Metodología de pruebas de penetración

Tipos de evaluación

• Evaluación de vulnerabilidades: descubrimiento amplio, en gran parte automatizado, y clasificación de las debilidades. Responde "¿qué está expuesto?" y no intenta explotar.
• Prueba de penetración: un intento, con tiempo limitado, de explotar debilidades y mostrar el impacto real, dentro de un alcance acordado. Responde "¿qué puede hacer realmente un atacante?"
• Red team: una simulación orientada a objetivos de un adversario realista durante un período más largo, que a menudo prueba la detección y la respuesta tanto como la prevención.
• Black box (sin conocimiento previo), gray box (algo de conocimiento, como cuentas y documentación) y white box (código fuente y arquitectura): más conocimiento encuentra más problemas en el mismo tiempo.

Las fases

• Planificación y definición del alcance: objetivos, alcance, reglas de compromiso, accesos y logística.
• Reconocimiento: conocer el objetivo a partir de fuentes públicas y permitidas.
• Descubrimiento y enumeración: encontrar hosts, servicios, aplicaciones y cuentas, y qué versiones y configuraciones exponen.
• Análisis de vulnerabilidades: decidir qué debilidades son reales y cuáles vale la pena probar.
• Explotación: demostrar la debilidad con el menor impacto necesario.
• Post-explotación: determinar qué permite realmente el acceso (datos, otros sistemas, privilegios) y limpiar lo que se modificó.
• Informe y reteste: explicar los hallazgos con evidencias y correcciones y luego verificar las correcciones.

Estándares que vale la pena conocer

Trabaja de forma repetible

• Mantén notas con marca de tiempo y evidencias en bruto desde el principio; los informes se escriben a partir de notas, no de memoria.
• Haz que cada prueba sea reproducible: la solicitud exacta, la cuenta usada, el resultado esperado y el obtenido.
• Registra lo que cambias para poder limpiar todo por completo.
• Prefiere la profundidad en rutas de ataque realistas a una larga lista de problemas de poco valor.

# Compromiso: <name>   Evaluador: <name>   Período: <dates>

## Alcance y restricciones (copiar de las RoE firmadas)

## Línea de tiempo (UTC)
- 2026-11-02 09:10  inicio del recon pasivo en app.example.com
- 2026-11-02 11:40  rutas de la API enumeradas (ver evidence/api-routes.txt)

## Hipótesis y resultados
| Hipótesis | Prueba | Resultado | Evidencia |
|---|---|---|---|
| El usuario B puede leer las facturas del usuario A | GET /api/invoices/{id} con el token de B | Confirmado | evidence/idor-01.png |

## Hallazgos (borrador)
- F-01  Control de acceso roto en /api/invoices/{id}

## Lista de limpieza
- [ ] cuentas de prueba eliminadas  - [ ] archivos subidos eliminados  - [ ] escáneres detenidos