La figura del pentester es similar a la del hacker ético. Se trata de un auditor de seguridad informática, que se encarga de realizar diversas pruebas para evaluar la vulnerabilidad de los sistemas informáticos de la compañía. A estas pruebas se las denomina pentesting o testeo de penetración, y consisten en simular ciberataques organizados. Si necesitas reclutar este perfil profesional debes saber que existen diversos certificados que demuestran sus habilidades. Entre ellos cabe destacar el CEH, el eJPT o el OSCP. ¿Qué otros aspectos debes tener en cuenta a la hora de seleccionar a expertos en pentesting?
Nociones básicas de pentesting
El pentesting o test de penetración surgió como medida contra los ciberataques y para garantizar la ciberseguridad de las empresas. El trabajo que realizan estos profesionales implica atacar los sistemas o entornos virtuales de la compañía, con el objetivo de localizar quiebras en la seguridad. Se trata de una técnica para encontrar errores o fallos.
En función del nivel de conocimiento que se tenga sobre los datos de la empresa, los pentester realizan lo que se llama pruebas de caja blanca, caja negra o caja gris. En su ataque, cuentan con un grupo más ofensivo, el red team, y otro más defensivo, el blue team. Evalúan los errores y pasan un informe a la compañía para defender sus puntos más vulnerables.
Para garantizar su profesionalidad, existen diversos certificados que puedes requerir al redactar una oferta de empleo para este puesto:
- CEH (Certified Ethical Hacker): uno de los más reconocidos, aunque su examen es solo teórico, es decir, cuenta con otra certificación añadida práctica. Caduca a los 3 años de su emisión.
- CompTIA Pentest+: entre las habilidades que reconoce, incluye el conocimiento de los requisitos legales y de cumplimiento. También debe ser validada a los 3 años de su certificación.
- eJPT (eLearning Junior Penetration Tester): una de las mejores para iniciarse en este mundo de manera práctica. Tiene validez de por vida.
- OSCP ( Offensive Secutiry Certified Professional): es completamente práctica. Para obtener esta certificación se debe además del examen, completar el curso PWK (Penetration Testing With Kali Linux). No tiene fecha de expiración.
- OSWE (Offensive Secutiry Web Expert): para obtener esta certificación se debe aprobar su examen y completar el curso AWAE (Advanced Web Attacks and Exploitation). Tampoco tiene fecha de expiración y demuestra las siguientes habilidades en el profesional: cuenta con las capacidades para realizar pruebas de penetración de caja blanca a aplicaciones web, metodologías de seguridad web, detectar vulnerabilidades lógicas que escáneres empresariales no suelen detectar o Inyecciones SQL.
Competencias y habilidades del pentester
Con el pentesting además de evaluar la vulnerabilidad de los sistemas de la organización, conoces la capacidad de reacción de los perfiles IT. Existen diversos profesionales que se clasifican en estas 3 categorías:
- White box o caja blanca: el pentester forma parte de la empresa y conoce todos los datos de la estructura, así como IP, logins, contraseñas o firewords. En este formato, la evaluación es más certera.
- Black box o caja negra: el auditor no tiene ningún dato sobre la organización y parte de cero, como si fuera un delincuente real. Se trata de hackers éticos externos contratados por la empresa. Es una prueba a ciegas de la estructura de la red.
- Grey box o caja gris: a medio camino entre las anteriores, el pentester cuenta con cierta información para levar a cabo la penetración.