Ciberseguridad y seguridad de la información

Network Penetration Testing: Proceso de prueba completo en laboratorio

6 min de lecturaPublicado: 5 de agosto de 2026

Ilustración visual profesional sobre Network Penetration Testing en el campo de Penetration Testing

Respuesta rápida

El Network Penetration Testing debe realizarse solo dentro de un alcance (Scope) y reglas de compromiso (Rules of Engagement) aprobados. El proceso incluye recopilación de información, validación controlada, evidencia, evaluación de riesgos, remediación y retest.

Una prueba de penetración profesional es un proceso autorizado y definido, no un conjunto de comandos. El alcance (Scope), las reglas de compromiso (Rules of Engagement), la evidencia, la evaluación de riesgos, la remediación y el retest son una parte integral del trabajo. Este artículo se centra en Network Penetration Testing y está dirigido a estudiantes de PT y Pentesters Junior. El objetivo es proporcionar una metodología de trabajo que se pueda implementar en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.

El desafío principal es que los datos son casi siempre parciales. El descubrimiento (discovery), la enumeración de servicios (service enumeration) y la validación (validation) pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la prueba en torno a una pregunta de investigación, la evidencia requerida y un criterio claro para su finalización.

El escenario práctico en el artículo es: un proyecto de laboratorio con dos subredes (Subnets) y servicios simulados. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Penetration Testing, Web o Cloud, solo se debe trabajar con autorización explícita, un alcance (Scope) definido y la capacidad de detener la prueba.

Preparación y mapa de red (Network map)

El tema 'Preparación y mapa de red (Network map)' es una parte central del trabajo en Network Penetration Testing. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se desea tomar? y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, registre el descubrimiento (discovery), la enumeración de servicios (service enumeration), la validación (validation), la segmentación (segmentation), las credenciales (credentials), compárelo con el comportamiento esperado y defina al menos un punto de pivote (Pivot). El resultado debe ser verificable por otro analista, incluyendo limitaciones y próximos pasos.

Discovery y Service enumeration

El tema 'Discovery y Service enumeration' es una parte central del trabajo en Network Penetration Testing. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se desea tomar? y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Validación de vulnerabilidades

Una prueba profesional de Network Penetration Testing comienza con condiciones de éxito y de fracaso. Se definen un caso positivo, un caso negativo, un caso límite y una actividad legítima similar. Así se pueden identificar tanto falsos negativos como falsos positivos.

En un entorno autorizado, se utiliza una acción mínima que demuestre la afirmación sin causar daño. Se guardan la entrada (Input), la salida (Output), el tiempo y la versión, y después de la corrección se realiza un retest en el mismo escenario y también se verifica la regresión en funciones cercanas.

Post-explotación limitada y autorizada

El tema 'Post-explotación limitada y autorizada' es una parte central del trabajo en Network Penetration Testing. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se desea tomar? y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Evidencia, Limpieza (Cleanup) e Informe (Report)

La documentación de un Network Penetration Testing debe permitir a una persona que no participó en el trabajo comprender lo sucedido y replicar la conclusión. Se separan los hechos, la interpretación, las suposiciones y las decisiones, y se vincula cada afirmación con una evidencia, una consulta o una captura de pantalla.

Una estructura útil incluye Resumen (Summary), Alcance (Scope), Cronograma (Timeline), Evidencia, Impacto, Acciones, Limitaciones y Próximos pasos (Next steps). En un informe de PT se añaden Remediación y Retest; en una investigación se añaden Contención (Containment), Recuperación (Recovery) y Lecciones aprendidas (Lessons learned).

Puntos de prueba únicos

En este tema, se recomienda construir un mapa de evidencia enfocado de antemano. Los puntos de prueba centrales son: descubrimiento (discovery), enumeración de servicios (service enumeration), validación (validation), segmentación (segmentation), credenciales (credentials), elaboración de informes (reporting). La lista no es una lista de verificación (Checklist) automática; cada elemento se selecciona porque puede vincular una entidad, una acción y un tiempo, o explicar un comportamiento legítimo.

descubrimiento (discovery): Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
enumeración de servicios (service enumeration): Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
validación (validation): Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
segmentación (segmentation): Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
credenciales (credentials): Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
elaboración de informes (reporting): Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.

Cuando uno de los puntos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si el identificador de proceso (Process identifier) no es estable, se puede utilizar el tiempo, el host (Host), el usuario (User) y el padre (Parent); si la carga útil (Payload) está cifrada, se utilizan los metadatos (Metadata), el volumen, la frecuencia y el contexto TLS/DNS.

Proceso de trabajo recomendado

Defina el alcance (Scope) y una pregunta de trabajo sobre Network Penetration Testing.
Anote las fuentes de datos y la evidencia necesaria: descubrimiento (discovery), enumeración de servicios (service enumeration), validación (validation), segmentación (segmentation).
Cree una línea base (Baseline) corta de comportamiento normal o resultado esperado.
Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
Construya una línea de tiempo (Timeline) o tabla comparativa y separe los hechos de la interpretación.
Realice un pivote (Pivot) a una fuente adicional para verificar o refutar la explicación inicial.
Resuma la decisión, las limitaciones, la acción recomendada y el criterio de retest.

Escenario práctico

El escenario elegido es un proyecto de laboratorio con dos subredes (Subnets) y servicios simulados. El objetivo del ejercicio no es demostrar una capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, una ventana de tiempo y un resultado esperado.

Al finalizar el ejercicio, se debe entregar un producto que otro analista o verificador pueda revisar: una captura de pantalla o una exportación de la evidencia, una línea de tiempo (Timeline) corta, una suposición inicial, evidencia verificable, una limitación y una recomendación. Cuando no hay evidencia suficiente, la conclusión correcta es que el escenario no ha sido probado.

Etapa	Qué se realiza	Producto
Preparación	Defina el Alcance (Scope), el tiempo y el objetivo. Registre qué campos o evidencias de descubrimiento (discovery), enumeración de servicios (service enumeration), validación (validation) se espera que aparezcan.	Plan de prueba corto
Creación de datos	Realice una acción segura y simulada relacionada con Network Penetration Testing, sin información real o impacto en un sistema de producción.	Evento/Solicitud/Flujo controlado
Recopilación	Recopile la evidencia bruta y el contexto de una fuente adicional. Verifique la zona horaria (Time zone), los identificadores y la integridad.	Dos evidencias vinculadas
Análisis	Escriba lo que cada evidencia demuestra, lo que no demuestra y cuál es la explicación legítima posible.	Conclusión intermedia
Finalización	Elija un cierre, una escalada, un hallazgo (Finding) o un ajuste (Tuning); añada una recomendación y un retest.	Producto documentado

Checklist práctico

Verificar y documentar: Alcance (Scope) y Reglas de compromiso (ROE).
Verificar y documentar: Hora de la prueba y fuente.
Verificar y documentar: Solicitud/Respuesta (Request/Response) o salida de la herramienta.
Verificar y documentar: Impacto demostrado en laboratorio.
Verificar y documentar: Clasificación de riesgo (Risk rating).
Verificar y documentar: Remediación y Retest.
Indicar la zona horaria (Time zone), la versión de la herramienta y la hora de recopilación.
Guardar los datos brutos antes de filtrar o modificar.
Escribir lo que el hallazgo demuestra y lo que aún se desconoce.
Definir el propietario y la acción de seguimiento con fecha.

Errores comunes

Comenzar una prueba sin un Alcance (Scope) firmado.
Utilizar un exploit agresivo por defecto.
No guardar la evidencia (Evidence).
Informar solo el CVSS sin contexto.
No ofrecer una corrección viable.
No realizar un retest.

Resumen y CTA

Network Penetration Testing: el proceso de prueba completo en laboratorio es un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, mantenga el contexto y el tiempo, y elija una acción que pueda justificarse y volver a probarse.

En el curso Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. La continuación natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de un portafolio profesional.

Preguntas frecuentes

¿Está permitido realizar Network Penetration Testing en un sitio público?

No, a menos que se tenga la autorización explícita del propietario del sistema. Incluso una prueba aparentemente simple puede cambiar datos, activar mecanismos de defensa o considerarse acceso no autorizado.

¿Qué hacer cuando faltan algunos datos?

Documente lo que falta, busque una fuente alternativa y reduzca el nivel de certeza. No complete campos por conjetura ni presente lo desconocido como correcto.

¿Cuánto tiempo se deben conservar las pruebas?

El tiempo depende de la política, la regulación, el costo y el tipo de incidente. Es importante definir de antemano la retención (Retention), la retención legal (Legal hold) y la capacidad de exportar la evidencia en un formato verificable.

¿Cómo se practica sin poner en riesgo un sistema real?

Utilice máquinas virtuales, datos simulados, CTF o un laboratorio dedicado. En las pruebas autorizadas, defina el Alcance (Scope), las condiciones de parada (Stop conditions) y una copia de seguridad antes de comenzar el trabajo.