Penetration Testing en nuestros días

Hay varias razones por las cuales las empresas grandes y medianas necesitan contratar servicios de penetration testing. Si bien las profecías de la muerte de este tipo de servicios nunca se cumplieron (¿alguien recuerda cuando Gartner Group predijo la muerte de los IDS, el dominio absoluto de los IPS y el despegue de las PKI hace algunos años? Bueno, aún seguimos esperando), lo que sí es un hecho es que la forma de hacer penetration testing ha cambiado de forma significativa.

Siempre existió cierto empalme entre revisiones de vulnerabilidades (orientados más a ejecutar escaneos de vulnerabilidades conocidas) y un penetration test tradicional, porque algunas actividades del primero se realizaban como parte del segundo. Actualmente los escaneos de vulnerabilidades se realizan cada vez con mayor frecuencia y esta actividad tiene a automatizarse lo más posible, al grado que hay empresas que en cuestión de días han cubierto todo un ciclo de revisión de su infraestructura. Los costos de las herramientas y servicios de escaneo de vulnerabilidades, si bien no son del todo baratos, si bajaron considerablemente con respecto a su precio de mercado cuando se empezaron a ofrecer a finales de los 90s.

El costo de un penetration test sin embargo no ha bajado en la misma proporción, y hoy en día no hace mucho sentido pagar tal cantidad de dinero si gran parte de las actividades se concentran en hacer lo que se hace en una revisión de vulnerabilidades. Pero antes de entrar de lleno en los nuevos requerimientos de un PenTest de nuestros días conviene repasar cuáles son las necesidades actuales.

Seguir leyendo

Suscríbete a nuestro Boletín