Nuestros clientes nos piden un informe de prueba de penetración de red, ¿qué se comprueba exactamente en nuestra infraestructura durante este proceso?

¿En el formulario de seguridad que te mandaron los clientes piden exactamente prueba de "red externa" o de "red interna"? Las grandes empresas a veces envían plantillas estándar sin mirar. Si tus endpoints de API y servicios web que manejan datos de clientes están solo en servidores en la nube, puedes dejar fuera la red de la oficina y reducir costes.

Lo básico que van a revisar: puertos SSH y RDP dejados abiertos, algoritmos de cifrado del servidor VPN, fallos de transferencia de zona DNS y software de servidor web desactualizado. Los auditores no te van a tirar el sistema; si encuentran un fallo, le hacen una captura de pantalla para demostrarlo y paran ahí antes de escalar privilegios o ponerse a leer datos.

El año pasado nos vimos en una situación parecida y pagamos 180.000 RUB por una infraestructura de 4 servidores en Moscú. La prueba duró 4 días laborables y tardaron 3 días en entregar el informe. Encontraron 2 fallos de autorización de nivel medio y una librería sin actualizar. Aplicamos los parches, pasamos el re-test y el cliente nos aprobó el informe sin pegas.

Ojo con los que dan presupuestos de 50.000 a 70.000 RUB. La mayoría se limita a pasar un escáner automático de vulnerabilidades y te encasquetan el PDF tal cual sale. Los auditores de seguridad de los clientes corporativos cazan esos escaneos superficiales al vuelo y los rechazan.

Antes de firmar el contrato, deja por escrito estos tres puntos sí o sí: 1) Que las pruebas se hagan fuera del horario laboral y coordinadas con vuestros planes de respaldo, 2) Notificación urgente sin espera si descubren una vulnerabilidad crítica, y 3) Un re-test gratuito durante los 30 días posteriores al cierre de los fallos.

antes de empezar el test haced snapshot de respaldo de todos los servidores virtuales si o si... y los dias q haya pruebas no subais actualizaciones grandes ni codigo nuevo a producción q si no se mezclan los logs de trafico.

Te vendrá bien pedir las certificaciones del equipo auditor. Que el personal técnico cuente con acreditaciones internacionales en hacking ético o seguridad de redes facilitará que el comité de seguridad de la información de tu cliente apruebe el informe sin poner trabas.

Tomo nota gracias.

A nosotros nos pasó esto. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Antes de decidir, mirad qué datos tenéis en la mano. Comprobado por experiencia.

Tema muy oportuno.

Aquí hay que hacer una distinción. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Por supuesto, cambia si tu situación es diferente.

Dejo una advertencia. Una copia de seguridad no probada no es una copia de seguridad.

Intentar hacerlo solo es la vía más cara. Yo seguiría por ese camino.

¿Podría ampliar un poco esto? La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Eso es todo, disculpa si me he extendido demasiado.

Tiene razón. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Estoy totalmente de acuerdo. El tiempo que tardas en detectar un problema determina directamente su coste.

Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Yo también tengo curiosidad. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

El tiempo que tardas en detectar un problema determina directamente su coste. Lo dejo como nota, por si sirve.

Yo pasé por esto, déjenme contarlo. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Comprobado por experiencia.

Soy una pequeña empresa, os lo cuento desde mi lado. Que todo el mundo haga algo no significa que sea lo correcto.