Pruebas ofensivas

Pentesting manual por superficie

Descubrimiento de exposición, pentesting por línea de negocio, infraestructura y cloud, y escenarios de alta criticidad — siempre con modalidad negra, gris o blanca según el SOW.

Modalidades

De la caja negra a la blanca crece la información que compartes, el tiempo de ejercicio dedicado y, en conjunto, el coste relativo frente a un mismo alcance cerrado.

Caja negra

Mínimo contexto interno: superficie y reglas acordadas; el equipo reconoce y valida sin credenciales privilegiadas.

Información compartida

Tiempo de ejercicio

Coste relativo

Caja gris

Contexto parcial: cuentas de bajo privilegio, segmentos o documentación acotada para acelerar pivotes con control.

Información compartida

Tiempo de ejercicio

Coste relativo

Caja blanca

Máximo contexto: arquitectura, código o credenciales según política; profundidad y coordinación alineadas al alcance cerrado.

Información compartida

Tiempo de ejercicio

Coste relativo

Los importes y calendario concretos se fijan en propuesta tras el briefing; la escala es orientativa de esfuerzo relativo, no una tarifa publicada.

Exposición y reconocimiento

Antes de simular el ataque: inventario de lo visible desde fuera y priorización para el alcance del pentest.

Evaluación de superficie de ataque (ASM)

Inventario y priorización de lo expuesto a Internet antes o en paralelo al pentest.

Identificación de activos expuestos
Análisis de exposición pública

Típico: negra u OSINT acotado al alcance

runbook · asm

fortress@engagement:~$ assetmap --perimeter agreed_scope.json

hosts_discovered: 42 · tls_anomalies: 2

exposure_rank: HIGH svc-REDACTED:443

risk: exposure_map → pentest backlog updated

Secuencia ilustrativa bajo alcance acordado

Qué cubre: Subdominios, servicios y aplicaciones expuestos, certificados y huella digital acotada al perímetro acordado.
Entregables típicos: Lista priorizada por riesgo, duplicados y sombra IT cuando aplique; base para decidir dónde profundizar en pruebas.
Supuestos / modalidad: Sin credenciales internas; límites legales y éticos fijados por escrito en el SOW.

Superficies de negocio

Pentesting manual sobre aplicaciones, APIs y clientes móviles con foco en lógica de negocio.

Línea frecuente

AppSec y stack moderno

Web, APIs REST/GraphQL y móvil iOS/Android con foco en lógica de negocio.

Aplicaciones web
APIs REST / GraphQL
Autenticación y sesiones
Lógica de negocio
iOS y Android

Típico: negra a blanca según alcance

runbook · appsec

fortress@engagement:~$ surface_scan --auth-flow checkout

routes: 200=184 · 301=12 · 401=9

auth_surface: expanded (session + OAuth callbacks)

next: manual business-logic probes (SOW-bound)

Secuencia ilustrativa bajo alcance acordado

Qué cubre: Aplicaciones web, APIs REST/GraphQL, microservicios expuestos y clientes móviles iOS/Android.
Entregables típicos: Mapa de superficie acordada, abuso de lógica de negocio donde aplique, hallazgos con reproducción controlada.
Supuestos / modalidad: Caja negra, gris o blanca / revisión dirigida según alcance.

¿Busca revisión en el ciclo de vida (threat modeling, código, pipelines)? Ver AppSec en el SDLC

Infraestructura y cloud

Red interna/externa, Active Directory e identidades y configuración en AWS, Azure y GCP.

Infraestructura enterprise

Red interna/externa, AD y movimiento lateral bajo reglas firmadas.

Red y segmentación
Active Directory
Servicios expuestos
Movimiento lateral

Suele ser gris o blanca

runbook · infra

fortress@engagement:~$ nmap -sV -p 1-1024 --open 10.REDACTED.0.0/24

open_tcp: 7 · smb_signing: disabled (segment A)

lateral_move: requires written RoE + window

impact_chain: documented for readout

Secuencia ilustrativa bajo alcance acordado

Qué cubre: Red interna y/o externa, segmentación, Active Directory y movimiento lateral solo bajo reglas de engagement firmadas.
Entregables típicos: Cadenas de impacto documentadas, rutas de escalada relevantes para su modelo de amenazas.
Supuestos / modalidad: Suele combinarse con caja gris o blanca para acotar riesgo operativo.

Cloud

IAM, configuración y exposición en AWS, Azure y GCP.

IAM y roles
Almacenamiento
Redes virtuales
AWS / Azure / GCP

Gris o blanca (roles de prueba)

runbook · cloud

fortress@engagement:~$ iam_policy_sim --provider aws --read-only

overprivileged_role: 1 · s3_public: 0

finding: HIGH · trust-chain via assumed-role

remediation_hint: least-privilege + SCP review

Secuencia ilustrativa bajo alcance acordado

Qué cubre: AWS, Azure y GCP: IAM, configuración, exposición de datos y superficies mal endurecidas.
Entregables típicos: Priorización por riesgo en identidades y datos; guía alineada a buenas prácticas del proveedor.
Supuestos / modalidad: Cuentas de solo lectura o roles de prueba según política del cliente.

¿Busca revisión de postura cloud o IAM/PAM sin prueba ofensiva? Ver asesoría cloud

Alta criticidad y novedad

Tecnologías emergentes, ingeniería inversa y escenarios sensibles con marco contractual estricto.

Tecnologías emergentes

IA en apps, biometría y MFA donde el marco legal lo permita.

IA en aplicaciones
Prompts y fugas de contexto
Biometría
MFA

Alcance explícito en el SOW

runbook · emerging

fortress@engagement:~$ llm_probe --context-leak --budget 50req

context_leak: possible (confidence 0.62)

legal_surface: SOW clause 4.2 required

halt: pending dual approval

Secuencia ilustrativa bajo alcance acordado

Qué cubre: Aplicaciones con componentes de IA (p. ej. fugas de contexto, abuso de prompts), biometría y MFA donde el marco legal y contractual lo permita.
Entregables típicos: Hallazgos acotados al diseño acordado; sin promesas fuera del alcance escrito.
Supuestos / modalidad: Requiere definición explícita de superficie y límites éticos en el SOW.

Especializado

Reversión, phishing controlado y escenarios de alta criticidad.

Ingeniería inversa
Phishing avanzado
Alta criticidad
Coordinación legal

Siempre alcance y ventanas cerradas

runbook · specialized

fortress@engagement:~$ campaign_status --phish controlled_lab

delivery: 12 · click: 2 · cred_capture: 0

PASS ethics_guard (no production harvest)

evidence_pack: sealed for legal review

Secuencia ilustrativa bajo alcance acordado

Qué cubre: Ingeniería inversa de binarios, campañas de phishing avanzado en entorno controlado y escenarios de alta criticidad previa autorización.
Entregables típicos: Evidencia reproducible y orientación para remediación; coordinación estrecha con su equipo legal y de seguridad.
Supuestos / modalidad: Siempre bajo alcance explícito y ventanas de tiempo definidas.

Enfoque manual Solicitar briefing