¿Cuándo y por qué una prueba de penetración requiere no solo el acceso, sino la descarga de un archivo desde la red de un cliente?

Esto depende de las reglas de compromiso. Una prueba de penetración solicitada se realiza dentro de un conjunto muy estricto de pautas (reglas de compromiso) para que no cause más daño que bien. Esto establece límites en cuanto a lo que se puede hacer; Los archivos de exfiltración son bastante riesgosos, ya que pueden contener información confidencial o con información regulada, lo que es bueno saber que está disponible durante un pentest, pero es malo para comenzar a arrastrar en internet. Por lo tanto, siempre siga las reglas de compromiso y, si no están claras en este aspecto, pida que las aclaren antes de comenzar.

Para ser específico a su pregunta, si las pautas de Pentest indican que se puede realizar una exfiltración, Y declara que el objetivo de confirmación positiva es obtener una copia del archivo, entonces eso es lo que hace.

Algunas veces se realiza un pentest para ejercitar al personal de TI responsable de monitorear y mantener los sistemas (equipo azul). Si el pentestro (equipo rojo) obtuvo acceso a los activos que buscaba sin ser observado por el equipo azul, y si las reglas de compromiso lo permiten (como se indica en otras respuestas), puede tratar de exfiltrar los datos para realizar pruebas y entrenamientos adicionales. El equipo azul.

No es necesario que los datos reales estén exfiltrados, sino que pueden ser algunos datos de muestra representativos. Una vez que el pentester ha exfiltrado con éxito los datos, puede regresar y hacer tanto ruido como sea posible hasta que el equipo azul lo detecte o lo detenga.

Todo esto asume que uno de los objetivos del pentest es estar en un papel de adversario activo con el equipo azul. Esto se hace a menudo para probar la respuesta a incidentes, la efectividad de las herramientas y los procedimientos. El objetivo final es estar mejor preparado cuando un atacante real ataca.

A veces, el compromiso requiere que simules un ataque real y llegues a cierta parte de la red, como una base de datos, en esos casos, es posible descargar archivos para descubrir usuarios de la red a través de los metadatos (solo un ejemplo). Pero depende del compromiso y debe aclararse con el cliente, nunca descargue archivos sin el consentimiento

Cuando su trabajo en un pentest es penetrar lo más profundamente posible, entonces puede descargar archivos a 1. comprometer una máquina / dominio de Windows mediante la descarga de copias de seguridad de la sección SAM en el directorio c: \ windows \ repair, en caso de que exista 2. descargar archivos de configuración php con contraseñas de base de datos 3. descargue varias otras cosas con contraseñas / información confidencial que facilitarán el movimiento lateral o, en general, recopile información para cualquier objetivo que venga a continuación en su infiltración.