El siguiente post es tomado de una entrada hallada en el sitio web de Scythe, una plataforma de emulación de adversarios para el mercado empresarial y de consultoría en ciberseguridad.
En la entrada se clasifica el nivel de evolución de las pruebas de hacking ético en seis niveles de evolución, al final de la entrada hallará las URLs al sitio web de Scythe y la entrada original, por el momento, un resumen es español del articulo.
enjoy ;-)
El Modelo de Madurez de Hacking Ético propuesto le permite a las organizaciones evaluar y fortalecer su postura de seguridad a través del hacking ético.
Vulnerability scanning (Exploración de vulnerabilidades)
El escaneo de una organización en busca de vulnerabilidades con un escáner automatizado es la más simple de las evaluaciones de hacking ético que una organización debe realizar. El objetivo es inventariar e identificar las vulnerabilidades conocidas en los sistemas y aplicaciones. Este paso requiere un esfuerzo mínimo siempre que se disponga de las herramientas adecuadas.
Vulnerability assessment (Evaluación de la vulnerabilidad)
Una vez completado el escaneo de vulnerabilidades, un hacker ético puede validar las vulnerabilidades manualmente para eliminar los falsos positivos y calcular una calificación de riesgo precisa.
Penetration testing (Pruebas de penetración)
Explotan las vulnerabilidades identificadas. Consisten en explotar las vulnerabilidades en circunstancias controladas; de manera profesional y segura. pentesters suelen encontrar vulnerabilidades que no son conocidas por los fabricantes y se centran en eludir los controles preventivos.
Red team (Equipo Rojo)
Se centra en probar a las personas, los procesos y la tecnología. Los principales clientes son los defensores que se centran en los controles de detección y alerta. El Equipo Rojo emula las Tácticas, Técnicas y Procedimientos (TTP) de los adversarios para poner a prueba a una organización de forma integral.
Purple team (Equipo Morado)
Es un equipo virtual formado por el Equipo Rojo y el Equipo Azul. Un ejercicio del Equipo Púrpura es un compromiso abierto en el que la actividad de ataque se expone y se explica al Equipo Azul a medida que se produce.
Adversary emulations (Emulaciones de adversarios)
Es un tipo de compromiso de hacking ético en el que un equipo rojo imita cómo opera un atacante, aprovechando marcos como MITRE ATT&CK para identificar tácticas, técnicas y procedimientos (TTP) específicos que un atacante real podría utilizar contra una organización.
El modelo es propuesto por esta empresa: scythe
Este es el artículo original: SCYTHE’s Ethical Hacking Maturity Model
"El primer paso para llegar a la meta es empezar"... HH
No hay comentarios:
Publicar un comentario