Cybersecurity

Pentesting & Ethical Hacking

Advanced 10 modules • 30 hours •69 € VAT included

Curso orientado a ejecutar pruebas de seguridad ofensiva de forma profesional, autorizada y útil para el cliente. El contenido cubre metodología, reconocimiento, enumeración, validación técnica, explotación controlada, seguridad web, credenciales, movimiento lateral, reporte y práctica segura en laboratorio.

El pentesting serio no consiste en lanzar herramientas sin control, sino en transformar un alcance autorizado en evidencia técnica accionable. El curso enseña a pensar como atacante sin perder de vista los límites legales, la seguridad operacional y el valor del reporte final.

The first module is free. Request information about full-course access.

Please note: the course material (modules, exam, glossary and labs) is written in Spanish. Only the site interface is available in English. A good reading level of Spanish is required.

On sale soon. The first module is free: sign up and start.

hola@itlabcert.com

Request received. We will reply to your email within 48 working hours. No need to send it again.

For myself For my company or team

I have read and accept the privacy policy. We will only use your data to reply to you.

hola@itlabcert.com

Modulo 01. Etica, legalidad y metodologia de pentesting

Objetivo del modulo

Entender las bases legales y metodologicas que convierten una prueba ofensiva en un trabajo profesional y no en una accion temeraria o inutil.

Resultados esperados

Definir alcance, reglas de enfrentamiento y criterios de parada.
Distinguir un pentest profesional de un escaneo oportunista.
Relacionar metodologia, autorizacion y seguridad operacional.

Desarrollo teorico

Un pentest profesional solo existe cuando hay autorizacion explicita, alcance definido y un objetivo de negocio claro. Sin esos tres elementos, cualquier prueba tecnica puede convertirse en riesgo legal, impacto operativo innecesario o evidencia invalida. La etica del pentesting no es un adorno; es el marco que protege al cliente, al consultor y al valor del ejercicio. Por eso el primer trabajo del pentester no es abrir Kali ni lanzar Nmap, sino entender que se puede probar, cuando, con que profundidad y que evidencias necesita el cliente. En el contexto normativo, un pentest puede ser requisito explicito de frameworks como ISO 27001 (Annex A control A.8.8 sobre gestion de vulnerabilidades tecnicas), del GDPR (articulo 32 sobre medidas tecnicas apropiadas para garantizar seguridad del tratamiento) o del ENS (medidas operacionales de proteccion frente a codigo danino y pruebas de seguridad). La capacidad de demostrar que se realizan pruebas de seguridad periodicas con metodologia profesional es un requisito creciente en auditorias y certificaciones.

El alcance describe activos, dominios, IPs, aplicaciones, APIs, sedes, entornos y exclusiones. Tambien debe aclarar si se permite phishing, acceso fisico, pruebas autenticadas, exploitacion con privilegios, validacion de exfiltracion o movimiento lateral. Un alcance pobre genera dos problemas opuestos: pruebas demasiado timidas que no demuestran nada o pruebas demasiado agresivas que dañan servicios o rebasan lo contratado. Las reglas de enfrentamiento (ROE) resuelven esto fijando ventanas horarias, canales de escalado, contactos, limites tecnicos, datos sensibles a evitar y criterios de parada. El documento de ROE debe estar firmado por ambas partes antes de cualquier actividad tecnica y servir como referencia durante todo el ejercicio.

Elemento	Pregunta clave	Ejemplo correcto
Autorizacion	¿Quien permite el ejercicio?	Carta firmada por cliente o responsable autorizado
Alcance	¿Que activos entran y cuales no?	Rangos IP, dominios, apps y exclusiones claras
ROE	¿Como se prueba y hasta donde?	Sin DoS, sin exfiltracion real, escalado ante impacto
Evidencia	¿Que hay que entregar?	Capturas, logs, PoC, hashes, timestamps

Metodologicamente, un pentest suele recorrer las fases de la kill chain adaptada al ejercicio ofensivo: preparacion, reconocimiento (Reconnaissance en MITRE ATT&CK), enumeracion (Discovery), identificacion de debilidades, validacion, explotacion controlada cuando proceda (Initial Access, Execution, Privilege Escalation) y reporte. Ese flujo se alinea con marcos reconocidos como PTES (Penetration Testing Execution Standard), OWASP Testing Guide para aplicaciones web, NIST SP 800-115 para pruebas tecnicas de seguridad y la propia matriz MITRE ATT&CK para contextualizar tecnicas y cadenas de ataque. El flujo no obliga a ser rigido, pero si disciplinado. La preparacion incluye entender arquitectura, dependencias y objetivos. El reconocimiento genera hipotesis. La enumeracion las aterriza. La validacion confirma si una exposicion es real. La explotacion solo se ejecuta cuando aporta valor y esta permitida. El reporte transforma hallazgos en decisiones.

Es importante distinguir vulnerabilidad teorica de hallazgo util. Un escaner como Nessus u OpenVAS puede mostrar una version antigua de Apache o un TLS debil con una CVE asociada y un CVSS alto, pero el pentester debe interpretar si eso abre una via real de compromiso en el contexto concreto, si existe control compensatorio (WAF, segmentacion, MFA) y si el riesgo es relevante para la triada CIA del cliente. La calidad del trabajo no se mide por numero de findings, sino por precision, trazabilidad y capacidad de demostrar impacto real sin causar daño innecesario. Un hallazgo con CVSS 9.8 que esta mitigado por controles compensatorios efectivos puede ser menos prioritario que un IDOR con CVSS 6.5 que expone datos personales de miles de clientes.

La seguridad operacional tambien forma parte del metodo. Antes de ejecutar pruebas hay que prever como registrar acciones, proteger credenciales del cliente, tratar datos sensibles, almacenar evidencias de forma cifrada y evitar contaminar el entorno. Un pentester puede encontrar llaves privadas, volcados de base de datos o credenciales privilegiadas; manejarlos mal es un fallo profesional incluso si el hallazgo tecnico era correcto. Tambien debe saber cuando detenerse: si una explotacion amenaza produccion o supera el nivel de impacto permitido, se para, se documenta y se consulta con el contacto de escalado definido en las ROE. Las herramientas utilizadas durante el ejercicio (Nmap, Burp Suite, Metasploit, BloodHound, sqlmap) deben registrarse junto con sus versiones y los comandos ejecutados, tanto para trazabilidad del reporte como para facilitar retesting posterior.

Ejemplo: un cliente autoriza un pentest externo sobre su portal, VPN y un rango publico. En ROE queda prohibido degradar el ERP, extraer datos reales de clientes y pivotar a OT. Durante la prueba aparece una RCE en un servidor publicado con potencial de leer configuraciones internas. El pentester puede demostrar lectura de un archivo inocuo y evidencia de ejecucion, pero no debe descargar bases de datos ni mantener persistencia si eso excede el alcance. El valor esta en probar el riesgo de forma segura y reportarlo con claridad, referenciando la tecnica ATT&CK correspondiente (por ejemplo T1190 Exploit Public-Facing Application) y proponiendo controles especificos de remediacion.

Contenido ampliado

Metodologia conocida	Aporta valor en
PTES	Estructurar fases y entregables
OWASP Testing Guide	Pruebas sobre aplicaciones web
NIST 800-115	Marco general de pruebas tecnicas
MITRE ATT&CK	Contextualizar tecnicas y cadenas de ataque

Puntos clave

Sin autorizacion y ROE no existe pentest profesional.
Alcance y metodologia protegen tanto como una buena herramienta.
Explotar no siempre aporta mas valor que validar con control.
Tratar evidencias y datos sensibles es parte del trabajo tecnico.

Checklist operativa

Confirmar autorizacion y contactos de escalado.
Revisar alcance, exclusiones y ventanas.
Definir criterios de parada y de evidencia suficiente.
Preparar almacenamiento seguro de hallazgos y credenciales.

Errores frecuentes

Empezar pruebas sin ROE detalladas.
Querer demostrar impacto “a toda costa”.
Confundir volumen de hallazgos con calidad del ejercicio.
Manipular datos sensibles sin controles adecuados.

Practica sugerida

Redacta unas reglas de enfrentamiento para un pentest externo sobre portal web, VPN y correo. Incluye límites, horarios, pruebas permitidas y criterios de escalado.

Preguntas de autoevaluacion

¿Que diferencia hay entre carta de autorizacion y alcance tecnico?
¿Cuando una explotacion deja de aportar valor y conviene detenerla?
¿Que evidencias deberias proteger especialmente durante una prueba?

Cierre

La metodologia y la etica no frenan el pentesting; lo convierten en una actividad util, defendible y segura para todas las partes.

Aprender a construir superficie de ataque de forma ordenada usando fuentes pasivas y validacion activa prudente.

What you will learn

Diferenciar OSINT pasivo de pruebas activas sobre el objetivo.
Extraer dominios, subdominios, tecnologias y huellas relevantes.
Priorizar hipotesis antes de pasar a enumeracion profunda.

Module contents

Desarrollo teorico
Contenido ampliado
Puntos clave
Checklist operativa
Errores frecuentes
Practica sugerida
Preguntas de autoevaluacion
Cierre