Servicios de prueba de penetración

Trabajamos con los mejores expertos certificados en seguridad informática ("hackers éticos") para detectar vulnerabilidades, incumplimientos normativos y amenazas internas en seguridad informática.

Pasos:

• Conocer y priorizar sus inquietudes y objetivos en cuanto a las pruebas de penetración (p. ej., cumplimiento, vulnerabilidad, amenaza interna, etc.).
• Acordar los tiempos y el enfoque de las pruebas de penetración.
• Designar a los expertos en pruebas de penetración de seguridad informática más apropiados para la tarea.
• Realizar las pruebas de penetración para detectar debilidades en la defensa cibernética​​​.
• Ofrecer un informe adecuado para las partes involucradas con un análisis detallado de los recursos de seguridad cibernética.

Tenemos un enfoque de eficacia comprobada para las pruebas de penetración. Nuestro enfoque se basa en el reconocimiento. Realizar un esfuerzo firme de reconocimiento es fundamental para cualquier interacción: nos enfocamos en la identificación del objetivo, la aplicación de la técnica de footprinting y la identificación de vulnerabilidades de servidores y servicios.

Además de las pruebas de penetración para respetar los requisitos de cumplimiento, ofrecemos una gran variedad de servicios de consultoría, como evaluación, recuperación​​​​​​​, implementación, certificación y servicios educativos.

El objetivo de nuestra prueba de penetración de aplicaciones es analizar aplicaciones específicas (como una aplicación web) y evaluar si puede defenderse adecuadamente contra varios ataques cibernéticos del mundo real.

Este servicio complementa las pruebas de penetración internas y externas, y se recomienda cuando se necesita una evaluación de seguridad más profunda específica para una aplicación.

Una vez que se completa este análisis, ofrecemos un informe adecuado para las partes involucradas con los resultados de la prueba de penetración de aplicaciones, además de recomendaciones de expertos para abordar los puntos débiles.

Nuestros servicios de pruebas de penetración internas analizan en profundidad sus redes internas, trazando los permisos de acceso y detectando las debilidades ocultas del sistema. El objetivo de esta prueba es garantizar que el error de un empleado o una acción malintencionada no afecten la confidencialidad ni la integridad de sus sistemas.

Para nuestras pruebas de penetración externas, usamos las mismas herramientas y metodologías que usan los operadores que representan una amenaza real en todo el mundo. Nuestro objetivo es obtener acceso no autorizado a la información confidencial de los empleados, los clientes, los socios o la organización.

Cuando se completa el análisis, ofrecemos un informe adecuado para las partes involucradas con los resultados de la prueba de penetración, además de recomendaciones de expertos para abordar las debilidades en los recursos de seguridad internos o externos.

Aplicamos nuestra metodología de prueba integral de Internet de las Cosas, basada en OWASP, para realizar una auditoría completa de los recursos de seguridad de cualquier dispositivo con IoT. Cuando se realizan pruebas en dispositivos con IoT, asumimos el rol de una parte maliciosa e intentamos sabotear los controles de seguridad usados por el fabricante. Nos enfocamos en identificar las vulnerabilidades que amenazan la confidencialidad, la integridad y la disponibilidad del dispositivo con IoT.

Cuando realizamos una prueba de penetración de Internet de las Cosas, analizamos los cuatro vectores posibles de ataque a los que suelen dirigirse los operadores con malas intenciones:

• Ataques contra el dispositivo
• Ataques contra la red
• Ataques contra los servidores
• Ataques contra la comunicación inalámbrica

Se explora cada uno de estos vectores de ataque para garantizar que haya controles de seguridad adecuados para detectar, mitigar y auditar correctamente el acceso. Cualquiera de estos vectores de ataque podría permitir que se filtrara o alterara la información confidencial.

Probamos la seguridad de la cadena de bloque antes de que las compañías inviertan tiempo y recursos en desarrollar o implementar sistemas de cadenas de bloques.

Nuestras pruebas de seguridad de las cadenas de bloques están diseñadas para evaluar cada uno de sus aspectos, desde el diseño del sistema y las políticas hasta la seguridad, para garantizar la confidencialidad, disponibilidad e integridad de toda la cadena.

El fin de nuestros servicios de simulacros de ataque (Red Team) es proporcionar a nuestros clientes una evaluación en tiempo real de los recursos de seguridad, alertar sobre cualquier debilidad que se descubra y ofrecer asesoramiento para resolver esos problemas.

Mediante nuestros servicios de simulacros de ataque ayudamos a mejorar la preparación general de una organización, ofrecemos recomendaciones para la recuperación a cargo de profesionales del área de defensa, inspeccionamos los niveles de rendimiento actuales y medimos los controles de seguridad de la compañía durante un período más largo que el de las típicas pruebas de penetración. Al combinar varios de nuestros servicios con nuestra oferta de simulacros de ataque, brindamos la solución más completa para mejorar los recursos de seguridad en general.

Nuestras evaluaciones de amenazas internas abordan las amenazas que representan ciertos recursos o personas con información privilegiada que gozan de confianza. Independientemente de si es un empleado con malas intenciones, un contratista falso o un usuario honesto que fue víctima de un ataque de malware o phishing sofisticado, este servicio analiza las debilidades y posibilidades de actividades maliciosas​​​​​​​ desde la perspectiva de un usuario que ya tiene acceso al entorno.

Las evaluaciones de amenazas internas están diseñadas para probar los controles de seguridad ya implementados, verificar el rigor de las configuraciones de seguridad, identificar áreas de controles de acceso poco estrictos y poner a prueba los mecanismos de defensa implementados para detectar y responder a los abusos.

Como parte de nuestra evaluación de amenazas internas, realizaremos lo siguiente:

• Intentar obtener acceso local al dispositivo proporcionado por la empresa
• Intentar identificar datos confidenciales dentro de repositorios de datos que deberían estar protegidos
• Intentar exfiltrar datos
• Intentar eludir los controles de seguridad mediante VPN no autorizadas, reconfiguración de los controles de seguridad o cualquier otro medio disponible para el usuario
• Intentar utilizar herramientas de ataque a la seguridad sin detección
• Evaluar el riesgo y el impacto de brindar acceso limitado a los empleados a datos confidenciales, recursos clave y la infraestructura de TI en general

Obtenemos y usamos el mismo nivel de acceso que se proporciona a proveedores externos para intentar eludir los controles de seguridad con la conectividad proporcionada y simular la actividad de un tercero con malas intenciones o un proveedor afectado.