Un pentest o test de penetración es una prueba de seguridad autorizada en la que especialistas intentan aprovechar vulnerabilidades de unos sistemas concretos, con reglas acordadas de antemano, para demostrar qué podría conseguir un atacante real y con qué impacto.
Cómo funciona
Antes de empezar se firma un alcance: qué sistemas se prueban, en qué fechas y horarios, qué técnicas quedan fuera (por ejemplo, la denegación de servicio o la ingeniería social, salvo autorización expresa), quién es el contacto de emergencia y cómo se detiene la prueba si algo se degrada.
Los especialistas combinan herramientas automáticas con validación manual y encadenan debilidades para ver hasta dónde se llega. La prueba puede hacerse sin información previa (caja negra), con información completa (caja blanca) o en un punto intermedio, y centrarse en la red externa, la red interna, aplicaciones web, la nube o los dispositivos. El resultado es un informe con hallazgos confirmados, evidencia, riesgo, recorrido del ataque y recomendaciones ordenadas por prioridad.
Ejemplo
Ejemplo ilustrativo, no un caso real. Una empresa publica un portal para sus clientes y acuerda probar solo ese portal y su servidor, en horario nocturno y sin pruebas de denegación de servicio. Los especialistas detectan que un panel de administración sigue accesible desde Internet y que una cuenta usa una contraseña débil; con ella llegan a datos de clientes de prueba.
El informe describe los pasos, la evidencia y el riesgo, y recomienda cerrar el acceso, activar el doble factor y revisar permisos. Tras corregirlo, se repite la comprobación de esos puntos (retest) para confirmar que quedaron cerrados, en lugar de dar por resuelto el asunto al cerrar la tarea.
Lo que un pentest no es
No es un análisis de vulnerabilidades automático: este suele ser más amplio y repetible, mientras que el pentest valida si una debilidad es realmente explotable. No prueba lo que quedó fuera del alcance ni demuestra que no existan otros fallos.
Es una fotografía de un momento. Según el NCSC, el organismo de ciberseguridad del Reino Unido, solo valida que los sistemas no son vulnerables a problemas conocidos el día de la prueba, y su calidad depende de la competencia de quienes la realizan. Un certificado o el nombre de una herramienta no prueban cobertura. Y sin autorización escrita del titular de los sistemas, probar sistemas ajenos puede ser ilegal.
Cuándo llamar a un experto
Conviene encargar un pentest cuando un cliente, un seguro o una norma lo piden, cuando se lanza una aplicación o un servicio expuesto a Internet, o tras cambios importantes, y cuando ya existe una gestión básica de parches y accesos: si no, el informe se llenará de hallazgos evitables. Pide que el alcance conste por escrito, que quien lo ejecute sea independiente de quien administra los sistemas y que se incluya un retest.
En Impulso Tecnológico trabajamos en diagnóstico, controles técnicos y formación: podemos ayudar con el diagnóstico previo, con los controles técnicos que el informe recomiende y con la formación del equipo. Consulta nuestra guía de auditoría de seguridad informática, el servicio de ciberseguridad o cuéntanos tu caso.
Para saber más
Términos relacionados del glosario: gestión de parches, EDR y SIEM.
Fuentes oficiales y de referencia (en inglés): la guía Penetration testing del NCSC, la publicación NIST SP 800-115 sobre pruebas y evaluaciones de seguridad y la OWASP Web Security Testing Guide.