Pentesting: piense como un atacante.
Cierre brechas reales.
Un escaneo automático no es un pentest. Ejecutamos pruebas de penetración con validación manual, explotación controlada y un informe accionable con backlog de remediación y re-test.
Buenas prácticas: OWASP Web Security Testing Guide (WSTG) y PTES para estructurar alcance, ejecución, reporting y cierre.
Pruebas de penetración (pentesting) para empresas: web, APIs, infra, AD y cloud
Cobertura para web, APIs, infraestructura, Active Directory y cloud. El objetivo: demostrar impacto y ayudar a cerrar con re-test.
Pentesting Web (Aplicaciones)
OWASP Top 10, control de acceso, auth/sesión, SSRF, deserialización, lógica de negocio, etc.
Pentesting de APIs
Autorización (BOLA/IDOR), rate limits, JWT/OAuth, enumeración, abuse-cases, seguridad de diseño.
Infra Externa
Perímetro, exposición, servicios, configuración, rutas de compromiso y hardening.
Infra Interna
Movimiento lateral, segmentación, credenciales, elevación de privilegios y paths de ataque.
Active Directory (AD)
Misconfigs, delegation, Kerberos, paths hacia DA, controles y hardening accionable.
Cloud (AWS/Azure/GCP)
IAM, storage, secretos, redes, workloads, contenedores, serverless y escaladas típicas.
Confianza
Certificaciones ISO y Pyme Innovadora
ISO 27001, 9001, 14001, 22301, 20001 y sello Pyme Innovadora.
Ver certificaciones
Confianza
Pentesting útil para cumplimiento
Evidencias y trazabilidad para auditoría y marcos como ISO 27001, ENS, NIS2 y DORA.
Ver ISO 27001
Confianza
Equipo senior (certificaciones del sector)
Equipo con certificaciones relevantes del sector y experiencia en entornos regulados y críticos.
Ver catálogo
Si tu objetivo es cumplir (ISO 27001 / ENS / NIS2 / DORA), el pentesting aporta evidencias técnicas y un plan de cierre. Después podemos ayudarte con la remediación y operación continua (p. ej. gestión de vulnerabilidades y SOC).
Alcance típico y qué necesitamos para empezar
Para evitar “pentests genéricos”, cerramos alcance con ejemplos prácticos. Esto acelera estimación, ejecución y resultados.
Pentest Web (típico)
- 1–3 aplicaciones (URLs) y flujos principales
- Roles/cuentas de prueba (p. ej. usuario, admin)
- SSO/OAuth/JWT si aplica
- Entorno recomendado: preproducción (o prod con RoE)
Pentest API (típico)
- Swagger / Postman / documentación
- Top endpoints críticos (auth, pagos, datos)
- Rate limits y abuse-cases
- Tokens/keys de prueba y scopes
Infra/AD (típico)
- Rangos/subredes y jumpbox/VPN
- Inventario (si existe) + EDR/SIEM
- Ventanas y exclusiones (assets críticos)
- Objetivo: paths de compromiso + hardening
Cloud (típico)
- Suscripciones/cuentas/tenants
- IAM (roles/policies) + storage
- Secrets y pipelines (si se autoriza)
- Objetivo: escaladas y exposición de datos
Checklist rápida (onboarding)
Activos
URLs/hosts, rangos, endpoints críticos, integraciones
Accesos
Cuentas/roles de prueba, VPN/jumpbox, scopes/tokens
Documentación
Swagger/Postman, flujos de auth, arquitectura
Ventanas
Horario, umbrales, exclusiones y canal de escalado
Si no tienes parte de esta información, te ayudamos a prepararla en la fase de alcance.
Web & APIs
Pentesting Web y API Security (manual + lógica de negocio)
Validación manual, análisis de flujos y roles, autenticación (SSO/JWT/OAuth), control de acceso, SSRF, IDOR/BOLA, etc. Priorizamos impacto y explotabilidad.
Infra & AD
Auditoría de red, infraestructura y Active Directory
Exposición externa/interna, escalada de privilegios, misconfig AD, rutas de compromiso, segmentación, hardening y evidencias accionables.
Cloud
Cloud pentesting y revisión de postura (AWS/Azure/GCP)
IAM, storage expuesto, credenciales, rutas de escalada, contenedores y serverless. Enfoque en riesgo real para el negocio.
Cierre
Plan de remediación + re-test (evidencias de cierre)
Informe técnico + ejecutivo, backlog por prioridad, recomendaciones prácticas y revalidación para confirmar cierres y reducir exposición real.
Reglas de compromiso (RoE)
Trabajamos con seguridad operacional: demostramos impacto con evidencias y minimizamos riesgos sobre producción.
- No ejecutamos DoS/saturación salvo autorización explícita por escrito.
- Acordamos ventanas y umbrales: si un hallazgo puede impactar, se pausa y se coordina.
- No compartimos credenciales: usamos cuentas de prueba y gestión segura de accesos.
- Evidencias mínimas necesarias: demostramos impacto sin exfiltrar datos reales.
- Canal de escalado para críticos: aviso inmediato y apoyo para contención/mitigación.
RoE y ventanas se acuerdan antes de empezar para evitar sorpresas y acelerar respuesta ante hallazgos críticos.
Ejemplo de entregable (estructura)
No entregamos “ruido”. Entregamos un informe que acelera decisiones, remediación y evidencias de cierre.
1. Resumen ejecutivo
Top riesgos, exposición y decisiones recomendadas
2. Alcance y RoE
Activos, exclusiones, ventanas, umbrales, herramientas
3. Hallazgos (por criticidad)
CRIT/HIGH/MED/LOW + justificación
4. Evidencias y PoC
Pasos reproducibles, capturas, trazas, payloads
5. Recomendaciones
Quick wins + remediación estructural
6. Backlog
Lista accionable por equipos/owners
7. Re-test
Estado de cierre y evidencias actualizadas
*Ejemplo sin datos reales. Para un ejemplo completo, te lo compartimos bajo solicitud.
Metodología de trabajo
Ciclo completo: alcance, ejecución, evidencias, remediación y re-test.
OWASP WSTG y PTES ayudan a estructurar pruebas y reporting de forma consistente.
Alcance y reglas de compromiso (RoE)
Definimos objetivos, activos, exclusiones, entornos (pre/prod), ventanas y umbrales. Acordamos canales de escalado y cómo actuar ante hallazgos críticos.
Reconocimiento y modelado de amenazas
Mapeamos superficie de ataque (externa/interna), flujos de autenticación, roles, integraciones y dependencias para identificar rutas realistas de compromiso.
Ejecución: validación manual y explotación controlada
Reducimos falsos positivos con criterio experto. Cuando aplica, encadenamos fallos para demostrar impacto real con evidencias reproducibles.
Informe accionable + sesión de cierre (readout)
Informe ejecutivo y técnico con severidad, impacto, PoC/evidencias, quick wins y backlog priorizado con owners recomendados.
Re-test y evidencias de cierre
Revalidamos hallazgos priorizados para confirmar remediación y actualizar evidencias. Ideal para auditorías y cumplimiento (NIS2/DORA/ENS/ISO 27001).
Entregables que ayudan a cerrar
El valor del pentesting no es “el informe”, sino acelerar decisiones y remediación. Por eso entregamos evidencias claras, un backlog accionable y re-test para verificar cierres.
Informe técnico (PoC + evidencias)
Detalle reproducible: impacto, trazas, endpoints, parámetros, capturas y recomendaciones concretas.
Informe ejecutivo (riesgo y decisiones)
Resumen por dominios, top riesgos, exposición, quick wins y plan de cierre por prioridades.
Backlog priorizado (accionable)
Lista por criticidad/exposición, owner sugerido, dependencias y verificación (re-test).
Sesión de readout
Reunión con equipos técnicos y responsables para alinear cierres, evitar regresiones y mejorar controles.
Casos (anonimizados)
Ejemplos de resultados típicos: impacto demostrado, backlog accionable y re-test para evidencias de cierre.
Pentest Web + API (B2B SaaS) — reducción de riesgo real
Se identificó un fallo de autorización (BOLA/IDOR) encadenable con lógica de negocio. Se entregó backlog por owners y, tras remediación, el re-test confirmó cierre y actualización de evidencias.
Infra/AD (grupo industrial) — paths hacia privilegios elevados
Se detectaron rutas de escalada por misconfig de AD y segmentación mejorable. Se priorizó hardening (GPO/tiers) y controles para reducir movimiento lateral.
Qué miramos “como atacante”
Combinación de automatización + revisión manual para minimizar falsos positivos y priorizar impacto real.
En el readout aterrizamos mitigaciones técnicas y de diseño para evitar recurrencias.
Preguntas frecuentes
¿Cuánto dura un pentest?
Depende del alcance. Un pentest web/API suele durar de 5 a 15 días; infra/AD puede requerir 2 a 4 semanas. Ajustamos por criticidad, número de activos y complejidad.
¿Entregáis evidencias válidas para auditoría?
Sí. Incluimos evidencias y trazabilidad, y un resumen ejecutivo útil para auditorías y marcos como NIS2/DORA/ENS/ISO 27001.
¿Qué os diferencia de proveedores “commodity”?
Menos ruido y más impacto: validación manual, análisis de lógica de negocio, encadenado cuando aplica, y backlog accionable con re-test para confirmar cierres.
¿Podéis coordinar con nuestro SOC/MDR?
Sí. Coordinamos ventanas y escenarios para validar detección (casos de uso/alertas) y mejorar reglas y respuesta.
¿Cuál es el coste de un pentest?
Depende del alcance: número de aplicaciones/endpoints, roles, entornos, profundidad (web, API, infra/AD, cloud), ventanas y necesidad de re-test. En cuanto cerramos alcance y RoE, te damos una estimación ajustada.
¿Qué necesitáis para empezar rápido?
Activos (URLs/hosts), contactos, cuentas/roles de prueba, documentación (Swagger/Postman), detalles de auth (SSO/OAuth/JWT) y ventana de trabajo. Con eso cerramos alcance y RoE.
¿Quieres una estimación realista de coste y tiempos?
Cerramos alcance y RoE, ejecutamos con validación manual y te entregamos backlog + re-test con evidencias de cierre.
Si además necesitas ayuda con remediación y operación continua, revisa Gestión de vulnerabilidades y SOC gestionado.