Bienvenidos, en este artículo veremos las Principales metodologías de pruebas de penetración. Comparte este articulo y síguenos para recibir más guías y cursos.
Para saber más comente a continuación, respondemos todos y cada uno de los comentarios.
¿Te gustaría enterarte de cuando lanzamos descuentos y nuevos cursos?
En el mundo de la ciberseguridad ofensiva, existen casi infinitas formas de abordar una prueba de penetración, ya sea interna, externa o inalámbrica. Sin embargo, puede resultar difícil realizar pruebas de penetración exhaustivas y repetibles debido a la gran cantidad de aspectos importantes que se deben tener en cuenta al realizar la prueba.
Por este motivo, han surgido múltiples marcos de pruebas de penetración que lo ayudarán a realizar las distintas pruebas que se les puedan encomendar. En este artículo, analizaremos los distintos marcos de pruebas de penetración que pueden resultarle útiles durante su próxima prueba de penetración.
¿Por qué utilizar una metodología de pruebas de penetración?
Debido a la amplia variedad de pruebas de penetración y tecnologías a las que se dirigen, puede resultar excepcionalmente difícil ofrecer un producto consistente como profesional de la seguridad ofensiva. Como profesional de la seguridad ofensiva, una metodología de pruebas de penetración le permite estandarizar sus pruebas en enfoques repetibles y consistentes. Sin embargo, no todas las metodologías de pruebas de penetración se centran en los mismos tipos de pruebas, por lo que analizaremos los principales marcos de prueba.
Guía de pruebas del Proyecto de seguridad de aplicaciones web abiertas (OWASP)
¿Quién diseñó esta metodología?
La Fundación del Proyecto de Seguridad de Aplicaciones Web Abiertas (OWASP) es una organización sin fines de lucro impulsada por la comunidad que rastrea y publica los riesgos de seguridad de aplicaciones web , vulnerabilidades y metodologías de pruebas de penetración más actualizados .
¿Cuál es el propósito de este método?
La guía de pruebas de OWASP se centra principalmente en las aplicaciones web y las tecnologías relacionadas con ellas. Proporciona a los evaluadores de aplicaciones web una guía paso a paso sobre cómo abordar vulnerabilidades en diversos ámbitos.
¿Cuáles son los pasos?
Los pasos generales de la guía de pruebas de OWASP incluyen lo siguiente:
- Recopilación de información
- Pruebas de gestión de configuración e implementación
- Pruebas de gestión de identidad
- Prueba de autenticación
- Pruebas de autorización
- Pruebas de gestión de sesiones
- Prueba de validación de entrada
- Pruebas de manejo de errores
- Pruebas de criptografía débil
- Pruebas de lógica empresarial
- Pruebas del lado del cliente
- Pruebas API
- Informes
¿Cuándo debo utilizar esta metodología?
OWASP se considera el estándar de oro para todo tipo de pruebas de penetración de aplicaciones web . Las organizaciones pueden beneficiarse de seguir la guía OWASP durante el ciclo de vida del desarrollo de una aplicación web para garantizar que la seguridad esté incorporada en las configuraciones de la aplicación.
¿Por qué vale la pena conocer esta metodología?
El enfoque integral de las pruebas de aplicaciones web le otorga a la guía OWASP una ventaja significativa sobre otras metodologías de pruebas de penetración cuando una prueba se centra en aplicaciones web . Esto es especialmente útil para garantizar que sus aplicaciones web sean seguras para sus clientes y para auditorías y evaluaciones de seguridad.
Además, OWASP ofrece proyectos y guías adicionales para la comunidad. OWASP Top 10 es la lista de la Fundación OWASP que se actualiza anualmente con las 10 principales vulnerabilidades de seguridad que afectan actualmente al panorama de las aplicaciones web. OWASP también mantiene proyectos como SAMM, pautas para la codificación segura, OWASP Mobile Application Security (una guía de prueba para aplicaciones móviles) y OWASP Zed Application Proxy (un escáner de aplicaciones web de código abierto).
Estándar de ejecución de pruebas de penetración (PTES)
¿Quién diseñó esta metodología?
Penetration Testing Execution Standard (PTES) es un marco de código abierto para estandarizar las pruebas de penetración. PTES está impulsado por la comunidad de profesionales de seguridad líderes en la industria, lo que le otorga una amplia gama de aplicabilidad para diferentes proyectos de prueba.
¿Cuál es el propósito de este método?
El propósito principal de PTES es brindar a los evaluadores un proceso sistemático para identificar y probar vulnerabilidades de seguridad y cómo mitigar esos riesgos de manera adecuada.
¿Cuáles son los pasos?
El PTES tiene siete fases principales dentro de su marco:
- Interacciones previas al compromiso
- Recopilación de información
- Modelado de amenazas
- Análisis de vulnerabilidad
- Explotación
- Post explotación
- Informes
¿Cuándo debo utilizar esta metodología?
PTES se puede utilizar para pruebas de penetración internas , externas e inalámbricas dentro de un entorno. Su enfoque en la recopilación de información y el modelado de amenazas puede permitir que una organización personalice sus pruebas de penetración para abordar su infraestructura específica, lo que puede brindar resultados muy beneficiosos.
¿Por qué vale la pena conocer esta metodología?
El enfoque estructurado y completo de las pruebas de penetración le ayuda a cubrir todos los aspectos necesarios de su evaluación . PTES también proporciona una metodología sistemática que puede proporcionar estandarización entre las pruebas en caso de que su organización establezca las pruebas de penetración como una medida de seguridad habitual.
Publicación especial 800-115 del NIST
¿Quién diseñó esta metodología?
El Instituto Nacional de Estándares y Tecnología (NIST) es una agencia del gobierno de los EE. UU. que promueve estándares y pautas tecnológicas desde perspectivas ofensivas y defensivas. La Publicación Especial 800-115 del NIST es una guía que cubre las pruebas de penetración adecuadas desde la configuración de la interacción hasta la actividad posterior a la prueba.
¿Cuál es el propósito de este método?
La publicación especial 800-115 del NIST guía a los evaluadores a través de una evaluación de seguridad integral y exhaustiva del entorno de una organización. Describe las metodologías de prueba y las diferentes técnicas para probar los controles de seguridad.
¿Cuáles son los pasos?
Sus pasos incluyen:
- Planificación y preparación
- Ejecución de pruebas
- Análisis y elaboración de informes
- Enfoque basado en el riesgo
- Integración con la Gestión de Riesgos
¿Cuándo debo utilizar esta metodología?
La norma NIST SP 800-115 puede resultar especialmente beneficiosa para su organización cuando el objetivo de una prueba de seguridad es satisfacer requisitos normativos o de cumplimiento . A menudo, las auditorías formales hacen referencia a NIST cuando evalúan una organización, y el uso de la norma SP 800-115 puede abordar de manera proactiva cualquier problema que pueda surgir durante una auditoría.
¿Por qué vale la pena conocer esta metodología?
La norma NIST SP 800-115 es ampliamente reconocida en la industria de la ciberseguridad y por los gobiernos internacionales como una buena base para las mejores prácticas de seguridad. Estar familiarizado con estas pautas e incluso realizar pruebas con ellas puede proporcionar una base sólida para la postura de seguridad de su organización.
Marco de pruebas de penetración de la ISSAF
¿Quién diseñó esta metodología?
El marco de pruebas de penetración de la ISSAF fue creado por la organización OISSG. Si bien ya no recibe apoyo ni mantenimiento directos, ofrece un enfoque general válido para las pruebas de penetración.
¿Cuál es el propósito de este método?
El marco ISSAF tiene como objetivo proporcionar a los evaluadores una metodología exhaustiva para identificar vulnerabilidades, probarlas y limpiar cualquier artefacto que quede después de la prueba.
¿Cuáles son los pasos?
La ISSAF divide sus pasos de penetración en tres fases distintas, cada una con una lista determinada de pasos, que incluyen:
1: Planificación y preparación
- Comunicación con las partes interesadas y el equipo de pruebas
- Identificar el alcance y la metodología
- Acuerdo sobre casos de uso de pruebas y rutas de escalamiento.
2: Evaluación
- Recopilación de información
- Mapeo de red
- Identificación de vulnerabilidades
- Penetración
- Acceso inicial y escalada de privilegios
- Post-Explotación
- Cobertura de pistas
3: Informes, limpieza y destrucción de artefactos
- Reporte escrito
- Eliminación de los kits de herramientas de pruebas de penetración
- Eliminación de artefactos posteriores a la explotación (archivos/directorios)
¿Cuándo debo utilizar esta metodología?
Junto con otros marcos de pruebas de penetración, ISSAF se puede utilizar para evaluar la seguridad del entorno de su organización. Sin embargo, ISSAF es particularmente útil después de cambios significativos en los sistemas existentes, ya que hace hincapié en la limpieza de artefactos que quedan para garantizar que los sistemas sigan siendo seguros y sigan funcionando durante y después de la evaluación.
ISSAF también ofrece un diseño único de pruebas de penetración al dividir los pasos en un enfoque por fases ; podría ser más fácil seguir la guía si disfruta de ese tipo de desglose.
¿Por qué vale la pena conocer esta metodología?
La identificación por parte de ISSAF de las diferentes capas de prueba que se deben abordar durante una prueba de penetración puede brindarle un enfoque bien estructurado durante toda la evaluación. También puede ayudar a garantizar que las redes sigan siendo seguras incluso después de una prueba de penetración sólida .
Metodología de pruebas de penetración CREST
¿Quién diseñó esta metodología?
El grupo CREST diseñó la metodología de pruebas de penetración CREST (CPTM); CREST significa Council of Registered Ethical Security Testers (Consejo de probadores de seguridad éticos registrados). Esta organización internacional sin fines de lucro brinda capacitación y orientación para pruebas de penetración , tanto internas como externas.
¿Cuál es el propósito de este método?
CPTM fue diseñado para brindar un enfoque estándar e integral a las pruebas de penetración, en particular para los evaluadores de penetración registrados en CREST . Puede guiarlo a través de evaluaciones exhaustivas tanto de redes como de aplicaciones.
¿Cuáles son los pasos?
La metodología de pruebas de penetración de CREST incluye los siguientes pasos:
- Pre-compromiso
- La recogida de información
- Modelado de amenazas
- Análisis de vulnerabilidad
- Explotación
- Post-Explotación
- Informes
- Revisar
¿Cuándo debo utilizar esta metodología?
CPTM puede proporcionar una guía sólida para pruebas de penetración internas, externas e inalámbricas , que no reciben mucha atención dentro de otras metodologías de pruebas de penetración.
¿Por qué vale la pena conocer esta metodología?
CREST es una organización de seguridad reconocida, especialmente en el ámbito internacional , lo que le otorga una amplia influencia en el ámbito de la ciberseguridad. Poner a prueba el entorno de su organización con el estándar CREST puede proporcionar una base sólida para futuras auditorías de seguridad.
Tácticas, técnicas y conocimientos comunes adversarios de MITRE (ATT&CK)
¿Quién diseñó esta metodología?
La corporación MITRE ha brindado un gran apoyo al mundo del hacking ético durante años, y su marco de trabajo Adversarial Tactics, Techniques, and Common Knowledge (ATT&CK) es posiblemente el más famoso. MITRE ATT&CK analiza los ataques de seguridad ofensivos actuales y anteriores desde el reconocimiento hasta la postexplotación.
¿Cuál es el propósito de este método?
MITRE ATT&CK fue diseñado para proporcionar un modelo integral y estructurado para comprender las tácticas y técnicas adversarias. Además, permite una categorización precisa de los diferentes ataques para comprender mejor las cadenas de ataque.
¿Cuáles son los pasos?
El marco MITRE ATT&CK es único porque no sigue pasos preestablecidos como otras metodologías, sino que funciona más como una matriz de información que cubre una gran cantidad de etapas por las que podría pasar un ciberataque al impactar a una organización.
¿Cuándo debo utilizar esta metodología?
Puede utilizar MITRE ATT&CK como punto de referencia durante cada fase de ataque de una prueba de penetración . La capacidad de hacer referencia a técnicas de ataque específicas, emplear tácticas desconocidas o explorar opciones de ataque adicionales le permite realizar evaluaciones verdaderamente integrales.
¿Por qué vale la pena conocer esta metodología?
MITRE ATT&CK puede proporcionar a los evaluadores de penetración, especialmente a los que participan en el equipo rojo , un conocimiento extremadamente detallado de los diferentes tipos de ataques . Esto puede permitir a los evaluadores de penetración realizar pruebas contra técnicas más específicas que podrían pasarse por alto durante otros tipos de pruebas. Su marco relativamente nuevo MITRE D3FEND también proporciona orientación al lado azul del mundo cibernético.
Manual de metodología de pruebas de seguridad de código abierto OSSTMM
¿Quién diseñó esta metodología?
El Manual de metodología de pruebas de seguridad de código abierto OSSTMM fue desarrollado por el Instituto de Seguridad y Metodologías Abiertas (ISECOM). OSSTMM fue desarrollado para ser holístico, cuantitativo, transparente y educativo.
¿Cuál es el propósito de este método?
Si bien OSSTMM brinda orientación para realizar evaluaciones de seguridad estructuradas y estandarizadas, se centra en generar métricas viables después de las pruebas. Esto puede brindarle un excelente punto de partida para brindarle a su organización informes y recomendaciones posteriores a las pruebas significativos.
¿Cuáles son los pasos?
OSSTMM tiene un marco de:
- Pre-compromiso
- La recogida de información
- Perfiles de amenazas
- Análisis de vulnerabilidad
- Explotación
- Post-Explotación
- Análisis y elaboración de informes
¿Cuándo debo utilizar esta metodología?
Puede utilizar OSSTMM como guía para realizar una prueba de penetración estructurada y completa. Además, OSSTMM puede ser especialmente beneficioso cuando el objetivo de la prueba es proporcionar informes detallados de los hallazgos para que su organización realice una actividad exhaustiva posterior a la prueba.
¿Por qué vale la pena conocer esta metodología?
El énfasis en la ética, las mediciones y las métricas le brinda una base sólida de confianza entre su equipo de pruebas y las partes interesadas de su organización. Esto puede ser particularmente importante si su equipo es externo o de terceros. OSSTMM también ofrece orientación sobre seguridad física y puede beneficiar en gran medida a los compromisos que involucran ese tipo de actividad.
Conclusión
Seguir una metodología de pruebas de penetración le proporciona una forma de estandarización que es increíblemente importante para seguir practicando técnicas ofensivas dentro de su organización. Una metodología también puede evitar que se pierda pruebas o áreas críticas debido a las diferentes actividades involucradas en una prueba de penetración.
| MÉTODO | BENEFICIOS |
| Guía de pruebas de OWASP | Diseñado específicamente para WebApp Guía paso por paso Se puede aplicar durante el ciclo de vida del desarrollo. |
| PTES | Metodología completa Personalizable |
| Norma NIST 800-115 | Diseñado por el gobierno de EE. UU. Reconocido por gobiernos internacionales Tiene como objetivo satisfacer los requisitos/cumplimiento normativo. |
| ISSAF | El enfoque por fases puede proporcionar una guía más clara a la hora de personalizar Fuerte énfasis en la limpieza de artefactos y la restauración de sistemas. |
| CREST | CREST es altamente reconocido y respetado internacionalmente. Puede realizar un examen para convertirse en un evaluador de penetración registrado de CREST |
| MITRE (ATT&CK) | Una matriz muy completa de técnicas de ataque Especialmente útil para enfrentamientos del equipo rojo. |
| OSSTMM | Hace hincapié en la ética, las mediciones y las métricas. Orientación sobre seguridad física |
Independientemente de qué metodología funcione mejor para su organización, una metodología de pruebas de penetración puede proporcionar una base sólida para cualquier evaluador. Si desea obtener más información sobre pruebas de penetración, tenga en cuenta lo siguiente.
No te detengas, sigue avanzando
Aquí tienes un propósito para este 2025 que debes considerar seriamente: si has querido mejorar tus habilidades en hacking, Ciberseguridad y programación ahora es definitivamente el momento de dar el siguiente paso. ¡Desarrolla tus habilidades aprovechando nuestros cursos a un precio increíble y avanza en tu carrera! El mundo necesita más hackers…
¿Quieres iniciarte en hacking y ciberseguridad pero no sabes por dónde empezar? Inicia leyendo nuestra guia gratuita: Cómo Iniciarse en Hacking y Ciberseguridad en 2025 que te lleva de 0 a 100. Desde los fundamentos más básicos, pasando por cursos, recursos y certificaciones hasta cómo obtener tu primer empleo.
Hemos creado una ruta de 0 a 100. Un plan de desarrollo que va desde las bases: cómo aprender hacking, qué aprender, en qué orden; pasando por las areas técnicas necesarias como Linux, Redes, Programación y los conocimientos necesarios en ciber seguridad, hacking, pentesting hasta la práctica y el inicio laboral: Crear tu propio laboratorio, certificaciones, adquirir experiencia e iniciarse laboralmente.
Hacker de 0 a 100 desde las bases hasta conseguir empleo
Este es un mega post. Una guía con más de 400 artículos que te llevaran por el camino del hacker. Esta guía es gratuita y esta creada gracias al esfuerzo y al trabajo combinado de Alvaro Chirou y mío (Laprovittera Carlos).
Creamos esta guía: Cómo Iniciarse en Hacking y Ciberseguridad en 2025 y curso: Cómo iniciarse en Hacking y Ciberseguridad para que puedas iniciarte en este mundo. Puedes arrancar ahora, GRATIS, solo necesitas un PC, conexión a internet y paciencia (Ser hacker NO ES un camino de la noche a la mañana).
El Hacking y la ciberseguridad es una carrera divertida, emocionante y gratificante que te recompensará y desafiará por igual. Sin embargo, para quienes buscan adentrarse en este campo en auge y en constante evolución, puede resultar difícil saber por dónde empezar. ¡Ahí es donde entra en juego nuestra guía en ciberseguridad!
Esta es la hoja de ruta hacia el trabajo de ciberseguridad de tus sueños. Te ayudará a entender qué conocimientos, habilidades y certificados son necesarios para alcanzar tus metas profesionales y tener una carrera próspera. Si quieres ser consultor de ciberseguridad, analista de malware, evaluador de penetración, analista de SOC o cualquier otro puesto de ciberseguridad, esta guía es lo que necesitas.
Esta guía va a tener una actualización constante durante todo el año. Para no hacer de esta guía un post maratónicamente largo voy a dividirlo en varios capítulos que van desde como iniciar en hacking y ciberseguridad, pasando por conocimientos básicos como Redes, Linux, Programación, Hasta como obtener certificaciones y trabajo. Cada capítulo contiene links a otros posts en donde desarrollo mejor cada tema y a webs externas que complementan este material.
Lo que vas a aprender en esta guía de Hacking y Ciberseguridad
Esta es la guía completa de Cómo Iniciarse en Hacking y Ciberseguridad en 2025:
- La mejor forma de Aprender Hacking y Ciberseguridad en 2025
- Lo que tienes que saber antes de empezar tu vida de hacker
- Habilidades y Competencias que debe tener un Hacker Profesional
- El Camino del Hacker – Las 3 etapas de una carrera exitosa
- Inicia tu carrera como Hacker – GENERAL CYBER SECURITY
- Qué es Realmente el Hacking y Cómo Puedo Trabajar Legalmente
- Tipos de Hackers y Teams
- Cómo Iniciarse en Hacking y Redes en 2025
- Hardware para Hacking de Redes
- Cómo Iniciarse en Hacking y Linux en 2025
- Cómo Iniciarse en Hacking y Programación en 2025
- Python para hackers en 2025
- Cómo Aprender Inglés para Hackers: Guía Definitiva 2025
- Arma tu PC ideal para Hacking en 2025
- Cómo crear un Laboratorio de Hacking en 2025
- Las 500 Mejores Herramientas para Hackers
- Cómo obtener Práctica como Hacker en 2025
- Cómo Iniciarse en CTF en 2025 y Aprender a Hackear practicando
- Mas de 100 Webs de CTF para Practicar hacking en 2025
- Cómo Obtener tus Primeras Certificaciones en 2025
- Las 10 Mejores Certificaciones de Hacking en 2025
- IA y Hacking en 2025
- OSINT en 2025 Guía Definitiva
- Hardware para Hackers en 2025
- Guia Definitiva de Flipper Zero
- Cómo Iniciarse como Pentester en 2025
- Iniciarse como Pentester en 2025 – Reconocimiento y Enumeración
- Cómo Identificar Sistemas Vulnerables y Recopilar información
- Explotación de Vulnerabilidades con Metasploit
- Post Explotación, Pivoting y Movimiento Lateral
- Reporte del Pentest, Remediación y Seguimiento
- Inicia en hacking y ciberseguridad como analista SOC en 2025
- Cómo Conseguir Trabajo de Hacker en 2025
- Como Iniciarse en Bug Bounty en 2025
- Cómo Aumentar tu Salario Pasando de Hacker Jr a Sr
- Cómo Avanzar en tu Carrera de Hacker y llegar a ser CISO
- SIGUE APRENDIENDO EN NUESTRO BLOG
Aprende con nuestros más de 100 cursos que tenemos disponibles para vos
¿Te gustaría enterarte de cuando lanzamos descuentos y nuevos cursos?
Sobre los autores
Álvaro Chirou
Yo soy Álvaro Chirou, tengo más de 20 Años de experiencia trabajando en Tecnología, eh dado disertaciones en eventos internacionales como OWASP, tengo más de 2.000.000 estudiantes en Udemy y 100 formaciones profesionales impartidas en la misma. Puedes seguirme en mis redes:
Laprovittera Carlos
Soy Laprovittera Carlos. Con más de 20 años de experiencia en IT brindo Educación y Consultoría en Seguridad de la Información para profesionales, bancos y empresas. Puedes seguirme en mis redes:
Compartimos estos recursos para ayudar a la comunidad de hacking y ciberseguridad. COMPARTE y Siéntete libre de agregar más sugerencias en los comentarios a continuación, respondemos todos y cada uno de los comentarios.