Pentesting: la profesión en ciberseguridad que está revolucionando el mercado laboral
¿Qué es el pentesting?
El pentesting, prueba de penetración o examen de penetración, es un conjunto de pruebas o de ataques simulados que se suelen utilizar en empresas u otros ámbitos para examinar la seguridad de un sistema o entorno.
En estas pruebas se examinan factores como la seguridad de un sistema informático, sus defensas o los riesgos a los que podría enfrentarse ese sistema.
La persona que se ocupa de estas pruebas se llama pentester o hacker ético y entre sus labores destacan:
Realiza pruebas de ciberseguridad autorizadas por empresas en sus sistemas para encontrar vulnerabilidades.
- Utiliza herramientas especializadas para explotar estas vulnerabilidades.
- Examina el código de aplicaciones y sistemas para encontrar fallos.
- Evalúa la exposición de los trabajadores ante posibles ataques de ingeniería social.
- Realiza informes con recomendaciones para mejorar la seguridad de la empresa.
- Trabaja junto con otros miembros para corregir y reforzar la seguridad de la empresa.
Tipos de pentesting
Existen diferentes tipos de pentesting en función de los sistemas donde se van a realizar las pruebas. Estos son:
- De caja negra: en ella, el pentester no tiene acceso al sistema, por lo que realiza el ataque como si se tratara de un atacante externo sin conocimientos de la empresa.
- De caja blanca: cuenta con acceso total al sistema, así como contraseñas, código fuente, infraestructura, etc., por lo que este tipo de prueba es más precisa y examina mejor la seguridad.
- De caja gris: se trata de una mezcla entre la caja negra y la caja blanca, es decir, se tiene acceso a algunos privilegios, pero no el control total del sistema.
Soft skills / habilidades y responsabilidades de un pentester
Los pentester necesitan tener habilidades para analizar, visualizar y resolver los riesgos de seguridad de los sistemas., es decir, deben conocer las tácticas que utilizan los atacantes a la hora de realizar los ataques, así como las diferentes formas para contrarrestar estos ataques y la documentación de las acciones para mejorar la seguridad. Algunas de las habilidades que se necesitan para ser pentester son:
- Dominar lenguajes de programación: es fundamental a la hora de realizar test de penetración, ya que lenguajes como Python o Java permiten escribir códigos de sistemas de seguridad y exploits.
- Entender el funcionamiento de las redes: conlleva conocer cómo se conectan y comunican los dispositivos para, por ejemplo, evitar el acceso no autorizado.
- Conocer y saber identificar cómo funcionan las vulnerabilidades y exploits: saber cómo funcionan los ataques informáticos y cómo se usan herramientas para explotar vulnerabilidades.
- Entender los componentes de la red, como firewalls o VLAN para saber identificar más fácilmente los riesgos de la red y cómo protegerlas.
- Conocer el modelado de amenazas también ayuda a identificar los riesgos de software, aplicaciones, redes… Esto permite aplicar medidas correctivas para eliminar las amenazas que se diagnostican en estos modelos.
Además de estas habilidades técnicas, existen otras cualidades que pueden resultar muy útiles para este tipo de puestos. Saber expresarse de manera efectiva para comunicar las pruebas, comprender, conocer y saber utilizar las herramientas, tener un pensamiento crítico y creativo, sobre todo, a la hora de encontrar vulnerabilidades, saber presentar las pruebas, o adaptarse y aprender rápidamente, ya que se trata de un campo en constante evolución.
Por otro lado, el pentester también necesita conocer las leyes y consideraciones éticas y legales a la hora de realizar pruebas de penetración. Por ejemplo, necesita tener una autorización de la empresa antes de ponerse en marcha con el proyecto, no dañar la reputación de la empresa o notificar los resultados de forma efectiva y respetar la confidencial del contrato.
Oportunidades profesionales
Cada día, los atacantes buscan nuevas formas de introducirse en los sistemas, es por ello por lo que la ciberseguridad evoluciona constantemente para evitar que esto ocurra.
Esta profesión también ha ido evolucionando hasta nuestros días, enfrentándose a desafíos actuales, como los entornos cloud, las nuevas formas de ataques de ingeniería social o las nuevas formas de acceder a los sistemas de infraestructuras críticas.
Ante la creciente amenaza de estos ataques sofisticados, existe una mayor demanda de estos profesionales. Los pentesters con conocimientos y experiencia son muy solicitados en el mercado, no solo por la labor de identificar vulnerabilidades o posibles riesgos empresariales, sino porque, al conocer las leyes en materia de ciberseguridad, las empresas necesitan contar con más profesionales en este ámbito para cumplir con las normativas.
Pero, no solamente existen oportunidades laborales en una organización, sino que también pueden trabajar de forma autónoma ofreciendo sus servicios a empresas o usuarios que quieran conocer su seguridad.
Asimismo, pueden realizar labores de consultoría asesorando a empresas, o bien, dedicarse al campo de la investigación para ayudar a desarrollar nuevas técnicas que permitan mejorar la seguridad de los sistemas.
Para llegar a ser pentester es necesario contar con habilidades como las que se han mencionado anteriormente. Es recomendable contar con alta experiencia y formación en materia de ciberseguridad, y respaldar los conocimientos mediante la obtención de certificaciones profesionales específicas de pentesting.
- Contenido realizado en el marco de los fondos del Plan de Recuperación, Transformación y Resiliencia del Gobierno de España, financiado por la Unión Europea (Next Generation).
