Pruebas de penetración
Explotación controlada de sus sistemas para encontrar lo que un atacante encontraría — con evidencia reproducible y una ruta de corrección priorizada.
- Para quién es
- Organizaciones que necesitan validar defensas antes de una auditoría, un lanzamiento o una certificación, y equipos que ya corrieron un escáner y necesitan saber qué de todo eso es realmente explotable.
- Duración típica
- 2 a 4 semanas según alcance
- Marcos de referencia
- PTESOWASP WSTGOWASP MASVSNIST SP 800-115
Un escáner de vulnerabilidades le entrega una lista. Una prueba de penetración le entrega una respuesta: qué de esa lista permite realmente que alguien entre, hasta dónde llega, y qué se lleva.
Qué probamos
Ajustamos el alcance a su operación, pero los compromisos suelen cubrir:
- Perímetro externo — todo lo que su organización expone a internet, incluido lo que nadie recuerda haber publicado.
- Redes internas — el escenario de “ya entraron”: qué logra un atacante con una posición inicial dentro de su red.
- Aplicaciones web y APIs — lógica de negocio, autenticación, autorización y manejo de sesión, más allá del OWASP Top 10 mecánico.
- Aplicaciones móviles — almacenamiento local, comunicación con el backend, controles del lado del cliente.
- Directorio Activo — rutas de escalamiento hacia administrador de dominio, que en la mayoría de las redes existen y son más cortas de lo que se cree.
- Nube — configuraciones de IAM, exposición de almacenamiento, segmentación entre cuentas.
Lo que no hacemos
No entregamos un reporte de escáner con nuestro logotipo encima. No inflamos severidades para que el informe se vea más impresionante. Y no reportamos un hallazgo “crítico” que no pudimos demostrar — si no lo explotamos, se documenta como lo que es: una observación que amerita revisión.
Modalidades
Trabajamos en las tres modalidades según lo que usted necesite validar:
| Modalidad | Qué recibe el equipo | Cuándo tiene sentido |
|---|---|---|
| Caja negra | Sin información previa | Simular a un atacante externo sin acceso |
| Caja gris | Credenciales de usuario estándar | El escenario más realista y el de mejor cobertura por colón invertido |
| Caja blanca | Código fuente, arquitectura, credenciales | Máxima cobertura; ideal antes de un lanzamiento crítico |
Para la mayoría de las organizaciones, la caja gris entrega el mejor resultado: refleja el escenario más común — un atacante que ya obtuvo credenciales de un usuario cualquiera — y evita gastar la mitad del tiempo del compromiso en reconocimiento.
Cómo lo ejecutamos
- 01
Alcance y reglas de enfrentamiento
Definimos por escrito qué sistemas entran, cuáles quedan fuera, ventanas de prueba, y qué hacemos si encontramos evidencia de un compromiso previo. Usted aprueba antes de que toquemos nada.
- 02
Reconocimiento y mapeo
Inventariamos la superficie real de ataque — que casi nunca coincide con el inventario documentado. Servicios expuestos, subdominios olvidados, credenciales filtradas en repositorios públicos.
- 03
Explotación controlada
Confirmamos cada vulnerabilidad explotándola en un entorno acordado. Si no lo pudimos demostrar, no lo reportamos como crítico.
- 04
Post-explotación y encadenamiento
Un hallazgo medio aislado y tres hallazgos medios encadenados no son lo mismo. Documentamos hasta dónde llega realmente el acceso.
- 05
Informe y reprueba
Entregamos, presentamos, y volvemos a probar cuando usted corrija. Un hallazgo se cierra cuando lo confirmamos nosotros.
Qué recibe
- Informe técnico con cada hallazgo, sus pasos de reproducción y evidencia
- Resumen ejecutivo sin jerga, orientado a decisión de presupuesto
- Matriz de riesgo priorizada por explotabilidad e impacto al negocio, no por puntaje automático
- Sesión de presentación de resultados con su equipo técnico
- Reprueba de los hallazgos corregidos, incluida en el precio