Rules of Engagement y Scope en pruebas de penetración

Autorización y autoridad

El tema 'Autorización y autoridad' es una parte central del trabajo sobre las Rules of Engagement en las pruebas de penetración. Se recomienda dividirlo en tres preguntas: ¿cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, anote los activos in-scope, out-of-scope, la time window, las allowed techniques, las stop conditions, compárelos con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por un analista adicional, incluyendo limitaciones y pasos a seguir.

In-scope y Out-of-scope

El proceso de Rules of Engagement en las pruebas de penetración se construye en etapas con puntos de parada. Se definen un objetivo, un Scope, fuentes, acciones permitidas, evidencia requerida, roles y un criterio de finalización. En entornos ofensivos, se añaden stop conditions y un canal de emergencia.

Cada etapa debe tener una salida clara: un mapa de activos, una línea de tiempo, un hallazgo, una regla, un playbook o un informe. La transición a la siguiente etapa solo se realiza cuando la salida es suficiente y fiable; esto evita el trabajo aleatorio o la expansión del Scope sin autorización.

Ventanas de tiempo y fuentes

En esta etapa, se define qué evidencia se necesita para responder a la pregunta de investigación. Para las Rules of Engagement en las pruebas de penetración, los puntos base son el Scope y el ROE, el tiempo de prueba y la fuente, Request/Response o la salida de la herramienta, el impacto probado en el laboratorio. Para cada fuente, se documenta el propietario, el período de retención, la zona horaria, el retraso de ingesta y los campos que pueden faltar.

La calidad de la recopilación no se mide por si el registro 'llega'. Es necesario verificar la Completeness, Latency, Parsing, Duplicate events y la sincronización horaria. Una prueba de Canary o un evento de laboratorio conocido permite verificar que la acción apareció en la fuente, pasó por el Pipeline y se puede buscar en los campos correctos.

Restricciones técnicas y acciones prohibidas

El tema 'Restricciones técnicas y acciones prohibidas' es una parte central del trabajo sobre las Rules of Engagement en las pruebas de penetración. Se recomienda dividirlo en tres preguntas: ¿cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, anote los activos in-scope, out-of-scope, la time window, las allowed techniques, las stop conditions, compárelos con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por un analista adicional, incluyendo limitaciones y pasos a seguir.

Comunicación, detención e informes

El tema 'Comunicación, detención e informes' es una parte central del trabajo sobre las Rules of Engagement en las pruebas de penetración. Se recomienda dividirlo en tres preguntas: ¿cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, anote los activos in-scope, out-of-scope, la time window, las allowed techniques, las stop conditions, compárelos con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por un analista adicional, incluyendo limitaciones y pasos a seguir.

Puntos de prueba únicos

En este tema, se recomienda construir un mapa de evidencia enfocado de antemano. Los puntos de prueba principales son: in-scope assets, out-of-scope, time window, allowed techniques, stop conditions, contacts. La lista no es una lista de verificación automática; cada elemento se selecciona porque puede vincular una entidad, acción y tiempo o explicar un comportamiento legítimo.

• in-scope assets: Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
• out-of-scope: Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
• time window: Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
• allowed techniques: Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
• stop conditions: Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.
• contacts: Defina el valor esperado, qué se considerará una anomalía y qué fuente adicional verificará el hallazgo.

Cuando uno de los focos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si un Process identifier no es estable, se puede utilizar el tiempo, Host, User y Parent; si el Payload está cifrado, se utilizan Metadata, volumen, frecuencia y TLS/DNS context.

Proceso de trabajo recomendado

1. Defina un Scope y una pregunta de trabajo sobre las Rules of Engagement en las pruebas de penetración.
2. Anote las fuentes de datos y la evidencia necesaria: in-scope assets, out-of-scope, time window, allowed techniques.
3. Cree una línea base corta de comportamiento normal o resultado esperado.
4. Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
5. Construya una línea de tiempo o una tabla comparativa y separe los hechos de la interpretación.
6. Realice un Pivot a una fuente adicional para verificar o refutar la explicación inicial.
7. Resuma la decisión, las limitaciones, la acción recomendada y el criterio de Retest.

Escenario práctico

El escenario elegido es una lista de verificación antes de comenzar una prueba de laboratorio. El objetivo del ejercicio no es demostrar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, una ventana de tiempo y un resultado esperado.

Al final del ejercicio, se debe entregar un producto que otro analista o probador pueda revisar: una captura de pantalla o Export de la evidencia, una línea de tiempo corta, una suposición inicial, evidencia de verificación, una limitación y una recomendación. Cuando no hay evidencia suficiente, la conclusión correcta es que el escenario no fue probado.

Lista de verificación práctica

• ✓Verifique y documente: Scope y ROE.
• ✓Verifique y documente: Tiempo y fuente de la prueba.
• ✓Verifique y documente: Request/Response o salida de la herramienta.
• ✓Verifique y documente: Impacto probado en el laboratorio.
• ✓Verifique y documente: Risk rating.
• ✓Verifique y documente: Remediation y Retest.
• ✓Indique la zona horaria, la versión de la herramienta y el momento de la recopilación.
• ✓Guarde el dato bruto antes de filtrar o modificar.
• ✓Escriba lo que el hallazgo demuestra y lo que aún se desconoce.
• ✓Defina el propietario y la acción de seguimiento con una fecha límite.

Errores comunes

• Comenzar una prueba sin un Scope firmado.
• Usar un Exploit agresivo por defecto.
• No guardar Evidence.
• Reportar solo CVSS sin contexto.
• No ofrecer una remediación aplicable.
• No realizar un Retest.

Resumen y CTA

Las Rules of Engagement y el Scope en las pruebas de penetración son un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, conserve el contexto y el tiempo, y elija una acción que pueda justificarse y volver a probarse.

En la ruta Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. Un paso natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de un portafolio de trabajo profesional.

Preguntas frecuentes