Auditorías y pentesting
Hacemos auditorías de seguridad y pentesting sobre webs, infraestructura, API, cloud y contenedores, siguiendo metodologías públicas (OWASP WSTG y MASVS, OSSTMM, NIST SP 800-115) para que puedas comprobar qué se ha probado y qué no. El informe prioriza por riesgo explotable de verdad, con la prueba de concepto y la corrección concreta, e incluye un retest cuando hayas arreglado las cosas.
Última actualización:
Qué auditamos
Pentesting web y de API
Aplicaciones, portales y servicios expuestos: autenticación, autorización, lógica de negocio, inyección y configuración.
Infraestructura, cloud y contenedores
Perímetro, servicios expuestos, segmentación, permisos del proveedor cloud e imágenes de contenedor.
Phishing e ingeniería social
Campañas controladas y autorizadas para medir qué pasa de verdad, con el objetivo de formar y no de señalar a nadie.
El proceso
Alcance y autorización
Qué entra, qué queda fuera, cuándo y con qué límites. Por escrito y firmado antes de lanzar la primera petición.
Reconocimiento y análisis
Inventario de la superficie expuesta y búsqueda de puntos débiles, con herramientas y a mano.
Explotación controlada
Confirmamos lo que es explotable de verdad, sin tocar datos de producción ni degradar el servicio.
Informe, debrief y retest
Informe priorizado con prueba de concepto y corrección concreta, sesión para resolver dudas y una segunda pasada cuando lo hayas arreglado.
Nuestro compromiso
Sin hallazgos inflados
Un informe con sesenta incidencias de las que cincuenta son cabeceras ausentes no ayuda a nadie: oculta las tres que importan. Priorizamos por riesgo explotable en tu contexto y lo demás va en un anexo, no en el resumen ejecutivo.
Metodología pública
OWASP WSTG para web, OWASP MASVS para móvil, OSSTMM y NIST SP 800-115 para infraestructura. El informe indica qué pruebas se hicieron y cuáles no, para que sepas qué cobertura has comprado.
Evidencias bajo control
NDA firmado, evidencias cifradas y destrucción documentada de todos los artefactos de prueba al terminar. Nada tuyo se queda en nuestros sistemas más allá del periodo acordado.
Cuéntanos qué quieres auditar
Una web, una API, todo el perímetro o una aplicación concreta. Te respondemos con una propuesta, la metodología y un precio realista.
o escríbenos a info@esdis.es