El penetration testing (pentesting, hacking etico) es un ataque ciber simulado y autorizado contra un sistema, aplicacion, API o red. El objetivo es identificar debilidades (vulnerabilidades, configuraciones erroneas, fallos de diseno) antes de que los atacantes maliciosos las exploten. El pentester sigue una metodologia estructurada que combina escaneo automatizado, explotacion manual, post explotacion y reporte. La salida es un informe escrito con cada hallazgo clasificado por severidad (Critical, High, Medium, Low, Informational) con pasos de reproduccion, capturas, impacto de negocio y solucion recomendada. El penetration testing es obligatorio en muchos marcos: PCI DSS 11.4 (anual), ISO 27001:2022 A.8.29, NIS2 articulo 21, HIPAA, SOC 2, y DORA articulo 26 desde el 17 de enero de 2025 para entidades financieras de la UE. Precios 2025: 5.000 a 25.000 EUR para PYMEs, 30.000 a 150.000 EUR enterprise, PTaaS desde 800 a 2.000 EUR/mes.
Pentest vs escaneo de vulnerabilidades
| Aspecto | Escaneo | Pentest |
|---|---|---|
| Automatizacion | Total | Mayormente manual |
| Profundidad | Superficial | Encadenada |
| Falsos positivos | Altos | Bajos |
| Explotacion | Ninguna | Real |
| Duracion | Minutos a horas | Dias a semanas |
| Coste | Bajo | Desde 5.000 EUR |
| Frecuencia | Semanal | Anual |
Tipos de pentest
- Web app.
- API (OWASP API Top 10 2023).
- Movil (Frida, Objection, MobSF).
- Red e infraestructura.
- Cloud (AWS, Azure, GCP).
- Wireless.
- Ingenieria social y phishing.
- Red Team.
- Purple Team.
- IoT y embebidos.
Modelos de conocimiento
- Black box.
- Grey box.
- White box.
Metodologia
- Scoping y reglas de compromiso.
- Reconocimiento (Shodan, Censys, Wayback, Nmap, Amass, gobuster).
- Threat modeling.
- Identificacion de vulnerabilidades (Burp Suite Pro, Acunetix, Nuclei, Nessus).
- Explotacion (Metasploit, sqlmap, hashcat, BloodHound).
- Post explotacion.
- Reporte CVSS 3.1 o 4.0.
- Remediacion y retest.
Estandares
- OWASP WSTG 4.2.
- OWASP API Top 10 2023.
- PTES.
- NIST SP 800 115.
- OSSTMM.
- MITRE ATT&CK.
- PCI DSS 11.4.
- TIBER-EU.
Herramientas
- Burp Suite (Community gratis, Pro 449 USD/ano).
- OWASP ZAP.
- Metasploit.
- Nmap.
- sqlmap.
- Nuclei.
- hashcat.
- BloodHound.
- Kali Linux, Parrot OS.
- Cobalt Strike.
- WPScan.
Certificaciones
- OSCP, OSCE3.
- CRTO/CRTL.
- CREST CRT y CCT.
- PNPT.
- GPEN, GWAPT, GXPN.
- CEH.
Pentest de WordPress
- CVEs de plugins y temas (WPScan).
- Endpoints REST sin auth.
- XML-RPC.
- Author enumeration.
- Archivos de backup en webroot.
- Subidas vulnerables.
- SQLi en plugins/themes custom.
- XSS stored.
- Sin 2FA ni nonces CSRF.
- Contrasenas debiles.
Como preparar un pentest
- Definir alcance.
- Cuentas de prueba por rol.
- Entorno staging aislado.
- Informar a SOC, IT, hosting y WAF.
- Documentar issues conocidos.
- Canal de comunicacion (Slack, Signal).
- Presupuesto para retest.
Bug Bounty
HackerOne, Bugcrowd, Intigriti, YesWeHack, Open Bug Bounty. No reemplaza al pentest, lo complementa.
Como encaja InspectWP?
InspectWP automatiza reconocimiento y analisis de superficie.