Externo (perímetro)
Lo que ve un atacante desde Internet: servicios expuestos, VPN, correo y webs.
Pruebas de intrusión
Pentesting para empresas:tipos, proceso y qué recibes
Un pentest es una prueba de intrusión autorizada: intentamos explotar las vulnerabilidades de tu web, tu red o tus aplicaciones como lo haría un atacante, para demostrar el riesgo real y decirte en qué orden corregirlo. Lo hace un equipo certificado (CEH, eJPT), con validación manual y no solo con escáneres.
Pentest, escaneo y auditoría no son lo mismo
| Escaneo de vulnerabilidades | Pentest | Auditoría | |
|---|---|---|---|
| Objetivo | Listar fallos conocidos | Demostrar si se pueden explotar | Revisar controles y procesos |
| Profundidad | Automática y amplia | Manual y dirigida | Organizativa y técnica |
| Resultado | Lista de hallazgos | Evidencias, impacto y prioridades | Mapa de riesgos y plan |
Tipos de pentest que hacemos
Interno y Active Directory
Qué podría hacer alguien que ya está dentro de tu red o con una cuenta robada.
Aplicación web y API
Siguiendo OWASP Top 10 y la guía de pruebas WSTG: autenticación, autorización, inyecciones.
Aplicación móvil
Según el estándar OWASP MASVS: almacenamiento, comunicaciones y lógica.
Wifi y cloud
Redes inalámbricas y configuración de Microsoft 365, Azure o AWS.
Ingeniería social
Simulaciones de phishing y pruebas sobre los procesos de las personas.
Caja negra, gris o blanca
Caja negra
Sin información previa, como un atacante externo. Mide lo que se ve desde fuera.
Caja gris
Con un usuario o algo de documentación. Es la opción más habitual en empresas.
Caja blanca
Con acceso al código o a la arquitectura. Encuentra más en menos tiempo.
Cómo es un pentest de principio a fin
Seguimos metodologías reconocidas (OWASP WSTG, PTES, OSSTMM y NIST SP 800-115) y mapeamos las técnicas con MITRE ATT&CK.
- 01
Alcance y autorización
Definimos qué se prueba, cuándo y cómo, y firmamos la carta de autorización y el acuerdo de confidencialidad.
- 02
Reconocimiento
Recopilamos información pública y técnica del objetivo, igual que un atacante.
- 03
Explotación controlada
Intentamos explotar lo encontrado sin afectar a la operación y paramos ante cualquier riesgo.
- 04
Informe y reunión
Te entregamos los resultados y los repasamos con dirección y con el equipo técnico.
- 05
Verificación
Comprobamos que las correcciones funcionan, según el alcance acordado.
Qué recibes
- Informe ejecutivo para dirección: riesgo, impacto y prioridades en lenguaje claro.
- Informe técnico: cada hallazgo con su severidad (CVSS), evidencias, pasos para reproducirlo y cómo corregirlo.
- Reunión de cierre con dirección y con el equipo técnico.
- Verificación de las correcciones según el alcance.
De qué depende el presupuesto
No hay un precio único: preparamos una propuesta a medida en función de:
- El tipo de prueba (externa, interna, web, API, móvil, cloud).
- El tamaño del alcance: número de IPs, URLs, aplicaciones o usuarios.
- La profundidad (caja negra, gris o blanca) y las ventanas de prueba.
- Si se incluye la verificación de correcciones.
Cada cuánto hacerlo
- Al menos una vez al año y después de cualquier cambio importante (nueva web, migración a la nube, fusión).
- NIS2 (art. 21) exige evaluar la eficacia de las medidas de ciberseguridad.
- ISO/IEC 27001:2022 pide gestionar las vulnerabilidades técnicas (control A.8.8).
- PCI DSS (requisito 11.4) exige pruebas de penetración periódicas.
- DORA prevé pruebas de penetración basadas en amenazas (TLPT) para las entidades financieras significativas.
Preguntas frecuentes sobre pentesting
No debería. Acordamos ventanas de prueba, evitamos técnicas destructivas y paramos si algo pone en riesgo un sistema en producción.
Solo en las pruebas de caja gris o blanca. En caja negra trabajamos sin información previa, como un atacante externo.
Te avisamos en el momento, sin esperar al informe final, para que puedas actuar cuanto antes.
Sí: el informe es una evidencia de que evalúas la eficacia de tus medidas, algo que piden NIS2, ISO 27001 y muchas aseguradoras.
Sí. Antes de empezar firmamos la carta de autorización y el acuerdo de confidencialidad.
¿Quieres saber por dónde entraría un atacante?
Cuéntanos qué quieres probar y te enviamos una propuesta con el alcance y las fechas.