Ciberseguridad y seguridad de la información

Enumeración: Cómo mapear servicios y usuarios en un entorno de laboratorio

6 min de lecturaPublicado: 5 de agosto de 2026

Representación visual profesional sobre la Enumeración en Pruebas de Penetración

Respuesta rápida

La enumeración en pruebas de penetración solo debe realizarse dentro de un alcance y reglas de compromiso aprobados. El proceso incluye recopilación de información, validación controlada, evidencia, evaluación de riesgos, remediación y nuevas pruebas.

Una prueba de penetración profesional es un proceso autorizado y definido, no una colección de comandos. El alcance, las reglas de compromiso, la evidencia, la evaluación de riesgos, la remediación y la nueva prueba son una parte integral del trabajo. Este artículo se centra en la enumeración en pruebas de penetración y está dirigido a estudiantes de PT. El objetivo es proporcionar un método de trabajo que pueda aplicarse en la práctica, en una entrevista profesional y en un entorno laboral, sin limitarse a una definición de diccionario.

El desafío principal es que los datos son casi siempre parciales. Los servicios, versiones, usuarios pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la prueba en torno a una pregunta de investigación, la evidencia requerida y un criterio claro para la finalización.

El escenario práctico en el artículo es: Enumeración de dos máquinas de laboratorio autorizadas. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Pruebas de Penetración, Web o Cloud, solo se debe trabajar con autorización expresa, un alcance definido y la capacidad de detener la prueba.

Discovery versus Enumeración

Para comprender la diferencia en el contexto de la enumeración en las pruebas de penetración, es importante comparar objetivos y no solo herramientas. Una opción proporciona amplitud o velocidad, y otra proporciona una validación o contexto profundo. La elección correcta depende de la pregunta: ¿Se requiere descubrimiento, investigación, prueba de impacto, contención o informe?

Una tabla de comparación profesional debe incluir al menos: tipo de entrada, nivel de confianza, costo operativo, impacto potencial, limitaciones y seguimiento requerido. En caso de duda, se utiliza el enfoque menos intrusivo y se agrega una fuente complementaria en lugar de sacar una conclusión demasiado amplia.

Banners de servicio y versiones

El tema 'Banners de servicio y versiones' es una parte central del trabajo de enumeración en las pruebas de penetración. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada, qué decisión se desea tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, anote los servicios, versiones, usuarios, recursos compartidos, confianzas, compare con el comportamiento esperado y defina al menos un pivote. El resultado debe ser verificable por otro analista, incluidas las limitaciones y los pasos siguientes.

Superficies de autenticación

En la enumeración en las pruebas de penetración, la identidad y la autorización son dos preguntas diferentes: quién es el cliente y qué se le permite hacer en el recurso. Se verifican los Roles, Claims, Session, la propiedad del Objeto y los cambios a lo largo del ciclo de vida, y no basta con que el usuario esté 'conectado'.

Una matriz de prueba incluye un usuario anónimo, un usuario normal, un propietario de objeto, otro usuario y un administrador. Para cada acción, se compara la Respuesta y el impacto en el lado del servidor. Cambiar un identificador o una cabecera es solo un medio de prueba; la evidencia es que el servidor aprobó o rechazó una acción en contra de la política.

Usuarios, recursos compartidos y directorios

El tema 'Usuarios, recursos compartidos y directorios' es una parte central del trabajo de enumeración en las pruebas de penetración. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada, qué decisión se desea tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Documentación y decisión de seguimiento

La documentación de la enumeración en las pruebas de penetración debe permitir que una persona que no participó en el trabajo comprenda lo sucedido y reproduzca la conclusión. Se separan los hechos, la interpretación, las suposiciones y las decisiones, y se vincula cada afirmación con una evidencia, consulta o captura de pantalla.

Una estructura útil incluye Resumen, Alcance, Línea de tiempo, Evidencia, Impacto, Acciones, Limitaciones y Próximos pasos. En un informe de PT, se agregan Remediación y Retest; en una investigación, se agregan Contención, Recuperación y Lecciones aprendidas.

Puntos de prueba únicos

En este tema, se recomienda construir de antemano un mapa de evidencia enfocado. Los principales puntos de prueba son: servicios, versiones, usuarios, recursos compartidos, confianzas, evidencia. La lista no es una lista de verificación automática; cada elemento se elige porque puede vincular una entidad, acción y tiempo, o explicar un comportamiento legítimo.

servicios: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
versiones: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
users: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
shares: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
trusts: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.
evidence: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente confirmará el hallazgo.

Cuando uno de los puntos no esté disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si un identificador de proceso no es estable, se puede utilizar el tiempo, el Host, el Usuario y el Padre; si la carga útil está cifrada, se utilizan metadatos, volumen, frecuencia y contexto TLS/DNS.

Proceso de trabajo recomendado

Defina el alcance y una pregunta de trabajo sobre la enumeración en las pruebas de penetración.
Anote las fuentes de datos y la evidencia necesaria: servicios, versiones, usuarios, recursos compartidos.
Cree una línea base corta de comportamiento normal o resultado esperado.
Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
Construya una línea de tiempo o una tabla de comparación y separe los hechos de la interpretación.
Realice un pivote a una fuente adicional para confirmar o refutar la explicación inicial.
Resuma la decisión, las limitaciones, la acción recomendada y el criterio de Retest.

Escenario práctico

El escenario elegido es la enumeración de dos máquinas de laboratorio autorizadas. El objetivo del ejercicio no es probar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos ficticios, una ventana de tiempo y un resultado esperado.

Al final del ejercicio, se debe entregar un producto que otro analista o probador pueda revisar: una captura de pantalla o una exportación de la evidencia, una línea de tiempo corta, una suposición inicial, una evidencia de confirmación, una limitación y una recomendación. Cuando no hay evidencia suficiente, la conclusión correcta es que el escenario no ha sido probado.

Etapa	Qué se hace	Producto
Preparación	Defina el alcance, el tiempo y el objetivo. Anote qué campos o evidencias de servicios, versiones, usuarios se espera que aparezcan.	Plan de prueba corto
Creación de datos	Realice una acción segura y simulada relacionada con la enumeración en pruebas de penetración, sin información real o impacto en un sistema de producción.	Evento/Solicitud/Flujo controlado
Recopilación	Recopile la evidencia cruda y el contexto de una fuente adicional. Verifique la zona horaria, los identificadores y la integridad.	Dos evidencias vinculadas
Análisis	Escriba lo que cada evidencia prueba, lo que no prueba y cuál es la explicación legítima posible.	Conclusión provisional
Finalización	Elija un cierre, escalada, hallazgo o ajuste; agregue una recomendación y Retest.	Producto documentado

Lista de verificación práctica

Verifique y documente: Alcance y ROE.
Verifique y documente: Hora y fuente de la prueba.
Verifique y documente: Solicitud/Respuesta o salida de la herramienta.
Verifique y documente: Impacto probado en laboratorio.
Verifique y documente: Calificación de riesgo.
Verifique y documente: Remediación y Retest.
Indique la zona horaria, la versión de la herramienta y la hora de recopilación.
Guarde los datos sin procesar antes de filtrar o modificar.
Escriba lo que demuestra el hallazgo y lo que aún se desconoce.
Defina el propietario y la acción de seguimiento con fecha.

Errores comunes

Comenzar una prueba sin un Alcance firmado.
Usar un exploit agresivo por defecto.
No guardar la Evidencia.
Informar solo el CVSS sin contexto.
No ofrecer una solución aplicable.
No realizar un Retest.

Resumen y CTA

Enumeración: Cómo mapear servicios y usuarios en un entorno de laboratorio es un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, mantenga el contexto y el tiempo, y elija una acción que pueda justificarse y probarse nuevamente.

En el curso Cybersecurity & AI de HPI, se practican estos principios utilizando sistemas, registros y laboratorios. Un paso natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de un portafolio profesional.

Preguntas frecuentes

¿Está permitido realizar enumeración en pruebas de penetración en un sitio público?

No sin la autorización expresa del propietario del sistema. Incluso una prueba aparentemente simple puede alterar datos, activar mecanismos de defensa o considerarse acceso no autorizado.

¿Qué se hace cuando faltan algunos datos?

Se documenta lo que falta, se verifica una fuente alternativa y se reduce el nivel de confianza. No se deben completar campos con suposiciones ni presentar 'Desconocido' como válido.

¿Cuánto tiempo se debe conservar la evidencia?

El tiempo depende de la política, la regulación, el costo y el tipo de incidente. Es importante definir de antemano la retención, la retención legal y la capacidad de exportar evidencia en un formato verificable.

¿Cómo se practica sin poner en riesgo un sistema real?

Se utilizan máquinas virtuales, datos ficticios, CTF o un laboratorio dedicado. En las pruebas autorizadas, se definen el Alcance, las condiciones de detención y la copia de seguridad antes de comenzar el trabajo.