Diferencias con un pentest tradicional

5 tareas · 35 min · Principiante

Desde que DORA obliga a estas pruebas, aparecen ofertas que llaman «prueba guiada por amenazas» a un pentest con otro nombre. Para un pentester es una sala importante por partida doble: sabrás leer esas ofertas desde el lado del cliente y sabrás qué cambia en tu trabajo si algún día formas parte de un equipo rojo de este tipo. Banco Peñagolosa comparó la oferta de Sarrión Red Team con la de un segundo proveedor, Ofensiva Tabernas. Esta sala lee la segunda.

0 de 5 · 0%

Objetivo de la sala

Las diferencias no son de intensidad, son de diseño:

Qué se mide. El pentest mide las debilidades técnicas de un sistema o entorno, muchas veces aislado. La prueba guiada mide si un ataque dirigido llega de principio a fin a una función crítica y si el banco lo detecta y responde.
De dónde salen los objetivos. En el pentest, del alcance que firma el cliente. En la guiada, de un informe de inteligencia sobre quién atacaría a este banco, y se concretan en banderas.
Dónde y cuánto. La guiada se hace sobre producción, y su fase activa dura como mínimo 12 semanas; un pentest suele durar días o pocas semanas y a menudo se hace en preproducción.
Quién sabe. En el pentest, la defensa suele estar avisada. En la guiada, solo el equipo de control.
Qué se entrega. El pentest entrega una lista de vulnerabilidades. La guiada entrega lo que pasó en cada escenario, qué vio y qué no vio la defensa, las causas de fondo y un plan de corrección.

Responde para continuar

El director de seguridad pregunta qué aporta su pentest anual que la prueba guiada no aporte. ¿Qué le dices?

Que el pentest busca a lo ancho las debilidades de un sistema; la guiada sigue unos pocos caminos Que el pentest da una certificación de seguridad del sistema y la prueba guiada no la da Nada: la prueba guiada cubre más sistemas, con más tiempo, y hace innecesario el pentest anual

Ver pista de ayuda

Una prueba guiada sigue tres o cuatro escenarios hasta el final. ¿Qué queda sin mirar fuera de esos caminos?

La razón de probar en producción no es temeridad: es que la defensa, los registros, las cuentas y los procesos de verdad solo están ahí. Una copia de preproducción no tiene al centro de operaciones mirando ni a los empleados trabajando, así que no responde a la pregunta de la prueba. A cambio, probar en producción exige la gestión de riesgos que el marco pone en manos del equipo de control y del plan del equipo rojo.

Responde para continuar

¿Qué línea de la oferta de Ofensiva Tabernas haría la prueba en un entorno que no responde a la pregunta del marco? Escribe su identificador.

Ver pista de ayuda

Ejecuta `SELECT * FROM oferta` y busca dónde dice que se harían las pruebas.

Las doce semanas no son un capricho: un adversario real tiene meses, y el equipo rojo necesita tiempo para recorrer la entrada, el movimiento por los sistemas y la acción sobre el objetivo en cada escenario, con la cautela que exige la producción.

Responde para continuar

Según las fechas de la oferta, ¿cuántas semanas completas dura su fase activa? Escribe solo el número.

Ver pista de ayuda

Ejecuta `SELECT * FROM oferta`, toma las dos fechas de O-04, cuenta los días entre ellas y divide entre siete.

Un proveedor de pruebas que elige los escenarios «según su experiencia» hará lo que mejor sabe hacer, que no tiene por qué ser lo que haría quien de verdad ataca a este banco. Lo que convierte una prueba en guiada por amenazas es que la inteligencia, hecha por un proveedor externo, decide contra qué se mide el banco.

Responde para continuar

¿Qué línea de la oferta quita a la inteligencia el papel que le da el marco? Escribe su identificador.

Ver pista de ayuda

Ejecuta `SELECT * FROM oferta` y lee cómo se eligen los escenarios.

Compara la línea O-07 de la oferta con la ficha del pentest de 2026 del banco.

Responde para continuar

¿Qué dice la comparación entre O-07 y `pentest_2026` sobre la oferta?

Que promete el mismo tipo de entregable que el pentest de 2026, y no el que pide una prueba guiada Que cumple el marco, porque el marco pide como entregable final una lista de vulnerabilidades Que mejora al pentest de 2026 porque ordena las vulnerabilidades por sistema y no por severidad

Ver pista de ayuda

Ejecuta `SELECT * FROM pentest_2026` y vuelve a la última viñeta de la tarea 1.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que cambia, punto por punto

2 El entorno de la oferta Lab

3 Cuánto dura la fase activa Lab

4 Los escenarios sin inteligencia Lab

5 Lo que entregaría la oferta Lab

Whoami-Labs Pro utiliza cookies