English
Română
PortuguêsAplicaciones web
Inicio de sesión, sesiones, control de acceso, inyección y lógica de negocio, probados según el OWASP Top 10 y la OWASP Web Security Testing Guide.
Probado por personas • Dentro de las ventanas que autorices • Nada instalado
Pruebas de penetración. Tus aplicaciones, API, redes y aplicaciones móviles, probadas por personas.
Pide una prueba, acuerda el alcance y la ventana y síguela hasta el último hallazgo. Cada solicitud, hora, hallazgo y ronda de validación queda en un solo lugar, junto a tu supervisión de seguridad.
ALCANCE
Qué probamos
Caja negra sin credenciales, caja gris con una cuenta de usuario o caja blanca con acceso completo, para cada tipo de objetivo.
API
Endpoints REST y GraphQL, tokens y claves, límites de peticiones y lo que alcanza cada rol, probados según el OWASP API Security Top 10.
Infraestructura
Redes externas e internas: servicios expuestos, configuraciones débiles, parches pendientes y los caminos de una máquina a la siguiente.
Aplicaciones móviles
Aplicaciones iOS y Android desde sus paquetes de la tienda, analizadas de forma estática y dinámica según OWASP MASVS. Sin código fuente.
CÓMO FUNCIONA
De la solicitud al hallazgo cerrado
Cada paso queda registrado con quién lo hizo, cuándo y por qué, y lo ves en el momento en el portal Security.
1
Solicitud
Envíala desde el portal Security o desde tu propia plataforma mediante la API: los objetivos, el tipo de prueba, caja negra, gris o blanca, las horas y la ventana.
2
Aprobación
El operador comprueba el alcance y que puedes hacerlo probar, reserva las horas y acuerda la ventana. No se prueba nada antes.
3
Pruebas
Solo dentro de la ventana. Los escáneres hacen el barrido amplio; los testers confirman lo que es real y llegan a donde los escáneres no pueden.
4
Revisión
Cada hallazgo lo revisa una segunda persona antes de que lo veas: su severidad con el vector CVSS, la evidencia, cómo reproducirlo y cómo corregirlo.
5
Remediación
Tu equipo marca cada hallazgo como en corrección, corregido o riesgo aceptado, y el motivo queda registrado.
6
Ronda de validación
Volvemos a probar y cerramos lo que está realmente corregido. Los hallazgos se siguen entre rondas: nuevos, persistentes, corregidos o reabiertos.
HORAS QUE PUEDES VER
Una bolsa de horas, no una factura sin límite
Acuerdas las horas al suscribirte y ves en qué se gasta cada una.
Reservadas, usadas, disponibles
Las horas se reservan cuando se aprueba una solicitud, se registran a medida que se prueba y se liberan si no se usan. Recibes alertas al 50, 75, 90 y 100%.
Sin excesos silenciosos
Cuando la bolsa se agota, no se aprueba ni se registra nada más sin tu acuerdo, y queda registrado quién lo aprobó y por qué.
Los informes nunca consumen horas
Los informes se generan a partir de los propios hallazgos, así que cada hora que pagas se dedica a probar.
INTEGRACIÓN
Integrado en tu forma de trabajar
Las solicitudes pueden empezar en tu propia plataforma, y los resultados vuelven a ella.
API y webhooks
Una API REST versionada descrita en OpenAPI, con claves de alcance limitado y peticiones idempotentes, y webhooks firmados en cada cambio.
Informes y exportaciones
Hallazgos en JSON y CSV; un informe ejecutivo y uno técnico por activo, y un informe de todo el programa.
Tickets
Cada hallazgo se convierte en un ticket en Jira, y su estado vuelve a medida que tu equipo trabaja en él.
Conectores en sitio
Las redes internas se alcanzan mediante un conector que solo hace conexiones cifradas salientes. No se abre ningún puerto de entrada.
UNA SOLA PLATAFORMA
Lo que los atacantes podrían hacer, junto a lo que intentan
Las pruebas de penetración son un servicio propio, que se usa desde el mismo portal Security que tu supervisión.
La supervisión muestra los intentos
El cumplimiento en ciberseguridad vigila a diario tus servidores, cuentas en la nube y servicios y los escanea en busca de debilidades conocidas.
Ver las capacidades de cumplimientoLas pruebas muestran lo que tendría éxito
Las pruebas, sus hallazgos y las correcciones se guardan con sus fechas: evidencia de pruebas de seguridad periódicas, del tipo que el artículo 21 de NIS2 y DORA piden a las organizaciones.
Antes de preguntar
Preguntas sobre pruebas de penetración
Respuestas claras sobre alcance, ventanas, credenciales y horas.
¿Una prueba de penetración es lo mismo que un escaneo de vulnerabilidades?
No. El escaneo encuentra automáticamente debilidades conocidas, y Security ya lo hace en cada máquina que supervisa. Una prueba de penetración añade personas: confirman qué debilidades podría usar realmente un atacante, las encadenan y prueban lo que los escáneres no ven, como el control de acceso y la lógica de negocio.
¿Instaláis algo en nuestros sistemas?
No. No se instala nada en los sistemas probados. Las redes internas se alcanzan mediante un conector en sitio que solo hace conexiones salientes.
¿Quién decide cuándo se prueba?
Tú. Las pruebas se hacen solo dentro de las ventanas que autorices, después de que el operador apruebe la solicitud, y los contactos que indiques reciben aviso antes de empezar.
¿Qué necesitáis para una prueba de caja gris o blanca?
Cuentas, roles o claves de los sistemas del alcance. Se sellan en cuanto llegan y no se vuelven a mostrar, ni siquiera en tu propio portal.
¿Cómo se cuentan las horas?
Contra una bolsa de horas acordada al suscribirte. Las horas se reservan cuando se aprueba una solicitud, se registran a medida que se prueba y se liberan si no se usan. Los informes nunca consumen horas.
¿Puede nuestra plataforma enviar solicitudes de prueba?
Sí. Tu plataforma de gestión de riesgos o de tickets puede enviar solicitudes y leer los resultados mediante la API, y recibe aviso de cada cambio por webhooks firmados.
¿Qué relación tiene con el cumplimiento en ciberseguridad?
Es un servicio propio, que se usa desde el mismo portal Security. La supervisión muestra lo que los atacantes intentan cada día; una prueba de penetración muestra lo que podrían conseguir. Ambas alimentan la evidencia que lee tu auditor.
PROBADO POR PERSONAS
Encuentra primero lo que encontraría un atacante
Dinos qué quieres probar y te propondremos el alcance, las horas y la ventana.