16.13
IG3

Realizar Pruebas de Penetración de Aplicaciones

Tipo de Activo: Aplicaciones
Función de Seguridad: Proteger

Descripción

Realizar pruebas de penetración de aplicaciones. Para aplicaciones críticas, las pruebas de penetración autenticadas son más adecuadas para encontrar vulnerabilidades de lógica de negocio que el escaneo de código y las pruebas de seguridad automatizadas. Las pruebas de penetración dependen de la habilidad del evaluador para manipular manualmente una aplicación como usuario autenticado y no autenticado.

Lista de Verificación de Implementación

1
Evaluar los controles de protección actualmente implementados
2
Configurar e implementar los controles de seguridad requeridos
3
Probar la efectividad de los controles en un entorno de no producción
4
Implementar en producción y verificar la funcionalidad
5
Documentar la configuración y los procedimientos operativos
6
Seleccionar y configurar la herramienta de escaneo de vulnerabilidades
7
Definir el alcance, la frecuencia y las credenciales del escaneo
8
Establecer los SLA de remediación de vulnerabilidades por severidad
9
Crear un proceso de excepción/exención para hallazgos no remediados

Amenazas y Vulnerabilidades (CIS RAM)

Escenarios de Amenazas

Vulnerabilidad de Lógica de Negocio Explotada en Aplicación de Producción

Confidencialidad

Un atacante descubre y explota una falla compleja de lógica de negocio que las herramientas de escaneo automatizado no pueden detectar, teniendo éxito porque ningún pentester calificado ha probado manualmente los flujos lógicos de la aplicación.

Vulnerabilidades Encadenadas que Llevan a Compromiso Total de Aplicación

Integridad

Un atacante encadena múltiples hallazgos de baja severidad en una ruta de exploit crítica que las herramientas automatizadas evalúan individualmente, pero solo un pentester calificado identificaría la cadena de ataque combinada.

Ruta de Ataque Autenticada Omitida por Escaneo No Autenticado

Confidencialidad

Las vulnerabilidades críticas accesibles solo para usuarios autenticados permanecen sin descubrir porque no se ha realizado ninguna prueba de penetración autenticada para evaluar las superficies de ataque posteriores al inicio de sesión.

Vulnerabilidades (Cuando la Salvaguarda está Ausente)

Sin Pruebas Manuales de Penetración de Aplicaciones

Sin pruebas de penetración de aplicaciones por testers calificados, las fallas complejas de lógica de negocio, vulnerabilidades encadenadas y rutas de ataque autenticadas que las herramientas automatizadas omiten permanecen sin descubrir en producción.

Las Pruebas Automatizadas Solas Proporcionan Cobertura Incompleta

La dependencia únicamente del escaneo automatizado sin pruebas de penetración manuales crea puntos ciegos en áreas que requieren juicio humano como lógica de autorización, manipulación de flujos de trabajo y condiciones de carrera.

Requisitos de Evidencia

Tipo Elemento de Evidencia Frecuencia de Recolección
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Técnico Informes de escaneo de vulnerabilidades que muestren el alcance y los hallazgos Por ciclo de escaneo
Registro Seguimiento de remediación de vulnerabilidades con métricas de cumplimiento de SLA Mensual
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente