“Una prueba de penetración es una evaluación técnica diseñada para lograr un objetivo específico.l.”
Los pentesters utilizan un amplio y completo conjunto de herramientas para exponer distintas plataformas y evaluar la seguridad de una infraestructura informática. Intentan explotar las vulnerabilidades de forma segura y son expertos en informar de fallos, fugas de datos u otras vulnerabilidades.
En este post, presentamos estas herramientas y las diversas formas en que pueden aplicarse.
Inalámbrico
Los Equipos Rojos se centran en auditar la seguridad cuando implantan redes WIFI para un cliente. Por ejemplo, analizan los alrededores del edificio con una antena para comprobar qué tipo de redes y protecciones tienen. A partir de ahí, proceden a implementar los ataques adecuados.
Herramientas de ataque inalámbrico:
- Aircrack-ng
- Bettercap
- Kismet
- Segadora
- Wireshark
Nube
Para la cobertura de la nube, los equipos rojos se centrarán en la arquitectura y los servicios. Por ejemplo, la forma en que se almacena la información y lo bien que funciona la función lambda, así como la implementación de bases de datos y cubos.
Herramientas de seguridad en la nube:
- Pacú
- Merodeador
- Enumerate-iam
- Scoutsuite
- Cloud-mapper
Web e infraestructura
El equipo evaluará la infraestructura externa o interna con el fin de identificar los puertos y servicios descubiertos para probarlos. Si encuentran vulnerabilidades, la siguiente fase consiste en explotarlas para demostrar lo expuesta que está la empresa o la aplicación.
Herramienta de seguridad web:
- Suite Eructo
- Nikto
- Sqlmap
- Gobuster
- Aquatone
Seguridad de las infraestructuras:
- Nmap
- Brutespray
- Núcleos
- Metasploit
- Nessus
Herramientas posteriores a la explotación:
- Bloodhound
- Impacket
- Crackmapexec
Móvil
Las pruebas de seguridad estáticas y dinámicas serán el centro de atención para el pen-testing de aplicaciones móviles, iOs y Android. Los equipos rojos encontrarán fallos en la aplicación conociendo el framework utilizado, cómo se almacena la información y cómo se comunica con el servidor.
Herramientas de seguridad móvil:
- JadX
- mobsf
- apktool
- frida
- logcat
