-Libro Gratis- Seguridad Ofensiva: Informe de Prueba de Penetración

Este libro está dirigido para todas aquellas personas sean estudiantes o profesionales que deseen conocer y/o aprender sobre cada uno de los datos de prueba.

Sobre el Libro (Por el Autor)

Ofensive Security (los creadores de BackTrack), han liberado un ejemplo de reporte que utilizan en sus test de penetración, a mi parecer esta bien estructurado y contiene los elementos justos que se deben mostrar en un reporte de este tipo.

Es muy común escuchar entre los profesionales de la seguridad informática, las quejas a la hora de hacer el reporte de un pentest, la verdad es que no conozco el primero que disfrute haciendo este tipo de informes, pero siempre que escucho este tipo de quejas les recuerdo a estos profesionales que el informe es el producto que el cliente puede ver, es por lo que la empresa ha pagado y se espera mucho de él, por tanto debemos realizarlo lo mejor que podamos, explicar detalladamente (la parte técnica) para que el área de sistemas puedan entender los problemas encontrados y también lo suficientemente claro como para que un gerente entienda que es lo que esta pasando en la empresa.

El reporte o informe cobra especial importancia para aquellos profesionales que trabajamos independientes, ya que con él, nuestro cliente sacará una conclusión del trabajo realizado, asumiendo que si el reporte está bien hecho, el trabajo estará igual, por lo que muchas veces del reporte entregado depende el que nos vuelvan a contratar en dicha empresa o nos recomienden con otra. DragonJAR

Se ha contratado a Offensive Security para realizar una prueba de penetración contra la presencia web externa de Archmake.

La evaluación se realizó de una manera que simuló a un actor malintencionado involucrado en un ataque dirigido contra la empresa con los objetivos de:

Identificar si un atacante remoto podría penetrar las defensas de Archmake.
Determinar el impacto de una brecha de seguridad en:
- La integridad de los sistemas de pedidos de la empresa.
- La confidencialidad de la información de los clientes de la empresa.
- La infraestructura interna y la disponibilidad de los sistemas de información de Archmake.

La evaluación se realizó de acuerdo con las recomendaciones descritas en NIST SP 800-1151.

Archmake utilizará los resultados de esta evaluación para tomar decisiones futuras en cuanto a la dirección de su programa de seguridad de la información. Todas las pruebas y acciones se llevaron a cabo en condiciones controladas.

Temas (Contenido)

Resumen ejecutivo
Narrativa de ataque
Conclusión
Apéndices
- Detalle de vulnerabilidades y mitigación
- Lista de cambios realizados en los sistemas Archmake
- Acerca de la seguridad ofensiva