Severidad altaH-07
Ejemplo
Un cliente puede ver los pedidos de otro
Cambiar el número de pedido en la dirección muestra datos ajenos.
- Evidencia
- 3 capturas · 2 solicitudes
- CVSS
- 7.5
Servicio · Seguridad
Pruebas de penetración autorizadas
Intentamos entrar a su sistema como lo haría un atacante, con su autorización por escrito y en los horarios que pactemos. De cada falla que logramos explotar le entregamos la evidencia y la forma de corregirla.
El alcance, las fechas y los responsables se firman antes de la primera prueba.
Para quién es
Cuándo conviene una prueba de penetración
Va a lanzar un sistema
Antes de abrirlo a sus clientes, para no enterarse de una falla por un incidente.
Se lo pide un cliente o un auditor
Bancos y aseguradoras suelen pedir a sus proveedores pruebas hechas por un tercero.
Maneja datos personales o pagos
La ley de datos personales le exige medidas de seguridad; una prueba demuestra si funcionan.
Cambió algo importante
Una integración nueva o una migración a la nube cambian lo que su sistema expone a internet.
Qué probamos
Aplicaciones, API y servidores
Elegimos juntos el alcance; se puede empezar por lo más expuesto.
- Aplicaciones web y portales de clientes
- API y servicios de aplicaciones móviles
- Inicio de sesión y permisos entre usuarios
- Servidores, DNS, certificados y correo expuestos a internet
- Configuración de servicios en la nube
- Caja negraSin información previa, como un atacante externo.
- Caja grisCon un usuario de prueba, como un cliente malintencionado.
- Caja blancaCon acceso al código y a la arquitectura. Es la más completa.
Cómo trabajamos
Con las guías de OWASP, PTES y NIST
En concreto, la Web Security Testing Guide y el Top 10 de OWASP, PTES y NIST SP 800-115.
- 01
Alcance y autorización
Definimos qué se prueba, en qué fechas y quién responde de cada lado. Firmamos la carta de autorización y el acuerdo de confidencialidad.
- 02
Reconocimiento
Inventariamos lo que tiene expuesto, como lo vería alguien de fuera.
- 03
Pruebas controladas
Buscamos y explotamos vulnerabilidades dentro de los horarios y límites pactados. Si aparece algo crítico, se lo decimos el mismo día.
- 04
Informe
Informe ejecutivo para dirección e informe técnico con la evidencia, la severidad y la corrección de cada hallazgo.
- 05
Verificación
Cuando corrige, volvemos a probar y lo dejamos por escrito.
Qué recibe
Cada hallazgo con evidencia reproducible
Un informe para dirección y otro para su equipo técnico.
Informe ejecutivo
El riesgo en términos de su negocio, sin jerga, para quien decide.
Informe técnico
Cada hallazgo con evidencia reproducible, severidad (CVSS) y la corrección recomendada.
Plan de corrección
Ordenado por riesgo: qué arreglar primero y qué puede esperar.
Sesión de revisión
Repasamos los hallazgos con su equipo o con su proveedor.
Constancia de verificación
Tras sus correcciones, la nueva prueba que confirma que quedaron cerradas.
Por qué empezamos con una firma
Primero, la carta de autorización
En México, acceder sin autorización a un sistema informático es delito (Código Penal Federal, artículos 211 bis 1 a 211 bis 7). La carta de autorización, firmada por quien tiene facultades para darla, es lo que hace legal una prueba de penetración. Por eso es siempre el primer paso, y por eso no probamos sistemas de terceros sin la firma de su responsable.
Preguntas
Sobre las pruebas de penetración
Si tiene otra pregunta, escríbanos.
¿Puede afectar la operación de mi sistema?
Pactamos horarios y límites antes de empezar. Las pruebas que podrían degradar el servicio solo se hacen con su autorización expresa, y si algo se comporta de forma inesperada, paramos y le avisamos.
¿En qué se diferencia de un escaneo automático?
Un escáner encuentra vulnerabilidades conocidas. En una prueba de penetración usamos herramientas y trabajo manual para encadenar fallas y comprobar hasta dónde llegaría un atacante.
¿Cuánto tarda?
Entre dos y cuatro semanas en total, según la superficie. Le damos fecha de entrega antes de empezar.
¿Qué necesito darles?
Un responsable de su lado y el alcance: dominios, aplicaciones o servidores. Según la modalidad, también usuarios de prueba o acceso al código.
¿Quién ve los resultados?
Solo las personas que usted designe. Firmamos un acuerdo de confidencialidad junto con la carta de autorización.
Contacto
Cuéntenos qué tiene expuesto
Dominios, aplicaciones o servidores. Con eso le proponemos un alcance.