Hacking Ético · Penetration Test · OSSTMM, ISSAF, PTES

Test de Intrusión

No hay una mejor forma de probar la fortaleza de los sistemas de seguridad que atacarlos. El objetivo del Test de Intrusión / Penetration Test es evaluar el estado de los sistemas frente a ataques de tipo intrusivo.

Planificación
Definición del ámbito y sistemas a auditar
Auditoría
Ataques controlados siguiendo metodologías OSSTMM, ISSAF y PTES
Documentación
Informe ejecutivo y técnico con clasificación CVSS
El servicio

¿Qué es un Test de Intrusión?

Un test de intrusión es un ataque simulado y autorizado contra un sistema informático, red o aplicación para encontrar fallos de seguridad antes de que los delincuentes los aprovechen.

En Internet Security Auditors, los servicios de Hacking Ético son objetivos y siguen los mismos pasos que seguiría un atacante que intentase vulnerar los sistemas de la empresa. Por eso, nuestros profesionales auditan los sistemas de seguridad desde el punto de vista de posibles ataques externos por parte de hackers con intenciones malévolas.

La mejor manera de realizar esta evaluación es mediante ataques controlados sobre los sistemas, que pueden llevarse a cabo de forma remota (desde las instalaciones de Internet Security Auditors) o desde las instalaciones del cliente, según los objetivos buscados y el ámbito de la auditoría.

Un Test de Intrusión se compone de las siguientes fases:

Planificación
Definición e identificación de los sistemas a auditar.
Auditoría
Realización de las pruebas que se llevan a cabo de forma progresiva hasta conseguir la intrusión y, una vez conseguida, escalado en los sistemas.
Documentación
Redacción de todos los resultados obtenidos.
Nuestros servicios

Cómo trabajamos

Para realizar estos ataques se utilizarán tanto técnicas, como herramientas de hacking. Las herramientas serán las mismas que las utilizadas en el mundo underground por los propios hackers para realizar los ataques, así como herramientas creadas por el equipo técnico de Internet Security Auditors para realizar los Test de Intrusión y, que han sido elaboradas a partir de las pautas definidas en los estándares OSSTMM, ISSAF y PTES.

01Análisis de la Información Pública
El éxito de una intrusión depende, en gran medida, del nivel de conocimiento que dispone el atacante sobre los sistemas objetivo. Es decir, cuanta más información, detallada y precisa disponga, mayor probabilidad de conseguir su propósito. Para ello se realizarán análisis de las webs corporativas, metadatos, redes sociales, ofertas de trabajo, listas negras y reputación, foros y webs externas a la entidad. Y búsquedas en Internet de información relacionada con la entidad, marca o servicio entre otros datos:
  • Análisis de webs corporativas.
  • Análisis de metadatos.
  • Análisis de redes sociales.
  • Análisis de ofertas de trabajo.
  • Análisis de listas negras y reputación.
  • Análisis de foros y webs externas a la entidad.
  • Análisis de otras fuentes de información.
02Análisis de Seguridad a Nivel de Red
El análisis de la red consiste en la recolección de datos y la obtención de información y políticas de control de los sistemas analizados, con el objetivo de obtener la máxima información acerca de los componentes hardware y software, así como sobre la disposición de todos estos elementos. Para realizar este análisis de la red se seguirán los siguientes pasos:
  • Sondeo de red.
  • Mapa de red.
  • Escaneo de puertos.
  • Identificación de servicios.
  • Identificación de sistemas operativos.
03Análisis de Seguridad a Nivel de Sistemas
La detección de vulnerabilidades se realiza tanto de forma automática como de forma manual y, en ambos casos, se lleva a cabo una fase de validación de las vulnerabilidades identificadas para descartar falsos positivos.

Para realizar este análisis de los sistemas se ejecutan las siguientes actuaciones:
  • Análisis de actualizaciones.
  • Análisis de Configuraciones.
  • Identificación de vulnerabilidades no publicadas.
  • Análisis de sistemas de autenticación.
04Análisis de Seguridad a Nivel de Aplicaciones
El análisis a nivel de aplicación está limitado a aquellas aplicaciones accesibles desde Internet, y sigue la filosofía de caja negra. Es decir, no se dispone de información privilegiada sobre la aplicación (como credenciales de autenticación) y no se incluye en el alcance el análisis del código fuente de la aplicación. El motivo de esta metodología de trabajo es la de simular la actuación real de un atacante que, a través de las aplicaciones auditadas y sin disponer de información sobre las mismas, intenta comprometer la seguridad de la aplicación:
  • Inventario de aplicaciones.
  • Análisis de la configuración en la infraestructura.
  • Análisis de sistemas de autenticación.
  • Análisis del esquema de autorización.
  • Análisis de la gestión de sesiones.
  • Análisis del mecanismo de validación de datos.
05Análisis de los Sistemas de Seguridad
En muchas ocasiones, estos dispositivos y herramientas pueden no encontrarse debidamente configurados y/o monitorizados, con lo que su efectividad puede verse reducida en gran medida. Entre estos sistemas de seguridad, se analizarán los siguientes:
  • Análisis de Firewalls.
  • Análisis de WAF (Web Application Firewall)
  • Detección e identificación del WAF.
  • Análisis del comportamiento del WAF frente a distintos ataques.
  • Evasión del WAF.
  • Análisis de IDS / IPS.
  • Análisis de Antivirus/ Antimalware.
06Resultados
  • Resumen ejecutivo de alto nivel con la clasificación de los resultados.
  • Detalle de todas las pruebas realizadas especificando su objetivo.
  • Resultados obtenidos en los diferentes test que se han realizado con descripciones paso a paso del proceso de detección y explotación de cada vulnerabilidad.
  • Recomendaciones que permitan solucionar de la forma más acertada los problemas de seguridad encontrados.
  • Clasificación de los problemas de seguridad según su nivel de peligro, incluyendo valores CVSS. Esto permitirá a la empresa poder elaborar un plan de actuación eficiente para resolver estos problemas de seguridad.
  • Reunión orientada a explicar los resultados obtenidos en la auditoría y asesorar sobre las posibles soluciones que existan para los problemas de seguridad encontrados.
Servicios Relacionados
Test de Intrusión Interno Test de Intrusión WiFi Test de Intrusión Cloud Seguridad de Aplicaciones Ejercicios Red Team

Alcance del servicio

Qué engloba este servicio

Información pública

Análisis de webs corporativas, metadatos, redes sociales, ofertas de trabajo, listas negras, reputación y foros externos para recopilar información sobre la entidad.

Seguridad de red

Sondeo de red, mapa de red, escaneo de puertos, identificación de servicios y sistemas operativos para obtener la máxima información de los componentes.

Seguridad de sistemas

Análisis de actualizaciones, configuraciones, vulnerabilidades no publicadas y sistemas de autenticación, con validación manual para descartar falsos positivos.

Seguridad de aplicaciones

Inventario de aplicaciones, análisis de autenticación, autorización, gestión de sesiones y validación de datos siguiendo la filosofía de caja negra.

Sistemas de seguridad

Análisis de Firewalls, WAF (detección, comportamiento y evasión), IDS/IPS y soluciones Antivirus/Antimalware para validar su efectividad real.

Resultados y documentación

Resumen ejecutivo, detalle técnico de cada vulnerabilidad con clasificación CVSS, recomendaciones priorizadas y reunión de presentación de resultados.

Lo que dicen nuestros clientes

Organizaciones que confían en nosotros

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.

Ricardo Andrés Cárdenas Galvis
Of. Seguridad de la Información · Neurona

El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.

CISO
RACC

En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.

Yulian Colmenares
Of. Seguridad de la Información · Outsourcing SAS BIC

Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

Andrés Mejía
Head of GRC · Payválida

Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…

Victoria Villarreal Palazón
Vice-Rector & Associate VP CFO · Saint Louis University

Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.

Francisco Tébar Prada
CFO Southern Europe · Fleurop - Interflora España

Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.

Sergio Sainz de la Maza
CISO · Intaremit

En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.

Marcos Montes de Oca
CIO · Grupo Arbulu

Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

Miguel Acosta
Global CEO · Beruby

En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.

Nestor Ivan Melo Ballen
Director de Ciberseguridad · Grupo AR

FAQ

Preguntas frecuentes

¿Qué diferencia hay entre un Test de Intrusión externo e interno?

El test externo simula un atacante desde Internet, sin acceso a la red interna, evaluando la seguridad del perímetro y las aplicaciones expuestas. El test interno se realiza desde dentro de la red corporativa, simulando un atacante que ya ha conseguido acceso o un empleado malintencionado.

¿Se pueden realizar las pruebas en sistemas en producción?

Sí. Las pruebas se realizan de forma controlada y progresiva, definiendo previamente con el cliente las reglas de compromiso y las ventanas de ejecución para minimizar cualquier impacto en los servicios productivos.

¿Qué metodologías se siguen?

Seguimos las metodologías reconocidas OSSTMM (Open Source Security Testing Methodology Manual), ISSAF (Information Systems Security Assessment Framework) y PTES (Penetration Testing Execution Standard), complementadas con herramientas propias del equipo técnico de Internet Security Auditors.

¿Con qué frecuencia se debería realizar un Test de Intrusión?

La frecuencia recomendada depende del contexto de la organización. Como mínimo se recomienda una vez al año, aunque normativas como PCI DSS exigen pruebas trimestrales de escaneo de vulnerabilidades y un test de intrusión anual. Ante cambios significativos en la infraestructura se recomienda repetir las pruebas.

¿Qué entregables se reciben tras el Test de Intrusión?

Se entrega un informe completo que incluye: resumen ejecutivo de alto nivel, detalle técnico de todas las pruebas realizadas, evidencias del proceso de detección y explotación de cada vulnerabilidad, clasificación por criticidad con valores CVSS, recomendaciones de remediación priorizadas y una reunión de presentación de resultados.

Contacto

¿Necesitas evaluar la seguridad de tus sistemas?

Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.

Oficinas
Barcelona, Madrid, Bogotá
R
Ricardo Andrés Cárdenas
Hace 2 meses

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.

A
Andrés Mejía
Hace 3 meses

Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

V
Victoria Villarreal Palazón
Hace 4 meses

Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.

M
Miguel Acosta
Hace 5 meses

Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

S
Sergio Sainz de la Maza
Hace 6 meses

Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.

Solicitar información

Nos pondremos en contacto contigo lo antes posible.
Presencia Global

Nuestras oficinas

Barcelona

C. Santander, 101. Edificio A-2
E-08030 Barcelona (España)

+34 93 305 13 18
Madrid

C. Arequipa, 1
E-28043 Madrid (España)

+34 91 763 40 47
Bogotá

Transversal 22 # 98-82, Ed. Porta 100 Of. 1003
110221 Bogotá (Colombia)

+57 601 638 68 88
25
años de experiencia en ciberseguridad
Contacta con nosotros