Nos dijeron que tenemos que hacer un pentest, ¿qué es y de verdad hace falta?

El escaneo de vulnerabilidades mira tu sistema y te dice que la cerradura de la puerta es vieja. El pentest abre esa cerradura con una ganzúa, entra, intenta abrir la caja fuerte y mete un dato falso de prueba en el informe como evidencia. Tu cliente lo que quiere es ese informe con evidencias.

¿Qué pone exactamente en el contrato de tu cliente? A veces piden pentest de caja gris, a veces con un test de red externa basta. No pidas presupuestos sin aclarar el tipo de test, vas a estar pagando por servicios fuera de alcance para nada.

El año pasado tuvimos un caso igual. Le encargamos el pentest a un freelance en Turín solo para la API externa y la interfaz de login de clientes. Nos facturaron 3.200 EUR por 3 días de trabajo y el cliente aceptó el informe al momento.

Hay mucho consultor por ahí vendiendo la moto con pasar un escáner automático y entregar un PDF de 40 páginas como si fuera un pentest. Al pedir presupuesto exijo siempre un informe de ejemplo y qué metodología manual van a seguir, no tiréis el dinero en informes vacíos.

No firméis ningún presupuesto a la primera. Sentaos primero con el sysadmin y preparad un documento de alcance: ¿cuántas páginas estáticas, cuántos formularios dinámicos cuántos endpoints de API se van a probar? Pasadle esa lista a tres empresas distintas y veréis cómo baja el precio.

Resulta de crítica importancia legal firmar un acuerdo de confidencialidad exhaustivo con la parte ejecutora y acordar por escrito el horario de las pruebas para no interrumpir la operativa del negocio.

nosotros tb pensaamos q era un gasto inutil al principio pero en el informe salio q se podia entrar al panel de contabilidad sin permiso luego duele al bolsillo si pero mejor eso q perder un cliente o q te roben datos.

Me han quedado claras las dudas, gracias.

Totalmente. Si tuviera que añadir algo más: No confíes en una sola medida; ve capa por capa.

Que todo el mundo haga algo no significa que sea lo correcto. Si escribís el resultado aquí, también servirá de ayuda a otros.

Tomo nota, gracias.

Tiene razón. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Ha sido una buena idea abrir este hilo.

Estoy siguiendo esto. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Espero que le sea útil.

Tema muy oportuno.

Buen trabajo.

Separemos los conceptos se están confundiendo. Lo importante no es la cifra, sino en qué se basa esa cifra.

Espero que le sea útil.

este enfoque tiene un coste, y no se habla de ello. o sea antes de decidir, mirad qué datos tenéis en la mano.

tambiién me gustaría saber si alguien lo hace de otra manera.

Aquí hay una trampa, no puedo dejar de mencionarla. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola. Ánimo.