Vorpcel / Servicios / Seguridad ofensiva
Evaluamos cómo un atacante podría comprometer sus aplicaciones e infraestructura. Las pruebas manuales validan fallos, demuestran su impacto y orientan a su equipo para corregirlos.
En resumen
Un escáner puede señalar una posible vulnerabilidad. El pentest verifica si puede explotarse dentro del alcance acordado, qué accesos permite y qué datos u operaciones pone en riesgo.
Combinamos descubrimiento automatizado con investigación manual de autenticación, autorización y lógica de negocio. Cada hallazgo confirmado incluye evidencias, contexto y recomendaciones para corregirlo.
Valide una nueva aplicación, API o versión móvil antes de ofrecerla a sus clientes.
Revise nuevas integraciones, permisos y flujos críticos después de un cambio significativo.
Presente una evaluación técnica cuando un cliente revise la seguridad de su empresa antes de firmar un contrato.
Reúna evidencias de pruebas de los sistemas y requisitos definidos en el alcance.
Evalúe la exposición tras migraciones, cambios de red o adopción de servicios en la nube.
Reevalúe activos críticos conforme evolucionan su entorno y su superficie de ataque.
Probamos la aplicación en ejecución y sus interfaces, centrándonos en las acciones y los datos que podría alcanzar un atacante.
Evaluamos servicios expuestos y rutas internas que podrían permitir accesos indebidos o ampliar un compromiso.
Investigamos cómo identidades, permisos y recursos expuestos podrían formar una ruta de ataque en las cuentas de nube acordadas.
Evaluamos la aplicación móvil y su comunicación con los servicios de back-end, en las plataformas y versiones definidas en el alcance.
El alcance, los accesos, las ventanas de prueba y las fechas de entrega se acuerdan antes del inicio. El calendario depende de los activos y la profundidad de la evaluación.
Definimos activos, cuentas de prueba, exclusiones y condiciones de interrupción, con autorización escrita y un contacto técnico.
Mapeamos la superficie de ataque acordada y validamos los hallazgos manualmente. Los problemas críticos se comunican oportunamente por el canal acordado.
Presentamos las evidencias, el impacto en el negocio y las correcciones recomendadas al equipo técnico y a los responsables del negocio.
Su equipo implementa las correcciones. Validamos los hallazgos acordados durante la ventana de repetición de pruebas definida en la propuesta y actualizamos su estado.
Una visión clara del alcance, las limitaciones, los principales riesgos y las prioridades recomendadas para la dirección.
Hallazgos validados con activos afectados, evidencias, pasos de reproducción y recomendaciones de corrección.
Recomendaciones ordenadas por impacto y contexto, con el estado de las pruebas repetidas sobre los hallazgos revisados en la ventana acordada.
Definimos la cobertura, la profundidad y las condiciones de repetición de pruebas en la propuesta, según su entorno y sus objetivos.
| Opción | Indicado para | Qué incluye |
|---|---|---|
| Evaluación focalizada | Una aplicación, API o flujo crítico específico | Pruebas de los activos seleccionados, informe y repetición de pruebas acordada |
| Evaluación ampliada | Varios sistemas o un perímetro de infraestructura | Pruebas coordinadas en el alcance acordado, informe consolidado y repetición de pruebas acordada |
| Evaluaciones recurrentes | Equipos con entregas frecuentes o necesidad de validación periódica | Evaluaciones programadas con revisión del alcance en cada ciclo y seguimiento de hallazgos anteriores |
Un escaneo identifica posibles fallos automáticamente. El pentest añade investigación manual para validar su explotación, probar la lógica de negocio y explicar el impacto de los hallazgos confirmados.
El entorno y las técnicas permitidas se acuerdan al definir el alcance. Las pruebas en producción requieren autorización específica, ventanas de ejecución, límites operativos y un contacto que pueda detener el trabajo.
Podemos probar sin credenciales, con cuentas de prueba o con información técnica adicional, según el objetivo. El código fuente no es necesario en todos los pentests; una revisión profunda del código puede definirse por separado.
El pentest evalúa el alcance acordado durante un período definido. No garantiza la ausencia de vulnerabilidades ni sustituye las prácticas continuas de seguridad. El informe registra la cobertura y las limitaciones para contextualizar los resultados.
Respondemos con algunas preguntas sobre el alcance y luego enviamos una propuesta con fechas y precio.