Análisis automatizados
Cada semana analizamos los sistemas y entornos definidos en el alcance. Un especialista revisa los resultados y recibes evidencias, prioridades y orientaciones para corregir las fallas.
Definir el alcance
Tu equipo de seguridad ofensiva, de forma continua.
Pentesty reúne especialistas y tecnología propia en un programa de seguridad ofensiva adaptado a tu producto y a tu negocio. Combinamos pentests, Red Team, análisis automatizados y otros servicios del portafolio según tus riesgos y objetivos, acompañando los cambios del producto y la evolución de las correcciones.
Armemos tu programa de seguridadTu producto define el alcance.
Cada trabajo empieza por tu contexto: tu producto, tus riesgos y tus prioridades. A partir de ahí, construimos un alcance personalizado y dirigimos las pruebas a lo que puede comprometer tu operación, tus datos y la confianza de tus clientes.
Pentest
WebAplicaciones, autenticación, permisos y lógica de negocio. Evaluamos los flujos que sostienen tu operación.
APIAutorización, exposición de datos, integraciones y aislamiento entre usuarios y organizaciones.
MobileAplicaciones Android e iOS, almacenamiento local, comunicación e integraciones incluidas en el alcance.
InfraestructuraRedes internas y externas, servicios, identidades y dispositivos conectados, incluidas cámaras y torniquetes. Evaluamos la seguridad de los activos de red definidos en el alcance.
CloudCuentas y proyectos en la nube, permisos, recursos expuestos y relaciones de confianza entre servicios.
Red Team
- Red Team continuoNuestro equipo realiza simulaciones de ataque recurrentes, revisa los objetivos con tu equipo y verifica las correcciones entre los ejercicios.
- Emulación de adversariosEscenarios basados en amenazas relevantes para evaluar cómo responden tus defensas a las técnicas previstas en el ejercicio.
- Ingeniería socialSimulaciones para evaluar cómo tu equipo reconoce y reacciona ante intentos de manipulación y fraude, siguiendo escenarios y límites acordados.
- Intrusión físicaPruebas de acceso físico integradas en los escenarios del Red Team, con lugares, objetivos y límites acordados con tu equipo.
- Campañas de phishingSimulaciones acordadas para medir el reconocimiento y el reporte de intentos de fraude y orientar mejoras en personas, procesos y controles.
Cómo trabajamos
01
Contexto y prioridades
Entendemos tu producto, los riesgos para el negocio y tus objetivos. Juntos seleccionamos los servicios y definimos el alcance, los accesos, los límites y la cadencia del programa.
02
Pruebas con especialistas y tecnología propia
Ejecutamos las pruebas y los ejercicios previstos en el alcance. Nuestra tecnología propia apoya la investigación, y nuestros especialistas verifican las evidencias y evalúan el impacto en tu negocio.
03
Hallazgos y orientación de correcciones
Presentamos los hallazgos y priorizamos las correcciones según el impacto. Tu equipo recibe evidencias y orientaciones para implementar los cambios, incluido un prompt de corrección por hallazgo.
04
Repruebas y próximo ciclo
Verificamos las correcciones en las repruebas acordadas y registramos la evolución de los hallazgos. Revisamos las prioridades con tu equipo para planificar el próximo ciclo y considerar los cambios del producto.
Armemos tu programa de seguridad
La combinación de servicios, la cadencia y la profundidad de las pruebas se definen en el alcance del programa y se revisan con tu equipo a medida que cambian los riesgos y las prioridades.
Claridad para decidir. Evidencias para corregir.
Recibes evidencias validadas por especialistas y prioridades de corrección conectadas al impacto en tu negocio, con la profundidad y el formato definidos para tu programa o proyecto.
Conoce nuestra metodologíaVisión ejecutivaPlataforma de ejemplo
Tres prioridades para esta ronda
Los riesgos siguientes afectan a datos de clientes y a la negociación de contratos. La corrección del primer punto debe preceder al próximo lanzamiento.
- Exportación de datos sin control de accesoRiesgo de exposición de datos de clientesAlta
- Las sesiones siguen siendo válidas tras cambiar la contraseñaRiesgo de toma de cuentaMedia
- Permisos amplios en una cuenta de servicioAmplía el impacto de un posible acceso indebidoMedia
Informe técnicoHallazgo de ejemplo · CVSS 8.6
Exportación de datos accesible entre organizaciones
Un usuario autenticado puede exportar registros de otra organización al cambiar el identificador en la solicitud.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <token de la organización 2093> HTTP/2 200 registros de otra organización
Recomendación: validar en el servidor que el usuario pertenece a la organización solicitada antes de generar la exportación.
Cobertura y limitacionesPlataforma de ejemplo
Qué se evaluó y en qué condiciones
- Aplicación web y autenticaciónProbado con dos perfiles de accesoEvaluado
- API pública v2Entorno de pruebasEvaluado
- Webhooks de pagoSin credenciales del socio durante la ventana de pruebaInconcluso
- Aplicación AndroidFuera del alcance de esta rondaNo incluido
Validación de las correccionesRetest de ejemplo
Qué cambió desde la última ronda
- Exportación de datos entre organizacionesLa solicitud ahora devuelve 403Corregido
- Sesiones tras cambiar la contraseñaLas sesiones móviles siguen activasRequiere atención
- Permisos de la cuenta de servicioPermisos reducidos a lo necesarioCorregido
Prompt de correcciónHallazgo de ejemplo
Listo para tu equipo o herramienta de IA
Contexto: la ruta GET /api/v2/orgs/:id/export no verifica si el usuario pertenece a la organización solicitada. Tarea: añade la verificación en el servidor, antes de generar la exportación, y devuelve 403 cuando el usuario no sea miembro. Cómo validar: repite la solicitud con el token de otra organización y confirma el 403. Después, confirma que los miembros legítimos siguen exportando con normalidad.
Tu equipo revisa y aplica el cambio. El retest confirma el resultado en las condiciones contratadas.
Contenido ilustrativo. La profundidad y el formato se definen para tu programa o proyecto.
Preguntas frecuentes
¿Tienes dudas? Escríbenos a support@pentesty.co
¿Qué servicios ofrece Pentesty?
Ofrecemos pentests Web, API, Mobile, Infraestructura y Cloud, análisis automatizados y ejercicios de Red Team, incluidos la emulación de adversarios, la ingeniería social y el phishing. Combinamos los servicios en un programa recurrente o en un proyecto puntual, según el alcance acordado.
¿Cuál es la diferencia entre Pentest y Red Team?
El Pentest investiga vulnerabilidades en un alcance definido. El Red Team simula las acciones de un atacante para evaluar cómo responden tus equipos y controles. En el programa continuo, revisamos los objetivos con tu equipo, ejecutamos campañas acordadas y damos seguimiento a las correcciones. Los ejercicios pueden combinar emulación de adversarios, ingeniería social, phishing e intrusión física.
¿Cómo usa Pentesty su tecnología propia?
Nuestra tecnología propia apoya a los especialistas en la investigación de vulnerabilidades y en la profundización de los análisis. Ellos verifican las evidencias, evalúan el impacto en tu producto y priorizan las correcciones según los riesgos para tu negocio.
¿Qué recibo al final del trabajo?
Recibes una visión ejecutiva y un informe técnico. Cada hallazgo incluye evidencias, prioridad y recomendaciones de corrección. Tu equipo revisa y aplica los cambios. Presentamos los resultados y, en el Red Team, las rutas de ataque y cómo respondieron tus equipos y controles a las pruebas.
¿Cuánto cuesta y cuánto tarda?
La inversión, los plazos y la frecuencia dependen de los sistemas, los riesgos, los objetivos y la profundidad del trabajo. Definimos servicios, alcance, cronograma, entregables y condiciones de retest en la propuesta antes de empezar.
¿Cómo funciona el programa recurrente?
Empezamos por los riesgos y objetivos de tu negocio para definir qué servicios de nuestro portafolio tienen sentido en cada etapa. A lo largo del programa, revisamos las prioridades con tu equipo, investigamos vulnerabilidades y validamos las correcciones acordadas. La combinación de servicios, la frecuencia de los trabajos y los retests se definen en la propuesta.
¿Puedo contratar un proyecto puntual?
Sí. Si necesitas evaluar un sistema, investigar un riesgo específico o realizar un ejercicio definido, podemos estructurar un proyecto puntual. El alcance, el plazo, los entregables y las condiciones de retest se acuerdan en la propuesta.
¿El retest está incluido?
El retest verifica las correcciones de los hallazgos acordados. Su inclusión, plazo, número de rondas y límites se definen en la propuesta. Los activos nuevos o los cambios relevantes pueden requerir un nuevo alcance.
¿El informe ayuda en auditorías y compliance?
Las evidencias pueden apoyar auditorías y evaluaciones de conformidad. La aceptación depende del requisito, del alcance y de la evaluación del auditor. El informe no certifica la conformidad ni garantiza la aprobación en ISO 27001, SOC 2, PCI DSS o LGPD.
¿Cómo se autorizan y realizan las pruebas?
Antes de la ejecución, alineamos autorización, activos, técnicas permitidas, ventanas, contactos y condiciones de interrupción. La ingeniería social y las actividades físicas tienen límites propios. El tratamiento de las evidencias se acuerda con el cliente.
¿Construimos el alcance para tu producto?
Habla con nuestros especialistas sobre tu producto, tus riesgos y tus prioridades. Juntos definimos el trabajo que tiene sentido para tu negocio.
Armar mi programa