Este documento presenta una introducción a las pruebas de intrusión más allá de los requisitos regulatorios. Resume los requisitos regulatorios de pruebas de intrusión, los tipos de servicios de pruebas de intrusión como pruebas internas y externas de red y aplicaciones, y ofrece consejos sobre el alcance de las pruebas y el aprendizaje de los errores de seguridad de otras organizaciones.

1. Pruebas de intrusión, más allá
de requisitos regulatorios

2. Agenda
1. TAR Security
2. Requisitos regulatorios
3. Prueba de intrusión
4. Servicios de prueba de intrusión
5. Alcance
6. Consejos
7. Preguntas & Consultas

3. Prueba de intrusión, más allá de
requisitos regulatorios
cvidaurre@tarsecurity.com
@m13chy

4. Requisitos regulatorios
Normativa & Estándar Articulo & Requisito
Reglamento para la gestión de seguridad de la
información – Libro 3, Titulo VII, Capitulo 2 – ASFI
Artículo 8° - Análisis de vulnerabilidades técnicas
Industria de tarjetas de pago (PCI) Norma de
seguridad de datos 3.2
PCI DSS
11.2 Realice análisis internos y externos de las
vulnerabilidades de la red, al menos, trimestralmente
y después de cada cambio significativo en la red
11.3 Implemente una metodología para las pruebas
de penetración

5. Prueba de intrusión

6. Empresas reguladas

7. Servicios de prueba de intrusión
Prueba de intrusión externa
Prueba de intrusión interna

8. Servicios de prueba de intrusión
Pruebas de intrusión de aplicaciones web Pruebas de intrusión de aplicaciones móviles

9. Servicios de prueba de intrusión
Pruebas de Internet de las cosas (IoT) Pruebas de ingeniería social

10. Alcance
Penetration Testing Execution Standard (PTES)
Fuente: http://www.pentest-standard.org/index.php/Pre-engagement#Introduction_to_Scope
Prueba Pregunta
Red ¿Durante el horario comercial?
¿Después del horario comercial?
¿Cuántas direcciones IP totales están
siendo probadas?
Aplicaciones web ¿Cuántos sistemas de inicio de sesión se
están evaluando?
¿El cliente desea realizar pruebas
basadas en roles contra esta aplicación?

11. Alcance
Penetration Testing Execution Standard (PTES)
Fuente: http://www.pentest-standard.org/index.php/Pre-engagement#Introduction_to_Scope
Prueba Pregunta
Física ¿Es esta ubicación física una instalación
compartida?
¿Debería el equipo intentar obtener
acceso a donde se almacenan los datos
de la cámara de video?
Ingeniería social ¿El cliente tiene una lista de direcciones
de correo electrónico en las que desearía
que se realizara un ataque de Ingeniería
Social?

12. Alcance
Penetration Testing Execution Standard (PTES)
 …
 Especificar las fechas de inicio y finalización
 Definir temáticas de ingeniería social aceptables
 Establecer líneas de comunicación
 Información de contacto en caso de emergencia
 Manejo de evidencia
 …
Fuente: http://www.pentest-standard.org/index.php/Pre-engagement#Introduction_to_Scope

13. Consejos
Probar frecuentemente Pensar en el riesgo

14. Consejos
La paranoia es buena Formular un alcance

15. Consejos
Aprender de los errores de otras organizaciones
Fuente:
http://www.laprensa.hn/mundo/1178925-410/mexico-hackers-robaron-15-millones-dolares-ciberataque-bancos
https://www.eldinamo.cl/nacional/2018/05/03/hackers-revelan-graves-fallas-en-transacciones-online-del-banco-de-chile/

16. Consejos
Aprender de los errores de otras organizaciones
Fuente:
https://www.cnbc.com/2018/06/22/what-is-tesla-mos-software-employee-allegedly-hacked.html
https://es.cointelegraph.com/news/hacked-s-korean-crypto-exchange-bithumb-confirms-it-will-reimburse-affected-users

17. Consejos
¿Dónde buscar las últimas tendencias e información sobre ataques?

18. Preguntas & consultas