Pentest externo
Análisis de los servicios expuestos a Internet: webs, correo, VPN, accesos remotos y cualquier superficie visible para un atacante.
01 · Seguridad ofensiva
Comprobar tu seguridad antes de que lo haga otro
Las medidas de seguridad solo demuestran su eficacia cuando se ponen a prueba. Simulamos, de forma controlada y autorizada, lo que haría un atacante real para identificar vulnerabilidades y ayudarte a corregirlas por orden de riesgo.
OWASP
las guías de referencia internacional con las que probamos aplicaciones web y API.
CVSS
la escala estándar de 0 a 10 con la que puntuamos la gravedad de cada hallazgo.
1 al año
como mínimo, y siempre tras cambios relevantes en tus sistemas o aplicaciones.
Retest
volvemos a probar los hallazgos corregidos para confirmar que la puerta está cerrada.
Qué auditamos
Tipos de auditoría técnica
Definimos el alcance contigo según tus activos críticos, tu exposición y tus obligaciones normativas.
Pentest interno
Qué podría hacer un atacante que ya está dentro de la red, o un empleado malintencionado: movimiento lateral, escalada de privilegios, directorio activo.
Aplicaciones web y API
Pruebas basadas en las guías de OWASP para detectar fallos de autenticación, control de acceso, inyección, lógica de negocio y exposición de datos.
Redes inalámbricas
Robustez de las redes wifi corporativas y de invitados, segmentación y puntos de acceso no autorizados.
Revisión de configuración
Bastionado de servidores, puestos de trabajo, servicios cloud y dispositivos de red frente a buenas prácticas y guías de referencia.
Ingeniería social
Campañas controladas de phishing y otras pruebas para medir y mejorar la respuesta de las personas.
Cómo piensa un atacante
Fallos menores, compromiso total
Rara vez hay una única puerta abierta. Un pentest muestra cómo se encadenan fallos que, por separado, parecen poco importantes.
Ruta de ataque · pentest externo + interno
Caso ilustrativo con datos ficticios
- RECON
Un subdominio olvidado publica un portal de acceso remoto antiguo.
- ACCESO
El portal conserva un usuario de pruebas con la contraseña por defecto.
- MOV
La contraseña de administrador local es la misma en todos los equipos.
- PRIV
Una cuenta de servicio del directorio activo tiene una contraseña débil que se descifra en minutos.
- DOMINIO
Con esa cuenta se obtiene el control total del dominio.
- DATOS
Acceso a la base de datos de clientes. Ninguna alerta saltó durante el proceso.
Entregables
Así es un informe de auditoría
Cada hallazgo, con su gravedad, su impacto real y cómo corregirlo. Filtra por gravedad y abre cada uno para ver el detalle.
CríticaCVSS 9.8H-01Portal VPN con una vulnerabilidad conocida sin parchear
Impacto: Acceso a la red interna desde Internet sin necesidad de credenciales.
Corrección: Actualizar el portal a la versión corregida y revisar los accesos registrados desde la publicación de la vulnerabilidad.
AltaCVSS 8.1H-02Contraseña de administrador local compartida entre equipos
Impacto: Comprometer un equipo permite acceder a todos los demás.
Corrección: Contraseñas únicas y rotadas para el administrador local en cada equipo, gestionadas de forma centralizada.
AltaCVSS 7.5H-03Inyección SQL en el buscador de la web corporativa
Impacto: Lectura de la base de datos de la web, incluidos los usuarios registrados.
Corrección: Consultas parametrizadas, validación de entradas y revisión del resto de formularios.
MediaCVSS 6.5H-04La API permite consultar pedidos de otros usuarios
Impacto: Exposición de datos personales de clientes cambiando un identificador en la petición.
Corrección: Comprobar en el servidor que cada recurso solicitado pertenece al usuario autenticado.
MediaCVSS 5.3H-05Wifi de invitados sin aislar de la red interna
Impacto: Cualquier visitante puede ver y atacar equipos corporativos.
Corrección: Segmentar la red de invitados y bloquear su tráfico hacia la red interna.
BajaCVSS 3.1H-06Cabeceras de seguridad HTTP ausentes
Impacto: Facilita otros ataques contra los usuarios de la web.
Corrección: Añadir HSTS, Content-Security-Policy y X-Content-Type-Options en el servidor web.
BajaCVSS 2.6H-07Versión del servidor visible en las respuestas
Impacto: Ayuda a un atacante a buscar vulnerabilidades conocidas.
Corrección: Ocultar la versión del software en las cabeceras y páginas de error.
Extracto ilustrativo de un informe · datos ficticios
- Resumen ejecutivo para la dirección, con el nivel de riesgo y las prioridades explicados sin tecnicismos.
- Informe técnico detallado con cada hallazgo, su evidencia, su criticidad y cómo reproducirlo.
- Plan de remediación ordenado por riesgo y esfuerzo, para saber qué corregir primero.
- Evidencia de cumplimiento útil para ISO/IEC 27001, el Esquema Nacional de Seguridad, NIS2 o los requisitos de tus clientes.
Metodología
Cómo es una auditoría con nosotros
- Alcance y autorización
Definimos objetivos, ventanas de prueba y reglas de actuación, siempre con autorización por escrito.
- Reconocimiento y análisis
Identificamos activos y vulnerabilidades combinando herramientas automáticas y análisis manual.
- Explotación controlada
Verificamos el impacto real de las vulnerabilidades sin comprometer la disponibilidad de los servicios.
- Informe y verificación
Informe ejecutivo y técnico, plan de remediación priorizado y nueva prueba para confirmar las correcciones.
Trabajamos siempre con autorización por escrito del titular de los sistemas, acuerdo de confidencialidad y un canal de contacto directo para detener las pruebas en cualquier momento.
Momentos clave
¿Cuándo conviene una auditoría?
Antes de publicar
Una nueva web, aplicación o API debería probarse antes de exponerse a Internet.
Tras cambios importantes
Migraciones a la nube, nuevas sedes, cambios de proveedor o de infraestructura.
Para cumplir
ISO/IEC 27001, el Esquema Nacional de Seguridad o NIS2 piden evidencias de que los controles funcionan.
Cuando lo exige un tercero
Clientes, licitaciones o aseguradoras de ciberriesgo solicitan cada vez más pruebas técnicas.
Después de un incidente
Para confirmar que la vía de entrada está cerrada y que no hay otras parecidas.
De forma periódica
Al menos una vez al año: aparecen vulnerabilidades nuevas en sistemas que ayer eran seguros.
Primera conversación sin compromiso
¿Cuándo fue la última vez que alguien intentó entrar?
Cuéntanos qué quieres proteger y te propondremos un alcance ajustado a tu exposición real: sin pruebas innecesarias ni informes de relleno.
- Pentest externo
- Pentest interno
- Web y API
- Wifi
- Nube y configuración
- Phishing controlado
Preguntas frecuentes
Lo que suelen preguntarnos
¿Qué diferencia hay entre un escaneo de vulnerabilidades y un pentest?
Un escaneo es automático y detecta vulnerabilidades conocidas, con bastantes falsos positivos. Un pentest añade análisis manual y explotación controlada para confirmar qué vulnerabilidades son reales y qué impacto tendrían.
¿Qué es una auditoría de caja negra, gris o blanca?
En caja negra partimos sin información, como un atacante externo. En caja gris contamos con información limitada, por ejemplo un usuario estándar. En caja blanca disponemos de documentación, código o configuraciones, lo que permite una revisión más profunda en menos tiempo.
¿Puede afectar a mis sistemas en producción?
Las pruebas se planifican para minimizar cualquier impacto: se acuerdan ventanas horarias, se evitan técnicas destructivas y se mantiene contacto permanente con tu equipo durante la ejecución.
¿Cada cuánto conviene hacer una auditoría?
Como referencia, al menos una vez al año y siempre que haya cambios relevantes: una nueva aplicación, una migración a la nube o un cambio importante en la infraestructura.
¿Sirve para ISO 27001 o el ENS?
Sí. Las pruebas técnicas de seguridad son una evidencia muy valorada en las auditorías de ambos marcos, y ayudan a demostrar la eficacia de los controles.
¿Cómo tratáis la información que obtenéis?
Con confidencialidad estricta: acuerdo firmado, evidencias cifradas, acceso limitado al equipo que interviene y eliminación al cierre según lo acordado.
Servicios relacionados
También te puede interesar
Contacto
Solicita una propuesta de auditoría
Cuéntanos qué quieres auditar (webs, aplicaciones, red interna, nube…), si hay alguna fecha o requisito que cumplir y quién será el interlocutor técnico. Te enviaremos una propuesta con alcance, calendario y presupuesto.
¿Prefieres el correo?info@afsinformatica.com
Nunca realizamos pruebas sin autorización por escrito del titular de los sistemas.