El arte de la intrusión (Kevin Mitnick y William Simon)

Leyendo desde la biblioteca de casa. Saldo al cierre de la nota: imprescindible.

De qué va

Mitnick es ingeniería social: cada capítulo cuenta un caso real de intrusión donde la debilidad explotada no era un CVE, era un proceso, una puerta abierta, una persona convencida de ayudar. Llamadas a helpdesk para resetear una contraseña, ingeniería social telefónica para pedir un cambio de IP, ataques físicos a oficinas.

Lo que me llevo (aplicado a auditoría)

1. El eslabón más débil es el humano: los controles técnicos (firewall, parches, EDR) se anulan con una llamada bien preparada. Como futuro Lead Auditor ISO 27001: el control A.7 (recursos humanos) y A.8.5 (gestión de accesos) son tan críticos como el firewall.
2. El OSINT es la gasolina: los atacantes estudiaban organizaciones con información pública antes de llamar. La contramedida es menos "más seguridad" y más entrenamiento + detección de anomalías en procesos.
3. El pentesting no es solo técnico: una parte del scope de un pentest autorizado debería incluir pruebas de ingeniería social (con contrato, alcances y consentimiento escrito).

Por qué lo recomiendo

Es la mejor introducción al "porqué" de la seguridad: muestra qué se explota cuando el exploit no es un binario.

Nota pública: reseñas propias, sin material con copyright. El libro lo leo en papel/PDF propio.