Lista de 25 conocimientos en el área de pruebas de penetración que todo profesional en pruebas de penetración o hacker ético debe poseer. También aplicable a equipos rojos y auditores de seguridad.aa
EL AUTOR DEL ARTÍCULO NO ALIENTA A NADIE A COMETER ACTOS ILEGALES Y SE NIEGA A SER RESPONSABLE DE SUS ACCIONES. TODA LA INFORMACIÓN SE BRINDA SOLAMENTE CON FINES INFORMATIVOS. TODAS LAS ACCIONES OCURREN EN MÁQUINAS VIRTUALES Y DENTRO DE LA RED LOCAL DEL AUTOR. ¡GRACIAS!
¿Qué conocimientos sociales y competencias técnicas debe poseer un profesional en pruebas de penetración o hacker ético? En este artículo, hablaremos detalladamente sobre los 25 conocimientos principales con los que todo profesional en pruebas de penetración debe estar familiarizado y en qué conocimientos debe concentrarse para convertirse en un profesional.
I. HARDWARE Y REDES
Por supuesto, todos en la industria de la seguridad de la información conocemos sobre hardware y redes. Pero analicemos qué es lo más importante para las pruebas de penetración.
1. Redes De Computadoras
Cada analista de pruebas de penetración debe conocer las redes de computadoras y el modelo OSI. Es necesario conocer al menos los protocolos de red más comunes, como:
- Protocolos de capa de enlace (L2):
- 802.3 (Ethernet/ARP)
- 802.1Q (VLAN)
- 802.11 (Wi-Fi)
- Protocolos de capa de red (L3):
- IP
- ICMP
- Protocolos de capa de transporte (L4):
- TCP
- UDP
- Protocolos de capa de aplicación (L7):
- DNS, HTTP, HTTPS, DHCP, LDAP, FTP, SMTP, IMAP, POP, SSH, Telnet y otros.
Debemos entender cómo funcionan estos protocolos, cuáles son sus funciones y su propósito.
Por ejemplo, debemos ser capaces de describir qué sucede cuando visitamos un sitio web y responder preguntas como:
- ¿Cómo se establece la conexión entre nuestro navegador y el servidor remoto?
- ¿Qué protocolos de red se usaron y en qué capa de acuerdo con el modelo OSI?
Además, debemos usar con confianza una herramienta de captura de paquetes, como Wireshark. Debemos entender qué protocolos de red son seguros y cuáles no, es decir, permiten interceptar información confidencial transmitida a través de la red.
También debemos entender, por ejemplo, cómo realizar un ataque “Man-in-the-middle” (intermediario) utilizando deficiencias del protocolo ARP.
Por último, debemos poder leer diagramas de red y esquemas, porque con frecuencia estas cosas se analizan con el cliente. Esto nos lleva al siguiente punto.
2. Componentes De Red
Debemos entender qué equipo de red se necesita para que funcione una red, cómo se organiza la creación de la red, qué medidas de control de seguridad generalmente se implementan, etcétera.
Como mínimo, debemos estar familiarizados con:
- Switches de red;
- Routers y puertas de enlace;
- Cortafuegos, NAT;
- Zonificación, VLAN.
Debemos ser capaces de evaluar la implementación de controles de acceso a la red (NAC) y saber cómo eludirlos (por ejemplo, clonación MAC, MITM).
El analista de pruebas de penetración debe saber cómo verificar la presencia de redes VLAN.
Además, debemos estar familiarizados con los fabricantes de dispositivos de red comunes:
- Brocade
- Checkpoint
- Cisco
- F5 Networks
- Fortinet
- Juniper
- PaloAlto
Como analistas de pruebas de penetración, deberíamos tener un poco de experiencia inicial en su uso para poder aprovecharlos si obtenemos acceso a ellos (a través de cuentas comprometidas, por ejemplo).
Después de obtener acceso a ellos, debemos saber cómo navegar por la configuración e identificar información confidencial, como, por ejemplo, SNMP Community Strings.
En cuanto a Cisco, debemos saber cómo identificar y descifrar las contraseñas que se almacenan en ellos.
3. Redes Inalámbricas
Las redes inalámbricas están en todas partes y por eso debemos entenderlas. Debemos conocer los siguientes temas:
- Modos de seguridad y cifrado Wi-Fi
- WEP
- WPA/2/3 Personal
- WPA/2/3 Enterprise
- Autenticación EAP
- Ventajas y desventajas de SSID
- Seguridad de portal cautivo (seguridad de autorización)
- Aislamiento de clientes
Debemos tener una idea de los principales vectores de ataque en redes inalámbricas.
Por ejemplo, es necesario saber cuándo tiene sentido lanzar un ataque para desautorización o cuándo implementar un punto de acceso no autorizado.
Es necesario saber cómo obtener hashes de contraseñas y poder descifrarlos (por ejemplo, utilizando aircrack-ng).
También debemos conocer el equipo utilizado para pruebas y saber cómo analizar redes inalámbricas (por ejemplo, utilizando Kismet).
4. Hardware De Sala del Servidor
Tener experiencia en trabajar con hardware de servidor y entender los racks de telecomunicaciones de un centro de datos en realidad no es obligatorio para nuestro trabajo, pero sin duda puede ayudar.
¿Qué podemos encontrar en una sala de servidor?
- Panel de conexión
- Router central
- Switches de red
- Switches KVM
- Servidores físicos
- Sistemas de almacenamiento y recuperación de datos
- Cortafuegos, IDS, IPS y otros dispositivos de red
- UPS
Debemos entender que la mayoría de estos dispositivos tienen interfaces de administración. Y si por casualidad obtenemos acceso a ellos, debemos saber qué hacer. Veamos algunos ejemplos.
Servidores físicos
Una cosa que debemos saber sobre los servidores físicos es que generalmente se administran a través de una consola web, que está disponible, incluso si el servidor está apagado. Algunos ejemplos:
- Dell iDRAC (integrated Dell Remote Access Controller)
- HP iLO (integrated Lights-Out)
- Huawei iMana (Intelligent Management System)
- IBM HMC (Hardware Management Console)
- Sun Oracle ILOM (Integrated Lights Out Manager)
Como analistas de pruebas de penetración, necesitamos entender las consecuencias de tener acceso a estas cosas. Generalmente esto significa que podemos obtener control total sobre el servidor, incluyendo el sistema operativo instalado en él, gracias a las funciones KVM y consola remota.
También debemos entender que no deberíamos tener acceso a estas interfaces, por ejemplo, desde una VLAN de usuario.
Dispositivos y técnicas de red
Otra cosa que debemos tener en cuenta es que algunos sistemas pueden integrarse a otros sistemas. Por ejemplo, un IDS (sistema de detección de intrusiones) puede estar vinculado con un cortafuegos o con un sistema honeypot (equipo o software implementado especialmente para estudiar amenazas, es decir, un señuelo para recopilar información sobre el atacante) implementado en la red.
En caso de acceso accidental a un dispositivo de este tipo, debemos saber cómo navegar por su interfaz administrativa. Por ejemplo, necesitamos saber cómo revelar las credenciales almacenadas en esta interfaz.
II. SOFTWARE Y SERVICIOS
5. Administración De Sistemas
Tener experiencia profesional en administración de sistemas puede ser una gran ventaja para un pentester.
Como mínimo, debes ser capaz de administrar los siguientes sistemas operativos:
- Linux u otros sistemas similares a UNIX
- Microsoft Windows
Debemos saber cómo configurarlos, dónde se encuentran los archivos de configuración importantes y los archivos de registro, así como saber cómo diagnosticar la red y el sistema.
También debemos comprender los controles de acceso de cada sistema y conocer las diferentes vulnerabilidades y métodos de ataque para cada uno.
Este es uno de los mejores recursos que cubre un amplio rango de ataques: https://attack.mitre.org/ y también tienes la Herramienta Inteligencia Cibernética: ATT&CK Navigator.
6. Servicios De Red
Como pentester, debemos tener una amplia experiencia en la administración de diversos servicios y servidores de red.
Este tema es realmente enorme, pero debemos saber cómo funcionan los diferentes servicios de red, qué configuraciones incorrectas pueden existir y qué vulnerabilidades hay en los protocolos. Por ejemplo:
- Relay abierto en SMTP
- Transferencia de zona en DNS
- Sesión NULA en SMB
- Enlace NULO en LDAP
- Inicio de sesión anónimo en FTP
- Listado de directorios en el servidor web
Como pentester, debemos dominar bien estas cosas.
Además, debemos ser capaces de configurar estas cosas cuando las necesitemos.
Por ejemplo, saber cómo desplegar y configurar rápidamente un servidor HTTP, un servidor DHCP o un recurso compartido SMB/CIFS puede ser beneficioso en un pentesting.
7. Active Directory
Windows Active Directory (AD) está implementado prácticamente en todas partes, por lo que debemos conocerlo bien.
Debemos ser capaces de evaluar el estado de seguridad de AD desde diferentes ángulos y conocer las diferentes formas de atacar AD. Por ejemplo:
- GPP cpasswords
- Rociado de contraseñas
- Movimiento lateral
- Escalada de privilegios
- Mimikatz
- Kerberoasting
Debemos dominar bien estas cosas. También necesitamos conocer las contramedidas, como LAPS o PAM.
Uno de los mejores recursos sobre seguridad de AD y de hecho todo el ecosistema de Microsoft es: Active Directory Kill Chain Attack & Defense.
https://github.com/infosecn1nja/AD-Attack-DefenseY una cosa más. Como pentester, no debemos detenernos después de obtener privilegios de administrador. Debemos seguir cavando en busca de otras vulnerabilidades.
8. Herramientas De Línea De Comandos
También debemos sentirnos cómodos trabajando desde la línea de comandos. Debemos ser capaces de navegar por el sistema de archivos, trabajar fácilmente con archivos y otras cosas desde la línea de comandos.
Ya sea que trabajes en sistemas UNIX o Windows, debes conocer la línea de comandos en ambos.
En UNIX (Linux), debemos estar familiarizados con las siguientes herramientas de procesamiento de texto:
grep, head, tail, sort, uniq, tr, cut, wc, sed, awk
Estas herramientas facilitan enormemente el trabajo con datos de texto – archivos de registro, salidas de otros programas, etc. Nos permiten extraer cualquier información que necesitemos. Puedes aprender sus usos en la sección de Comandos de Adictosalinux.
En la línea de comandos de Windows (PowerShell) es similar en funcionalidad. De hecho, puede ser incluso más potente debido a su naturaleza orientada a objetos.
Echa un vistazo a Cómo usar Windows PowerShell: Guía Básica de Inicio para empezar rápidamente.
Esto nos lleva al siguiente tema…
9. Expresiones Regulares
Las expresiones regulares (regex o regexp) son una forma muy poderosa de realizar coincidencias de patrones. Conocer las expresiones regulares puede ayudar enormemente en un pentesting, porque nos permite:
- Buscar patrones. Con expresiones regulares podemos filtrar todas las direcciones IP de un archivo de texto. Podemos encontrar direcciones de correo electrónico, nombres de dominio, nombres de host, direcciones MAC y prácticamente cualquier cosa.
- Reemplazar texto. Las expresiones regulares tienen poderosas capacidades de búsqueda y reemplazo que nos permiten realizar varias transformaciones de texto.
- Agrupar y dividir datos. Usando expresiones regulares, podemos agrupar ciertos datos juntos o dividirlos en partes. Esto es necesario para una mayor automatización/procesamiento por máquina.
Como pentester, debemos conocer las expresiones regulares de memoria.
10. Scripts De Shell
Independientemente de cuál sea tu distribución Linux favorita, todas ellas tienen algo en común: el shell.
Como pentester, pasamos una cantidad significativa de tiempo trabajando con el shell. Por lo tanto, todo pentester debe dominarlo a la perfección.
Conocer el shell nos da un poder y capacidad enormes para automatizar todo. Por ejemplo, puedes:
- Automatizar tareas repetitivas de forma rápida y fácil
- Escribir poderosos one-liners de cabeza
- Combinar todas las utilidades en un solo lugar
- Escribir rápidamente scripts y herramientas personalizados
- Aumentar exponencialmente tu eficiencia
Todo pentester experimentado debería ser capaz de desentrañar un script enrevesado escrito en una sola línea.
11. Lenguajes De Programación
Seamos honestos. Como hackers, debemos encontrar vulnerabilidades en sistemas informáticos y programas que probablemente fueron escritos en algún lenguaje de programación. ¿Cómo podemos encontrar errores en estas cosas si no tenemos experiencia programando?
En todos nuestros informes damos consejos a programadores y desarrolladores, y debemos entender qué se requiere para implementar algo.
Por ejemplo, debemos entender cómo funciona el proceso de registro/inicio de sesión, cómo se almacenan los datos en una base de datos o cómo sanitizar las entradas del usuario.
Debemos entender estas cosas al menos hasta el punto en que podamos comprenderlas. Conoce aquí los Mejores Lenguajes de Programación para Hacking.
12. El Lenguaje De Programación Python
Conocer el lenguaje Python puede ser una gran ventaja para cualquier pentester. Y esto es por qué.
Primero, Python es:
- Extremadamente poderoso
- Fácil de aprender
- Código legible
- Multiplataforma
Además, Python es ampliamente adoptado por la comunidad de seguridad informática y la mayoría de los buenos proyectos se escribieron en Python. Por ejemplo:
- mitmproxy
- impacket
- sqlmap
- scapy
- httpie
Además, la mayoría de los investigadores de seguridad y desarrolladores de exploits escriben su código en Python. Y a veces necesitamos modificar algo en ellos.
Esto nos lleva a la siguiente habilidad…
13. Capacidad De Encontrar Pocs Y Exploits
Todo pentester debe saber dónde encontrar un PoC o exploit para verificar una vulnerabilidad. De esto hablamos en Bug Bounty: Cómo Ganar Dinero con el Hacking.
Una vez que nuestros escáneres detecten una vulnerabilidad CVE-XXX-YYYY, no podemos simplemente informar sobre ella al cliente sin más.
Siempre debemos verificarlo todo. Ese es nuestro trabajo. Debemos aportar pruebas. Cuantas más pruebas aportemos, más feliz estará el cliente.
Por lo tanto, debemos saber dónde buscar PoCs y cómo usarlos. La siguiente lista contiene recursos donde puedes encontrar algunos PoCs y exploits:
https://www.exploit-db.com/
https://github.com/offensive-security/exploit-database
https://github.com/offensive-security/exploit-database-bin-sploits
https://github.com/qazbnm456/awesome-cve-poc
https://github.com/Mr-xn/Penetration_Testing_POC
https://github.com/Medicean/VulApps
https://github.com/nixawk/labs
https://github.com/Coalfire-Research/java-deserialization-exploits
https://github.com/toolswatch/vFeed
https://github.com/Metnew/uxss-db (vulneraciones del navegador)
https://github.com/tunz/js-vuln-db (vulneraciones de JavaScript)III. TECNOLOGÍA Y METODOLOGÍA
14. Servicios De Internet
Como pentester, debemos tener un amplio conocimiento sobre Internet. No solo debemos saber cómo funciona, sino también cómo desplegar un servidor en Internet, por ejemplo.
Debemos tener experiencia y saber cómo:
- Registrar nuevos dominios
- Configurar un servidor virtual privado
- Asociar un dominio a un servidor
- Configurar un servicio de red seguro utilizando certificados
A veces necesitamos preparar la infraestructura para otras acciones (como un sitio de phishing) y como pentester, definitivamente debemos saber cómo hacerlo.
15. OSINT
Todo pentester debe ser capaz de navegar fuentes abiertas para encontrar información técnica y de otro tipo sobre una organización y sus empleados.
Como mínimo, debemos ser capaces de utilizar las siguientes fuentes:
- Registros DNS
- Registros WHOIS
- Motores de búsqueda
- Redes sociales
Por ejemplo, podríamos necesitar realizar una tarea OSINT enfocada en una organización específica y recopilar la siguiente información:
- Nombres de dominio registrados
- Nombres de host y subdominios
- Direcciones IP y rangos de red
- Direcciones de correo electrónico
- Números de teléfono
Debemos saber cómo hacer esto, por ejemplo, utilizando diversas herramientas automatizadas.
Uno de los mejores recursos disponibles sobre OSINT es:
https://github.com/jivoi/awesome-osint16. Bases De Datos
Todo pentester debe tener cierto conocimiento sobre bases de datos. No sugiero que se convierta en un administrador de bases de datos o desarrollador PL/SQL, pero debemos tener algo de experiencia utilizando las bases de datos más populares, como:
- MySQL
- MongoDB
- PostgreSQL
- Microsoft SQL
- Elasticsearch
- Oracle
- Redis
Debemos saber cómo conectarnos a ellas, cómo enumerar las bases de datos lógicas, cómo enumerar tablas y cómo leer datos de ellas.
También debemos entender qué se puede hacer con ellas después de un compromiso.
¿Podemos escribir al sistema de archivos? ¿Podemos leer archivos arbitrarios? ¿Somos capaces de lograr ejecución remota de código (RCE) y obtener una shell? Estas cosas son importantes para un pentester.
17. Tecnologías Web
Como pentester, necesitamos tener una amplia gama de habilidades en tecnologías web para realizar pruebas de penetración en aplicaciones web.
Este tema es realmente grande, pero por ejemplo, debemos estar al tanto de:
- HTML, JavaScript, CSS, PHP y ASP
- JSON, codificación de URL
- Familia de protocolos HTTP
- Servicios web SOAP y REST
- Servidores y aplicaciones web
- Frameworks web (SharePoint, Silverlight, etc.)
- CMS (WordPress, Drupal, etc.)
- Firewalls y filtros web
Debemos tener experiencia usando herramientas de prueba como:
Debemos saber cómo evaluar la seguridad de servidores web y aplicaciones web implementadas.
Por ejemplo, debemos saber cómo escanear los puertos de un sitio web.
También debemos conocer las prácticas inseguras de codificación, configuraciones incorrectas y otras cosas incluidas en el OWASP TOP 10 (lista de las vulnerabilidades más comunes).
18. Tecnologías Móviles
Cuando se trata de pruebas en aplicaciones móviles, todo pentester debe conocer los conceptos básicos y las metodologías de prueba, al menos para las siguientes dos plataformas:
- Android
- Apple iOS
Debemos saber cómo realizar análisis estático y dinámico de aplicaciones móviles. Por ejemplo, debemos saber cómo:
- Usar emuladores móviles
- Descompilar y recompilar aplicaciones
- Realizar ingeniería inversa en aplicaciones
- Verificar conexiones de red
Debemos conocer sobre ofuscación de código, certificate pinning o cómo almacenan datos las aplicaciones en el teléfono. Debemos saber sobre cosas como jailbreaks, rooting y otras.
Otra cosa que debemos saber es que normalmente hay un componente del lado del servidor involucrado – un sistema en Internet con el que interactúa la aplicación móvil.
Esto significa que la prueba de penetración de una aplicación móvil es en parte una prueba de penetración de aplicación web. Por lo tanto, debemos tener un amplio conocimiento de tecnologías web.
Un gran recurso sobre seguridad móvil es: https://mobisec.reyammer.io
19. Criptografía
Como pentester, debemos tener un amplio conocimiento de criptografía y temas relacionados. Empieza con esta Guía para Principiantes: Introducción a la Criptografía.
Para empezar, debemos conocer:
- Conceptos de criptografía simétrica y asimétrica
- Diferencias entre HTTP y HTTPS, o Telnet y SSH
- Cifrado SSL/TLS y el concepto de autoridades de certificación
- Cómo funciona la autorización de clave pública SSH
También debemos entender las diferencias entre:
- Codificación (Base64)
- Suma de verificación (CRC32)
- Ofuscación (XOR)
- Funciones hash (MD5, SHA1, SHA256, SHA512)
- Cifrado (RC4, DES, BlowFish, AES)
Debemos saber qué usar y cuándo. Debemos saber qué podemos decodificar (descifrar) y qué intentar romper. Por ejemplo, mira nuestro post de blog sobre descifrar y romper contraseñas Cisco.
Como pentester, también debemos saber, por ejemplo, cómo utilizar ofuscación o cifrado para evadir diversos controles de seguridad.
20. Cracking De Contraseñas Y Hashes
Otra cosa que debe saber todo pentester es cómo crackear contraseñas y hashes.
Debemos tener amplia experiencia con herramientas de cracking como John the Ripper o Hashcat.
Debemos entender los métodos y limitaciones cuando se trata de velocidad de cracking, cracking en CPU o GPU, o qué es factible de crackear y qué no.
También debemos saber dónde encontrar diccionarios (5 Formas de Crear Diccionario para Fuerza Bruta) y qué táctica de cracking utilizar, por ejemplo:
- Wordlist (lista de palabras)
- Wordlist con reglas
- Fuerza bruta
Uno de los mejores repositorios públicos de wordlists es:
https://github.com/danielmiessler/SecLists21. Seguridad Física
Aunque las pruebas de penetración se centran principalmente en las tecnologías de la información, a veces ocurre la penetración física y debemos saber cómo realizar esta prueba.
Debemos tener una idea de los sistemas de control de seguridad física y, como mínimo, ser capaces de reconocer deficiencias tales como:
- Cerraduras débiles
- Mecanismos de puertas poco fiables
- Restricciones de entrada insuficientes a áreas restringidas
- Cableado inseguro (p.ej. para sistemas de control de acceso)
- Vigilancia por video insuficiente
- Métodos de desecho inseguros
También debemos conocer sobre clonación de tarjetas de acceso y temas relacionados.
22. Auditoría Y Cumplimiento
También debemos tener conocimientos sobre auditorías de cumplimiento y puntos de referencia de seguridad. Esto incluye CIS, PCI DSS, DISA STIG, etc.
No todos están familiarizados con ellos, pero su conocimiento puede ser muy valioso no solo ante el cliente. Por ejemplo, debes saber:
- ¿Qué organizaciones los crearon?
- ¿Qué es lo que realmente prueban/comparan contra el estándar?
- ¿Cuándo y por qué tiene sentido cumplirlos?
Aquí hay una forma rápida de entrar en materia:
CIS (Center for Internet Security / Centro para la Seguridad de Internet)
PCI DSS (Payment Card Industry Data Security Standard / Industria de Tarjetas de Pago)
DISA STIG (Defense Information Systems Agency Security Technical Implementation Guide)
MSCT (Microsoft Security Compliance Toolkit)
IV. OTRAS HABILIDADES
23. Habilidades Sociales
Aunque las pruebas de penetración son principalmente de naturaleza técnica, también necesitamos ciertas habilidades sociales para hacer nuestro trabajo. Aquí hay una lista de cinco habilidades sociales esenciales para todo pentester:
- Ética
Las pruebas de penetración son un área extremadamente sensible que a menudo involucra trabajar con datos confidenciales y de otras personas. Por lo tanto, debemos ser muy cuidadosos y mantener el trabajo en secreto. Proteger a nuestro cliente es la misión número uno y nunca debemos olvidarlo.
- Comunicación efectiva
Aunque nuestro trabajo es principalmente técnico y trabajar con computadoras, también tenemos que interactuar mucho con personas y clientes. Por lo tanto, debemos ser capaces de explicar nuestro trabajo e información técnica a otros de manera que puedan entendernos.
- Empatía
La empatía puede ayudarnos a entender quién es nuestra audiencia y cómo servirles mejor. Ya sea que presentemos nuestro trabajo ante un grupo de ejecutivos o una audiencia técnica, siempre debemos adaptar nuestra presentación para garantizar la máxima comprensión de nuestra audiencia.
- Habilidades de escritura
Los informes son el producto de nuestro trabajo. Representan todo lo que hicimos durante el trabajo. Por lo tanto, es extremadamente importante saber cómo escribir informes de alta calidad. Nuestros informes deben verse profesionales, limpios y sin errores gramaticales ni ortográficos. Siempre debemos revisar la ortografía, incluso antes de pasarlo a nuestros compañeros de equipo para control de calidad.
- Valentía
El trabajo de pentesting a veces también requiere cierto nivel de valentía. Por ejemplo, durante la ingeniería social, llamadas de phishing o intrusiones físicas. Como pentesters profesionales, debemos parecer seguros y mantener la calma en ese momento.
24. Tomar Notas
Tomar notas efectivas es una habilidad absolutamente necesaria para todo pentester debido a la gran cantidad de información que debemos recordar a diario.
Debemos desarrollar esta habilidad. Los elementos que podemos anotar son:
- Métodos y técnicas
- Ejemplos de comandos
- Fragmentos de código
- Herramientas y enlaces
Existen muchas aplicaciones de notas y wikis diferentes. Mi elección personal es Obsidian, pero también tienes a TiddlyWiki, que ha estado en el mercado durante muchos años.
Comienza a construir tu propia base de conocimiento ahora mismo si no la tienes. Tu eficiencia y habilidades se dispararán, como he sido testigo muchas veces entre mis colegas.
25. Concientización
Mantenerse al día con los acontecimientos de la industria de ciberseguridad es la última habilidad clave que todo pentester debe tener. Todos debemos tener un conjunto de recursos que mantengan nuestra consciencia, como:
- Podcasts
- Listas de correo (apúntate en nuestra lista al final del artículo 😉 )
- Agencias de noticias
- Blogs de seguridad
- Informes técnicos
- Grupos en redes sociales
- Twitter/Reddit
CONCLUSIÓN
Ser un pentester profesional o experto en ciberseguridad no significa que debes ser una “estrella de rock” en todas estas áreas. Si tienes conocimientos profundos en algunas de estas áreas y entusiasmo por la industria, fácilmente puedes encontrar un trabajo adecuado para ti. Por cierto, estos son los 10 Mejores Empleos en Ciberseguridad.
