el portafolio de soluciones e incluso procesos que debe considerar un test de intrusión, es sin duda mucho más amplio que una simple herramienta, pentestIO pretende apoyar de forma directa una vez obtenida toda la definición de alcance y objetivos estratégicos del proyecto de seguridad informática.
Esta herramienta brinda velocidad al momento de ejecutar las fases básicas de un test de intrusión desde un punto de vista técnico, requieriendo una mínima curva de aprendizaje para incluso ser utilizada por personal interno de la organización con conocimientos básicos computacionales. También, al ser una herramienta concebida con filosofía de software libre (open source), se puede convertir en una utilidad valiosa para reducir la inversión en proyectos de este tipo por parte de la organización.
[1] Encuesta Global de Seguridad de la información 2021
Si quieres ver el proyecto completo de Josue, rellena el formulario y te lo mandamos a tu correo electrónico.
¿Quieres obtener el mismo conocimiento que Josué?
