No totes les proves de penetració són iguals. Abans de començar una auditoria, client i pentester han d'acordar quin tipus de prova es durà a terme, perquè d'aquesta decisió depenen l'abast, el temps, el cost i la informació que es lliura a l'equip avaluador. En aquesta lliçó aprendràs a classificar els pentestings segons tres criteris complementaris —el coneixement previ, la posició de l'avaluador i la superfície objectiu— i veuràs com es combinen aquests criteris per dissenyar l'engagement concret de TechNova S.L.

Dominar aquesta taxonomia és fonamental: quan un client demana un "pentesting", en realitat pot referir-se a coses molt diferents. Saber preguntar i proposar el tipus adequat forma part del criteri professional.

1. Classificació per coneixement previ: caixa negra, blanca i grisa
2. Classificació per posició: extern i intern
3. Classificació per objectiu o superfície
4. Taula comparativa de tipus
5. Com es tria el tipus per a l'engagement de TechNova

El primer criteri es refereix a quanta informació rep el pentester sobre l'objectiu abans de començar. Això simula diferents perfils d'atacant i equilibra realisme i eficiència.

El pentester no rep informació interna: només coneix el mínim (per exemple, un nom de domini o un rang d'IP). Simula un atacant extern real que parteix de zero.

• Avantatge: màxim realisme respecte a un atacant extern sense informació privilegiada.
• Inconvenient: consumeix molt de temps en reconeixement; algunes vulnerabilitats profundes poden no arribar a descobrir-se dins del termini.

El pentester rep informació completa: diagrames de xarxa, codi font, credencials, documentació d'arquitectura.

• Avantatge: màxima profunditat i cobertura; s'aprofita el temps a analitzar en lloc de descobrir.
• Inconvenient: menys representatiu d'un atacant extern sense accés a aquesta informació.

Un punt intermedi: el pentester rep informació parcial, com ara unes credencials d'usuari estàndard o un esquema general de la xarxa.

• Avantatge: bon equilibri entre realisme i eficiència; simula molt bé un atacant amb cert accés (un empleat, un client, un soci) o un extern que ja ha aconseguit un punt de suport.
• Inconvenient: requereix acordar amb precisió quina informació es lliura.

El segon criteri es refereix a des d'on es fa la prova, és a dir, quin escenari d'amenaça es simula.

S'avalua allò que és accessible des de fora de l'organització, normalment des d'Internet: servidors web, correu, VPN, serveis exposats. Respon a: "Què pot fer un atacant des d'Internet?".

S'avalua la seguretat des de dins de la xarxa corporativa, com si l'atacant ja fos a dins (un empleat descontent, un visitant, o un extern que ja ha compromès un equip). Respon a: "Si algú ja és a dins, fins on pot arribar?".

Tots dos enfocaments són complementaris. Moltes auditories completes inclouen les dues posicions, perquè el perímetre i l'interior presenten riscos molt diferents.

El tercer criteri es refereix a què es prova. Cada superfície exigeix coneixements i eines específics:

• Web: aplicacions i APIs (injeccions, autenticació, lògica de negoci...). És una de les superfícies més comunes.
• Xarxa / infraestructura: serveis de xarxa, protocols, servidors, dispositius.
• Sense fil (Wi-Fi): seguretat de xarxes wifi, xifratge, punts d'accés falsos.
• Enginyeria social: el factor humà (phishing, pretexting). Prova les persones, no només les màquines.
• Físic: accés físic a instal·lacions, control d'accessos, sales de servidors.
• Cloud: configuracions d'entorns al núvol, permisos, emmagatzematge exposat.
• Mòbil: aplicacions per a smartphones i la seva comunicació amb el backend.

Cada superfície té la seva pròpia metodologia i les seves pròpies guies de referència; per exemple, per a la superfície web hi ha una guia específica (l'OWASP WSTG) que veurem a la lliçó 01-05 (Metodologies i Estàndards). Aquí n'hi ha prou de reconèixer que "un pentesting web" i "un pentesting de xarxa" són projectes tècnicament molt diferents.

La taula següent resumeix els tres criteris i ajuda a veure que no són excloents: un mateix projecte combina un valor de cada columna.

Un engagement real es descriu combinant les tres dimensions. Per exemple: "pentesting extern, de caixa grisa, sobre la superfície web". Aquesta frase, aparentment senzilla, defineix gran part del projecte.

Recordem el nostre client: TechNova S.L., empresa de comerç electrònic amb una botiga en línia a tienda.technova.lab (PHP/MySQL) i una xarxa interna a 10.10.10.0/24. Quin tipus de prova encaixa millor?

Raonem la decisió seguint els tres criteris:

L'elecció de caixa grisa és molt habitual en comerç electrònic: reflecteix de manera realista un atacant que es registra com a client (una cosa que qualsevol pot fer) i, alhora, permet aprofitar el temps sense gastar-lo íntegrament en reconeixement a cegues. La combinació extern + web + caixa grisa serà el nostre punt de partida, i més endavant ampliarem cap a l'intern per avaluar el servidor Linux, el controlador de xarxa i les estacions de treball.

Aquesta decisió no és capriciosa: ha de quedar reflectida per escrit en l'abast i les Regles de Compromís del contracte, que tractarem a la lliçó 01-04. Definir bé el tipus de prova és el primer pas per acotar l'abast.

Recorda que tot això passa al laboratori legal i autoritzat de TechNova. L'elecció del tipus de prova és una decisió de disseny de l'auditoria, no una llicència per provar qualsevol cosa: sempre dins de l'abast acordat.

• Creure que un tipus és "millor" que un altre. No n'hi ha cap: cada tipus simula una amenaça diferent. La pregunta correcta és "quina amenaça volem avaluar?".
• Confondre caixa negra amb "més profund". La caixa negra és més realista respecte a un extern, però sol ser menys profunda que la caixa blanca dins del mateix termini.
• Oblidar la superfície humana. L'enginyeria social sol ser el baula més feble; ignorar-la deixa fora un vector d'atac molt freqüent.
• No documentar l'elecció. El tipus de prova ha de constar en el contracte; altrament, sorgeixen malentesos sobre què s'havia de provar.
• Consell: quan un client demana "un pentesting" a seques, la teva feina és ajudar-lo a concretar les tres dimensions. Aquesta conversa demostra criteri professional.

Exercici 1. Una startup vol saber "què veuria un atacant que trobés el nostre web a Internet, sense donar-li cap pista". Indica el tipus de prova en les tres dimensions (coneixement, posició, superfície).

Exercici 2. Explica per què una auditoria completa sol combinar pentesting extern i intern en lloc de triar-ne només un.

Exercici 3. Per a TechNova, justifica per què s'ha triat caixa grisa en lloc de caixa negra o caixa blanca. Dona almenys un argument a favor i una limitació de l'opció triada.

Solució 1. Coneixement: caixa negra (no es donen pistes). Posició: extern (des d'Internet). Superfície: web (el seu lloc). L'enunciat —"què veuria un atacant que el trobés, sense pistes"— apunta directament a simular un extern sense informació privilegiada sobre l'aplicació web.

Solució 2. Perquè el perímetre i l'interior representen amenaces diferents i pateixen fallades diferents. El pentesting extern mesura si algú pot entrar des d'Internet; l'intern mesura quin dany pot fer algú que ja és a dins (un insider o un atacant que ja ha compromès un equip). Avaluar-ne només un deixa un angle cec: un perímetre sòlid no serveix de res si, un cop a dins, tot és obert, i viceversa.

Solució 3. A favor: la caixa grisa simula de manera realista un atacant que es registra com a client (una cosa trivial en una botiga en línia) i evita gastar tot el temps en reconeixement a cegues, aconseguint més profunditat que la caixa negra en el mateix termini. Limitació: en no lliurar el codi font (com faria la caixa blanca), és possible que certes vulnerabilitats profundes del codi no es descobreixin dins del temps disponible. És un equilibri conscient entre realisme i cobertura.

Hem après a classificar els pentestings segons tres criteris complementaris: el coneixement previ (caixa negra, grisa o blanca), la posició (extern o intern) i la superfície objectiu (web, xarxa, sense fil, enginyeria social, físic, cloud, mòbil). Aquests criteris no són excloents: un engagement real combina un valor de cada dimensió. Per a TechNova hem dissenyat un punt de partida extern + web + caixa grisa, amb ampliació posterior a l'intern, i hem vist que aquesta decisió ha de reflectir-se per escrit.

Ja sabem quin tipus de prova farem. A la lliçó següent, 01-03 Fases del Pentesting, veurem com s'organitza la feina en el temps: el cicle de fases que va del reconeixement fins al reporte i l'esmena, i com cada fase es correspon amb els mòduls següents del curs.