Guía de pruebas de seguridad web de OWASP
Cobertura de las pruebas para la evaluación de seguridad de aplicaciones web.
Pruebas de penetración
Pruebas de penetración de aplicaciones web
Una revisión de los controles de seguridad de una aplicación web dirigida por un especialista en pruebas, que incluye flujos de trabajo con autenticación y lógica de negocio que los escáneres automatizados no pueden evaluar de forma fiable.
Alcance de la evaluación
Qué se somete a prueba
La cobertura final de las pruebas se acuerda durante la definición del alcance y se limita a los sistemas para los que se haya proporcionado autorización por escrito.
Autenticación y recuperación de cuentas
Gestión de sesiones
Control de acceso y límites de privilegios
Tratamiento de datos de entrada y riesgos de inyección
Abuso de la lógica de negocio
Datos sensibles y controles de seguridad del navegador
Flujo de trabajo del encargo
Controlado desde la autorización hasta la prueba de verificación.
01
Alcance y autorización
Defina los objetivos, los sistemas aprobados, las restricciones, las ventanas de pruebas, los contactos y las reglas de actuación.
02
Descubrimiento
Defina la superficie de ataque autorizada, la arquitectura, los roles de usuario, los activos y los criterios de evaluación aplicables.
03
Pruebas controladas
Evalúe el alcance autorizado mediante métodos manuales y técnicos adecuados para el entorno.
04
Validación
Confirme los hallazgos de forma segura, elimine los falsos positivos y determine el impacto real a nivel técnico y empresarial.
05
Elaboración de informes
Reciba hallazgos respaldados por evidencias, calificaciones de riesgo, un resumen ejecutivo y prioridades de subsanación.
06
Revisión de las medidas de subsanación
Revise las medidas correctivas propuestas y aclare las prioridades de implementación con el equipo de evaluación.
07
Repetición de las pruebas
Verifique las correcciones acordadas y registre si cada hallazgo evaluado se ha resuelto, se ha mitigado o sigue pendiente.
Referencias de la evaluación
Normas y directrices del sector
OWASP ASVS
Verificación de los controles y del contexto de los informes cuando se haya acordado un nivel de aseguramiento.
PTES
Definición del alcance, validación controlada, análisis posterior a las pruebas y elaboración de informes.
Las normas orientan el alcance y la cobertura de las pruebas. Una evaluación no constituye por sí misma una certificación ni garantiza el cumplimiento normativo.
Elaboración de informes
Qué recibe
Cobertura vinculada a las funciones acordadas de la aplicación
Hallazgos técnicos reproducibles
Evidencias y roles afectados
Orientaciones de subsanación para los equipos de desarrollo
Repetición opcional de las pruebas de verificación
Defina un alcance adecuado para las pruebas.
Consulte con DIGITPOL los sistemas, los objetivos, el nivel de acceso y las evidencias necesarias.