Servicios de Pentesting
Detecta vulnerabilidades de seguridad en tu infraestructura digital
Un pentest es una evaluación de seguridad autorizada de los sistemas acordados con el cliente. Combina comprobaciones técnicas y validación manual para identificar debilidades explotables, documentar evidencias y priorizar su corrección dentro del alcance y periodo definidos.
Tipos de Pentesting
Los enfoques de caja negra, gris y blanca se diferencian por la información disponible antes de las pruebas. Para aplicaciones de IA o LLM, consulta nuestra consultoría de seguridad de IA y revisión de aplicaciones LLM.
Caja negra: las pruebas comienzan con información previa limitada sobre el objetivo acordado. La autorización, los límites y los contactos se definen siempre de antemano.
Caja gris: las pruebas utilizan información parcial, como cuentas de usuario, tecnologías, direcciones IP o dominios acordados, para evaluar los escenarios pertinentes.
Caja blanca: el cliente facilita información detallada, como arquitectura, código fuente o configuraciones, según el acceso y el alcance de revisión acordados.
Metodología de Pentesting
- Reconocimiento: Recopilamos toda la información posible sobre el objetivo utilizando técnicas OSINT y automatizadas.
- Identificación: Analizamos las vulnerabilidades y configuraciones débiles en el entorno detectado.
- Explotación: Validamos vulnerabilidades para demostrar su impacto real y cómo podrían ser aprovechadas en un ataque.
- Informe: documenta los hallazgos observados durante las pruebas, sus evidencias, impacto, límites y recomendaciones de corrección priorizadas.
Para quién es un pentest
Un test de intrusión con alcance acordado es útil cuando necesitas evidencias, no suposiciones, sobre la exposición real de una aplicación o sistema.
- Empresas que van a lanzar o cambiar de forma importante una aplicación web, una API o un portal de clientes.
- Pymes a las que sus clientes, socios o aseguradoras piden una evaluación de seguridad independiente.
- Equipos que ya han lanzado escaneos automáticos y necesitan validar manualmente qué es explotable de verdad.
- Organizaciones que preparan evidencias para marcos como ENS, ISO 27001 o NIS2, donde las pruebas técnicas respaldan el análisis de riesgos.
Qué recibes
- Un documento de autorización y alcance: sistemas, métodos, límites, ventanas de prueba y contactos.
- Un resumen ejecutivo para dirección, con el riesgo global y las decisiones que requieren atención.
- Un informe técnico con cada hallazgo, su evidencia, impacto, activos afectados y recomendaciones de corrección priorizadas.
- Una sesión de revisión de hallazgos con tu equipo técnico.
- Un re-test opcional de los hallazgos corregidos, cuando se incluya en el alcance acordado.
Consulta cómo es un informe en nuestro informe de pentesting de ejemplo gratuito.
Qué probamos en un pentest: web, API, nube y redes internas
Aplicaciones Web
Flujos de inicio de sesión, validación de entradas, control de acceso y gestión de sesiones
APIs y Microservicios
Autenticación, puntos de acceso, limitación de peticiones y fuga de datos
Infraestructura en la nube
Configuraciones erróneas, puertos abiertos, políticas de identidad y acceso
Redes Internas
Escalada de privilegios, movimiento lateral, CVEs conocidos
Revisión de vulnerabilidades o pentest: acuerda el alcance
Una revisión de vulnerabilidades utiliza escaneo automatizado para identificar posibles problemas. Un pentest acotado añade las pruebas manuales y la validación acordadas. Los métodos, la profundidad y los entregables se definen para cada encargo, de modo que conozcas qué se evalúa y qué queda fuera.
Acuerda los activos y escenarios que se evaluarán antes de empezar. Prioriza los hallazgos según las evidencias y su impacto en el negocio. Utiliza el informe para planificar la corrección y las pruebas posteriores que correspondan.
Indica qué sistemas y objetivos quieres evaluar. Confirmamos el alcance, los entregables y un calendario realista antes de presentar una propuesta. Ver un ejemplo de informe de pentesting.
Un escaneo de vulnerabilidades no es un pentest completo. Antes de empezar se acuerdan por escrito la autorización, los sistemas, los métodos, los límites, las ventanas de prueba, los entregables y cualquier repetición de pruebas. El precio y los plazos dependen del alcance.
Revisión de vulnerabilidades
- Alcance acordado antes del escaneo
- Escaneo automatizado de vulnerabilidades
- Resumen de los hallazgos y limitaciones del escaneo
Pentest acotado
- Aplicaciones o infraestructura autorizadas
- Comprobaciones automatizadas y validación manual
- Informe técnico y revisión de hallazgos
Evaluación ampliada
- Alcance ampliado acordado tras la revisión
- Escenarios manuales adicionales según lo acordado
- Recomendaciones de corrección priorizadas
Preguntas frecuentes sobre pentesting
¿Un escaneo de vulnerabilidades es lo mismo que un pentest?
No. Un escaneo enumera posibles problemas de forma automática. Un pentest añade validación manual dentro de un alcance acordado para confirmar qué debilidades son explotables y qué impacto tienen.
¿Las pruebas afectan a nuestros sistemas en producción?
Las ventanas de prueba, los límites y los contactos se acuerdan por escrito antes de empezar. Las técnicas que podrían afectar a la disponibilidad se excluyen o se programan con tu equipo, y las pruebas se pueden detener en cualquier momento.
¿Qué necesitáis de nosotros antes de empezar?
Autorización por escrito, la lista de sistemas incluidos, las cuentas de prueba necesarias, un contacto técnico y la ventana de pruebas. En pruebas de caja gris o blanca, la documentación o los accesos acordados.
¿Cuánto dura un pentest y cuánto cuesta?
Depende del número y la complejidad de los sistemas y de la profundidad acordada. Confirmamos alcance, entregables y un calendario realista antes de enviar una propuesta.
¿Volvéis a probar cuando hayamos corregido los hallazgos?
Sí, cuando el re-test se incluye en el alcance acordado. Sirve para verificar que las correcciones funcionan y documentar el resultado.
¿Necesitas ayuda para definir el alcance?
Cuéntanos qué sistemas quieres evaluar y si tienes alguna fecha límite.