Acaba de ser publicada la versión 3.0 de la famosa metodología abierta de comprobación para la seguridad (OSSTMM, Open Source Security Testing Methodology Manual), uno de los estándares profesionales más completos y comúnmente utilizados en Auditorías de Seguridad para revisar la Seguridad de los Sistemas desde Internet. Incluye un marco de trabajo que describe las fases que habría que realizar para la ejecución de la auditoría. Se ha logrado gracias a un consenso entre más de 150 expertos internacionales sobre el tema, que colaboran entre sí mediante Internet.
Tabla de Contenido
Se encuentra en constante evolución y con lo poco que he podido ver en esta nueva versión se le ha dado un cambio radical a algunos puntos de la metodología, que permiten aumentar la efectividad del manual, pero podría requerir un esfuerzo extra a quienes ya veníamos trabajando con las versiones anteriores del OSSTMM, algunos de los cambios que he visto en esta versión 3.0 son:
- La metodología fue re-escrita totalmente, revisando minuciosamente cada uno de sus puntos.
- Re-ordenado el Mapa de Seguridad
- Nuevo concepto de dashboards, que nos permite organizar mas fácilmente los datos procedentes de los RAVs y explicarlos mejor.
- Se explican mejor y se le da mas relevancia a los Valores de la Evaluación de Riesgo o RAVs.
- Seguramente hay muchos mas, pero aun no termino de leerlo.
Para resumir esta es una versión de lectura obligada, para quienes manejamos OSSTMM, si aun no usas ninguna metodología al realizar test de penetración, esta es la versión que deberás empezar a leer, para que no tengas conflictos con los cambios de versiones anteriores y utilices la mejor versión del OSSTMM.
Fue una larga espera desde la publicación de la versión 3.0 LITE hasta esta entrega, solo espero que la edición en español, no tarde el mismo tiempo…
Descargar OSSTMM 3.0
Mas Información:
Pagina Oficial del OSSTMM
Qué aporta una metodología como OSSTMM
Una herramienta te dice cómo probar algo; una metodología te dice qué probar, en qué orden y cómo medirlo. Esa es la diferencia que OSSTMM formaliza: antes de lanzar un solo escáner, defines el alcance, los canales (personas, procesos, sistemas, redes) y qué vas a considerar un hallazgo. Sin ese marco, dos auditores sobre el mismo sistema llegan a conclusiones distintas y ninguna es comparable con la anterior.
La versión 3.0 trajo justo eso: una reescritura completa con el mapa de seguridad reordenado, dashboards para organizar los datos que salen de las evaluaciones, y más peso a los RAVs, los valores de evaluación de riesgo, que son la forma de OSSTMM de convertir hallazgos en una medida comparable de la postura de seguridad. La metodología no te da la vulnerabilidad; te da el idioma para hablar de ella con el cliente.
Nota sobre la versión
La versión 3.0 es la de 2010, y tanto su PDF como la página de investigación de ISECOM seguían respondiendo al verificarlos hoy. Si vas a empezar con OSSTMM ahora, descarga el manual desde ISECOM y confirma allí cuál es la edición vigente, en vez de asumir que la 3.0 sigue siendo la última: las metodologías, como las herramientas, también tienen versiones.
