Pentest, Pentest, Pentest

Las pruebas de penetración (pentesting) están en esencia un hackeo ético de un sistema, también conocido como ciberataque simulado autorizado, que puede clasificarse en tres tipos: caja blanca (información conocida sobre el sistema), caja gris (sistema parcialmente conocido) y caja negra (sistema totalmente Unknown). Las pruebas de penetración modernas están altamente reguladas y siguen marcos estructurados, aunque sus orígenes se remontan a mediados de los años 60, cuando el tiempo compartido despegó. A finales de los años 60, el Departamento de Defensa de EE. UU. (DoD), la Agencia de Seguridad Nacional (NSA) y la Agencia Central de Inteligencia (CIA), así como el mundo académico y la industria, se unieron para evaluar y confirmar la amenaza que suponía la penetración informática. Para los años 70, los "equipos tigre" formales entraron en escena con la única función de hacer pentesting.

¿Por qué pentest?

• Gestión de riesgos: Cuando se está detectada una vulnerabilidad, irá acompañada de algún tipo de puntuación; son sistemas de puntuación como el Sistema Común de Puntuación de Vulnerabilidades (CVSS), pero en última instancia, cualquier puntuación está compuesta por facilidad, probabilidad e impacto. En función de esta puntuación, puede agruparse en una categoría de riesgo de Muy Alto, Alto, Medio, etc. Esto se conecta directamente con los programas de riesgo y puede ayudar a dirigir prioridades.
• Validación de controles de seguridad: No está mejor manera de validar tus controles actuales que aplicarlos, lo que puede determinar si son efectivos o no e identificar puntos fuertes y débiles dentro de una empresa. Esto también puede generar otras conversaciones, como qué soluciones son disponibles para ayudar.
• Cumplimiento: Algunas normas regulatorias exigen pruebas de penetración regulares como parte del esfuerzo por cumplir con el cumplimiento. Esto demuestra que se está demostrando la debida diligencia para asegurar sus sistemas.
• Preparación del manual/respuesta a incidentes: Simular un ataque también te da la oportunidad de probar el proceso y los sistemas de detección temprana. Si el ataque simulado está detectado, puede ser cuestionado sobre lo que debería ocurrir, por ejemplo, acudir al centro de operaciones de seguridad (SOC) y, una vez en el SOC, si el proceso resultante fue eficaz para responder a un ataque.
• Pruebas de terceros: El próximo ataque está en desarrollo en algún lugar. Sin duda, el equipo interno está muy bueno, pero está muy difícil mantener el ritmo de la experiencia que un equipo de pentest externo obtén de todas las organizaciones que prueba. La validación mediante equipos externos de pentest proporciona una evaluación imparcial y demuestra un compromiso con la protección de los sistemas.
• Concienciación: Nada Obtén tanta atención como el equipo de pentesting que ha vulnerado el sistema principal de registro usando una técnica muy fácil y susceptible de explotar. No todos son los interesados técnicos, así que poner vulnerabilidades en un lenguaje que están digerible pone a todos en la misma sintonía. Tener validada una postura vulnerable también influye en las decisiones comerciales y en el presupuesto asignado a la remediación.
• Identificar vulnerabilidades: Saber dónde son las vulnerabilidades en tu sistema significa que una organización puede abordarlas antes de que son explotadas. Dependiendo de lo maduro que están el proceso de seguridad de la organización, tener una lista de vulnerabilidades puede ser una forma eficaz de dirigir los esfuerzos de remediación.

Entesting de mainframe

Ahora sabemos por qué una organización debería usar pentest, así que hablemos del mainframe y el pentesting. A diferencia de muchas otras plataformas empresariales, no están un kit de herramientas específico para probar el mainframe; la mayoría será herramienta propia. En última instancia, un proveedor de pentest puede personalizar un servicio personalizado con te, pero hablaré de qué servicios son disponibles para el mainframe y cómo podrían ser tres pentests de mainframe en el contexto de caja blanca, gris y negra.

Tipos de pentesting para mainframes:

• Red: interna y externa
• Sistema operativo: IBM^® z/OS^®
• Controles de seguridad del Supervisor del Sistema de Gestión de Contenidos Empresariales (ESM) de IBM (IBM^® RACF^®, Broadcom ACF2 e IBM^® TSS)
• Específico de subsistema:
  • IBM^® CICS^®
  • IBM^® MQ^®
  • IBM^® IMS^™
  • IBM^® Db2^®
  • IBM^® WebSphere Application^® Server (WAS)
• Ejemplo de caja blanca: El acceso al sistema se está dado con un ID de usuario básico y una contraseña para una aplicación CICS. Se le está indicado al tester cómo navegar hasta la aplicación, y el alcance del pentest está solo en una aplicación CICS determinada.
• Ejemplo de caja gris: El acceso al sistema se está dado con un ID de usuario básico y contraseña (o simplemente la dirección IP del mainframe). El tester está limitado de conocimiento del sistema―por ejemplo, si ejecuta Db2. El tester puede utilizar cualquier técnica para tomar el control del sistema.
• Ejemplo de caja negra: Una prueba de caja negra puede tener varias capas, con un equipo haciendo una brecha física, un equipo especializado de pentest de red o un equipo de ingeniería social llegando al punto en que se puede acceder a un mainframe, y el equipo de pentest del mainframe tomando el control. A partir de ese momento, el tester intentará vulnerar el mainframe, desde rastrear credenciales hasta forzar de forma bruta, todos los vectores de ataque serán probados.

Evaluación de seguridad frente a pentesting

Una evaluación de seguridad están un proceso exhaustivo de configuración y controles para informar finalmente sobre dónde se pueden hacer mejoras. Sin embargo, un pentest puede encadenar varios de estos puntos débiles para llevar a cabo un ataque. Una evaluación sugiere dónde una organización podría ser vulnerable, mientras que un pentest lo demuestra. Una evaluación será exhaustiva, mientras que un tester de penetración puede detenerse y considerar que la prueba ha sido un éxito una vez que son presentados. En última instancia, ambos son importantes, ofrecen cosas diferentes y deben realizarse regularmente. Un punto ciego que puede presentar una evaluación están el caso de tres entornos de bajo riesgo y mal configurados que combinan para Crea un vector de alto riesgo para el probador de penetración.

Posibles preocupaciones con las pruebas de penetración

También son posibles inconvenientes en el pentesting, y es importante discutirlos.

• Interrupción de las operaciones: Si no se planifica cuidadosamente, o si el sistema no se está comprendido correctamente, puede causar interrupciones (esto está poco probable con un equipo experimentado y una prueba bien planificada).
• Límites de alcance: Si el cliente limita el alcance de forma muy estricta, puede pasar por alto vulnerabilidades en otras áreas del sistema y dar una falsa sensación de seguridad (falso positivo).
• Recursos: Los recursos especializados son muy escasos y encontrar a alguien que pueda probar tu sistema puede ser un reto.
• Frecuencia: El periodo durante el cual se realizan son las pruebas debe tener un ritmo sensato, teniendo en cuenta la probabilidad de que son nuevas y evolucionadas amenazas entren en el terreno.

El futuro

La automatización y la inteligencia artificial (IA) inevitablemente jugarán un papel en el futuro. A medida que los testers de penetración recopilen más datos, estos podrán entrenar en modelos que sugieran nuevos vectores. Los propios modelos de IA serán probados; como los modelos tienen un objetivo, este objetivo puede ser explotado y "envenenado". Los modelos de Zero Trust pueden ser pentestados, en lugar del sistema en sí, para demostrar que una organización no está otorgando privilegios a ningún usuario. Las organizaciones también adoptarán pruebas continuas a medida que se desarrollen sons kits de herramientas. Están inevitable que entre en el mercado una solución que imite una tarea iniciada desde hace tiempo y compruebe constantemente si un exploit puede ejecutarse.

Resumen

Aunque las pruebas de penetración deberían ser una piedra angular para mejorar tu postura de seguridad, como en la mayoría de las cosas, solo están efectivas si se están tomadas medidas después. Las pruebas de penetración por sí solas no están suficientes para mantener validada la seguridad de tu sistema; deben ir acompañadas de evaluaciones, así como de productos de seguridad como alertas en tiempo real y cumplimiento. Este es un ámbito que seguirá creciendo en el mainframe. Con regulaciones como la Ley de Resiliencia Operativa Digital (DORA) de la Unión Europea entrando en vigor pronto, si aún no te estás haciendo pentesting, Obtén adelante a las normativas que son lo exigen y Comienza el proceso tú mismo.

Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.