Pentesting: ¿Cómo funciona el ‘hackeo ético’? 

Cuando pensamos en hackers generalmente nos imaginamos a piratas informáticos que intentan entrar a los sistemas de las compañías para robar información y causar daños.

Pero lo que muchas compañías no saben es que para prevenir la llegada de estos cibercriminales antes descritos, es fundamental pensar como ellos y actuar de forma anticipada. Contratar un hacker en la actualidad es clave para procurar la seguridad de las compañías. 

Según un estudio replicado por Strike, compañía global de ciberseguridad, en Colombia durante el 2021 se presentaron 11.2 mil millones de intentos de ciberataques, posicionando a este país como uno de los que mayor incidencia tuvo a estos ataques.

¿Cómo protegerse? Strike explica en 5 puntos la forma en la que funciona el hacking ético:

1. ¿Que es el Pentesting o Penetration Test?

Strike explica que se trata del proceso en el que un ‘hacker ético’ entra a los sistemas de una compañía, pero con el objetivo de encontrar posibles vulnerabilidades que un pirata informático podría explotar.

2. ¿Quiénes lo hacen?

Este proceso está a cargo de hackers éticos llamados ‘Strikers’, que realizan el pentesting de forma 100% manual. Durante todo el proceso, están en constante comunicación con la empresa para darles a conocer las vulnerabilidades detectadas.

3. ¿Qué sucede tras el análisis?

Como resultado, se realiza un reporte con todas las vulnerabilidades halladas, categorizadas según el peligro que representan, para que la empresa pueda arreglarlas en el periodo que considere apropiado.

4. ¿Cuántos tipos de pentesting existen?

No hay una forma única de realizar una prueba de pentesting. Hoy en día hay tres principales métodos:

• Black Box Testing: donde se ponen a prueba las funcionalidades del sistema pero sin mirar la estructura del código interno. 
• White Box Testing: se inspecciona el código, la infraestructura e integraciones con sistemas externos de la compañía.
• Grey Box Testing: es una combinación de las dos anteriores en la cual el Striker realiza pruebas en los sistemas con un conocimiento parcial de las funciones internas del mismo. 

5. ¿Cada cuánto debo hacer un pentesting?

Todo depende de las intenciones que tenga la compañía. Strike recomienda realizarlo mediante dos esquemas principalmente:

• One-Shot Pentesting: Orientado a startups que no tengan un equipo de ciberseguridad y busquen reportes de Compliance.
• Pentesting Continuo: está orientado a grandes empresas que buscan una solución completa de pentesting que se realice de forma periódica.