Pruebas de penetración
Una prueba de penetración responde a una pregunta: ¿qué podría hacerle hoy un atacante? Lo averiguamos con las herramientas y técnicas que usan los atacantes, dentro de los límites que usted aprueba por escrito.
Para quién es
Organizaciones que necesitan conocer su exposición real: antes de un lanzamiento, tras un cambio importante, para una auditoría o un requisito de un cliente, o como revisión anual.
Qué hacemos
- Prueba de red externa
- Todo lo que es accesible desde internet: sitios web, servidores de correo, pasarelas VPN, acceso remoto y servicios en la nube.
- Prueba de red interna
- Empezamos dentro de su red, como lo haría un portátil comprometido o un usuario interno malintencionado, y vemos hasta dónde podemos acercarnos a sus sistemas críticos.
- Prueba de aplicaciones web
- Inicio de sesión, sesiones, control de acceso y tratamiento de entradas en sus aplicaciones web y API, según la OWASP Web Security Testing Guide.
- Prueba de aplicaciones móviles
- Aplicaciones iOS y Android y las API que las sustentan, según las directrices OWASP Mobile Application Security.
- Ingeniería social
- Campañas de phishing, llamadas con pretexto e intentos de acceso físico muestran cómo responden su personal y sus procesos ante la manipulación.
- Prueba de teletrabajo
- La seguridad de los puestos de teletrabajo: VPN, configuración de los portátiles, herramientas de colaboración y proveedores de identidad.
- Pruebas de seguridad continuas
- En lugar de una prueba al año, probamos su superficie de ataque externa de forma periódica y le informamos de los nuevos problemas en cuanto aparecen.
Cómo se desarrolla una prueba
Alcance
Acordamos por escrito los objetivos, las reglas y los plazos. No se prueba nada sin su aprobación.
Reconocimiento
Trazamos un mapa de lo que puede ver un atacante: dominios, servicios expuestos, tecnologías y personas.
Explotación
Intentamos entrar con las técnicas que usan los atacantes reales y nos detenemos en los límites acordados.
Informe
Cada hallazgo incluye su riesgo, las evidencias y una corrección concreta, además de un resumen para la dirección.
Verificación
Cuando haya corregido los problemas, volvemos a probar y confirmamos que están resueltos.
Qué recibe
- Un resumen ejecutivo en lenguaje claro
- Un informe técnico: cada hallazgo con su riesgo, sus evidencias y una corrección concreta
- Una reunión con su equipo para repasar los resultados
- Un informe de verificación que confirma qué problemas están resueltos
Preguntas
¿La prueba afectará a nuestros sistemas?
Acordamos de antemano las ventanas de prueba y los límites, y evitamos las técnicas que podrían causar interrupciones salvo que usted las apruebe. Puede detener una prueba en cualquier momento.
¿Cuánto dura una prueba?
Depende del alcance. Una sola aplicación web suele llevar unos días; una red interna completa, más. La propuesta incluye un calendario cerrado.
¿Caja negra, caja gris o caja blanca?
Hacemos las tres. La caja gris, en la que recibimos una cuenta de usuario normal y documentación básica, suele ser la que más encuentra en el tiempo disponible.
Herramientas de seguridad gratuitas
-
Escáner de cabeceras HTTP
Califique cabeceras de seguridad, cookies y certificado TLS de una web, con la solución a cada hallazgo.
Nuestro servidor consulta la página -
Decodificador JWT
Decodifique un JSON Web Token y busque errores de seguridad habituales, sin que salga de su navegador.
Funciona en su navegador -
Calculadora CVSS 3.1
Puntúe una vulnerabilidad con las métricas base de CVSS 3.1 y obtenga un vector para compartir.
Funciona en su navegador
Cuéntenos qué necesita proteger
Describa su entorno y lo que quiere conseguir. Le responderemos por correo electrónico.
Contacte con nosotrosAngelForce OÜ · Tallinn, Estonia