Inicio

Temas

Hacking ético

¿Qué es hacking ético?
Explorar la solución de hacking ético de IBM Regístrese para recibir las actualizaciones del tema de seguridad
Ilustración que muestra un collage de pictogramas de nubes, huellas dactilares y teléfonos móviles
¿Qué es hacking ético?

El hacking ético es el uso de técnicas de hackeo por partes amistosas para intentar descubrir, comprender y corregir vulnerabilidades de seguridad en una red o sistema informático. 

Los hackers éticos tienen las mismas habilidades y usan las mismas herramientas y tácticas que los hackers maliciosos, pero su objetivo es mejorar la seguridad de la red sin dañar la red ni a sus usuarios.

En muchos casos, el hackeo ético es como un ensayo para los ataques cibernéticos del mundo real. Las organizaciones contratan hackers éticos para lanzar ataques simulados en sus redes informáticas. Durante estos ataques, los hackers éticos demuestran cómo los delincuentes cibernéticos reales ingresan a una red y el daño que podrían causar una vez dentro.

Los analistas de seguridad de la organización pueden usar esta información para eliminar vulnerabilidades, fortalecer sistemas de seguridad y proteger datos confidenciales.

Los términos "hacking ético" y "pruebas de penetración" a veces se utilizan indistintamente. Sin embargo, las pruebas de penetración son solo uno de los métodos que emplean los hackers éticos. Los hackers éticos también pueden realizar evaluaciones de vulnerabilidad, análisis de malware y otros servicios de seguridad de la información.

IBM X-Force Threat Intelligence Index

Obtenga insight para prepararse y responder a los ciberataques con mayor rapidez y eficacia con IBM X-Force Threat Intelligence Index.

Contenido relacionado Regístrese para recibir el informe sobre el costo de una filtración de datos
Código de ética de los hackers éticos

Los hackers éticos siguen un estricto código de ética para garantizar que sus acciones ayuden a las empresas en lugar de perjudicarlas.

Muchas organizaciones que capacitan o certifican a hackers éticos, como el International Council of E-Commerce Consultants (EC Council), publican su propio código de ética formal por escrito. Si bien la ética establecida puede variar entre hackers u organizaciones, las pautas generales son:

Los hackers éticos obtienen permiso de las empresas que atacan

 

Los hackers éticos son empleados o se asocian con las organizaciones que atacan. Trabajan con las empresas para definir un alcance para sus actividades, incluyendo cronogramas de hackeo, métodos utilizados y sistemas y activos probados. 

Los hackers éticos no causan ningún daño

 

Los hackers éticos no hacen ningún daño real a los sistemas que atacan ni roban ningún dato confidencial que encuentren. Cuando los sombreros blancos atacan una red, solo lo hacen para demostrar lo que podrían hacer los delincuentes cibernéticos reales. 

Los hackers éticos mantienen confidenciales sus hallazgos

 

Los hackers éticos comparten la información que recopilan sobre vulnerabilidades y sistemas de seguridad con la empresa y solo con la empresa. También ayudan a la empresa a utilizar estos hallazgos para mejorar las defensas de la red.

Los hackers éticos trabajan dentro de los límites de la ley

 

Los hackers éticos solo utilizan métodos legales para evaluar la seguridad de la información. No se asocian con black hats ni participan en ataques maliciosos.

Hackers éticos frente a otros tipos de hackers

En relación con este código de ética, hay otros dos tipos de piratas informáticos.

Hackers absolutamente maliciosos

 

A veces denominados "hackers de sombrero negro", los piratas informáticos malintencionados cometen delitos cibernéticos para beneficio personal, terrorismo cibernético o alguna otra causa. Atacan sistemas informáticos para robar información confidencial, robar fondos o interrumpir las operaciones.

Hackers éticos poco éticos

 

A veces denominados "hackers de sombrero gris" (o mal escritos como "piratas informáticos de sombrero gris"), estos piratas informáticos utilizan métodos poco éticos o incluso trabajan al margen de la ley con fines éticos. Algunos ejemplos incluyen atacar una red o un sistema de información sin permiso para probar una explotación o explotar públicamente una vulnerabilidad de software que los proveedores trabajarán en una solución.

Aunque estos piratas informáticos tienen buenas intenciones, sus acciones también pueden alertar a los atacantes malintencionados sobre nuevos vectores de ataque.

Habilidades y certificados del hackeo ético

La piratería informática ética es una trayectoria profesional legítima. La mayoría de los hackers éticos tienen una licenciatura en ciencias de la computación, seguridad de la información o un campo relacionado. Tienden a conocer lenguajes comunes de programación y scripting como python y SQL.

Están capacitados (y continúan desarrollando sus habilidades) en las mismas herramientas y metodologías de hackeo de hackers maliciosos, incluidas herramientas de escaneo de redes, como Nmap, plataformas de pruebas de penetración, como Metasploit, y sistemas operativos especializados diseñados para hackeo, como Kali Linux.

Al igual que otros profesionales de seguridad cibernética, los piratas informáticos éticos suelen obtener credenciales para demostrar sus habilidades y su compromiso con la ética. Muchos toman cursos de piratería ética o se inscriben en programas de certificación específicos del campo. Algunas de las certificaciones de piratería ética más comunes incluyen:

Pirata informático ético certificado (CEH)

 

Ofrecido por EC-Council, un organismo internacional de certificación de seguridad cibernética, CEH es una de las certificaciones éticas de piratería informática ética más reconocidas.

CompTIA Pentest+

 

Esta certificación se centra en pruebas de penetración y evaluación de vulnerabilidades.

Probador de penetración SANS GIAC (GPEN)

 

Al igual que Pentest+, la certificación GPEN del SANS Institute valida las habilidades de prueba de pluma de un pirata informático ético.

 

Hacking ético en la práctica

Los hackers éticos ofrecen una variedad de servicios.

Pruebas de penetración

 

Las pruebas de penetración son violaciones de seguridad simuladas. Los evaluadores de penetración imitan a los hackers maliciosos obteniendo acceso no autorizado a los sistemas de la empresa. Por supuesto, los evaluadores de penetración no causan ningún daño real. Utilizan los resultados de sus pruebas para ayudar a defender a la empresa contra delincuentes cibernéticos reales.

Las pruebas de penetración se realizan en tres etapas:

1. Reconocimiento

Durante la etapa de reconocimiento, los evaluadores de penetración recopilan información sobre las computadoras, los dispositivos móviles, las aplicaciones y los servidores web y otros activos de la red de la empresa. Esta etapa a veces se denomina "huella" porque los evaluadores de penetración mapean toda la huella de la red. 

Los evaluadores de penetración utilizan métodos manuales y automatizados para realizar el reconocimiento. Pueden anotar los perfiles de las redes sociales de los empleados y las páginas de GitHub para obtener sugerencias. Pueden usar herramientas como Nmap para buscar puertos abiertos y herramientas como Wireshark para inspeccionar el tráfico de red. Si la empresa lo permite, pueden usar tácticas de ingeniería social para engañar a los empleados para que compartan información confidencial.

2. Organizar el ataque

Una vez que los evaluadores de penetración comprenden los contornos de la red y las vulnerabilidades que pueden explotar, hackean el sistema. Los evaluadores de penetración pueden probar una variedad de ataques según el alcance de la prueba de penetración. Algunos de los ataques probados con mayor frecuencia incluyen:   

- Inyecciones SQL: Los evaluadores de penetración intentan que una página web o aplicación revele datos confidenciales introduciendo código malicioso en los campos de entrada.

– Secuencias de comandos entre sitios: los evaluadores de penetración intentan colocar código malicioso en el sitio web de una empresa.

– Ataques de denegación del servicio: los evaluadores de penetración intentan desconectar servidores, aplicaciones y otros recursos de red inundándolos de tráfico.

– Ingeniería social: Los evaluadores de penetración utilizan phishing, baiting, pretextos u otras tácticas para engañar a los empleados y hacer que comprometan la seguridad de la red. 

Durante el ataque, los evaluadores de penetración exploran cómo los piratas informáticos maliciosos pueden explotar las vulnerabilidades existentes y cómo pueden moverse a través de la red una vez dentro. Averiguan a qué tipos de datos y activos pueden acceder los piratas informáticos. También prueban si las medidas de seguridad existentes pueden detectar o prevenir sus actividades.

Al final del ataque, los evaluadores de penetración cubren sus huellas. Esto tiene dos propósitos. En primer lugar, demuestra cómo los delincuentes cibernéticos pueden ocultarse en una red. En segundo lugar, evita que los piratas informáticos maliciosos sigan secretamente a los piratas informáticos éticos en el sistema.

3. Informes

Los evaluadores de penetración documentan todas sus actividades durante el ataque. Luego, presentan un informe al equipo de seguridad de la información que describe las vulnerabilidades que explotaron, los activos y datos a los que accedieron y cómo evadieron los sistemas de seguridad. Los hackers éticos también hacen recomendaciones para priorizar y solucionar estos problemas. 

Evaluaciones de vulnerabilidades

 

La evaluación de vulnerabilidades es como las pruebas de penetración, pero no va tan lejos como explotar las vulnerabilidades. En cambio, los hackers éticos utilizan métodos manuales y automatizados para encontrar, categorizar y priorizar vulnerabilidades en un sistema. Luego, comparten sus hallazgos con la empresa. 

Análisis de malware

 

Algunos piratas informáticos éticos se especializan en analizar cepas de ransomware y malware. Estudian nuevos lanzamientos de malware para comprender cómo funcionan y comparten sus conclusiones con las empresas y la comunidad de seguridad de la información en general. 

Gestión de riesgos

 

Los hackers éticos también pueden ayudar con la gestión estratégica de riesgos de alto nivel. Pueden identificar amenazas nuevas y emergentes, analizar cómo estas amenazas afectan la postura de seguridad de la empresa y ayudar a la empresa a desarrollar contramedidas.  

Beneficios del hacking ético

Si bien hay muchas formas de evaluar la seguridad cibernética, el hacking ético puede ayudar a las empresas a comprender las vulnerabilidades de la red desde la perspectiva de un atacante. Al hackear redes con licencia, los hackers éticos pueden mostrar cómo los hackers maliciosos explotan diversas vulnerabilidades y ayudar a la empresa a descubrir y cerrar las más críticas. 

La perspectiva de un hacker ético también puede revelar aspectos que los analistas de seguridad interna podrían pasar por alto. Por ejemplo, los hackers éticos van de pies a cabeza con cortafuegos, algoritmos criptográficos, sistemas de detección de intrusiones (IDS), sistemas de detección extendidos (XDR) y otras contramedidas. Como resultado, saben exactamente cómo funcionan estas defensas en la práctica, y dónde son deficientes, sin que la empresa sufra una filtración de datos real.

Productos de hacking ético
Pruebas de penetración

IBM® X-Force Red proporciona pruebas de penetración de sus aplicaciones, redes, hardware y personal para descubrir y arreglar las vulnerabilidades que exponen sus activos más importantes a los ataques.

Conozca los servicios de pruebas de penetración

Servicios de seguridad ofensiva

Los servicios de seguridad ofensiva incluyen pruebas de penetración, gestión de vulnerabilidades y simulación de adversarios para ayudar a identificar, priorizar y remediar fallas de seguridad que cubren todo su ecosistema digital y físico.

Explore los servicios de seguridad ofensiva
Servicios de gestión de vulnerabilidades X-Force Red

Adopte un programa de gestión de vulnerabilidades que identifique, priorice y gestione la corrección de fallas que podrían exponer sus activos más críticos.

Conozca los servicios de gestión de vulnerabilidades de X-Force Red

Recursos éticos para ataques informáticos Índice de X-Force Threat Intelligence de IBM

X-Force Threat Intelligence Index ofrece a los CISO, equipos de seguridad y líderes empresariales insights aplicables en la práctica para ayudarles a comprender cómo los actores de amenazas planean los ataques y cómo pueden proteger proactivamente a las organizaciones.

Informe sobre el costo de una filtración de datos

Este informe proporciona información valiosa sobre las amenazas que enfrenta, junto con recomendaciones prácticas para actualizar la ciberseguridad y minimizar las pérdidas.

Centro de operaciones de seguridad (SOC)

Un centro de operaciones de seguridad mejora las capacidades de detección, respuesta y prevención de amenazas de una organización al unificar y coordinar todas las tecnologías y operaciones de seguridad cibernética.

Defensas contra ataques de ataque de aprendizaje profundo

Los investigadores de IBM han descubierto nuevas amenazas y desarrollado defensas accionables para un tipo diferente de modelo de IA llamado modelos generativos profundos (DGMs). Los DGMs son una tecnología de IA emergente capaz de sintetizar los datos de manifolds complejos y de alta dimensión.

¿Qué son las soluciones de seguridad de red?

La seguridad de red es el campo de la seguridad cibernética enfocada en proteger las redes informáticas de las amenazas cibernéticas. La seguridad de red protege la integridad de la infraestructura de red, los recursos y el tráfico para frustrar ataques y minimizar su impacto financiero y operativo.

¿Qué es la gestión de superficies de ataque?

La gestión de la superficie de ataque (ASM) es la detección, el análisis, la corrección y la supervisión continuos de las vulnerabilidades de seguridad cibernética y los posibles vectores de ataque que componen la superficie de ataque de una organización.

Dé el siguiente paso

El equipo global de IBM X-Force Red ofrece una gama completa de servicios de seguridad ofensiva, que incluyen pruebas de penetración, gestión de vulnerabilidades y simulación de adversarios, para ayudar a identificar, priorizar y corregir fallas de seguridad que cubren todo su ecosistema digital y físico.

Explore los servicios de X-Force Red