El pentesting (abreviatura de penetration testing, o prova de penetració) és una de les disciplines més demandades dins de la ciberseguretat ofensiva. Consisteix a simular, de manera autoritzada i controlada, el comportament d'un atacant real per descobrir debilitats en sistemes, xarxes i aplicacions abans que un adversari maliciós les aprofiti. En aquesta primera lliçó establirem què és (i què no és) el pentesting, quin és el seu paper dins d'una estratègia de seguretat, en què es diferencia de disciplines veïnes i quin valor aporta al negoci. També presentarem TechNova S.L., l'empresa fictícia que ens acompanyarà com a fil conductor durant tot el curs.

Comprendre bé aquests fonaments és imprescindible: un bon pentester no és només algú que sap fer servir eines, sinó un professional que entén el context, els objectius i els límits de la seva feina. Sense aquesta base, les eines es converteixen en un risc en lloc d'una ajuda.

1. Definició de pentesting i el seu paper en la ciberseguretat
2. Pentesting, anàlisi de vulnerabilitats i red team: no són el mateix
3. Objectius i beneficis de negoci
4. Què NO és el pentesting
5. Presentació del cas: TechNova S.L.

Un pentesting és un exercici ofensiu autoritzat que té per finalitat avaluar la seguretat d'un sistema intentant comprometre'l de la mateixa manera que ho faria un atacant, però amb permís explícit, un abast definit i un objectiu constructiu: trobar les fallades, demostrar-ne l'impacte real i ajudar a corregir-les.

La paraula clau és autoritzat. La diferència entre un pentester i un ciberdelinqüent no rau en les tècniques —que sovint són idèntiques— sinó en el consentiment per escrit, l'abast acordat i la intenció de reportar i esmenar en lloc de causar dany. Hi tornarem en profunditat a la lliçó 01-04 (Ètica i Legalitat), però convé interioritzar-ho des del primer minut.

Dins d'una estratègia de seguretat, el pentesting compleix una funció de validació. Una organització pot tenir tallafocs, antivirus, polítiques i formació, però només una prova pràctica confirma si aquestes defenses resisteixen realment un atac. El pentesting respon a una pregunta molt concreta:

"Si un atacant ho intentés avui, se'n sortiria? Fins on arribaria i quin impacte tindria?"

S'emmarca dins del que es coneix com a seguretat ofensiva (offensive security), en contrast amb la seguretat defensiva (monitoratge, resposta a incidents, hardening). Totes dues es necessiten: l'equip ofensiu troba els forats; el defensiu els tapa i els vigila. Per això, al llarg del curs, cada tècnica ofensiva anirà acompanyada de la seva contrapartida defensiva: com es detecta i com s'esmena.

És molt habitual confondre aquests tres termes, però designen activitats diferents en profunditat, cost i objectiu. La taula següent les compara:

Per entendre-ho amb una analogia senzilla:

• L'anàlisi de vulnerabilitats és com passar revista a una casa amb una llista: "aquesta finestra no tanca bé, aquest pany és antic". Detecta, però no comprova si realment s'hi pot entrar.
• El pentesting és contractar algú perquè intenti entrar de debò per aquesta finestra i t'ensenyi fins a quina habitació arriba.
• El red team és simular un lladre professional que, a més, intenta no ser vist per les càmeres ni pel guàrdia de seguretat, per posar a prova no només els panys, sinó tota la vigilància.

Un error comú és vendre un simple escaneig automàtic com un "pentesting". Un escàner produeix una llista de possibles fallades (amb molts falsos positius); un pentester verifica quines són reals, les encadena i demostra l'impacte de negoci. Aquesta validació manual és precisament el que aporta valor.

El pentesting no és un fi en si mateix, sinó un mitjà per reduir el risc. Els seus principals objectius són:

• Descobrir vulnerabilitats explotables reals, no només teòriques.
• Demostrar l'impacte en termes de negoci (fuga de dades de clients, frau, interrupció del servei).
• Prioritzar l'esmena: no tota fallada té la mateixa criticitat.
• Validar les defenses existents i les inversions en seguretat.
• Complir requisits reguladors o contractuals (per exemple, certs estàndards del sector de pagaments o auditories de clients exigeixen proves periòdiques).

Des del punt de vista del negoci, els beneficis són tangibles:

La idea central és que és molt més barat pagar un professional perquè trobi les fallades que pagar les conseqüències que les trobi un atacant.

Aclarir els límits evita expectatives equivocades. El pentesting no és:

• No és un hackeig sense permís. Sense autorització escrita i abast, no és un pentesting: és un delicte. Aquesta línia és innegociable.
• No és un simple escaneig automàtic. Les eines són un suport, però el criteri humà és insubstituïble.
• No és una garantia de seguretat absoluta. Un pentesting és una foto en un moment i un abast concrets; no demostra que el sistema sigui "inhackejable".
• No és una auditoria de compliment. Pot ajudar al compliment, però comprovar polítiques i controls formals és una altra disciplina.
• No consisteix a trencar coses per diversió. L'objectiu és avaluar, documentar i ajudar a corregir, minimitzant l'impacte sobre els sistemes.
• No substitueix un programa de seguretat continu. És una peça més, juntament amb el monitoratge, la gestió de pedaços i la formació.

Interioritzar aquests límits forma part de la professionalitat: un bon pentester gestiona les expectatives del client amb honestedat.

Al llarg del curs treballarem sobre un cas pràctic continu que ens permetrà aterrar cada concepte. Presentem aquí el protagonista.

TechNova S.L. és una empresa fictícia de comerç electrònic. Preocupada per la seguretat de les dades dels seus clients, ha contractat una auditoria de pentesting autoritzada i amb abast contractual. Per poder provar sense afectar la producció, TechNova ha muntat un laboratori legal que replica la seva infraestructura real. Tu, l'alumne, actues com el pentester assignat, sempre sota un contracte signat i unes Regles de Compromís (RoE), documentant cada acció per a l'informe final.

El laboratori (a la xarxa privada 10.10.10.0/24) es compon de:

Important: TechNova, el seu laboratori i totes les dades són fictícies i existeixen únicament amb finalitats didàctiques. Tot el que fem es fa en un entorn legal, propi i autoritzat. Mai has d'aplicar aquestes tècniques contra sistemes de tercers sense consentiment explícit i per escrit.

En aquest primer mòdul encara no "atacarem" res: establirem el marc de l'auditoria. Anirem definint, lliçó a lliçó, els tipus de prova, les fases, el marc eticolegal i la metodologia que aplicarem a TechNova.

• Confondre escaneig amb pentesting. Executar un escàner i lliurar-ne la sortida no és un pentesting. El valor rau a verificar, encadenar i contextualitzar les troballes.
• Oblidar l'autorització. Mai, sota cap circumstància, provis un sistema sense permís escrit. "Només estava mirant" no és una defensa legal.
• Prometre seguretat total. Cap pentesting garanteix que un sistema sigui inexpugnable; gestiona les expectatives del client amb honestedat.
• Ignorar l'impacte de negoci. Una troballa tècnica sense traducció a risc de negoci perd gran part de la seva utilitat per a qui pren decisions.
• Consell: des del primer dia, acostuma't a documentar tot el que fas. L'informe és el producte final, i només pots reportar el que has registrat.

Exercici 1. Explica amb les teves paraules la diferència principal entre un pentester i un atacant maliciós, i per què aquesta diferència és tan important.

Exercici 2. Una empresa et diu: "Ja passem un escàner de vulnerabilitats cada mes, així que no necessitem un pentesting". Elabora una resposta professional que expliqui la diferència de valor entre totes dues activitats.

Exercici 3. Classifica cada situació com a anàlisi de vulnerabilitats, pentesting o red team: a) Un escàner automàtic genera una llista de 200 possibles fallades sense verificar-les. b) Un equip intenta comprometre l'empresa durant dos mesos sense avisar el SOC, buscant exfiltrar un fitxer concret. c) Un professional verifica i explota manualment tres fallades de la botiga web i demostra l'accés a la base de dades, amb l'equip defensiu al corrent.

Solució 1. La diferència principal és l'autorització i la intenció: el pentester actua amb consentiment escrit, dins d'un abast acordat i amb l'objectiu de reportar i ajudar a esmenar; l'atacant ho fa sense permís i amb intenció de causar dany o beneficiar-se'n. És important perquè les tècniques poden ser idèntiques: el que separa l'activitat legal d'un delicte és precisament el marc d'autorització, no l'habilitat tècnica.

Solució 2. Un escàner de vulnerabilitats detecta possibles fallades de manera automàtica i superficial, amb molts falsos positius i sense comprovar si són realment explotables. Un pentesting verifica manualment quines d'aquestes fallades són reals, les encadena per demostrar fins on pot arribar un atacant i tradueix tot això en impacte de negoci (per exemple, accés a les dades de clients). L'escàner respon "què podria fallar"; el pentesting respon "què passaria de debò si ens ataquessin". Tots dos són complementaris, però no intercanviables.

Solució 3. a) Anàlisi de vulnerabilitats (detecció automàtica, sense explotació). b) Red team (campanya llarga, sigil·losa, sense avisar l'equip defensiu i amb un objectiu concret). c) Pentesting (explotació manual, profunditat enfocada, equip defensiu informat).

En aquesta lliçó hem definit el pentesting com un exercici ofensiu autoritzat que té per objectiu trobar, demostrar i ajudar a corregir debilitats reals. L'hem diferenciat de l'anàlisi de vulnerabilitats (més ampli i automàtic) i del red team (més profund i sigil·lós), n'hem vist els beneficis de negoci i hem delimitat què no és. Finalment, hem presentat TechNova S.L. i el seu laboratori legal, l'escenari que farem servir durant tot el curs.

Ara que sabem què és el pentesting, el pas següent és entendre que no totes les proves són iguals. A la lliçó següent, 01-02 Tipus de Pentesting, veurem com es classifiquen segons el coneixement previ, la posició de l'atacant i la superfície objectiu, i començarem a decidir quin tipus de prova encaixa millor amb les necessitats de TechNova.