Herramientas de Penetration Testing & Pentest Software

Herramientas de Penetration Testing & Pentest Software

Las herramientas de Penetration Testing, incluyendo los escáneres de vulnerabilidades, juegan un papel importante en nuestros servicios de Pentesting, pero no debemos ni dependemos de ellas para todo.
De hecho, la mayor parte del trabajo que realizamos son pruebas manuales, apoyadas por herramientas como Tenable Nessus Pro, Burp Suite, Sonarqube, AppScan y otras. Utilizamos y desarrollamos nuestros propios scripts para muchos fines y mantenemos un amplio conjunto de herramientas en nuestro repositorio. La validación de los resultados de estas herramientas de pentest es realizada manualmente por nuestro equipo.

A veces, las tareas específicas requieren herramientas específicas, por lo que también utilizamos herramientas como IDApro para el análisis binario, escáneres Cloud para comprobar las configuraciones en la nube y scripts de línea de base CIS para comprobar la conformidad con las líneas de base CIS.

En lo que se refiere a hardware y tecnologías inalámbricas, nuestro laboratorio está equipado con radios definidas por software (SDR), estaciones de (des)soldadura, analizadores lógicos y un montón de interfaces para probar hardware como Bus Pirates, Facedancers, JTAGulators y muchos otros.

Nos gusta mantener nuestro laboratorio y nuestras herramientas al día, y siempre estamos buscando nuevas y emocionantes formas de hacer que las pruebas sean mejores y más eficientes.

¿Cuál es la mejor frecuencia de pruebas? Muchas organizaciones se conforman con evaluaciones anuales, o cuando se realizan cambios importantes en las aplicaciones o infraestructuras. ¿Es eso suficiente?

Cada vez es más habitual realizar pequeñas actualizaciones incrementales muy frecuentes en las aplicaciones (cuando se utilizan modelos de desarrollo de software Agile, DevOps y CD/CI). Esto hace necesario adaptar también la frecuencia de las pruebas, y es la razón por la que Bureau Veritas Cybersecurity ofrece también Pruebas Periódicas (también conocidas como Escaneado Continuo) en las que las aplicaciones se prueban primero manualmente y después automáticamente cada mes, semana o quincena.

Dada la frecuencia, los informes de las pruebas automatizadas serán informes delta, que sólo proporcionarán las diferencias con los informes anteriores.