Al hacer que OCD Tech actúe como una fuerza opuesta simulada, la prueba de penetración es un ejercicio de seguridad para identificar riesgos para la organización.
El equipo de OCD Tech analizará el entorno y aprovechará las vulnerabilidades encontradas, las configuraciones incorrectas y las funcionalidades disponibles para un usuario con pocos privilegios. Este proceso aprovechará los resultados identificados a través de la evaluación de vulnerabilidad. En lugar de simplemente informar las vulnerabilidades identificadas, el equipo de evaluación intentará explotar estas vulnerabilidades y demostrar la exposición potencial con el objetivo de alcanzar el nivel más alto posible de privilegios y obtener acceso a información confidencial. La metodología que se presenta a continuación es amplia y un alcance cuidadosamente definido impulsará los componentes reales de la prueba. A veces, durante la prueba de penetración, se descubre una vulnerabilidad previamente desconocida. Una vez que se realiza la divulgación responsable, se emite un CVE. ¿Necesita obtener más información sobre los CVE?
Metodología
La metodología que se presenta a continuación es amplia y un alcance cuidadosamente definido impulsará los componentes reales de la prueba. La prueba de penetración, en general, incluye los siguientes componentes:
Reconocimiento pasivo
Aproveche las fuentes de Open Source Intelligence para recopilar información sobre la organización y sus empleados.
Reconocimiento activo
Caracterice la red de destino y los sistemas de destino para identificar vulnerabilidades potencialmente explotables o configuraciones incorrectas.
Ingeniería Social
Diríjase a los usuarios finales en un intento de recuperar información confidencial o instalar software malicioso. Esto puede tomar varias formas.
Explotación
Obtenga acceso no autorizado a los sistemas de destino.
Explotación de Hallazgos
Utilice el punto de apoyo recién establecido para recopilar información específica sobre el nivel de privilegio obtenido que antes no estaba disponible.
Escalamiento de Privilegios
Obtenga acceso de nivel de administrador a los sistemas de destino.
Movimiento Lateral
Aproveche los datos recopilados para moverse por la red, centrándose en obtener acceso a los sistemas críticos.
Mantener Accesos
Depending on the scope of the test, ensure that compromised systems may be accessed throughout the test.
Cubrir Actividades
Según el alcance de la prueba, asegúrese de que se eliminen todos los rastros de la actividad del atacante.
Reporteo
Compile toda la información recopilada durante la prueba de penetración para la administración.