Auditorías y pentesting
La seguridad, puesta a prueba.
Auditamos aplicaciones, APIs e infraestructura para identificar vulnerabilidades, validar su impacto y definir qué corregir primero.
Una evaluación centrada en tus activos.
Cada servicio responde a un objetivo concreto. Acordamos los sistemas, la profundidad de la revisión y las condiciones de ejecución.
Autenticación, permisos y lógica de negocio.
Caja negra, gris o revisión con información: la modalidad se acuerda según los objetivos.
- Autenticación, recuperación de cuentas y gestión de sesiones.
- Permisos horizontales y verticales; aislamiento entre clientes.
- Validación de entradas, exposición de datos y lógica de negocio.
El acceso adecuado para cada evaluación.
Caja negra
Perspectiva externa.
Observamos la superficie expuesta a partir de los activos autorizados y de la información pública disponible.
Caja gris
Accesos de prueba.
Usamos cuentas de prueba para revisar permisos, sesiones, separación entre clientes y flujos de negocio.
Revisión informada
Mayor contexto técnico.
Arquitectura, configuraciones o código cuando la revisión lo requiere. Acceso acotado, justificado y expresamente acordado.
Resultados claros. Acciones concretas.
Informes pensados para quienes tienen que decidir, corregir y verificar.
- OWASP
- WSTG
- CVSS
- CWE
Las referencias y versiones aplicables se definen en el alcance de cada servicio.
- 01
Informe ejecutivo
Objetivo, alcance, limitaciones, riesgos principales y prioridades para la dirección.
- 02
Informe técnico
Hallazgos con evidencia, pasos de reproducción, impacto, severidad y recomendaciones de corrección.
- 03
Retest y cierre
Cuando se contrata, verifica las correcciones informadas y registra los riesgos abiertos o aceptados.
Las reglas se definen antes de comenzar.
Autorización
Perímetro, titularidad, NDA cuando corresponda y reglas de ejecución aprobadas antes de probar.
Continuidad
Ventanas y técnicas compatibles con la operación. Las pruebas de disponibilidad se acuerdan como un alcance separado.
Evidencia mínima
Solo la información necesaria para demostrar el hallazgo. Acceso, transferencia y conservación definidos con el cliente.
Comunicación
Contacto operativo, mecanismo de alertas y tratamiento de hallazgos relevantes establecidos desde el inicio.
Definamos tu próxima evaluación.
Una aplicación por lanzar, un requisito de un cliente o una infraestructura que necesita revisión. Empecemos por el objetivo.