# Black Box

El Ethical hacker trabaja a ciegas, el cliente no proporciona ninguna IP del Objetivo bajo ataque, no se tiene acceso a ningún tipo de información acerca del objetivo bajo ataque.
---
Dada la falta de información, los niveles de éxito del ataque pude disminuir, mientras más información más éxito en el ataque, mientras menos, menos éxito.

Este enfoque busca emular un ataque real.
 

---

# Gray Box

El Ethical hacker trabaja con acceso a información limitada acerca del Objetivo bajo ataque.

Este enfoque busca emular el ataque de un insider o Intruso, o alguien que ya logo algún tipo de acceso al sistema u organización bajo ataque.

Este es el tipo de evaluación es la que más se recomienda. 👍

Es recomendada porque él atácate informático no solamente está en internet, pude ser alguien que este dentro de la organización, un cliente talvez, ni siquiera es necesario que trabaje directamente para la organización, un cliente, un proveedor, alguna organización con la que se ha tenido contacto en algún momento.

Este es el mejor escenario para poder hacer las pruebas porque este nivel de información que se le entrega al El Ethical hacker le va a permitir tener más éxito, puede encontrar más fallos de seguridad, por eso esta es la opción más recomendad.
 

---

# White box

En este caso, el Ethical hacker trabaja con acceso a toda la información del Objetivo bajo ataque, códigos fuentes, direcciones, IP, usuarios, accesos privilegiados al sistema.

Al tener esta información, tanta capacidad para por acceder al sistema informático que está siendo parte de la evaluación, se encuentra una mayor cantidad de vulnerabilidades, porque el evaluador va a poder acceder hasta el último rincón del y encontrar todos los fallos de seguridad.

Este tipo de evaluación se ejecute por el mismo equipo de seguridad interno de la empresa, los administradores de servidores, dado que este personal tiene toda la información, pueden hacer pruebas de seguridad e intentar hacer ataque informáticos e identificar la mayor cantidad de fallos de seguridad que puedan para luego corregirlos.

Si un área interna hace esto ataca, luego corrige, los servidores, el sistema, va a estar mucho más protegido, va a estar en un nivel de seguridad más elevado que les va a permitir resitir un ataque externo.

Que este tipo de prueba que se haga por equipo interno es una muy buena idea, pero se suele recomendar también que esta sea realizada por un tercero, que se contrate a una empresa externa, para evitar ser juez y parte.

Se pudiera poner en tela de juicio la veracidad de las evaluaciones llevadas a cabo por un equipo interno de la misma empresa.