Nos pidieron un test de penetración: ¿qué diferencia hay con una prueba de intrusión y cuál me conviene hacer?

La táctica clásica del sector: si lo pones en español son 35 mil liras, si usas el término en inglés son 65 mil. Si le meten también "ethical hacking" redondean la factura a 100 mil seguro. Yo saldría corriendo de ese proveedor.

La diferencia real en el sector es entre escaneo automatizado y explotación manual. El escaneo usa herramientas automáticas para rastrear puertos y sacar un reporte. En la prueba de penetración, un hacker ético intenta explotar cada vulnerabilidad hallada. Tu cliente va a querer sí o sí el informe con verificación y escalada de privilegios.

¿Qué norma o estándar exige exactamente el pliego de condiciones de tu cliente? Normalmente las grandes corporaciones exigen pruebas de intrusión certificadas por TSE o bajo una metodología concreta. Además, ¿cuántas IP externas y servidores internos van a auditar?

Pasamos por una auditoría de proveedores parecida. Contratamos la prueba para 16 IP externas y 2 portales web. Pagamos 38.000 TL, tardaron 4 días laborables y nos entregaron un informe técnico de 32 páginas con evidencias. La empresa principal lo aprobó sin problemas.

Hagan estas tres preguntas a las nuevas empresas que consulten: 1) ¿Incluye verificación manual? 2) ¿Cuál es el número exacto de sistemas en el alcance? 3) ¿Hacen re-test gratuito tras corregir los hallazgos? Avancen solo con quien responda con claridad.

son exactamente lo mismo amigo. le han puesto precios distintos solo xq uno suena mas tecnico ni se te ocurra pagar la cifra mas alta. pide presupuesto a otras dos empresas y veras a q me refiero.

Ojo a esto al recibir el informe: al terminar la prueba te dan entre 15 y 30 días para arreglar las vulnerabilidades. Una vez solucionadas, la empresa debe volver a comprobar y emitir un informe final de cierre. Asegúrate de que esa reevaluación esté incluida en el precio inicial.

¿Hay algún riesgo de que los sistemas de la empresa se caigan o se pare la producción drante el test? si se nos bloquea el servidor de contabilidad nos quedamos sin poder emitir ni una factura.

Si no me equivoco, quieres decir esto: Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Si la verificación en dos pasos está activa una contraseña robada no sirve de nada por sí sola. Esta es mi opinión no lo escribo como una verdad absoluta.

Gracias, me ha servido de mucha ayuda. Ningún proceso mejora si no se registran datos porque no sabes qué tienes que arreglar.

La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí. Esta es mi opinión, no lo escribo como una verdad absoluta.

Ha sido una buena idea abrir este hilo.

Estoy de acuerdo... Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Lo dejo como nota, por si sirve.

Estoy de acuerdo. pues ningún proceso mejora si no se registran datos porque no sabes qué tienes que arreglar.

Cuanto más difícil sea revertir una decisión más despacio debéis tomarla. Si tenéis dudas escribid os responderé en la medida de lo posible.

Llevé mucho tiempo con este asunto. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Este hilo es para archivar. No confíes en una sola medida; ve capa por capa.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Voy a defender lo contrario, no se molesten. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

También me gustaría saber si alguien lo hace de otra manera.

Creo que es difícil hablar con tanta claridad sobre que es test de penetracion. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Lo dejo como nota, por si sirve.

Voy a resumir el tema, porque se han dado varias respuestas diferentes... Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.