Un pentest (test de intrusión o penetration testing) es un ataque simulado y autorizado contra un sistema, red o aplicación, con el objetivo de encontrar y demostrar sus vulnerabilidades antes de que lo haga un atacante real.
La diferencia entre un pentest y un ataque ilegal es la autorización. Siempre debe existir un permiso por escrito que defina qué se puede atacar (el alcance) y bajo qué reglas (las reglas de enfrentamiento).
Fases típicas
- Planificación y alcance → se define qué sistemas entran, qué está prohibido, horarios y objetivos.
- Reconocimiento → se recolecta información del objetivo (pasiva y activa).
- Escaneo y enumeración → se descubren puertos, servicios, versiones y posibles puntos de entrada.
- Explotación → se aprovecha una vulnerabilidad para obtener acceso.
- Post-explotación → ya dentro: escalada de privilegios, persistencia y medir el impacto real.
- Informe → se documentan hallazgos, riesgo y recomendaciones de remediación.
Tipos de pentest según la información que recibe el tester
| Tipo | Qué sabe el tester | Simula a… |
|---|---|---|
| Caja negra (black box) | Casi nada, solo el objetivo | Un atacante externo sin información |
| Caja gris (gray box) | Información parcial (un usuario, un diagrama) | Un atacante con cierto acceso o un insider |
| Caja blanca (white box) | Acceso total (código, credenciales, arquitectura) | Una auditoría interna profunda |
Marcos de referencia que estandarizan este proceso: PTES (Penetration Testing Execution Standard), OSSTMM y, para web, el OWASP Testing Guide.
El producto final de un pentest no es el acceso conseguido, sino el informe. Un hallazgo que no se sabe explicar ni documentar no aporta valor al cliente. La siguiente fase del proceso, el reconocimiento, es donde empieza el trabajo técnico real.