Encontramos las fallas de seguridad de tus sistemas antes de que lo haga alguien más.
Pruebas de intrusión autorizadas y por escrito sobre tus aplicaciones, servidores y redes. Simulamos lo que haría un atacante, lo documentamos con evidencia y te acompañamos a corregirlo. Revisamos tanto los sistemas que desarrollamos como los que ya tienes.
Los sistemas que desarrollamos y los que ya tienes, sean de otro proveedor o hechos en casa. Siempre con la autorización escrita de tu empresa y, si aplica, la de quien los aloja.
Aplicaciones web y APIs
Aplicaciones móviles Android e iOS
Servidores y servicios expuestos a internet
Redes internas y Wi-Fi de la empresa
Bases de datos y servidores de correo
Personas: phishing simulado, con acuerdo previo
Tres modalidades, según cuánto nos cuentas.
La diferencia entre caja negra, gris y blanca es la información con la que empezamos. Cuanta más información, más profunda es la revisión. Se pueden combinar: por ejemplo, una caja negra primero y una caja blanca de lo más crítico.
Caja negra
Punto de partida: Sin información previa: solo el nombre de la empresa o la dirección del sistema.
Es la visión de un atacante externo. Muestra qué puede descubrir y hasta dónde puede llegar alguien que no conoce nada de tu empresa.
Qué hacemos
Reconocimiento: dominios, subdominios, direcciones IP, correos y datos públicos de la empresa
Mapa de puertos, servicios y versiones expuestos a internet
Búsqueda de vulnerabilidades conocidas en lo que se encontró
Pruebas sobre las aplicaciones públicas: inicio de sesión, formularios, inyecciones, configuración
Explotación controlada de lo que se confirme, sin afectar la operación
Informe con la ruta que siguió el atacante y cómo cerrarla
Conviene: Para saber qué ve un atacante desde afuera y cuál es la primera puerta que intentaría abrir.
Caja gris
Punto de partida: Con un usuario de prueba por cada perfil del sistema y la documentación que ya tengas.
Es la visión de un cliente, un empleado o un proveedor con acceso. La mayoría de las fugas de datos empiezan con una cuenta legítima.
Qué hacemos
Pruebas con sesión iniciada en cada perfil: vendedor, bodeguero, administrador, cliente
Escalada de privilegios: qué puede hacer un usuario que no debería
Acceso a datos de otras cuentas o de otras empresas en sistemas compartidos
Fallas en la lógica del negocio: descuentos, saldos, secuenciales, aprobaciones
Revisión de las APIs que usan la web y la app móvil
Manejo de sesiones, contraseñas, recuperación de acceso y segundo factor
Conviene: Para sistemas con varios perfiles de usuario o que atienden a varias empresas desde una misma instalación.
Caja blanca
Punto de partida: Con acceso al código fuente, la arquitectura, la configuración de los servidores y los accesos que haga falta.
Es la revisión más completa. Encuentra fallas que desde afuera no se ven y las ubica en la línea de código o en el archivo de configuración donde están.
Qué hacemos
Revisión del código, automática y a mano, buscando las fallas más comunes y las propias del negocio
Revisión de librerías y dependencias con vulnerabilidades publicadas
Configuración de servidores, base de datos, HTTPS, respaldos y despliegue
Manejo de contraseñas, claves y certificados en el código y en los servidores
Cifrado de datos sensibles, registros de auditoría y control de acceso
Revisión de la arquitectura: qué se expone, qué se separa y qué se confía de más
Conviene: Antes de salir a producción, para sistemas que manejan datos sensibles o pagos, y cuando ya se corrigió lo que mostró una caja negra.
Red Team y Blue Team.
Una prueba de intrusión busca fallas en un sistema. Un ejercicio de Red Team persigue un objetivo como lo haría un atacante real. El Blue Team prepara a tus sistemas y a tu equipo para resistir y detectar ese ataque.
El equipo que ataca
Red Team
Simula un adversario real con un objetivo concreto acordado contigo: por ejemplo, llegar a los datos de tus clientes o emitir una factura a tu nombre. No se limita a una lista de vulnerabilidades: combina lo técnico, lo humano y lo que esté en el alcance para medir si tu empresa lo detecta y cómo responde.
Tareas generales
Definir con la gerencia los objetivos, el alcance y las reglas: qué sí, qué no, en qué horarios y a quién avisar
Reconocimiento de la empresa: sistemas, personas, proveedores y lo que se publica en internet
Campaña de phishing simulado y otras pruebas de ingeniería social, si están en el alcance
Explotación de las fallas que se encuentren y avance paso a paso hacia el objetivo
Registro de cada acción con fecha y hora, para compararlo con lo que tu equipo detectó
Informe con la línea de tiempo del ataque, lo que se logró y por dónde se pudo frenar
Qué obtienes: Sabes si un atacante con tiempo y motivación llegaría a lo que más te importa, y cuánto tardaría tu equipo en notarlo.
El equipo que defiende
Blue Team
Fortalece tus sistemas y a tu equipo para resistir y detectar ataques. Toma lo que encontró una prueba de intrusión o el Red Team y lo convierte en configuraciones, controles y hábitos que se mantienen en el tiempo.
Tareas generales
Endurecimiento de servidores Linux, bases de datos y servidores web: solo lo necesario, bien configurado
Revisión de la red y del firewall: qué está expuesto a internet y qué no debería
Actualizaciones y parches con un calendario y un responsable
Registros centralizados y alertas sobre accesos sospechosos, errores y cambios
Accesos: segundo factor, contraseñas, permisos mínimos y revisión de cuentas que ya no se usan
Respaldos probados: que existan, que se puedan restaurar y que estén fuera del servidor
Plan de respuesta a incidentes: qué hacer, quién lo hace y a quién se avisa
Capacitación corta al equipo para reconocer correos y llamadas de engaño
Qué obtienes: Un sistema más difícil de atacar, un equipo que sabe qué hacer cuando algo pasa y evidencia de que lo encontrado quedó corregido.
Purple Team. Cuando contratas los dos equipos a la vez, trabajan en conjunto: el rojo ataca, el azul observa qué detectó y qué no, y los controles se ajustan en el momento. A ese ejercicio se le llama Purple Team y es la forma más rápida de mejorar la detección.
Cómo trabajamos.
Cinco pasos, de la autorización al re-test. Nos apoyamos en guías públicas reconocidas: OWASP para aplicaciones web, móviles y APIs, PTES para la ejecución de la prueba y MITRE ATT&CK para describir lo que haría un atacante.
Paso 1
Alcance y autorización
Definimos qué sistemas entran, en qué horarios y con qué reglas. La empresa firma la autorización por escrito; sin ella no empezamos.
Paso 2
Reconocimiento y análisis
Levantamos la información según la modalidad elegida y buscamos las fallas con herramientas y a mano.
Paso 3
Explotación controlada
Confirmamos cada hallazgo con la evidencia mínima necesaria. Sin denegación de servicio ni cambios en tus datos.
Paso 4
Informe y presentación
Un informe para la gerencia y otro técnico, con cada hallazgo, su gravedad, cómo reproducirlo y cómo corregirlo.
Paso 5
Corrección y re-test
Acompañamos a tu equipo a corregir y volvemos a probar lo corregido dentro de [30] días, con constancia de cierre.
Probamos únicamente los sistemas que la empresa, por medio de quien la representa, autoriza por escrito. Nunca sistemas de terceros.
Dentro del alcance acordado
Si durante la prueba aparece algo fuera del alcance, te avisamos y esperamos tu decisión antes de seguir.
Sin dañar tu operación
No hacemos pruebas de denegación de servicio ni modificamos ni borramos datos. Preferimos un ambiente de pruebas; en producción, solo lo acordado y en la ventana acordada.
Evidencia mínima
Tomamos solo la evidencia necesaria para demostrar cada hallazgo. No descargamos bases de datos ni documentos de tus clientes.
Confidencialidad
Los hallazgos son tuyos y se entregan solo a quien designes. La evidencia se borra al cerrar el trabajo, en el plazo que fija la propuesta.
Aviso inmediato de lo grave
Si encontramos una falla crítica o indicios de que ya alguien entró, te avisamos ese mismo día, sin esperar al informe.
Qué recibes.
Informe ejecutivo
Dos o tres páginas para la gerencia: qué riesgo tiene la empresa, qué urge y qué puede esperar, sin jerga.
Informe técnico
Cada hallazgo con su gravedad, la evidencia, los pasos para reproducirlo y la recomendación concreta para corregirlo.
Plan de corrección priorizado
Qué arreglar primero, quién debería hacerlo y cuánto esfuerzo estimamos para cada punto.
Sesión de presentación
Revisamos los hallazgos con tu equipo técnico y respondemos las dudas antes de que empiecen a corregir.
Re-test con constancia
Volvemos a probar lo corregido y dejamos constancia de qué quedó cerrado y qué sigue abierto.
Acompañamiento en la corrección
Si lo prefieres, corregimos nosotros lo encontrado en los sistemas que desarrollamos, y guiamos a tu equipo en los demás.
Qué necesitamos de tu empresa
La autorización firmada por quien representa a la empresa, con la lista de sistemas, direcciones y dominios que entran en la prueba
Una persona de contacto técnico y un número de emergencia durante la ventana de pruebas
Los horarios en que podemos probar y los que no
Para caja gris: un usuario de prueba por cada perfil del sistema
Para caja blanca: acceso al código fuente y a la configuración de los servidores, o una sesión con quien los administra
Si el sistema está en un servidor compartido o de un proveedor, su autorización también
Cuánto cuesta.
Depende de cuántas aplicaciones, direcciones y redes entran, de la modalidad y de si incluye Red Team o Blue Team. Con el alcance definido, el precio es cerrado.
Prueba de seguridad
Presupuestocerrado por alcancesegún los sistemas y la modalidad
Caja negra, gris o blanca; Red Team o Blue Team
Informe ejecutivo y técnico con evidencia
Presentación de hallazgos a tu equipo
Re-test de lo corregido incluido
Para empresas que quieren saber, antes que un atacante, qué tan expuestos están sus sistemas: aplicaciones web, servidores y redes, propios o de un proveedor.
Solo con autorización escrita de tu empresa. Los hallazgos son confidenciales y tuyos.
Sí, cuando el dueño de los sistemas las autoriza por escrito y se hacen dentro del alcance acordado. Eso es lo que distingue al ethical hacking de un ataque. Por eso no empezamos sin la autorización firmada, y si tu sistema está en un servidor de un proveedor, pedimos también la suya.
¿Pueden afectar mi operación?
Está diseñado para que no. No hacemos pruebas de denegación de servicio, no modificamos ni borramos datos y probamos en los horarios que acordemos. Si tienes un ambiente de pruebas, lo usamos; en producción hacemos solo lo que esté acordado.
¿Qué diferencia hay entre caja negra, gris y blanca?
Cuánta información nos das al empezar. En caja negra, nada: vemos lo que ve un atacante externo. En caja gris, un usuario por perfil: vemos lo que podría hacer un cliente o un empleado. En caja blanca, el código y la configuración: es la revisión más profunda. Se pueden combinar, por ejemplo una caja negra primero y una caja blanca de lo más crítico.
¿Y entre una prueba de intrusión y un Red Team?
La prueba de intrusión busca la mayor cantidad de fallas en un sistema concreto y las documenta. El Red Team persigue un objetivo, como llegar a los datos de tus clientes, por el camino que sea, y mide además si tu equipo lo detecta. El Blue Team es el trabajo defensivo: configurar, vigilar y preparar al equipo.
¿Pueden revisar un sistema que no desarrollaron ustedes?
Sí. La mayoría de las pruebas se hacen sobre sistemas de otros proveedores o desarrollados internamente. Solo necesitamos la autorización de tu empresa y, si aplica, la del proveedor que lo aloja.
¿Qué pasa con lo que encuentran?
Es confidencial y es tuyo. El informe se entrega solo a quien designes, la evidencia es la mínima necesaria y se borra al cerrar el trabajo. Si encontramos algo crítico, te avisamos el mismo día.
¿Cada cuánto conviene hacerlo?
Al menos una vez al año y cada vez que cambie algo importante: un sistema nuevo, una migración de servidor o una integración con terceros. Después de corregir, el re-test confirma que lo encontrado quedó cerrado.
¿Cuánto cuesta?
Depende del alcance: cuántas aplicaciones, direcciones y redes entran, la modalidad y si incluye Red Team o Blue Team. Con esa información te damos un precio cerrado, más IVA, que incluye el informe, la presentación y el re-test.
¿Empezamos por saber qué ve un atacante?
Cuéntanos qué sistemas tienes expuestos y quién los usa. Te proponemos la modalidad y el alcance, y te enviamos el precio cerrado.