Penetration Testing on Azure

Manual especializado en ciberseguridad ofensiva publicado por BPB Publications y escrito por el Dr. Andrew Blyth, catedrático en informática forense y pentester con más de tres décadas de experiencia (edición 2026). La obra está dirigida a analistas de seguridad, consultores de pruebas de penetración, ingenieros de ciberdefensa y administradores de Azure de nivel intermedio que necesitan aprender a descubrir, explotar y mitigar vulnerabilidades específicas en entornos de nube Microsoft Azure, operando siempre bajo un marco ético y ajustado a las reglas de compromiso (Rules of Engagement) oficiales de Microsoft.

El recorrido temático cubre todas las etapas de una auditoría ofensiva en la nube: recolección de inteligencia sobre amenazas (threat intelligence) y reconocimiento pasivo/activo del inquilino (tenant); explotación y escalada de privilegios en Microsoft Entra ID (anteriormente Azure AD); y auditorías de seguridad en capas de red sobre Network Security Groups (NSGs) y Virtual Networks (VNets). El autor examina vectores de ataque directos contra Azure App Services, funciones serverless, almacenamiento en Azure Blob Storage (abusando de tokens Shared Access Signature o SAS mal configurados) y bases de datos relacionales y NoSQL. Asimismo, enseña a comprometer canalizaciones de integración y entrega continua en Azure DevOps, extraer credenciales desde Azure Key Vault y desarrollar scripts de prueba de concepto (PoC) en Python para simular movimientos laterales y evaluar defensas frente a amenazas persistentes avanzadas (APT).

Con un enfoque mixto que equilibra la explicación teórica de los vectores de amenaza con escenarios prácticos de explotación y pautas para la redacción de informes ejecutivos de remediación, el texto destaca por su autenticidad y realismo al reflejar las técnicas reales de los atacantes contemporáneos. Quedan fuera las explicaciones elementales sobre seguridad informática genérica, por lo que es imprescindible tener experiencia previa con la consola de Azure, conocimientos sólidos de redes TCP/IP y manejo básico de scripting en Python y PowerShell.