Pentesting y test de intrusión para empresas
Un test de intrusión responde a una pregunta muy concreta: si alguien quisiera entrar en su empresa, ¿hasta dónde llegaría? No en teoría, sino intentándolo de verdad, con permiso y con reglas acordadas de antemano.
Lo hacemos con equipo propio. No lo subcontratamos, que en este servicio es una diferencia importante: quien ejecuta la prueba es quien luego le explica los hallazgos y quien está disponible cuando su gente pregunte cómo se arregla cada cosa.
Externo e interno: dos preguntas distintas
El test externo parte de fuera, como lo haría cualquiera desde internet, y busca lo que tiene expuesto sin saberlo: servicios abiertos, paneles de administración accesibles, credenciales filtradas que siguen sirviendo, versiones sin parchear.
El test interno arranca dentro, suponiendo que alguien ya ha conseguido un portátil o una cuenta de un empleado. Es el escenario realista hoy: casi nadie tumba la puerta, entran con una contraseña robada. Lo que mide es cuánto puede moverse un atacante desde ese punto y cuánto tarda en llegar al servidor de archivos o al controlador de dominio.
La mayoría de las empresas aguanta razonablemente el externo y se lleva la sorpresa en el interno.
Cómo lo planteamos
Se acuerda antes por escrito el alcance, las fechas y qué está fuera de límites. Nada de sorpresas: si un sistema no puede tocarse en horario de producción, no se toca.
Según lo que necesite saber, se parte de más o menos información: sin datos previos, para simular a un atacante externo; con credenciales de usuario normal, para medir el escenario de la cuenta comprometida; o con acceso y documentación completos, cuando lo que interesa es la revisión más exhaustiva y no el realismo del ataque.
Qué recibe
Dos documentos, porque tienen dos lectores distintos:
- Informe ejecutivo. Qué se consiguió, qué riesgo supone para el negocio y qué hay que decidir. Sin tecnicismos, para dirección.
- Informe técnico. Cada hallazgo con su prueba de concepto, su clasificación de riesgo y cómo se corrige, para quien vaya a arreglarlo.
Y una reunión para explicarlo, que es donde el informe deja de ser un PDF y se convierte en un plan.
Un escáner automático no es un pentesting
Conviene decirlo porque en el mercado se vende lo uno como lo otro. Una herramienta automática encuentra vulnerabilidades conocidas y produce un listado largo, con bastantes falsos positivos y sin criterio sobre cuáles importan en su caso.
Un test de intrusión usa esas herramientas como punto de partida y luego encadena: coge un fallo menor, lo combina con una configuración descuidada y con una contraseña reutilizada, y demuestra que juntos permiten llegar donde ninguno de los tres por separado. Eso no lo hace una máquina sola, y es precisamente el recorrido que sigue un atacante real.
Preguntas frecuentes
¿Puede romper algo?
El riesgo existe y por eso se acota antes. Las pruebas que pueden afectar a la disponibilidad se acuerdan expresamente o se dejan fuera. En entornos delicados se trabaja en ventana pactada y con alguien de su parte localizable.
¿Con qué frecuencia conviene repetirlo?
Una vez al año como norma, y siempre después de un cambio grande: una migración, una aplicación nueva expuesta a internet o un cambio de proveedor. La infraestructura cambia y un informe de hace dos años describe una empresa que ya no existe.
¿Incluye volver a comprobarlo después?
Sí. Cuando haya corregido los hallazgos, se repasan para confirmar que están efectivamente cerrados. Un informe sin verificación posterior deja la duda de si el arreglo funcionó.
¿Antes no hace falta una auditoría?
Casi siempre sí. Si nunca ha revisado permisos, parches ni copias, sale más a cuenta empezar por una auditoría de seguridad: es más barata y va a encontrar lo evidente sin necesidad de que nadie ataque nada.
Hablemos de alcance
Dígannos qué quiere poner a prueba y por qué —una licitación que lo exige, una aplicación nueva, o simplemente saber dónde está— y le proponemos un alcance con su precio cerrado. Llámenos al 911 599 883 o escríbanos desde el formulario de contacto.
Forma parte de nuestra ciberseguridad gestionada.