Pentest interno vs. externo: qué cubre cada uno y cuándo necesitas ambos

La mayoría de las organizaciones entiende que necesita validar su seguridad, pero a menudo surge la duda sobre por dónde empezar: ¿se prueba el perímetro visible desde internet o se asume que un atacante ya está dentro? La respuesta corta es que ambos escenarios representan riesgos reales y distintos, y la madurez de un programa de seguridad se mide, en parte, por la capacidad de abordar los dos frentes.

Este artículo describe qué evalúa cada enfoque, en qué se diferencian en la práctica y cómo decidir cuándo aplicar uno, el otro o ambos, sin caer en generalizaciones que no aportan valor a la toma de decisiones.

Qué evalúa un pentest externo

El pentest externo simula a un atacante que no tiene credenciales ni acceso previo a la red de la organización. Su superficie de ataque son los activos expuestos a internet: servidores web, VPN, portales de correo, APIs públicas, firewalls perimetrales y cualquier servicio que responda a conexiones desde la red pública.

Objetivos típicos

• Identificar vulnerabilidades en servicios expuestos (parches faltantes, configuraciones inseguras, versiones obsoletas).
• Probar la robustez de la autenticación expuesta (fuerza bruta, reutilización de credenciales filtradas, bypass de MFA).
• Evaluar la segmentación perimetral: ¿un compromiso en el servidor web permite pivotar a la red interna?
• Reconocer información sensible publicada inadvertidamente (metadatos, credenciales en repositorios, fugas en almacenamiento cloud mal configurado).

Cuándo aporta más valor

• Antes de poner en producción nuevos servicios accesibles desde internet.
• Como control periódico (trimestral o semestral) para detectar deriva de configuración o nuevos CVE críticos en el perímetro.
• Para cumplir requisitos de compliance que exigen validación del perímetro (PCI DSS, ISO 27001, normativa financiera local).

Qué evalúa un pentest interno

El pentest interno asume que el atacante ya tiene un pie dentro de la red: un empleado malintencionado, un dispositivo comprometido por phishing, un proveedor con acceso VPN o una vulnerabilidad explotada en el perímetro. El punto de partida suele ser un usuario de dominio estándar, un segmento de red específico (DMZ, red de servidores, red de desarrollo) o un puesto de trabajo corporativo.

Objetivos típicos

• Escalar privilegios: de usuario estándar a administrador de dominio o root en sistemas críticos.
• Moverse lateralmente entre segmentos de red (VLANs, subredes cloud, entornos OT).
• Acceder a datos sensibles: bases de datos, compartidos de archivos, secretos en gestores de configuración (Vault, Key Vault, Sealed Secrets).
• Evaluar controles de detección y respuesta: ¿el SOC ve el escaneo interno, el pass-the-hash, la extracción de NTDS.dit?
• Probar la segmentación real: ¿las reglas de firewall interno, Zero Trust o microsegmentación frenan el movimiento?

Cuándo aporta más valor

• Después de cambios mayores en Active Directory, Entra ID, políticas de GPO o arquitectura de red.
• Como parte de un programa de Red Team o ejercicios de Assumed Breach.
• Para validar que la estrategia de least privilege y segmentación funciona en la práctica, no solo en el diagrama de arquitectura.

Diferencias operativas clave

AspectoPentest externoPentest interno Punto de partidaInternet público, sin credencialesRed interna, con credenciales de usuario estándar o dispositivo corporativo SuperficieIPs públicas, DNS, cloud público, SaaS expuestoAD/Entra ID, servidores, bases de datos, red OT, endpoints, Kubernetes interno Ruido y detecciónAlto (WAF, IDS/IPS perimetral, DDoS protection)Variable; suele ser menor si no hay EDR/NDR maduro Duración típica5-10 días hábiles10-20 días hábiles (mayor superficie y profundidad) Entregable críticoRiesgo de compromiso inicial desde fueraRiesgo de impacto total tras compromiso inicial

Errores frecuentes al elegir

• "Solo hacemos externo porque es lo que pide el compliance": cumple el requisito formal, pero deja ciego el escenario más probable (phishing, credenciales robadas, insider).
• "Hacemos interno una vez al año y basta": la red interna cambia constantemente (nuevos servidores, cambios de GPO, shadow IT). Una foto anual no refleja la postura real.
• Confundir escaneo de vulnerabilidades con pentest: un escáner interno encuentra parches faltantes; un pentest interno encadena hallazgos para demostrar impacto real (ej. CVE-2024-XXXX + credenciales en SYSVOL = Domain Admin).
• Probar solo desde la red de servidores: ignora el vector más común, el puesto de trabajo del usuario (workstation), donde suele iniciarse el movimiento lateral.

Cómo decidir qué necesitas ahora

1. Define el escenario de amenaza más relevante para tu contexto: ¿te preocupa más el ransomware que entra por VPN expuesta o el robo de propiedad intelectual por un analista comprometido?
2. Revisa tu madurez actual: si nunca has hecho un pentest externo, empieza ahí; la higiene perimetral suele ser deuda técnica rápida de resolver. Si el perímetro está duro, el siguiente salto de valor está en validar la resistencia interna.
3. Alinea con el ciclo de vida: externo antes de cada release mayor público; interno tras cambios de arquitectura de identidad, segmentación o migración cloud híbrida.
4. Considera un enfoque combinado (Assumed Breach): se entrega al equipo de testing una credencial de usuario estándar y se mide cuánto se avanza. Une lo mejor de ambos mundos y optimiza tiempo.

Próximos pasos recomendados

• Inventaria tus superficies de ataque (externa e interna) con una herramienta de ASM o proceso manual actualizado.
• Clasifica tus activos por criticidad de negocio; prioriza los tests donde el impacto potencial sea mayor.
• Define frecuencia: externo continuo o trimestral; interno semestral o tras cambios críticos.
• Exige informes que separen hallazgos técnicos de riesgo de negocio para que la gerentía pueda priorizar remediación.
• Integra los hallazgos en tu gestor de tickets (Jira, Azure DevOps, ServiceNow) con SLA de remediación según severidad real, no solo CVSS.

Conclusión

El pentest externo protege la puerta de entrada; el pentest interno protege lo que hay dentro una vez que la puerta se abrió. No son sustitutos, son capas complementarias de validación. Una estrategia madura programa ambos con periodicidad distinta, alcances claros y métricas que alimenten la mejora continua de la postura de seguridad, no solo el archivo de cumplimiento.