La Anatomía de un Informe de Pentest: Lo Que Revelan 394 Informes Públicos

Analizamos 394 informes públicos de pruebas de intrusión para responder una pregunta simple: ¿cómo luce en realidad este documento una vez que termina la prueba? Los informes públicos no son una muestra aleatoria del sector. Son una vitrina, publicada de forma voluntaria por firmas lo bastante seguras del trabajo como para poner su nombre. Aun así, la forma de esa vitrina nos dice algo que vale la pena saber sobre cómo el sector produce su entregable central.

Qué trae la caja

El corpus abarca 82 firmas y fuentes distintas, desde estudios de una sola persona hasta nombres como NCC Group y Trail of Bits. El informe mediano tiene 26 páginas, pero el rango es amplio: va de 1 página a 157, con la mitad central de los informes (del p25 al p75) ubicándose entre 16 y 43 páginas. Tanto un memorando de una página como un dossier de 157 páginas cuentan como “un informe de pentest” en este corpus. No hay una cantidad de páginas estándar, porque no hay un informe estándar.

Lo que sí es estándar es un núcleo estrecho. El alcance aparece en el 88% de los informes y los hallazgos en el 85%, lo que los vuelve casi universales: los muros de carga del documento. Todo lo que viene después se erosiona en un orden bastante consistente: un índice aparece en el 69% de los informes, las recomendaciones en el 68%, la metodología en el 65%, una introducción en el 57%.

Pasado ese núcleo, la presencia cae más rápido de lo que la mayoría de los profesionales supondría. Solo el 54% de los informes incluye una sección etiquetada explícitamente como resumen ejecutivo, a pesar de ser justamente la sección escrita para el lector con menos probabilidad de leer el resto del documento. Una conclusión aparece en el 50%, un apéndice en el 46%, un descargo de responsabilidad en el 42%. Una sección dedicada a las herramientas utilizadas —la parte que le diría al lector cómo fue, en la práctica, la división entre escaneo automatizado y prueba manual— aparece en apenas el 10% de los informes, el índice más bajo de todas las secciones que seguimos.

Leído como una secuencia, el patrón no es aleatorio: acompaña cuán directamente cada sección sirve a la función central del entregable. El alcance y los hallazgos responden “qué se probó y qué encontraste”, y las firmas rara vez los omiten. Todo lo que viene después de eso —resumir para un lector no técnico, explicar el proceso, revelar las herramientas— se trata como un acabado opcional, no como una parte obligatoria del formato.

Un informe de pentest tiene un esqueleto que toda firma comparte y un cuerpo que cada firma arma de forma distinta. El alcance y los hallazgos están casi garantizados. Todo lo que ayuda a un lector a confiar, contextualizar o verificar esos hallazgos es opcional, y así se trata en la práctica.

Las herramientas cuentan una historia

Los metadatos del PDF (los campos Producer y Creator que graba cualquier software que haya generado el archivo) ofrecen una segunda lectura, más mecánica, de cómo se hacen estos informes. No es un campo que alguien escriba pensando en el lector; es un subproducto del proceso de exportación, lo que lo convierte en una señal bastante honesta del pipeline de producción real detrás del documento.

A lo largo del corpus, LaTeX representa 84 informes, LibreOffice u OpenOffice Writer 79, Microsoft Word 55, un pipeline de HTML a PDF vía Chromium 36, Google Docs o Skia 27, Apple Pages 16, y Apache FOP (un pipeline XSL-FO que renderiza XML estructurado en un PDF terminado) 12. Más abajo en la lista, iText o Acrobat representa 10 informes y ReportLab 2. Cuarenta y dos informes traen macOS Preview en sus metadatos, lo que significa que el archivo se abrió y se volvió a guardar después de la exportación original —a menudo la huella de una última pasada de edición antes de la publicación.

Suma los procesadores de texto (Word, LibreOffice y Pages) y totalizan 150 informes. LaTeX, la herramienta que la mayoría de los ingenieros apostaría como el estándar del sector para un documento que debe verse técnico, representa 84. Los procesadores de texto superan a LaTeX por casi dos a uno.

Esa división no es una nota al pie estilística. LaTeX es, en gran medida, la herramienta de las firmas cuyo trabajo se lee más como un artículo técnico que como un entregable para cliente: versionado, compuesto tipográficamente, hecho para trabajos en los que el informe debe sobrevivir al escrutinio minucioso de un protocolo o de una demostración. Word y sus parientes son las herramientas de las firmas que tratan el informe como un documento de negocios: producido contra reloj, en el software que todo el equipo ya tiene abierto. Ninguno de los dos enfoques, por sí solo, determina la calidad de la prueba que hay por debajo. Pero la herramienta que una firma estandariza dice algo sobre cómo piensa el entregable que envía: si el informe se trata como un producto de ingeniería o como correspondencia.

Cada firma tiene una huella de reporte

Apenas agrupas los informes por quien los publica, los datos de herramientas dejan de parecer ruido y empiezan a parecer una firma. Las firmas no eligen un formato por trabajo. Arman un único pipeline de producción y pasan cada informe por él.

Cure53, la publicadora más prolífica del corpus con 67 informes, usa LibreOffice Writer el 97% de las veces. X41 D-Sec usa LaTeX el 100% de las veces; NCC Group usa LaTeX en el 90% de sus 21 informes; iSEC Partners en el 81%. QuarksLab y Hackmanit también usan LaTeX el 100% de las veces cada una, un grupo de firmas cuyos trabajos se inclinan hacia la criptografía y el hardware, donde el informe debe sostenerse como un artículo técnico.

El extremo productizado del espectro es igual de consistente. Trail of Bits renderiza el 68% de sus 37 informes con un pipeline de HTML a PDF vía Chromium, y Consensys Diligence hace lo mismo con el 100% de su producción. Radically Open Security va todavía más lejos, generando el 80% de sus informes con Apache FOP: los hallazgos se escriben una sola vez en marcado estructurado, y el PDF es un artefacto de compilación, no un archivo ensamblado a mano. Y el patrón se sostiene también fuera de los grupos técnicos: los informes de Doyensec son Apple Pages el 100% de las veces, los de 7ASecurity son Google Docs el 100% de las veces, y tanto Hacken como IncludeSecurity publican exclusivamente vía Microsoft Word.

Así luce la estandarización de herramientas cuando la rastreas firma por firma: una decisión tomada una vez, a nivel del pipeline, que luego aparece de forma consistente a lo largo de decenas de trabajos —no una herramienta elegida por proyecto, sino un estándar de la casa. Los auditores de criptografía y hardware se agrupan en LaTeX. Las firmas que han productizado el reporte (Trail of Bits, Consensys, Radically Open Security) renderizan a partir de código o marcado en lugar de componer cada informe a mano. Refleja tanto la cultura de ingeniería como la escritura misma: algunas firmas tratan el informe como un artefacto que vale la pena diseñar, no solo redactar. Dada una pila de informes anonimizados, solo el campo Producer ya permitiría devolver la mayoría de ellos a su firma de origen: el metadato está más cerca de una firma de la casa que el logotipo de la portada.

Lo que el formato omite en silencio

Las secciones que son raras en este corpus son justamente las que cierran el ciclo entre un hallazgo y su resolución. Solo el 17% de los informes incluye una sección de reprueba o verificación, lo que significa que, para la gran mayoría de los trabajos públicos, el entregable termina en “esto es lo que encontramos”, sin ninguna respuesta documentada sobre si se corrigió.

La severidad no sale mucho mejor parada. El CVSS aparece en apenas el 11% de los informes por búsqueda mecánica de texto, y una lectura semántica más profunda ubica la cifra por debajo del 8%. Una sección dedicada a la clasificación de riesgo o a las definiciones de severidad —la parte que explica cómo una firma decidió que “Crítico” significa lo que significa— aparece en apenas el 28% de los informes. La mayoría de las firmas no está dejando la severidad sin explicar; la está explicando en prosa, trabajo por trabajo, de un modo que rara vez sobrevive a la comparación entre proveedores. Un “Crítico” de una firma y un “Crítico” de otra no tienen garantía de describir el mismo nivel de riesgo.

El resto de la cadena de evidencia es irregular en la misma dirección. Los informes son confiablemente buenos para decirle al lector dónde vive el problema (el 93% nombra la ubicación afectada con precisión) y la mayoría incluye pasos de reproducción (80%) o código de prueba de concepto (67%). Menos de ellos llevan el artefacto que le permitiría al lector verificar la afirmación de forma independiente: una petición/respuesta en bruto o una traza a nivel de protocolo aparece en el 33% de los informes, y las capturas de pantalla en apenas el 24%. El informe te dice dónde está la falla y cómo dispararla de forma más confiable de lo que te muestra la evidencia que un lector podría comprobar sin repetir la prueba.

Nada de esto refleja un trabajo descuidado. Estos son, por definición, los informes que las firmas eligieron publicar, de firmas lo bastante seguras de su producción como para ponerle su nombre. Es precisamente eso lo que hace que la brecha valga la pena nombrarla: significa que incluso los mejores ejemplos públicos del formato subdocumentan las dos cosas que un lector más necesita seis meses después: si un hallazgo se verificó realmente como corregido, y por qué se clasificó como se clasificó.

Una nota de metodología

Este análisis es mecánico, no editorial. Los 394 informes se procesaron en cuanto a su estructura física: cantidad de páginas, encabezados de sección e idioma. La herramienta de autoría se infirió a partir de los campos Producer y Creator de los metadatos del PDF, lo cual es confiable para identificar el pipeline de renderizado, pero no dice nada sobre quién hizo la prueba o la redacción por debajo, ni nada sobre la calidad. La detección de sección e idioma se ejecutó sobre los 352 informes legibles por máquina del corpus y fue automatizada, no verificada a mano sección por sección, de modo que se habrán pasado por alto casos límite de etiquetado o formato. Donde citamos una cifra semántica (el número de CVSS por debajo del 8%, por ejemplo), proviene de una lectura automatizada por un gran modelo de lenguaje de 349 informes: una señal de dirección, no una auditoría humana certificada. Tratamos estos números como evidencia de un patrón, no como un censo preciso. El corpus en sí es el repositorio public-pentesting-reports, mantenido por Julio Cesar Fort, de Blaze Information Security.

Lo que esto nos deja por construir

La brecha que estos datos exponen no está en la prueba. Está en lo que el formato lleva hacia adelante. El alcance, los hallazgos, el razonamiento de severidad y el estado de reprueba son exactamente las cosas que un lector necesita para confiar en un informe y actuar sobre él —y son también las cosas que más dependen de que el redactor en cuestión se haya acordado de incluirlas. Estamos construyendo Tandera para que esa estructura se capture como dato desde el principio: alcance, hallazgos, razonamiento de severidad y estado de reprueba, todos registrados a medida que el trabajo ocurre, para que sobrevivan hasta el entregable final en lugar de depender de qué secciones una firma recuerda escribir.

Tandera estará abierta a todos desde el 1 de septiembre: un plan gratuito, sin tarjeta. Durante el mes de lanzamiento, los planes anuales tienen un 30% de descuento (SOLO $700, PRO $3,500), con garantía de reembolso de 7 días, usando el código ANATOMY30. Hasta entonces, únete a la lista de espera: [TODO: waitlist URL].