Pentesting & Ethical Hacking
Curso orientado a ejecutar pruebas de seguridad ofensiva de forma profesional, autorizada y útil para el cliente. El contenido cubre metodología, reconocimiento, enumeración, validación técnica, explotación controlada, seguridad web, credenciales, movimiento lateral, reporte y práctica segura en laboratorio.
El pentesting serio no consiste en lanzar herramientas sin control, sino en transformar un alcance autorizado en evidencia técnica accionable. El curso enseña a pensar como atacante sin perder de vista los límites legales, la seguridad operacional y el valor del reporte final.
Modulo 01. Etica, legalidad y metodologia de pentesting
Objetivo del modulo
Entender las bases legales y metodologicas que convierten una prueba ofensiva en un trabajo profesional y no en una accion temeraria o inutil.
Resultados esperados
- Definir alcance, reglas de enfrentamiento y criterios de parada.
- Distinguir un pentest profesional de un escaneo oportunista.
- Relacionar metodologia, autorizacion y seguridad operacional.
Desarrollo teorico
Un pentest profesional solo existe cuando hay autorizacion explicita, alcance definido y un objetivo de negocio claro. Sin esos tres elementos, cualquier prueba tecnica puede convertirse en riesgo legal, impacto operativo innecesario o evidencia invalida. La etica del pentesting no es un adorno; es el marco que protege al cliente, al consultor y al valor del ejercicio. Por eso el primer trabajo del pentester no es abrir Kali ni lanzar Nmap, sino entender que se puede probar, cuando, con que profundidad y que evidencias necesita el cliente. En el contexto normativo, un pentest puede ser requisito explicito de frameworks como ISO 27001 (Annex A control A.8.8 sobre gestion de vulnerabilidades tecnicas), del GDPR (articulo 32 sobre medidas tecnicas apropiadas para garantizar seguridad del tratamiento) o del ENS (medidas operacionales de proteccion frente a codigo danino y pruebas de seguridad). La capacidad de demostrar que se realizan pruebas de seguridad periodicas con metodologia profesional es un requisito creciente en auditorias y certificaciones.
El alcance describe activos, dominios, IPs, aplicaciones, APIs, sedes, entornos y exclusiones. Tambien debe aclarar si se permite phishing, acceso fisico, pruebas autenticadas, exploitacion con privilegios, validacion de exfiltracion o movimiento lateral. Un alcance pobre genera dos problemas opuestos: pruebas demasiado timidas que no demuestran nada o pruebas demasiado agresivas que dañan servicios o rebasan lo contratado. Las reglas de enfrentamiento (ROE) resuelven esto fijando ventanas horarias, canales de escalado, contactos, limites tecnicos, datos sensibles a evitar y criterios de parada. El documento de ROE debe estar firmado por ambas partes antes de cualquier actividad tecnica y servir como referencia durante todo el ejercicio.
| Elemento | Pregunta clave | Ejemplo correcto |
|---|---|---|
| Autorizacion | ¿Quien permite el ejercicio? | Carta firmada por cliente o responsable autorizado |
| Alcance | ¿Que activos entran y cuales no? | Rangos IP, dominios, apps y exclusiones claras |
| ROE | ¿Como se prueba y hasta donde? | Sin DoS, sin exfiltracion real, escalado ante impacto |
| Evidencia | ¿Que hay que entregar? | Capturas, logs, PoC, hashes, timestamps |
Metodologicamente, un pentest suele recorrer las fases de la kill chain adaptada al ejercicio ofensivo: preparacion, reconocimiento (Reconnaissance en MITRE ATT&CK), enumeracion (Discovery), identificacion de debilidades, validacion, explotacion controlada cuando proceda (Initial Access, Execution, Privilege Escalation) y reporte. Ese flujo se alinea con marcos reconocidos como PTES (Penetration Testing Execution Standard), OWASP Testing Guide para aplicaciones web, NIST SP 800-115 para pruebas tecnicas de seguridad y la propia matriz MITRE ATT&CK para contextualizar tecnicas y cadenas de ataque. El flujo no obliga a ser rigido, pero si disciplinado. La preparacion incluye entender arquitectura, dependencias y objetivos. El reconocimiento genera hipotesis. La enumeracion las aterriza. La validacion confirma si una exposicion es real. La explotacion solo se ejecuta cuando aporta valor y esta permitida. El reporte transforma hallazgos en decisiones.
Es importante distinguir vulnerabilidad teorica de hallazgo util. Un escaner como Nessus u OpenVAS puede mostrar una version antigua de Apache o un TLS debil con una CVE asociada y un CVSS alto, pero el pentester debe interpretar si eso abre una via real de compromiso en el contexto concreto, si existe control compensatorio (WAF, segmentacion, MFA) y si el riesgo es relevante para la triada CIA del cliente. La calidad del trabajo no se mide por numero de findings, sino por precision, trazabilidad y capacidad de demostrar impacto real sin causar daño innecesario. Un hallazgo con CVSS 9.8 que esta mitigado por controles compensatorios efectivos puede ser menos prioritario que un IDOR con CVSS 6.5 que expone datos personales de miles de clientes.
La seguridad operacional tambien forma parte del metodo. Antes de ejecutar pruebas hay que prever como registrar acciones, proteger credenciales del cliente, tratar datos sensibles, almacenar evidencias de forma cifrada y evitar contaminar el entorno. Un pentester puede encontrar llaves privadas, volcados de base de datos o credenciales privilegiadas; manejarlos mal es un fallo profesional incluso si el hallazgo tecnico era correcto. Tambien debe saber cuando detenerse: si una explotacion amenaza produccion o supera el nivel de impacto permitido, se para, se documenta y se consulta con el contacto de escalado definido en las ROE. Las herramientas utilizadas durante el ejercicio (Nmap, Burp Suite, Metasploit, BloodHound, sqlmap) deben registrarse junto con sus versiones y los comandos ejecutados, tanto para trazabilidad del reporte como para facilitar retesting posterior.
Ejemplo: un cliente autoriza un pentest externo sobre su portal, VPN y un rango publico. En ROE queda prohibido degradar el ERP, extraer datos reales de clientes y pivotar a OT. Durante la prueba aparece una RCE en un servidor publicado con potencial de leer configuraciones internas. El pentester puede demostrar lectura de un archivo inocuo y evidencia de ejecucion, pero no debe descargar bases de datos ni mantener persistencia si eso excede el alcance. El valor esta en probar el riesgo de forma segura y reportarlo con claridad, referenciando la tecnica ATT&CK correspondiente (por ejemplo T1190 Exploit Public-Facing Application) y proponiendo controles especificos de remediacion.
Contenido ampliado
| Metodologia conocida | Aporta valor en |
|---|---|
| PTES | Estructurar fases y entregables |
| OWASP Testing Guide | Pruebas sobre aplicaciones web |
| NIST 800-115 | Marco general de pruebas tecnicas |
| MITRE ATT&CK | Contextualizar tecnicas y cadenas de ataque |
Puntos clave
- Sin autorizacion y ROE no existe pentest profesional.
- Alcance y metodologia protegen tanto como una buena herramienta.
- Explotar no siempre aporta mas valor que validar con control.
- Tratar evidencias y datos sensibles es parte del trabajo tecnico.
Checklist operativa
- Confirmar autorizacion y contactos de escalado.
- Revisar alcance, exclusiones y ventanas.
- Definir criterios de parada y de evidencia suficiente.
- Preparar almacenamiento seguro de hallazgos y credenciales.
Errores frecuentes
- Empezar pruebas sin ROE detalladas.
- Querer demostrar impacto “a toda costa”.
- Confundir volumen de hallazgos con calidad del ejercicio.
- Manipular datos sensibles sin controles adecuados.
Practica sugerida
Redacta unas reglas de enfrentamiento para un pentest externo sobre portal web, VPN y correo. Incluye límites, horarios, pruebas permitidas y criterios de escalado.
Preguntas de autoevaluacion
- ¿Que diferencia hay entre carta de autorizacion y alcance tecnico?
- ¿Cuando una explotacion deja de aportar valor y conviene detenerla?
- ¿Que evidencias deberias proteger especialmente durante una prueba?
Cierre
La metodologia y la etica no frenan el pentesting; lo convierten en una actividad util, defendible y segura para todas las partes.
Modulo 02. Reconocimiento pasivo y activo
Objetivo del modulo
Aprender a construir superficie de ataque de forma ordenada usando fuentes pasivas y validacion activa prudente.
Resultados esperados
- Diferenciar OSINT pasivo de pruebas activas sobre el objetivo.
- Extraer dominios, subdominios, tecnologias y huellas relevantes.
- Priorizar hipotesis antes de pasar a enumeracion profunda.
Desarrollo teorico
El reconocimiento determina la calidad del resto del pentest. Si esta fase es pobre, el analista prueba a ciegas lanzando herramientas sin hipotesis; si es rica y bien interpretada, la enumeracion y explotacion posterior se vuelven mucho mas precisas y eficientes. En la kill chain de Lockheed Martin, el reconocimiento es la primera fase; en MITRE ATT&CK se mapea a la tactica Reconnaissance (T1595 Active Scanning, T1592 Gather Victim Host Information, T1589 Gather Victim Identity Information, T1593 Search Open Websites/Domains). Un pentester profesional dedica tiempo significativo a esta fase porque cada hallazgo de reconocimiento puede abrir o cerrar lineas de ataque completas.
En reconocimiento pasivo se usan fuentes abiertas (OSINT) sin interactuar directamente con la infraestructura del objetivo, lo que significa que no genera ruido en sus sistemas de deteccion. Las fuentes mas utiles incluyen: registros DNS historicos y actuales (herramientas como SecurityTrails, DNSdumpster o VirusTotal), certificados TLS en Certificate Transparency logs (crt.sh) que revelan subdominios y hosts historicos, motores de busqueda especializados como Shodan y Censys que indexan banners de servicios expuestos a internet, repositorios publicos de codigo (GitHub, GitLab, Bitbucket) donde pueden filtrarse secretos, scripts internos o nombres de host, metadatos de documentos publicos (con herramientas como FOCA o ExifTool) que revelan nombres de usuario internos, rutas de red, versiones de software y servidores de impresion, filtraciones de credenciales en bases de datos publicas (Have I Been Pwned, Dehashed), registros WHOIS y ASN para mapear rangos de IP del objetivo, perfiles de LinkedIn para identificar empleados con roles privilegiados (administradores de sistemas, responsables de seguridad, desarrolladores) que son objetivos frecuentes de spear phishing, y documentacion publica de la organizacion (memorias, licitaciones, ofertas de empleo que revelan tecnologias usadas). El objetivo no es “recolectar todo”, sino descubrir activos, tecnologias, empleados, patrones de nomenclatura y errores de exposicion que orienten las siguientes fases.
El reconocimiento activo comienza cuando el analista interactua directamente con la infraestructura del objetivo: resolucion DNS en vivo, ping y traceroute cuando procede, fingerprinting HTTP mediante analisis de cabeceras y respuestas, y escaneos de puertos con Nmap. Nmap es la herramienta central del reconocimiento activo: permite descubrir hosts vivos (nmap -sn), escanear puertos TCP y UDP (nmap -sS -sU), identificar servicios y versiones (nmap -sV), ejecutar scripts de deteccion (nmap --script) y realizar fingerprinting de sistema operativo (nmap -O). La diferencia entre reconocimiento pasivo y activo no es solo tecnica; tambien tiene implicaciones de ruido (el activo puede generar alertas en IDS/IPS o en el SIEM del cliente), trazabilidad (los logs registraran la IP del pentester) y limites de ROE. Hay clientes que permiten reconocimiento activo amplio y otros que piden minimizarlo a horarios concretos o a determinados rangos de IP. Siempre hay que documentar cuando, desde donde y que se escaneo.
Ejemplos utiles de OSINT que cambian la hipotesis de ataque incluyen: subdominios olvidados como staging.empresa.com o dev.empresa.com que pueden tener aplicaciones sin parchear o con credenciales por defecto, buckets de almacenamiento cloud publicos (S3, Azure Blob) con backups o datos sensibles, portales heredados con tecnologias obsoletas, documentos con metadatos internos que revelan rutas de red y nombres de servidores, empleados con cargos privilegiados visibles en LinkedIn que son buenos objetivos de phishing, emails filtrados en brechas de datos, o aplicaciones SaaS no gobernadas visibles por sus certificados TLS. Descubrir que la organizacion usa una VPN con una version especifica que tiene una CVE critica explotada activamente (incluida en el catalogo KEV de CISA) puede ser mas valioso para el pentest que escanear mil puertos sin contexto. Del mismo modo, encontrar un repositorio Git publico con credenciales de base de datos o claves API embebidas proporciona un vector de acceso inicial sin necesidad de explotar ninguna vulnerabilidad tecnica tradicional.
Es importante conectar cada hallazgo de reconocimiento con la triada CIA y con el impacto potencial sobre el negocio del cliente. Descubrir un subdominio con una aplicacion sin autenticacion no es solo un dato tecnico; puede representar un riesgo directo sobre la confidencialidad de datos internos, la integridad de configuraciones o la disponibilidad del servicio si esa aplicacion permite modificaciones. Del mismo modo, encontrar credenciales filtradas en una brecha publica (verificable a traves de Have I Been Pwned) implica un riesgo de acceso inicial (Initial Access T1078 Valid Accounts) que debe priorizarse por encima de hallazgos tecnicos mas vistosos pero menos explotables. Los vectores CVSS de las CVEs descubiertas durante el reconocimiento (por ejemplo, una VPN con CVE critica AV:N/AC:L/PR:N/UI:N) ayudan a priorizar que lineas de ataque perseguir primero.
La organizacion del reconocimiento tambien importa. Un pentester profesional registra cada hallazgo con fecha, fuente, herramienta y relevancia estimada, creando una hoja de reconocimiento o un informe de superficie de ataque que guia las fases posteriores. Este documento se actualiza a medida que aparecen nuevos hallazgos y sirve como referencia para la enumeracion y para el reporte final. La disciplina en el registro evita repetir busquedas, perder hallazgos valiosos y permite demostrar al cliente como se llego a cada conclusion.
Contenido ampliado
| Fuente | Qué puede revelar |
|---|---|
| CT logs | Subdominios y hosts históricos |
| Shodan/Censys | Servicios expuestos y banners |
| GitHub/GitLab públicos | Secrets, scripts, nombres de host |
| Estructura de equipos y posibles objetivos de phishing |
Puntos clave
- El reconocimiento reduce pruebas ciegas.
- OSINT bien usado descubre exposición sin tocar todavía el objetivo.
- La fase activa debe respetar ROE y minimizar ruido innecesario.
Checklist operativa
- Enumerar dominios y subdominios visibles.
- Revisar certificados, ASN y huellas tecnológicas.
- Buscar repositorios o documentos con metadatos útiles.
- Priorizar activos que pasarán a enumeración activa.
Errores frecuentes
- Confundir cantidad de datos con inteligencia útil.
- Lanzar escaneos agresivos demasiado pronto.
- No registrar fuente y fecha de cada hallazgo.
Practica sugerida
Construye una hoja de reconocimiento para una empresa ficticia con dominio principal, portal web y VPN. Separa claramente fuentes pasivas y verificaciones activas permitidas.
Preguntas de autoevaluacion
- ¿Qué datos puedes obtener pasivamente antes de escanear?
- ¿Qué hallazgo OSINT cambiaría tus prioridades?
- ¿Por qué el reconocimiento activo debe ser prudente?
Cierre
El reconocimiento no es una introducción superficial; es la fase que decide qué hipótesis merece la pena perseguir y con qué nivel de riesgo operacional.
Registrate gratis para acceder a los 8 modulos restantes, examenes y certificados.
Crear cuenta gratisResultados de aprendizaje
- Definir alcance, reglas de enfrentamiento y criterios de seguridad operacional.
- Construir superficie de ataque mediante reconocimiento y enumeración de calidad.
- Validar vulnerabilidades y demostrar impacto con el menor daño posible.
- Analizar fallos web, debilidades de credenciales y rutas de movimiento lateral.
- Redactar informes ejecutivos y técnicos que prioricen remediación real.
Publico objetivo
- Profesionales de seguridad que quieren iniciarse o consolidarse en pentesting. - Administradores, analistas SOC o ingenieros defensivos que desean entender la lógica ofensiva. - Consultores que necesitan estructurar pruebas y reportes con criterio profesional.
Requisitos previos
Se recomienda conocer fundamentos de redes, sistemas operativos, servicios comunes, HTTP, DNS, autenticación y conceptos básicos de seguridad. No es necesario experiencia ofensiva previa, pero sí disciplina técnica y respeto por el marco legal.
Guia de estudio
Guia de estudio - Pentesting y Ethical Hacking
Ritmo sugerido
- Estudiar 1 modulo por sesion, prestando atencion a definiciones, comparativas y errores frecuentes.
- Tomar notas propias y resumir cada modulo en 5-10 ideas accionables.
- Dejar para el final de la sesion la practica sugerida y las preguntas de autoevaluacion.
Plan de avance
- Bloque 1: Etica legalidad y metodologia de pentesting.
- Bloque intermedio: Reconocimiento pasivo y activo y siguientes para consolidar criterio.
- Bloque final: Desarrollo profesional del pentester y repaso transversal del resto del itinerario.
Metodo recomendado
Leer primero el objetivo del modulo, despues el desarrollo teorico, y solo entonces pasar a tabla, checklist, errores y practica. Ese orden ayuda a construir criterio antes de memorizar detalles.
Evidencias de aprendizaje
- Capacidad para explicar el modulo sin leerlo.
- Capacidad para distinguir conceptos proximos sin confundirlos.
- Capacidad para trasladar el contenido a un escenario de trabajo real.
Examen disponible
Este curso incluye un examen de 20 preguntas. Registrate gratis para acceder al examen y obtener tu certificado digital.
Crear cuenta gratisGlosario - Pentesting y Ethical Hacking
CIA
Confidencialidad, integridad y disponibilidad.
MFA
Autenticacion multifactor.
SIEM
Plataforma para recopilar y correlacionar eventos.
IOC
Indicador de compromiso.
Hardening
Reduccion de superficie mediante configuracion segura.
Threat Hunting
Busqueda proactiva de actividad maliciosa.
Laboratorio / Taller
Laboratorio o taller - Pentesting y Ethical Hacking
Taller orientado a aplicar Pentesting y Ethical Hacking en un escenario controlado, convirtiendo teoria en una secuencia de trabajo observable.
Pasos
- Leer el escenario y delimitar objetivo, actores y restricciones.
- Usar como apoyo los modulos: Etica legalidad y metodologia de pentesting, Reconocimiento pasivo y activo, Enumeracion de servicios y superficies, Vulnerabilidades comunes y validacion.
- Diseñar una respuesta, configuracion, flujo o decision justificada.
- Validar riesgos, dependencias y evidencias de exito.
Evidencias esperadas
- Artefacto final usable.
- Razonamiento tecnico de las decisiones tomadas.
- Checklist de validacion o criterios de salida.
Caso practico integrador
Caso practico integrador - Pentesting y Ethical Hacking
Una organizacion necesita mejorar o implantar capacidades relacionadas con Pentesting y Ethical Hacking. Tiene restricciones de tiempo, riesgos operativos y multiples actores implicados, por lo que no basta con listar conceptos: hay que convertirlos en decisiones, artefactos y prioridades.
Entregables
- Mapa del problema y contexto.
- Propuesta de enfoque o arquitectura.
- Riesgos, dependencias y decisiones clave.
- Plan de validacion o seguimiento.
Criterios de calidad
- Coherencia tecnica con el contenido del curso.
- Claridad para priorizar y justificar decisiones.
- Aterrizaje realista en entregables y seguimiento.
Modulos especialmente utiles
- Etica legalidad y metodologia de pentesting
- Reconocimiento pasivo y activo
- Enumeracion de servicios y superficies
- Vulnerabilidades comunes y validacion
Recursos - Pentesting y Ethical Hacking
Referencias oficiales y recomendadas
Estrategia de uso de bibliografia y documentacion
Empieza por la documentacion oficial del fabricante o framework, usa despues el material del curso para consolidar el modelo mental y consulta la referencia tecnica cuando necesites comandos, configuracion o detalles operativos concretos.
Evaluacion
Evaluacion - Pentesting y Ethical Hacking
Preguntas abiertas de repaso
- Explica con un ejemplo por que 'Etica legalidad y metodologia de pentesting' importa dentro del curso.
- Explica con un ejemplo por que 'Reconocimiento pasivo y activo' importa dentro del curso.
- Explica con un ejemplo por que 'Enumeracion de servicios y superficies' importa dentro del curso.
- Explica con un ejemplo por que 'Vulnerabilidades comunes y validacion' importa dentro del curso.
- Explica con un ejemplo por que 'Explotacion controlada y post explotacion' importa dentro del curso.
Actividades de validacion
- Comparar dos conceptos proximos del curso y justificar cuando usar cada uno.
- Redactar un mini runbook, checklist o decision memo basado en un modulo.
- Explicar a otra persona una decision tecnica o de gobierno derivada del curso.