Vorpsel / Servicios / Seguridad ofensiva
Pruebas de penetración (pentest)
Evaluamos cómo un atacante podría comprometer sus aplicaciones e infraestructura. Las pruebas manuales validan fallos, demuestran su impacto y orientan a su equipo para corregirlos.
En resumen
- Para Equipos de producto, tecnología y seguridad
- Formato Alcance definido, con evaluaciones puntuales o recurrentes
- Enfoque Pruebas manuales apoyadas por herramientas automatizadas
- Usted recibe Hallazgos validados y plan de corrección priorizado
Entienda qué representa un fallo para su negocio
Un escáner puede señalar una posible vulnerabilidad. El pentest verifica si puede explotarse dentro del alcance acordado, qué accesos permite y qué datos u operaciones pone en riesgo.
Combinamos descubrimiento automatizado con investigación manual de autenticación, autorización y lógica de negocio. Cada hallazgo confirmado incluye evidencias, contexto y recomendaciones para corregirlo.
Cuándo tiene sentido
Antes de un lanzamiento
Valide una nueva aplicación, API o versión móvil antes de ofrecerla a sus clientes.
Después de cambios importantes
Revise nuevas integraciones, permisos y flujos críticos después de un cambio significativo.
Requisitos de clientes
Presente una evaluación técnica cuando un cliente revise la seguridad de su empresa antes de firmar un contrato.
Preparación para auditorías
Reúna evidencias de pruebas de los sistemas y requisitos definidos en el alcance.
Cambios en la infraestructura
Evalúe la exposición tras migraciones, cambios de red o adopción de servicios en la nube.
Validación periódica
Reevalúe activos críticos conforme evolucionan su entorno y su superficie de ataque.
Qué cubre el trabajo
Aplicaciones web y APIs
Probamos la aplicación en ejecución y sus interfaces, centrándonos en las acciones y los datos que podría alcanzar un atacante.
- Autenticación, sesiones y recuperación de cuentas
- Autorización y separación entre clientes
- Tratamiento de entradas, cargas de archivos y lógica de negocio
Redes internas y externas
Evaluamos servicios expuestos y rutas internas que podrían permitir accesos indebidos o ampliar un compromiso.
- Servicios accesibles desde internet e interfaces administrativas expuestas
- Segmentación de red y restricciones de acceso
- Escalada de privilegios y movimiento lateral dentro del alcance
Entornos en la nube
Investigamos cómo identidades, permisos y recursos expuestos podrían formar una ruta de ataque en las cuentas de nube acordadas.
- Permisos de identidad y límites de privilegio
- Exposición del almacenamiento y acceso a recursos sensibles
- Secretos y relaciones de confianza entre servicios
Aplicaciones móviles
Evaluamos la aplicación móvil y su comunicación con los servicios de back-end, en las plataformas y versiones definidas en el alcance.
- Almacenamiento local de datos sensibles y credenciales
- Gestión de sesiones, protección del tráfico e interacción con APIs
Cómo funciona
El alcance, los accesos, las ventanas de prueba y las fechas de entrega se acuerdan antes del inicio. El calendario depende de los activos y la profundidad de la evaluación.
Alcance y autorización
Definimos activos, cuentas de prueba, exclusiones y condiciones de interrupción, con autorización escrita y un contacto técnico.
Descubrimiento y pruebas
Mapeamos la superficie de ataque acordada y validamos los hallazgos manualmente. Los problemas críticos se comunican oportunamente por el canal acordado.
Informe y presentación
Presentamos las evidencias, el impacto en el negocio y las correcciones recomendadas al equipo técnico y a los responsables del negocio.
Corrección y repetición de pruebas
Su equipo implementa las correcciones. Validamos los hallazgos acordados durante la ventana de repetición de pruebas definida en la propuesta y actualizamos su estado.
Qué recibe
Resumen ejecutivo
Una visión clara del alcance, las limitaciones, los principales riesgos y las prioridades recomendadas para la dirección.
Informe técnico
Hallazgos validados con activos afectados, evidencias, pasos de reproducción y recomendaciones de corrección.
Plan de corrección priorizado
Recomendaciones ordenadas por impacto y contexto, con el estado de las pruebas repetidas sobre los hallazgos revisados en la ventana acordada.
Formas de trabajar con nosotros
Definimos la cobertura, la profundidad y las condiciones de repetición de pruebas en la propuesta, según su entorno y sus objetivos.
| Opción | Indicado para | Qué incluye |
|---|---|---|
| Evaluación focalizada | Una aplicación, API o flujo crítico específico | Pruebas de los activos seleccionados, informe y repetición de pruebas acordada |
| Evaluación ampliada | Varios sistemas o un perímetro de infraestructura | Pruebas coordinadas en el alcance acordado, informe consolidado y repetición de pruebas acordada |
| Evaluaciones recurrentes | Equipos con entregas frecuentes o necesidad de validación periódica | Evaluaciones programadas con revisión del alcance en cada ciclo y seguimiento de hallazgos anteriores |
Preguntas
¿Qué diferencia hay entre un pentest y un escaneo de vulnerabilidades?
Un escaneo identifica posibles fallos automáticamente. El pentest añade investigación manual para validar su explotación, probar la lógica de negocio y explicar el impacto de los hallazgos confirmados.
¿Pueden probar sistemas en producción?
El entorno y las técnicas permitidas se acuerdan al definir el alcance. Las pruebas en producción requieren autorización específica, ventanas de ejecución, límites operativos y un contacto que pueda detener el trabajo.
¿Necesitan cuentas o código fuente?
Podemos probar sin credenciales, con cuentas de prueba o con información técnica adicional, según el objetivo. El código fuente no es necesario en todos los pentests; una revisión profunda del código puede definirse por separado.
¿La evaluación garantiza que nuestros sistemas son seguros?
El pentest evalúa el alcance acordado durante un período definido. No garantiza la ausencia de vulnerabilidades ni sustituye las prácticas continuas de seguridad. El informe registra la cobertura y las limitaciones para contextualizar los resultados.
Otros servicios
Cuéntenos qué necesita.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.