Ponemos a prueba tu seguridad igual que lo haría un atacante real, en un entorno autorizado y controlado, y te decimos qué se puede romper, con qué impacto para tu negocio y en qué orden hay que arreglarlo.
Un análisis de vulnerabilidades dice qué está desactualizado. Un test de intrusión demuestra qué se puede explotar de verdad y hasta dónde llegaría un atacante. Nuestro equipo ejecuta las pruebas, interpreta los resultados y descarta los falsos positivos: no recibes un listado automático de cientos de líneas sin priorizar.
Perimetral externo y aplicaciones web. Todo lo que se ve desde internet: direcciones públicas, cortafuegos, acceso remoto, correo, portales y aplicaciones. Probamos autenticación, gestión de sesiones, control de acceso, inyecciones y lógica de negocio.
Interno. Desde dentro de la red: directorio activo, servidores, segmentación, políticas de contraseñas, permisos, movimiento lateral y escalada de privilegios. Simulamos a un usuario con acceso o a un puesto ya comprometido.
Análisis de vulnerabilidades recurrente. Revisión periódica del parque con validación humana e informe de evolución, para mantener el control entre una prueba y la siguiente.
Ingeniería social dirigida. Campañas de phishing a medida para medir si un atacante conseguiría credenciales o ejecución en tus equipos.
Metodología reconocida. Trabajamos con OWASP para aplicaciones web y con PTES y OSSTMM para infraestructura. Cada hallazgo se puntúa con CVSS y se referencia a las técnicas de MITRE ATT&CK, de forma que el informe sirve ante cualquier auditor o cliente que te lo exija.
Qué recibes. Un informe ejecutivo en lenguaje de negocio para la dirección, un informe técnico con las evidencias y los pasos para reproducir cada hallazgo, un plan de corrección priorizado por riesgo y esfuerzo, y una sesión de presentación con tu equipo.
Retest incluido. Semanas después volvemos a probar lo corregido y emitimos el acta de verificación. Es lo que convierte el informe en seguridad real y no en un documento archivado.
Cómo dimensionamos el alcance. Cada prueba se diseña contigo, porque no es lo mismo una red pequeña que una con varias sedes, ni dos servidores en la nube que ochenta. Partimos de tus direcciones públicas y aplicaciones, tu red interna y tus sedes, tus servidores y servicios en la nube, el número de usuarios y el tipo de prueba, de caja negra, gris o blanca. Siempre con autorización por escrito y una ventana de ejecución pactada, para no afectar a tu actividad.
Pruebas periódicas y cumplimiento. El Esquema Nacional de Seguridad y la norma ISO/IEC 27001 exigen pruebas de seguridad y gestión de vulnerabilidades técnicas de forma periódica. Nuestros informes están preparados para presentarse como evidencia en esas auditorías.
Cómo se desarrolla un test de intrusión
Todo test de intrusión empieza por el papel, no por la herramienta. Antes de lanzar nada se firma una autorización escrita donde quedan fijados el alcance, las direcciones y los dominios incluidos, los sistemas expresamente excluidos, la ventana de ejecución y un contacto de emergencia al que llamar si algo se comporta de forma inesperada. Sin esa autorización no se toca nada.
Con el alcance cerrado viene el reconocimiento: qué está expuesto, qué versiones corren, qué servicios responden y qué información de la organización es accesible desde fuera. Después se analizan las vulnerabilidades encontradas y se explotan solo aquellas cuya explotación es segura dentro de la ventana acordada, para distinguir lo que un atacante podría aprovechar de verdad de lo que únicamente figura como desactualizado.
El resultado se entrega en dos piezas: un informe ejecutivo que la dirección puede leer sin conocimientos técnicos y un informe técnico con las evidencias, los pasos para reproducir cada hallazgo y la corrección concreta. Cada hallazgo lleva su valoración de criticidad y su prioridad, de modo que el equipo sepa por dónde empezar el lunes siguiente.
Unas semanas después repetimos las pruebas sobre los puntos corregidos y emitimos un acta de retest. Ese documento es el que sirve como evidencia ante una auditoría del Esquema Nacional de Seguridad o de la norma ISO/IEC 27001, y el que permite demostrar que el riesgo no solo se detectó, sino que se cerró.
En nuestros casos de cliente puedes ver un test de intrusión hecho dentro de un proyecto de ENS, antes de la auditoría y no después.
