El pentest, también llamado prueba de penetración, te brinda una evaluación de seguridad simulando ataques en tu infraestructura interna y externa. Su propósito es verificar y mejorar tu estado de seguridad, permitiéndote reducir el riesgo de ciberataques al identificar y mitigar vulnerabilidades antes de que puedan ser explotadas de manera maliciosa. Estas vulnerabilidades pueden surgir por configuraciones incorrectas, códigos inseguros, arquitecturas deficientes o divulgación de información sensible, entre otras razones. El resultado es un informe detallado que explica cada vulnerabilidad, los pasos para explotarlas y los detalles de cómo solucionarlas y otras recomendaciones.
La Fuerza Internacional de
Asistencia para la Seguridad
Estándar de ejecución de
pruebas de penetración
El Instituto Nacional de
Estándares y Tecnología
Las Tácticas, Técnicas y
Conocimiento Común Adversarial
Proyecto abierto de seguridad
de aplicaciones web
Manual de metodología de pruebas
de seguridad de código abierto
Fases
Reconocimiento
y recopilación
de inteligencia
Escaneo y numeración
Explotación
Generación
de reporte
Enfoques de pruebas:
Whitebox
Blackbox
Graybox
Whitebox
• Acceso completo a la infraestructura de la organización, la red y el código fuente de aplicaciones.
• Requiere un alto conocimiento del lenguaje de programación.
• El equipo de desarrollo interno de la organización puede realizar las pruebas de caja blanca.
• Tarda un par de meses en completarse.
• Realiza pruebas exhaustivas de todos los activos: externos, internos y de código.
Tipos de pruebas
Penetración de red.
Red Interna: Simula un ataque en el que un atacante ya está dentro de la red. La prueba de penetración en la red interna se centra en elevar los privilegios (por ejemplo, obtener una cuenta de administrador) y obtener todo el mayor control posible.
Red Externa: Simula un atacante externo que intenta penetrar en su infraestructura de cara al público. Cada organización tiene servidores, equipos de red, accesos remotos y muchos otros puntos que están expuestos a la vista de todo el mundo.
Penetración en infraestructura en la nube.
Penetración en dispositivos móviles.
Penetración web.
Penetración para cumplimiento normativo y/o certificación.
Penetración especializadas.
Informe de resultados
y entregables
El informe de evaluación de la seguridad es una parte vital de la operación, ya que sirve para solucionar cualquier vulnerabilidad encontrada. Nuestros entregables contienen un reporte ejecutivo, de alto nivel, resumen no técnico de la evaluación con el impacto en el negocio, impacto empresarial asociado a las vulnerabilidades encontradas. Reporte general de pruebas con el alcance, metodología y vulnerabilidades, además se anexan los comentarios de los especialistas en seguridad, la puntuación de riesgo de seguridad y recomendaciones para la corrección. Cada prueba de penetración cuenta con los siguientes entregables:
Presentación de KickOff.
Reporte general de resultados con recomendaciones puntuales.
Anexos técnicos explotación de vulnerabilidades.
Reporte ejecutivo.
Plan de acción.
Presentación ejecutiva de resultados.
