Servicio 01.02, Atacante
Servidores, infraestructura y nube
Buscamos los caminos que pueden llevar hasta un activo crítico de la organización, y los probamos con autorización.
Qué es
La vulnerabilidad vale por el riesgo que habilita.
Servicios, configuraciones, nube, accesos y dependencias: revisamos la infraestructura de la organización para identificar los caminos que pueden comprometer un activo crítico.
Las pruebas de explotación son controladas y con alcance acordado. Una falla sola dice poco: la relacionamos con una identidad expuesta, un proveedor o una sesión comprometida, y seguimos el recorrido completo.
El valor está en lo que conecta.
Qué se evalúa
- Servicios y configuracionesLo que está publicado, cómo está configurado y qué deja ver hacia afuera.
- NubeLos recursos, los permisos y las configuraciones de los entornos en la nube.
- Accesos y dependenciasQuién y qué puede llegar a cada sistema, incluidos proveedores e integraciones.
- Caminos hacia activos críticosLa secuencia de pasos que llevaría desde una falla hasta lo que la organización más necesita proteger.
Metodología
Cada trabajo comienza con una hipótesis y un alcance acordado. El resultado debe permitir actuar y comprobar qué cambió.
- Encuadre y coberturaObjetivo, activos, interlocutores, reglas de prueba y evidencia de partida. Trabajamos sobre sistemas e identificadores autorizados.
- Pruebas de explotación controladasPruebas técnicas dirigidas por riesgo sobre servicios, configuraciones, nube, accesos y dependencias. Duplicados, hipótesis y hechos quedan diferenciados.
- Entrega ejecutiva y técnicaMapa de riesgos para Dirección y hallazgos con respaldo para los equipos. Cada recomendación tiene una prioridad y un criterio de corrección.
- Validación y continuidadVolvemos sobre los controles modificados. Cuando corresponde, sumamos vigilancia o nuevas pruebas para revisar la evolución del riesgo.
Entregables
Cada hallazgo se entrega con siete campos:
- 01Hallazgo
- 02Condición de explotación
- 03Activo afectado
- 04Impacto
- 05Evidencia
- 06Corrección recomendada
- 07Criterio de nueva prueba
Encuadre
Con autorización, sobre sistemas e identificadores acordados y con reglas de prueba definidas.
Priorizamos el recorrido que puede afectar a la organización.
MÁS SERVICIOS DE ATACANTE
Vemos lo que ve un atacante.
- Aplicaciones, web y APIs Autenticación, sesiones, permisos y la lógica de la organización, puestos a prueba.
- Redes y entornos internos Los controles que deberían limitar un incidente, puestos a prueba.
- Identidad y antifraude Un alta, una recuperación o una excepción, probadas como las probaría quien usa una identidad ajena.
Consulta
El punto de partida es la pregunta difícil.
La primera reunión define el riesgo a probar, el alcance y la evidencia esperada.