Metodologías de Penetration Testing: PTES, OWASP y NIST Explicadas

Esta guía proporciona todo lo que necesita para comprender, definir el alcance y ejecutar este tipo de pruebas, con orientación práctica que puede aplicar de inmediato.

PTES: Penetration Testing Execution Standard

PTES proporciona un marco de trabajo integral para realizar pruebas de penetración, que abarca siete fases: interacciones previas al compromiso, recopilación de inteligencia, modelado de amenazas, análisis de vulnerabilidades, explotación, post-explotación e informes. Es la metodología más comúnmente referenciada en pentesting general y proporciona directrices técnicas detalladas para cada fase.

OWASP Testing Guide

La guía de pruebas OWASP es la referencia estándar para el pentesting de aplicaciones web. Proporciona casos de prueba detallados organizados por categoría: recopilación de información, pruebas de configuración, gestión de identidades, autenticación, autorización, gestión de sesiones, validación de entrada, manejo de errores, criptografía, lógica empresarial y pruebas del lado del cliente. Para el pentesting de aplicaciones web y APIs, OWASP es la metodología que los auditores esperan con más frecuencia.

NIST SP 800-115

La publicación especial NIST 800-115 proporciona directrices para las pruebas y la evaluación de la seguridad de la información. Es la metodología más comúnmente referenciada en contextos gubernamentales y de atención médica, y se alinea con los requisitos de HIPAA y FedRAMP. NIST SP 800-115 cubre la planificación, el descubrimiento, la ejecución del ataque y la presentación de informes.

Qué metodología seguir

Para aplicaciones web y APIs: OWASP Testing Guide. Para pruebas generales de infraestructura y red: PTES. Para el sector sanitario y gubernamental: NIST SP 800-115. Para entornos en la nube: CSA Cloud Penetration Testing Playbook junto con la metodología de aplicación/infraestructura pertinente. La mayoría de los proveedores profesionales de pentest combinan elementos de múltiples marcos de trabajo en función del alcance del compromiso.

Documentación para el cumplimiento

Su informe de pentest debe hacer referencia a la metodología seguida. Los auditores no exigen una metodología específica en la mayoría de los marcos, pero sí esperan un enfoque documentado y reconocido. Penetrify documenta la metodología de prueba en cada informe, haciendo referencia a OWASP, PTES y NIST según corresponda al alcance del compromiso.