7- Comparar metodologías de pentesting

OSSTMM
PTES
OWASP WSTG
MITRE ATT&CK

OSSTMM

1- ¿Cuál es la última versión del manual y su fecha de derechos de autor de OSSTMM?

En el momento de escribir este artículo, la Versión 3 con fecha de copyright de 2010

Aunque OSSTMM es antiguo, sigue siendo un buen punto de partida para planificar y realizar pruebas y auditorías de seguridad. Sin embargo, es importante utilizarlo en combinación con normas y metodologías más actualizadas.

2- ¿Qué organización desarrolla el OSSTMM? ¿Qué hacen?

El Instituto de Seguridad y Metodologías Abiertas. Publican certificaciones de seguridad, publican libros y realizan investigaciones. Publican un plan de estudios de concientización sobre seguridad para adolescentes y realizan otras actividades.

3- ¿Cuáles son los propósitos primarios y secundarios declarados de la OSSTMM según lo establecido en la publicación de la OSSTMM?

“El objetivo principal es proporcionar una metodología científica para la caracterización precisa de la seguridad operativa mediante el examen y la correlación de los resultados del texto de una manera consistente y confiable. El propósito secundario es proporcionar pautas que permitan a un analista realizar una auditoría OSSTMM certificada”.

4- ¿Cuáles son los seis resultados que se aseguran para que se sigan correctamente las directrices de la OSSTM?

De la página 13 del manual OSSTMM:

Que la prueba se realizó minuciosamente.
Que la prueba incluyó todos los canales necesarios.
Que la prueba se ajustó a derecho.
Que los resultados de las pruebas sean medibles de forma cuantificable.
Que los resultados de las pruebas sean consistentes y repetibles.
Que los resultados de las pruebas contengan únicamente hechos derivados de las pruebas mismas.

5- ¿Cuáles son los diez pasos de la aplicación del OSSTM cuando se combinan el Proceso de 4 Puntos y la Trifecta?

Del manual de OSSTMM, página 45:

Recopile pasivamente datos de operaciones normales para comprender el objetivo.
Pruebe activamente las operaciones agitándolas más allá de la línea base normal.
Analizar los datos recibidos directamente de las operaciones probadas.
Analizar datos indirectos de recursos y operadores (es decir, trabajadores, programas).
Correlacionar y conciliar la inteligencia de los resultados de las pruebas de datos directas (paso 3) e indirectas (paso 4) para determinar los procesos de seguridad operativa.
Determinar y conciliar errores.
Derivar métricas tanto de operaciones normales como agitadas.
Correlacionar y conciliar inteligencia entre operaciones normales y agitadas (pasos 1 y 2) para determinar el nivel óptimo de protección y control que mejor se implementaría.
Asigne el estado óptimo de las operaciones (paso 8) a los procesos (paso 5).
Crear un análisis de brechas para determinar qué mejoras se necesitan para los procesos que rigen la protección y los controles necesarios (paso 5) para lograr el estado operativo óptimo (paso 8) desde el actual.

PTES

1- ¿Cuál es la última versión de la norma de PTES?

Al momento de escribir este artículo, la Versión 1. La Versión 2 está en proceso.

2- ¿Cuáles son las siete secciones principales del PTES?

Interacciones previas al compromiso
Recopilación de inteligencia
Modelado de amenazas
Análisis de vulnerabilidad
Explotación
Después de la explotación
Informes

3- ¿Cuál es el propósito declarado del PTES?

"Proporcionar a las empresas y profesionales de la seguridad un lenguaje común y un alcance para realizar pruebas de penetración y evaluaciones de seguridad".

4- ¿En qué documento se especifican las herramientas y técnicas que se utilizarán en las siete secciones de la prueba?

Las Directrices Técnicas de la PTES

WSTG de OWASP

1- ¿Cuál es la última versión del estándar WSTG?

Al momento de escribir este artículo, la Versión 4.2 con la Versión 5.0 está en desarrollo.

2- Acceda a la versión estable actual del WSTG. ¿Cuáles son las cinco fases del marco de pruebas de seguridad web?

Fase 1: antes de que comience el desarrollo Fase 2 - Durante la definición y el diseño Fase 3: durante el desarrollo Fase 4: durante la implementación Fase 5: durante el mantenimiento y las operaciones

3- ¿Cuál es el propósito declarado del OWASP WSTG?

“Proporcionar una guía completa para probar la seguridad de las aplicaciones web. Describe técnicas, métodos, herramientas y recursos para probar los problemas de seguridad de aplicaciones web más comunes”.

4- ¿Cuáles son las doce categorías de pruebas activas definidas en el marco de pruebas web de OWASP?

Recopilación de información
Pruebas de gestión de configuración e implementación
Pruebas de gestión de identidad
Pruebas de autenticación
Pruebas de autorización
Pruebas de gestión de sesiones
Pruebas de validación de entradas
Manejo de errores
Criptografía
Pruebas de lógica empresarial
Pruebas del lado del cliente
Pruebas API

MITRE ATT&CK

1- ¿Cuál es la última versión del estándar ATT&CK?

Al momento de escribir este artículo, la Versión 13

2- ¿Por qué MITRE desarrolló ATT&CK?

MITRE ATT&CK comenzó a documentar tácticas, técnicas y procedimientos (TTP) comunes que las amenazas persistentes avanzadas utilizan contra las redes empresariales de Windows.

3- ¿Qué seis casos de uso comunes de ATT&CK se describen?

Emulación de adversarios, Red Teaming, desarrollo de análisis de comportamiento, evaluación de brechas defensivas, evaluación de madurez de SOC, enriquecimiento de inteligencia de Cyber Treat.

4- ¿Cuáles son los tres dominios de la tecnología ATT&CK?

Enterprise, Mobile, ICS

5- ¿Cuáles son las tres subtécnicas que se proporcionan para esta técnica?

Técnicas para recopilar credenciales, direcciones de correo electrónico y nombres de empleados.

6-¿Quién es el Grupo Lázaro? Llevaron a cabo una campaña para recopilar direcciones de correo electrónico para ataques posteriores. ¿Cómo recopilaron y utilizaron las direcciones de correo electrónico?

El Grupo Lazarus es un grupo de amenazas cibernéticas patrocinado por el estado de Corea del Norte. Llevaron a cabo una campaña llamada Operación Dream Job en la que utilizaron ataques de phishing con señuelos laborales falsos y otros ataques activos para recopilar direcciones de correo electrónico que luego se utilizaron en campañas de phishing.