Servicio 01.01, Atacante
Aplicaciones, web y APIs
Autenticación, sesiones, permisos y la lógica de la organización, puestos a prueba para responder qué puede pasar, hasta dónde llega y qué control debe cambiar.
Qué es
- ¿Qué puede pasar?
- ¿Hasta dónde puede llegar?
- ¿Qué control debe cambiar?
La vulnerabilidad vale por el riesgo que habilita. Revisamos la superficie técnica de las aplicaciones, sitios y APIs, y también la lógica de la organización: cómo se da de alta un usuario, qué puede hacer una vez autenticado y con qué otros sistemas se conecta.
Una falla sola dice poco. La relacionamos con una identidad expuesta, un proveedor o una sesión comprometida, y seguimos el recorrido hasta donde puede afectar a la organización.
La seguridad se demuestra.
Qué se evalúa
- Autenticación, autorización y sesiónQuién puede acceder, qué puede hacer una vez autenticado y qué permite una sesión abierta.
- Exposición de datosQué información entrega cada aplicación o API, y a quién se la entrega.
- La lógica de la organización y sus integracionesLos flujos propios de la organización y las conexiones con otros sistemas y proveedores.
- Software y código, según el alcanceLa evaluación del software y de su código, cuando el alcance acordado lo incluye.
Metodología
Cada trabajo comienza con una hipótesis y un alcance acordado. El resultado debe permitir actuar y comprobar qué cambió.
- Encuadre y coberturaObjetivo, activos, interlocutores, reglas de prueba y evidencia de partida. Trabajamos sobre sistemas e identificadores autorizados.
- Pruebas de explotación controladasPruebas técnicas dirigidas por riesgo sobre autenticación, permisos, sesiones, datos e integraciones. Duplicados, hipótesis y hechos quedan diferenciados.
- Entrega ejecutiva y técnicaMapa de riesgos para Dirección y hallazgos con respaldo para los equipos. Cada recomendación tiene una prioridad y un criterio de corrección.
- Validación y continuidadVolvemos sobre los controles modificados. Cuando corresponde, sumamos vigilancia o nuevas pruebas para revisar la evolución del riesgo.
Entregables
Cada hallazgo se entrega con siete campos:
- 01Hallazgo
- 02Condición de explotación
- 03Activo afectado
- 04Impacto
- 05Evidencia
- 06Corrección recomendada
- 07Criterio de nueva prueba
HALLAZGO H-01EJEMPLO ILUSTRATIVO · DATOS FICTICIOS
- 01Hallazgo
- El portal de acceso remoto acepta usuario y contraseña sin pedir segundo factor.
- 02Condición de explotación
- Alcanza con una credencial válida, como la de una cuenta de soporte publicada.
- 03Activo afectado
- Portal de acceso remoto y cuenta de soporte externo.
- 04Impacto
- Desde esa cuenta se llega a la base de clientes.
- 05Evidencia
- Registro del acceso de prueba: fecha, hora y alcance autorizado.
- 06Corrección recomendada
- Pedir segundo factor en el portal y revisar los permisos de la cuenta.
- 07Criterio de nueva prueba
- Con la misma credencial, el acceso debe ser rechazado.
Encuadre
Con autorización, sobre sistemas e identificadores acordados y con reglas de prueba definidas.
Priorizamos el recorrido que puede afectar a la organización.
MÁS SERVICIOS DE ATACANTE
Vemos lo que ve un atacante.
- Servidores, infraestructura y nube Los caminos que pueden llevar hasta un activo crítico.
- Redes y entornos internos Los controles que deberían limitar un incidente, puestos a prueba.
- Identidad y antifraude Un alta, una recuperación o una excepción, probadas como las probaría quien usa una identidad ajena.
Consulta
El punto de partida es la pregunta difícil.
La primera reunión define el riesgo a probar, el alcance y la evidencia esperada.