Pruebas de intrusión
Pentest externo, interno, de aplicaciones y de nube, con alcance y autorización formal.
- 01EL PROBLEMANadie sabe con certeza qué encontraría hoy un atacante en el entorno, en las aplicaciones o en la nube.
- 02PARA QUIÉNOrganizaciones que necesitan medir su exposición real, responder a clientes y auditorías o validar correcciones.
- 03RESULTADO BUSCADOVulnerabilidades encontradas y priorizadas por riesgo, con evidencia, recomendación y nueva prueba de las correcciones.
Qué cambia para quien decide.
- PARA ELCEOSaberlo antes que el atacante“Nadie sabe con certeza qué encontraría hoy un atacante.”Una medida real de la exposición, con el riesgo explicado para la dirección.
- PARA ELCFOCorregir lo que importa“Listas largas de vulnerabilidades sin saber qué corregir primero.”Hallazgos priorizados por riesgo y nueva prueba de lo que se corrigió.
- PARA ELCTOCorrecciones reproducibles“Reportes genéricos que el equipo no logra reproducir.”Cada hallazgo con evidencia, cómo reproducirlo y cómo corregirlo.
- PARA ELCISOEvidencia para clientes y auditorías“Clientes, contratos y auditorías piden una prueba independiente.”Reporte ejecutivo y técnico de una prueba con alcance y autorización formal.
Lo que un atacante encontraría hoy.
Pruebas con alcance y autorización formal, para medir la exposición real antes de que alguien de afuera la mida.
Desplácese hacia el lado para ver el diagrama completo
- Perímetro externo
- Lo que está expuesto en internet
- Red interna
- Lo que alcanza un acceso interno
- Aplicaciones web y móviles
- Lógica, autenticación y datos
- Nube
- Configuración y permisos
Del hallazgo a la corrección verificada.
Lo crítico se comunica de inmediato, sin esperar el reporte. Después, cada hallazgo se sigue hasta su corrección, y la nueva prueba confirma lo que se resolvió.
Del acuerdo a la nueva prueba.
Nada se prueba sin alcance escrito y autorización.
- ETAPA 01AcordarAlcance, reglas y ventana por escrito.
- ETAPA 02Mapear¿Qué está expuesto y dónde están los datos?
- ETAPA 03Probar¿Hasta dónde se llega, con control?
- ETAPA 04Informar¿Cuál es el riesgo y cómo corregirlo?
- ETAPA 05Volver a probar¿Funcionó la corrección?
Probar sin poner en riesgo la operación.
La prueba mide la exposición; no puede convertirse en el incidente.
- AUTORIZACIÓNAlcance y permiso por escritoNada fuera de lo autorizado.
- SEGURIDADSin técnicas destructivasNada de denegación de servicio ni de destrucción de datos.
- CONFIDENCIALIDADHallazgos confidencialesEvidencias resguardadas con acceso restringido.
- HALLAZGO CRÍTICOAviso inmediatoLo crítico se comunica sin esperar el informe.
- NUEVA PRUEBACorrección verificadaLa nueva prueba confirma lo que se corrigió.
Por qué trustness.
- 01Alcance y autorización formalNo se prueba nada sin alcance por escrito, reglas y autorización.
- 02Sin técnicas destructivasNada de denegación de servicio ni de destrucción de datos: la prueba mide la exposición sin convertirse en el incidente.
- 03Del perímetro a la nubePruebas externas, internas, de aplicaciones web y móviles y de entornos en la nube.
- 04Nueva prueba incluidaLa corrección se verifica, no solo se recomienda.
- 05Independiente de la operaciónLa hace alguien que no opera el entorno: la gestión continua de vulnerabilidades corresponde a n.secops.
Etapas del trabajo.
- 01Alcance, reglas y autorización formal
- 02Reconocimiento y pruebas
- 03Informe ejecutivo y técnico
- 04Nueva prueba de las correcciones
Qué está incluido.
Cómo trabajamos con lo que usted ya tiene.
La gestión continua de vulnerabilidades corresponde a n.secops; el pentest mide, en un momento dado, hasta dónde llegaría un atacante.
- 01Su equipoAprueba el alcance y la ventana y corrige los hallazgos; trustness. prueba, reporta y vuelve a probar.alcance y corrección
- 02Sus proveedoresLos entornos de terceros solo entran con la autorización de quien responde por ellos.autorización formal
- 03Operación de seguridadQuien monitorea el entorno recibe aviso según lo acordado.informada
| Actividad | trustness. | Su equipo | Terceros |
|---|---|---|---|
| Alcance y autorización | coordina | aprueba | — |
| Ejecución de las pruebas | ejecuta | — | — |
| Reporte ejecutivo y técnico | ejecuta | — | — |
| Corrección de los hallazgos | apoya | ejecuta | apoya |
| Nueva prueba | ejecuta | apoya | — |
Dos modelos, según el contrato.
- MODELO 01Prueba puntualUn alcance, una prueba, reporte y nueva prueba.
- MODELO 02Ciclo recurrentePruebas periódicas para seguir la exposición a lo largo del tiempo, según contrato.
Lo que suelen preguntarnos.
¿La prueba puede dejar fuera de servicio algún sistema?
No usamos técnicas destructivas ni de denegación de servicio. La ventana y los límites se acuerdan por escrito antes de la prueba.
¿Hacen ingeniería social?
Sí, cuando está prevista en el contrato y autorizada.
¿Cuál es la diferencia con la gestión de vulnerabilidades?
La gestión de vulnerabilidades, de n.secops, es continua. El pentest mide, en un momento dado, hasta dónde llegaría un atacante.
¿Qué recibimos?
Un reporte ejecutivo, un reporte técnico con la evidencia y la corrección de cada hallazgo, y la nueva prueba.
¿Y si encuentran algo crítico?
Avisamos de inmediato, sin esperar el reporte.
¿Quiere saber si Pruebas de intrusión se aplica a su escenario?
- conversación
- diagnóstico
- propuesta