Servicios · 01

Auditoría Ofensiva

Evaluamos la seguridad de cualquier activo en modalidad caja negra o caja gris: aplicaciones web y móviles, APIs, redes, infraestructura y nube.

Metodología

Cuatro fases controladas

Alcance, activos y ventanas de prueba se acuerdan por escrito antes de empezar.

Reconocimiento
Recopilamos información pública y técnica del objetivo: dominios, rangos IP, tecnologías y superficie expuesta, sin afectar la operación.
Enumeración
Identificamos servicios, versiones, puntos de entrada y configuraciones para construir el mapa de ataque y priorizar vectores.
Explotación controlada
Validamos las vulnerabilidades dentro del alcance autorizado para demostrar su impacto real, sin dañar datos ni servicios.
Informe y remediación
Documentamos cada hallazgo con evidencia y recomendaciones, y acompañamos a tu equipo en la remediación.

Marcos de referencia

Metodologías abiertas de OWASP, reconocidas internacionalmente, para que cada prueba sea repetible y comparable.

OWASP Top 10
Las diez categorías de riesgo más críticas en aplicaciones web, como control de acceso roto, inyección y fallas criptográficas.
OWASP WSTG
Guía de pruebas de seguridad web: casos de prueba para autenticación, sesiones, validación de entradas y lógica de negocio.
OWASP API Security Top 10
Riesgos propios de las APIs: autorización a nivel de objeto, autenticación débil, exposición de propiedades y consumo de recursos sin límites.
OWASP MASTG
Guía de pruebas para apps móviles Android e iOS: almacenamiento de datos, comunicación de red, criptografía y resiliencia.

Modalidad

Elegimos la modalidad según lo que necesitas medir: la vista del atacante externo o la de alguien con acceso.

Caja negra
Partimos sin información interna, como lo haría un atacante externo. Medimos qué puede descubrir y explotar cualquiera desde fuera, y hasta dónde puede avanzar.
Caja gris
Trabajamos con información parcial: credenciales de prueba, documentación o roles de usuario. Llegamos más profundo y evaluamos qué puede hacer un usuario autenticado o un atacante con acceso inicial.

Entregables

Dos informes: uno para corregir y otro para decidir. Cerramos con una sesión de revisión de resultados.

Para tu equipo técnico
Informe técnico
- Hallazgos con su descripción e impacto
- Evidencia reproducible: capturas, solicitudes y pasos
- Severidad de cada hallazgo
- Recomendación de remediación por hallazgo
- Crítica
- Alta
- Media
- Baja
- Informativa
Para gerencia y C-Level
Informe ejecutivo
- Presentación del riesgo para el negocio
- Prioridades de atención
- Inversión recomendada para remediar

Ninguna evaluación inicia sin la firma de un acuerdo de confidencialidad (NDA) y de una autorización escrita del alcance.

Preguntas frecuentes

Lo que suelen preguntarnos antes de autorizar una prueba.

Sí, con controles. Antes de empezar acordamos alcance, horarios y técnicas permitidas. Las pruebas que podrían afectar la disponibilidad solo se ejecutan con tu aprobación, en ventanas definidas o en un ambiente de pruebas.
Te avisamos de inmediato por el canal acordado, sin esperar al informe final, para que puedas contener el riesgo. El hallazgo queda documentado igual en el informe.
Sí. Antes de iniciar se firman un acuerdo de confidencialidad (NDA) y una autorización escrita con el alcance, los activos incluidos y las fechas. Si un activo lo administra un tercero, como un proveedor de nube o de hosting, también se requiere su visto bueno cuando sus políticas lo exigen.
El plazo se define según el alcance: cantidad de activos, modalidad y complejidad. Lo detallamos en la propuesta.