Atacamos tus sistemas antes de que lo haga otro. Con tu permiso.
Para quién
Para empresas y administraciones con sistemas expuestos a internet: una web, un portal, una API o un acceso remoto. Y para quien tiene que demostrar, cada cierto tiempo, que alguien ha intentado entrar y qué encontró.
El problema
Tu web lleva años en internet y nadie ha intentado entrar a propósito. O se hizo una prueba una vez, hace varios rediseños. Un cliente te pide el último informe de pruebas de intrusión y no tienes ninguno reciente. Y te preocupa que la propia prueba tumbe algo.
Cómo lo resolvemos
Pactamos por escrito qué se ataca, cuándo y hasta dónde. Después intentamos entrar como lo haría alguien de fuera. Lo que conseguimos lo documentamos con su prueba y con cómo cerrarlo. Y lo repetimos de forma periódica, porque tus sistemas cambian.
Qué incluye
Alcance pactado
Qué sistemas, qué técnicas y qué queda fuera, por escrito.
Autorización firmada
De quien puede darla. Sin ella no empezamos.
Ventanas acordadas
Cuándo se prueba y a quién se avisa si algo se comporta raro.
Pruebas desde fuera y con usuario
Sin credenciales, y también con las de un usuario normal, para ver qué puede hacer de más.
Informe con pruebas
Cada hallazgo con cómo se reproduce, qué permite y cómo se corrige.
Repetición
Volvemos a probar lo corregido y repetimos la prueba con la frecuencia acordada.
Cómo trabajamos
Primero, el alcance y la autorización. Sin las dos cosas por escrito no se lanza nada. Probamos en las ventanas pactadas y, si encontramos algo grave, te avisamos en el momento, sin esperar al informe. Al terminar recibes el informe con lo confirmado, lo pendiente de validar y la corrección mínima. Cuando lo hayas corregido, lo volvemos a probar.
Qué medimos
Hallazgos por gravedad, hallazgos corregidos y comprobados en la repetición, hallazgos que siguen abiertos desde la prueba anterior y fecha de la última prueba.
Cómo está hecho
La prueba sigue un orden: reconocimiento de lo que hay expuesto (dominios, servicios y versiones), búsqueda de fallos y explotación controlada de los que aparecen, solo hasta demostrar el impacto. No borramos ni modificamos datos, y no hacemos pruebas de denegación de servicio salvo que se pacten.
Miramos la configuración del cifrado TLS y de las cabeceras de seguridad, la autenticación y las sesiones, los permisos entre usuarios, las entradas de los formularios y de las API y la subida de ficheros. Usamos como referencia las categorías del OWASP Top 10. Si el sistema está detrás de un cortafuegos de aplicaciones, como el de Cloudflare, probamos también qué deja pasar.
Cada hallazgo se comprueba dos veces antes de llegar al informe, igual que en la auditoría de código: un agente lo propone y otro distinto intenta refutarlo. Las credenciales de prueba se guardan en un gestor de secretos y se revocan al terminar.
Lo que probamos fuera lo aplicamos dentro: trabajamos con los controles del Esquema Nacional de Seguridad, en proceso de auditoría.
Preguntas frecuentes
¿Puede la prueba tumbar mi web?
Las pruebas se hacen para demostrar el fallo, no para causar daño. No hacemos pruebas de denegación de servicio salvo que se pacten, y las ventanas se acuerdan contigo. Si lo prefieres, probamos primero en preproducción.
¿Por qué hace falta una autorización por escrito?
Porque atacar un sistema sin permiso de su dueño es un delito. La autorización dice quién lo permite, qué se puede probar y cuándo.
¿Cada cuánto conviene repetirla?
Depende de cuánto cambien tus sistemas y de lo que te pidan tus clientes. La frecuencia se acuerda al empezar y queda en el alcance.
¿Qué pasa si encontráis algo grave?
Te avisamos en el momento, sin esperar al informe, con lo necesario para cerrarlo.
También en Seguridad
Auditoría de seguridad
De tu código y de tus aplicaciones, con cada hallazgo comprobado dos veces.
Accesos y secretos
Quién entra dónde, y ninguna contraseña fuera de su gestor.
El siguiente paso
Cuéntanos cómo trabaja hoy tu empresa y te decimos por dónde empezar.