Prueba, examen y entrevista en SP 800-115

La guía reconoce tres métodos de evaluación. Probar es poner a funcionar el objeto evaluado en condiciones definidas y comparar lo que hace con lo que debería hacer. Examinar es revisar, inspeccionar u observar el objeto o sus documentos para entenderlo o reunir evidencia. Entrevistar es conversar con personas de la organización para aclarar algo o para saber dónde está la evidencia.

La diferencia práctica está en quién actúa. En una prueba, el sistema hace algo y el evaluador mira el resultado. En un examen, el sistema no hace nada: el evaluador lee una configuración, un registro o una política. Leer las reglas exportadas de un cortafuegos es examinarlo, aunque el resultado sea un hallazgo grave.

La entrevista tiene un papel que se suele malinterpretar: lo que dice una persona orienta, pero no prueba. Su valor está en decirte qué examinar o qué probar después.

Quien escribió el plan puso un método a cada una de las nueve actividades. En una confundió leer con hacer funcionar.

El resumen del plan dice cuántas actividades hay de cada método, porque eso le cuenta al cliente qué parte del encargo es revisión de documentos y qué parte toca sus sistemas.

La guía agrupa las técnicas en tres categorías. Las de revisión son exámenes: documentos, registros, reglas, configuraciones; son pasivas y casi no ponen en riesgo nada. Las de identificación y análisis de objetivos son pruebas que descubren equipos, puertos, servicios y posibles vulnerabilidades, casi siempre con herramientas automáticas. Las de validación de vulnerabilidades son pruebas que confirman que una debilidad existe de verdad; son las que más riesgo llevan, y por eso piden ventana, contacto de emergencia y cuidado.

Un escaneo de vulnerabilidades, aunque se llame así, todavía es identificación: dice qué podría estar mal, no lo confirma.

La guía distingue la prueba abierta, hecha con conocimiento y apoyo del personal de TI, de la encubierta, en la que solo unos pocos saben y que imita a un adversario. La encubierta mide la respuesta de la organización, pero encuentra menos vulnerabilidades, cuesta más y lleva más riesgo; la abierta es más barata y es la que más se usa.