Test de intrusión

Test de intrusión

La mejor forma de estudiar la seguridad de los sistemas frente a un ataque es somoterse a uno, pero de forma controlada y con ética. En este tipo de análisis, además de descubrir las vulnerabilidades presentes en los equipos, se procede a la explotación de las mismas con el objetivo de evaluar las repercusiones reales de cada una de ellas y su peligrosidad específica en su entorno.

A2SECURE ofrece servicios de Pentesting/test de intrusión, trabajando de manera acorde a las normativas, como lo son el OSSTM, OWASP, PCI-DSS, NIST, así como otros marcos.

¿Por qué?

Ya sea por política de empresa, para cumplir con una normativa existente como PCI-DSS o simplemente por conocer con exactitud el estado de seguridad de nuestra infraestructura, la ejecución de un pentesting/test de intrusión, permite hacernos a la idea del estado de nuestra seguridad y establecer un plan de mejora para mitigar riesgos que ha quedado demostrado que existen, ya que han sido explotados.

¿Cómo?

Un pentesting/test de intrusión es una actividad de descubrimiento de vulnerabilidades y explotación de las mismas con el objetivo de valorar con exactitud el alcance del problema. Es decir, encontrar vías de fuga de información; acceso a zonas restringidas de forma no autorizada, etcétera.
Esta actividad se puede afrontar a través de diferentes perspectivas, las cuales dan menos o más facilidad al equipo de pentester en función del acceso a la información inicial que proporcione el cliente. Los distintos tipos de pentesting/test de intrusión son «caja negra», «caja gris», y «caja blanca».
Las validaciones a realizar en este tipo de proyectos dependen del alcance del mismo, pudiendo incluir entre otros:

• Verificaciones de las reglas de FW.
• Análisis de segmentación.
• Descubrimiento y explotación de vulnerabilidades de Sistemas.
• Descubrimiento y explotación de vulnerabilidades de Aplicación.
• Revisión de código.
• Password cracking (descifrado de contraseñas).
• Descubrimiento de usuarios y suplantación.
• Etc.

Siempre trabajamos estrechamente con el cliente informándole en todo momento de nuestras acciones y de nuestros descubrimientos. Para nosotros, más cerca significa mejor para entender y ayudar a nuestros clientes.

Resultados y beneficios

Los servicios de test de intrusión son proyectos hechos a medida para nuestros clientes. De esta manera, nuestro trabajo empieza donde el cliente necesita y termina del mismo modo, ya sea con:

• Informe de resultados técnicos.
• Informe a nivel ejecutivo.
• Reuniones / workshop de resultados.
• Sesiones de formación orientadas a entender los fallos detectados.
• Soporte en periodo de remediación.
• Validación de remediaciones.

El beneficio de este tipo de servicio es conocer qué opciones reales hay de atacar a nuestros sistemas antes que esto realmente ocurra. Este conocimiento nos permite avanzarnos y poner solución corrigiendo las causas de los ataques.