Ciberseguridad · Seguridad ofensiva
Seguridad ofensiva. Encuéntrelo antes que ellos.
A un atacante le basta una sola puerta de entrada. Nosotros la buscamos primero, tal como lo haría él, en sus aplicaciones, redes, nube, personas e instalaciones.
Obtiene una visión clara de qué es explotable, cuánto le costaría y qué corregir primero, y volvemos a probar una vez hecha la corrección.
Qué incluye. Acotado a lo que necesita.
Pruebas de penetración
Aplicaciones web, APIs, redes internas y externas, y entornos de nube en Azure, AWS y GCP.
Pruebas de aplicaciones móviles
Pruebas en profundidad de apps iOS y Android y de los back-ends que las sostienen.
Operaciones de red team
Simulación de adversarios de alcance completo, que pone a prueba a la vez a sus personas, procesos y tecnología.
Emulación de adversarios
Validación continua frente a las tácticas y técnicas de actores de amenaza conocidos.
Ingeniería social
Campañas de phishing, vishing, suplantación de identidad y pretexting que miden cómo responden sus personas.
Pruebas físicas
Controles de acceso, clonación de tarjetas y tailgating en sus instalaciones, bajo reglas acordadas.
Mapeo de la superficie de ataque
Detección de activos olvidados, no gestionados y expuestos, antes de que los atacantes los encuentren.
Gestión de bug bounty
Clasificación y gestión de los hallazgos reportados por investigadores de seguridad externos.
Qué recibe. Tres reportes y un cierre formal.
Cada hallazgo viene con contexto de negocio, para que el directorio, los auditores y los ingenieros obtengan del mismo servicio lo que cada uno necesita.
Reporte ejecutivo
El riesgo en términos simples, con la mirada financiera y de seguros, para la gerencia y el directorio.
Reporte técnico
Cada hallazgo con puntaje CVSS, evidencia, ruta de ataque y corrección, para sus ingenieros.
Hoja de ruta de remediación
Qué corregir y cuándo, en etapas de 0–30, 30–90 y 90+ días.
Nueva prueba y certificado
Volvemos a probar sus correcciones, validamos el cierre y emitimos un certificado de término.
Cómo funciona
- Duración
- Desde unos pocos días para una prueba focalizada hasta varias semanas para un red team, según se confirme en su propuesta.
- Equipo
- Especialistas en seguridad ofensiva, liderados por un jefe de proyecto senior que es su único punto de contacto.
- De su parte
- Un contacto designado, el alcance y las reglas de intervención acordados, y cuentas de prueba o accesos cuando se requieran.
- Durante la prueba
- Actualizaciones diarias. Los hallazgos críticos se informan en cuanto los encontramos, no al final.
Metodología
- OWASP
- PTES
- MITRE ATT&CK
- NIST SP 800-115
- CVSS
Preguntas frecuentes
¿Las pruebas afectarán nuestros sistemas?
Las pruebas se planifican con su equipo y se acuerdan en las reglas de intervención. Las pruebas riesgosas se programan en ventanas de mantención, y nos detenemos de inmediato si algo se comporta de forma inesperada.
¿Cuál es la diferencia entre una prueba de penetración y un red team?
Una prueba de penetración busca la mayor cantidad posible de debilidades dentro de un alcance definido. Un red team persigue un objetivo, como llegar a sus sistemas de pago, y en el camino pone a prueba qué tan bien detecta y responde su organización.
¿Con qué frecuencia deberíamos hacer pruebas?
Al menos una vez al año y después de cambios importantes, como una nueva aplicación, una migración a la nube o una adquisición. Normativas como NIS2 y PCI DSS fijan sus propias exigencias.
¿Vuelven a probar después de que corregimos los hallazgos?
Sí. La nueva prueba es parte del servicio y se cierra con un certificado de término una vez validadas las correcciones.
¿Pueden probar entornos de nube y SaaS?
Sí, incluidos Azure, AWS y GCP, dentro de las reglas de prueba que publica cada proveedor.
Hable con un especialista
Definamos el alcance de su proyecto.
Cuéntenos qué quiere probar. Su cotización llega dentro de 24 horas desde la primera conversación.