osstmm open source security testing methodology manual

OSSTMM (Open Source Security Testing Methodology Manual)

OSSTMM (Open Source Security Testing Methodology Manual)

OSSTMM es una metodología abierta orientada a la medición objetiva de la seguridad, centrada en medir la superficie de ataque

Enfoque principal de OSSTMM

OSSTMM se basa en:

• Medición objetiva
• Resultados reproducibles
• Verificación de controles de seguridad
• Análisis de superficie de ataque real

Canales de seguridad evaluados

OSSTMM divide las pruebas en cinco canales principales:

• Humano: personas, formación, ingeniería social
• Físico: accesos, instalaciones, hardware
• Inalámbrico: Wi-Fi, Bluetooth, RF
• Telecomunicaciones: voz, redes móviles
• Datos: redes, sistemas, aplicaciones

Fases del OSSTMM

{% stepper %} {% step %}

Preparación

• Definición del alcance
• Autorizaciones legales
• Identificación de activos
• Selección de canales a evaluar {% endstep %}

{% step %}

Recolección de información

• Identificación de superficies de ataque
• Enumeración de accesos
• Análisis de exposición {% endstep %}

{% step %}

Pruebas de interacción

• Verificación de controles de seguridad
• Evaluación de autenticación y autorización
• Pruebas de acceso {% endstep %}

{% step %}

Análisis y métricas

• Medición objetiva del riesgo
• Cálculo de resultados
• Eliminación de factores subjetivos {% endstep %}

{% step %}

Reporte

• Resultados medibles
• Nivel real de seguridad
• Recomendaciones basadas en métricas {% endstep %} {% endstepper %}

Métricas en OSSTMM

OSSTMM introduce métricas propias para cuantificar la seguridad:

• RAV (Risk Assessment Value)
• Porcentaje de exposición
• Nivel de control efectivo

Estas métricas permiten comparar evaluaciones de forma objetiva.

Uso habitual

OSSTMM se utiliza principalmente en:

• Auditorías formales
• Evaluaciones comparativas
• Entornos donde se requiere objetividad
• Informes ejecutivos y técnicos