En lenguaje claro
Terminología de pentest explicada para compradores
La terminología de pentest puede hacer que una compra sencilla parezca complicada. Sin embargo, a un comprador le basta una lista corta de palabras. Aquí están, agrupadas según la etapa en que aparecen.
- Autorización antes de cualquier prueba
- Orientación con palabras claras
- Alcance por escrito en cada proyecto
Por qué importa la terminología de pentest
Propuestas, contratos e informes usan los mismos pocos términos. Si una palabra significa cosas distintas para usted y para la empresa, el alcance puede desviarse. Por eso conviene acordar su sentido pronto.
Además, auditores y clientes leen estos términos en su informe, así que conocerlos le ayuda a responder sus dudas.
Palabras que aparecen antes de la prueba
Estas palabras salen en propuestas y contratos. Casi todas describen documentos que usted firmará o aprobará.
Lea cada una con una duda sencilla en mente: ¿quién lo firma y cuándo?
| Término | Significado claro |
|---|---|
| Alcance | La lista escrita de lo que se prueba y lo que no |
| Autorización | El permiso firmado del propietario para probar |
| Reglas de enfrentamiento | Horarios, límites, contactos y reglas de pausa |
| Caja negra, gris o blanca | Cuánta información reciben antes los evaluadores |
| Ventana de prueba | Las fechas y horas acordadas para el trabajo |
Revisión rápida de términos
Marque los términos de la terminología de pentest que podría explicar a un colega.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Terminología de pentest durante el trabajo
Durante la prueba oirá hablar de informes de estado y de escalado. Escalar significa comunicar de inmediato un problema grave, sin esperar al informe.
También puede oír hablar de una pausa. Como las reglas permiten a cualquiera de las partes detener el trabajo, una pausa es una medida normal de seguridad, no un fracaso.
Terminología de pentest en el informe
Un hallazgo es una debilidad, con evidencia. La severidad indica su gravedad, a menudo con una escala común. Una cadena son varios hallazgos que se combinan en un impacto mayor.
Luego, la sección de remediación explica las correcciones. Por último, un resumen ejecutivo traduce el resultado a términos de negocio.
Palabras que aparecen después de la prueba
Una repetición de la prueba comprueba si las correcciones funcionaron. Una carta de atestación es una declaración breve de que la prueba se hizo, que suele compartirse con clientes en lugar del informe completo.
Del mismo modo, la aceptación del riesgo significa que un responsable de negocio decidió por escrito no corregir algo todavía. Así la decisión queda registrada y no se olvida.
La palabra que más importa
La autorización va primero, porque leyes de abuso informático como la Computer Misuse Act 1990 del Reino Unido dependen de ella. Ninguna entrada del glosario importa hasta que el propietario firma.
Los proyectos completos van de $35,000 a $120,000, con un mínimo de $25,000. La External Attack Surface Review, acotada, empieza en $4,500. Su tarifa se abona por completo si encarga un proyecto completo en los noventa días siguientes. Cada tarifa se acuerda por escrito antes de empezar.
Preguntas sobre terminología de pentest
¿Qué terminología de pentest es la más importante?
Alcance y autorización, porque deciden qué se puede probar legalmente.
¿La repetición forma parte de la terminología de pentest?
Sí. Significa comprobar que las correcciones funcionaron.
¿Qué es una cadena?
Varios hallazgos que se combinan en un impacto mayor.
¿Dónde se define la terminología de pentest?
En la propuesta y el contrato. Solicite a la empresa que defina por escrito cualquier término dudoso.
Guías relacionadas
Consulte cualquier término que no tenga claro
Envíe sus dudas con un breve resumen. Respondemos en lenguaje claro, con un alcance por escrito y una tarifa fija.
Pregunte por pruebas autorizadas