Tester Jobs Requirements (VIDEO GAME)

No s� vosotros, pero yo seg�n voy auditando labs o entornos reales voy a�adiendo cont�nuamente a mis procedimientos de pentesting nuevas t�cnicas y herramientas. Pienso que cada auditor tiene que tener su propio "librillo" basado en su experiencia que determinar� de una u otra forma c�mo se har�n las pruebas en los sistemas auditados. Pero hay que tener en cuenta que la ejecuci�n en n�mero y forma de estas pruebas pueden derivar en la detecci�n de vulnerabilidades o, lo que es peor, en la NO detecci�n o falsos negativos. Por eso, a parte de tener cada uno su propia gu�a personalizada seg�n las herramientas con las que mejor se desenvuelve, es fundamental sobretodo en ambientes profesionales seguir un procedimiento de m�nimos con un checklist de comprobaciones de "obligatoria" ejecuci�n, b�sicamente para no dejarnos nada.

Sin embargo a parte de OSSTMM, OWASP (�ste �ltimo sobretodo para auditor�a web) o incluso el proceso "Kill Chain" tra�do de ambientes militares, no hay todav�a demasiados procedimientos o metodolog�as de pentesting que se puedan oficializar en el mundo empresarial.

Precisamente a principios de 2009 un grupo de investigadores y profesionales discutieron sobre el valor (o la falta de) pruebas de intrusi�n en la industria y crearon "Penetration Testing Execution Standard".

"Penetration Testing Execution Standard" es un nuevo est�ndar dise�ado para ofrecer tanto a las empresas como a los proveedores de servicios de seguridad un lenguaje y un �mbito comunes para realizar pruebas de intrusi�n (yo prefiero decir "intrusi�n" a "penetraci�n" pero al fin y al cabo se trata de evaluaciones de seguridad).

El est�ndar consta de siete secciones principales. Estas cubren todo lo relacionado con un test de intrusi�n - desde la comunicaci�n inicial y el razonamiento detr�s de un pentest, a trav�s de la recopilaci�n de inteligencia y las fases de modelado de amenazas donde los auditores est�n trabajando entre bastidores para comprender mejor la organizaci�n que est�n testando, pasando por la investigaci�n de vulnerabilidades, la explotaci�n y post-explotaci�n, donde la experiencia t�cnica de los auditores entran en juego y se combinan con la comprensi�n del negocio, y finalmente al reporting, que captura todo el proceso, de manera que tenga sentido para el cliente y le proporcione m�s valor.

Esta versi�n se puede considerar una versi�n 1.0 donde se asientan los elementos del core de la norma, y ha sido probada durante m�s de un a�o en la industria. Ya se est� trabajando en una versi�n 2.0 para proporcionar un trabajo m�s granular en t�rminos de "niveles" - como en los niveles de intensidad en los cuales cada uno de los elementos de un pentest se pueden realizar. Como ning�n pentest es igual a otro, y las pruebas van desde la m�s mundana aplicaci�n web o prueba de red, hasta un compromiso completo tipo red team, dichos niveles permitir�n a una organizaci�n definir cu�nta sofisticaci�n esperan que exhiba su adversario y permitir al auditor intensificar las �reas donde la organizaci�n lo necesite m�s. Algunos de los trabajos iniciales sobre "niveles" se pueden ver en la secci�n de recolecci�n de inteligencia.

A continuaci�n se presentan las secciones principales definidas por la norma como base para la ejecuci�n de pruebas de intrusi�n:

• Pre-engagement Interactions
• Intelligence Gathering
• Threat Modeling
• Vulnerability Analysis
• Exploitation
• Post Exploitation
• Reporting

Y luego, como la norma no proporciona ninguna gu�a t�cnica en cuanto a la forma de ejecutar un pentest real, tambi�n han creado una gu�a t�cnica para acompa�ar a la propia norma, que fundamentalmente es lo que m�s nos interesa en Hackplayers ;):