Ciberseguridad · Pruebas

La capa web avanza en cuatro niveles de profundidad. La profundidad que se aplica depende de su objetivo y alcance.

• 47

  Escaneo de puertos abiertos

  Hacemos una lista de las puertas (puertos) que tiene abiertas a Internet e identificamos cuáles quedaron abiertas sin motivo.

• 48

  Detección de servicios y versiones

  Identificamos qué software, en qué versión, se ejecuta en cada puerto abierto; una versión antigua suele significar una vulnerabilidad conocida.

• 49

  Correspondencia de vulnerabilidades (CVE)

  Comparamos las versiones de servicios que encontramos con vulnerabilidades conocidas y las clasificamos por riesgo.

• 50

  Comprobación de firewall

  Verificamos desde el exterior que su firewall solo deja pasar el tráfico que debe.

• 51

  Escaneo detallado de puertos (incluido UDP)

  Escaneamos el rango completo de puertos, incluidos los servicios UDP que a menudo se pasan por alto, para encontrar servicios que quedaron ocultos.

• 52

  Análisis profundo de SSL/TLS por servicio

  No solo su sitio web: también examinamos una por una las configuraciones de cifrado del correo electrónico, la VPN y otros servicios.

• 53

  Credenciales predeterminadas

  Comprobamos si dispositivos como routers, cámaras, impresoras y servidores siguen usando los nombres de usuario y contraseñas de fábrica.

• 54

  Seguridad del servidor de correo

  Comprobamos si su servidor de correo puede ser usado por otros para enviar spam y si permite conexiones sin cifrar.

• 55

  Transferencia de zona DNS

  Comprobamos si su servidor DNS entrega todos los registros de su dominio a cualquiera que los solicite.

• 56

  Análisis de segmentación de red interna

  Comprobamos que su red esté dividida en segmentos adecuados, por ejemplo, que no se pueda acceder al servidor de contabilidad desde la red de invitados.

• 57

  Seguridad de VPN y acceso remoto

  Comprobamos si los puntos de acceso remoto están actualizados, usan una autenticación fuerte y están libres de vulnerabilidades conocidas.

• 58

  Escaneo de errores de configuración

  Buscamos ajustes en servidores y dispositivos de red que sean incorrectos o que se hayan dejado demasiado abiertos.

• 59

  Análisis de encadenamiento de vulnerabilidades

  Evaluamos hasta qué punto podría volverse grave un ataque cuando varias vulnerabilidades que parecen menores por separado se usan una tras otra.

• 60

  Validación controlada de vulnerabilidades

  Demostramos que una vulnerabilidad que hemos encontrado puede explotarse realmente, sin dañar sus sistemas y dentro de los límites que usted permita; así descartamos falsas alarmas.

• 61

  Análisis de compartición de archivos (SMB)

  Comprobamos si las carpetas compartidas están abiertas a personas no autorizadas y si el servicio de compartición tiene vulnerabilidades conocidas.

• 62

  Análisis del servicio SNMP

  Comprobamos si el servicio SNMP que gestiona dispositivos de red divulga información de los dispositivos mediante ajustes de acceso predeterminados.

• 63

  Seguridad de Active Directory

  Examinamos ajustes débiles y rutas de privilegios en la gestión de usuarios y permisos de Windows (Active Directory) que podrían llevar a que se tome el control de toda la red.

• 64

  Seguridad de escritorio remoto (RDP)

  Comprobamos si el acceso de escritorio remoto está abierto a internet, si está actualizado y si está protegido contra intentos de adivinar contraseñas.

• 65

  Seguridad de VoIP y SIP

  Comprobamos si su sistema telefónico por internet está protegido contra la escucha, el uso indebido y el fraude de llamadas de pago.

• 66

  Seguridad de IPv6

  Comprobamos si los servicios cerrados en IPv4 siguen abiertos a través de direcciones IPv6 más recientes.

• 67

  Evaluación de concienciación sobre correo electrónico

  Medimos cómo de bien su personal reconoce los correos electrónicos sospechosos.

• 68

  Cumplimiento de la protección del correo electrónico corporativo

  Comprobamos si la protección de su correo electrónico corporativo contra la suplantación, el phishing y los adjuntos maliciosos sigue buenas prácticas.

• 69

  Fuga de información de fuentes abiertas (OSINT)

  Averiguamos cuánta información útil para un atacante está disponible sobre su empresa y su personal en fuentes públicas.

• 70

  Simulación controlada de phishing

  Con su aprobación previa, enviamos correos electrónicos falsos inofensivos y medimos cuántas personas hacen clic en el enlace o introducen datos. Nadie es sancionado; el objetivo es la formación.

• 71

  Revisión de la política de contraseñas y la autenticación multifactor

  Revisamos sus reglas de contraseñas y si un segundo paso de verificación (MFA) está activado para las cuentas críticas.

• 72

  Análisis en profundidad de OSINT y redes sociales

  Descubrimos los escenarios dirigidos que un atacante podría construir a partir de las redes sociales y los perfiles públicos de los empleados clave.

• 73

  Campaña integral de phishing

  Ejecutamos un programa de phishing medido en varias oleadas con diferentes escenarios e informamos del progreso a lo largo del tiempo.

• 74

  Ingeniería social por teléfono (vishing)

  Con su aprobación por escrito, comprobamos si un llamante que se hace pasar por otra persona puede obtener información o acciones por parte de su personal.

• 75

  Concienciación sobre seguridad física

  Evaluamos la concienciación de su personal sobre riesgos físicos como el acceso no autorizado a la oficina, los documentos dejados en los escritorios y las pantallas sin bloquear.

• 76

  Informes y recomendaciones de formación del personal

  Informamos de los resultados sin culpar a personas y recomendamos temas y frecuencia de formación adecuados a su equipo.

• 77

  Detección de dominios similares y falsos (typosquatting)

  Detectamos dominios falsos que se parecen mucho al suyo y que se registraron para engañar a sus clientes.

• 78

  Comprobación de contraseñas filtradas y brechas de datos

  Comprobamos si las direcciones de correo electrónico de su empresa han circulado junto con contraseñas en brechas de datos pasadas.

• 79

  Fuga de metadatos de documentos

  Escaneamos los PDF y documentos de oficina publicados en su sitio para detectar detalles ocultos que quedaron dentro, como nombres de usuario, versiones de software y rutas de carpetas.

• 80

  Análisis de fugas en repositorios de código corporativos

  Buscamos en repositorios de código públicos código, contraseñas o claves pertenecientes a su empresa que puedan haberse filtrado.

• 81

  Auditoría de configuración en la nube

  Auditamos sus cuentas de AWS, Azure y Google Cloud con más de 600 comprobaciones que cubren permisos, registro, cifrado y ajustes de red.

• 82

  Detección de almacenamiento en la nube expuesto

  Comprobamos si el almacenamiento de archivos en la nube (buckets) se ha dejado abierto por error a todo el mundo en Internet.

• 83

  Seguridad de Kubernetes

  Revisamos los ajustes de acceso, permisos y red de su plataforma de contenedores según las directrices de configuración segura.

• 84

  Escaneo de vulnerabilidades de imágenes de contenedores

  Escaneamos las imágenes de contenedores en las que se empaquetan sus aplicaciones para detectar componentes obsoletos con vulnerabilidades conocidas.

• 85

  Análisis estático de seguridad del código fuente

  Examinamos el código sin ejecutar la aplicación y encontramos, línea por línea, los errores que conducen a vulnerabilidades.

• 86

  Análisis de vulnerabilidades de dependencias y bibliotecas

  Identificamos versiones con vulnerabilidades conocidas entre las bibliotecas prefabricadas que utiliza su código.

• 87

  Análisis de infraestructura como código (IaC)

  Detectamos configuraciones inseguras en los archivos de código que crean sus servidores y recursos en la nube, incluso antes de que esos recursos se creen.

• 88

  Escaneo de fugas de secretos y claves en repositorios de código

  Escaneamos su repositorio de código, incluido su historial, para buscar contraseñas, claves de API y datos de acceso escritos en él por error.

• 89

  Análisis de seguridad de aplicaciones Android e iOS (estático y dinámico)

  Examinamos su aplicación tanto a través de su código como mientras se ejecuta: almacenamiento de datos en el dispositivo, tráfico de red, autenticación y la protección de la propia aplicación.