Test de intrusión
El pentest de infraestructura, o test de intrusión, ataca tu red, tus sistemas y tu perímetro para encontrar por dónde entraría un adversario y hasta dónde llegaría. La diferencia está en el ritmo: en lugar de una foto una vez al año, validamos tu exposición de forma continua, porque tu infraestructura cambia cada semana y un atacante no espera a tu próxima auditoría. Encontramos el fallo, te ayudamos a cerrarlo y verificamos que de verdad queda cerrado.
Validación segura para producción: atacamos como un adversario real sin frenar tu operación.
Por qué continua
El pentest de toda la vida retrata tu seguridad un día concreto. El problema es que tu infraestructura no se queda quieta, y un atacante tampoco. La validación continua cambia la pregunta de "cómo estaba hace meses" a "cómo estoy ahora".
Cada despliegue, cada cuenta nueva y cada servicio que abres mueve tu superficie de ataque. Un pentest anual la retrata un día y caduca al siguiente.
No te entregamos vulnerabilidades sueltas, sino la ruta de ataque entera: por dónde se entra, cómo se avanza y hasta dónde se llega.
Cuando cierras un fallo, lo volvemos a probar de inmediato para confirmar que la puerta queda cerrada de verdad y no solo en el papel.
Atacamos como un adversario real sobre tus sistemas en marcha, de forma controlada y sin interrumpir tu operación.
Alcance
Todo lo que es red, sistemas y perímetro, ahí donde el ataque avanza por movimiento lateral, credenciales y escalada de privilegios. De dentro hacia fuera y de fuera hacia dentro.
El pentest interno asume que el atacante ya está dentro. Buscamos movimientos laterales, escalada de privilegios y servicios internos mal protegidos.
El pentest externo ataca todo lo que asoma a Internet. Mapeamos tu superficie perimetral y los servicios expuestos.
El corazón de los entornos Windows. Kerberos, delegaciones y configuraciones que abren rutas hasta el control del dominio.
AWS, Azure y Google Cloud. Identidades, almacenamiento, contenedores y configuraciones por las que el ataque pivota igual que por la red.
El perímetro wifi. WPA2 y WPA3, puntos de acceso falsos y segmentación. Es una puerta a la red, y la parte inalámbrica puede pedir visita presencial.
On-premise y nube encadenados. El ataque real no respeta las fronteras de tu diagrama.
Cómo funciona
Esto es hacking ético: atacamos como lo haría un adversario real, pero con tu permiso y de forma controlada. No lanzamos un escáner y te entregamos su informe. Descubrimos y explotamos debilidades encadenando una con otra: comprometemos una credencial, escalamos privilegios, nos movemos de un sistema a otro y seguimos hasta demostrar el impacto real para tu negocio, como la exposición a un ransomware. Y lo hacemos de forma segura sobre tus sistemas en producción.
Cuando ves el camino completo, priorizar deja de ser adivinar. Sabes qué fallo abre la puerta y cuál es ruido, y centras el esfuerzo donde de verdad baja el riesgo. Eso es lo que separa una ruta de ataque demostrada de una lista de vulnerabilidades ordenada por color.
Más que un escáner
Es la confusión más común, y la diferencia te cambia la factura del riesgo. Un análisis de vulnerabilidades te da una lista de fallos posibles. Un pentest demuestra cuáles se explotan de verdad, encadenados, y hasta dónde llegan.
Compara versiones contra una base de fallos conocidos y te entrega una lista, casi siempre larga, ordenada por una puntuación teórica. Te dice qué podría fallar, pero no si falla de verdad en tu entorno ni qué consecuencia tiene.
Explota los fallos de verdad, encadena unos con otros y demuestra con pruebas hasta dónde llega un atacante. Muchas de las rutas que encontramos no usan ni un solo fallo de catálogo: son contraseñas débiles, permisos mal puestos y relaciones de confianza. Ahí un escáner no llega.
Por eso priorizamos por impacto real y no por una puntuación de manual: te decimos qué abre la puerta y qué es ruido, con la prueba delante. Un escáner es un buen punto de partida; un pentest es el que te dice si aguantas.
Qué incluye
No es solo lanzar el ataque. Un pentest de infraestructura completo mira tu seguridad por las mismas rendijas por las que entra un atacante real.
Contraseñas débiles, reutilizadas o filtradas, que son la vía de entrada más usada en los ataques reales.
No teoría ni puntuaciones: la evidencia de que el fallo se explota en tu entorno, para saber qué arreglar primero.
Comprobamos si tu EDR, tu segmentación y tus defensas frenan de verdad el ataque, o si solo lo parecen.
Cuando aparece una vulnerabilidad grave de las que se explotan en horas, lanzamos una prueba dirigida para saber si te afecta.
No una muestra: recorremos toda tu red, no unos pocos sistemas elegidos a dedo.
Dejamos señuelos en las rutas críticas que avisan si alguien las recorre de verdad, y que conectan con tu vigilancia.
Y al terminar no te dejamos un volcado de hallazgos para que te las apañes. Te llevas las rutas de ataque priorizadas por impacto, un informe que entienden tanto la dirección como tu equipo técnico, y la verificación de que lo que corregiste quedó cerrado de verdad.
Cuándo
Un cliente importante, una licitación o tu póliza de ciberseguro exigen una prueba de intrusión reciente para confiar en ti.
Vas a por la ISO 27001 o el ENS, o ya los tienes y necesitas evidencia fresca para el mantenimiento.
NIS2 y DORA empujan a probar tu seguridad de forma regular, no una vez y a olvidarse.
Una migración a la nube, una fusión, una nueva sede o un despliegue grande mueven tu superficie de ataque y abren huecos nuevos.
Y la respuesta sincera para casi todo el mundo: si nunca te has hecho uno, ya lo necesitas. La duda no es si tienes fallos explotables, sino cuáles y hasta dónde llegan.
Método
Acordamos qué entra (interno, externo, cloud, Active Directory, wireless) y las reglas del juego, para atacar con libertad y sin riesgo para tu operación.
Descubrimos y explotamos tu exposición de forma recurrente, encadenando fallos hasta demostrar el impacto de negocio.
Te entregamos las rutas de ataque ordenadas por riesgo real y por impacto de negocio, con la prueba de cada una.
Cuando corriges, repetimos la prueba de inmediato para confirmar que el fallo queda cerrado de verdad.
Encaja con
Un pentest de infraestructura bien hecho rinde más allá de la seguridad técnica. Los hallazgos y la prueba de que tus arreglos funcionan sirven como evidencia para tu ISO 27001, tu ENS, NIS2 o DORA: el mismo trabajo aprovechado dos veces.
Lo que aquí atacamos, con Sondriva, nuestro SOC, lo vigilamos después en tiempo real. Y para el software a medida, el pentest de aplicaciones entra donde este no llega: puntual y profundo, con ojo humano sobre la lógica de negocio de cada aplicación. Los dos se complementan.
Dudas
En el ritmo y en el resultado. Un pentest tradicional es una foto en un momento concreto que caduca en cuanto cambia tu infraestructura. Nosotros validamos tu exposición de forma continua, te entregamos la ruta de ataque completa y no una lista de vulnerabilidades sueltas, y verificamos cada arreglo en cuanto lo aplicas.
Un análisis de vulnerabilidades compara versiones contra una base de fallos conocidos y te entrega una lista de lo que podría fallar. Un pentest los explota de verdad, los encadena y demuestra con pruebas hasta dónde llega un atacante, incluidas las rutas que no usan ningún fallo de catálogo, como contraseñas débiles o permisos mal puestos. El escáner es el punto de partida; el pentest te dice si aguantas.
Sí. Atacamos como lo haría un adversario real, pero de forma controlada y segura para tu operación, sin interrumpir los servicios. Por eso se puede ejecutar de forma recurrente sobre tu entorno real y no solo en un laboratorio aislado.
Todo lo que es red, sistemas y perímetro: tu red interna, los servicios expuestos a Internet, Active Directory, tus entornos en la nube, la red inalámbrica y los escenarios híbridos donde el ataque encadena lo de dentro con lo de fuera.
Sí, y es uno de los focos. Revisamos Kerberos, delegaciones y configuraciones que abren rutas hacia el control del dominio, que es lo que busca un atacante en cuanto pone un pie en una red Windows.
También. Atacamos AWS, Azure y Google Cloud mirando identidades y permisos, almacenamiento, contenedores y configuraciones, porque el ataque real pivota por la nube igual que por la red, y los entornos híbridos son donde se encadenan los dos mundos.
Los dos cuentan una historia distinta. El pentest externo mide qué puede hacer un atacante desde Internet, sin credenciales. El pentest interno asume que ya ha entrado, por un correo o un proveedor, y mide hasta dónde llega desde dentro. Como los ataques reales suelen empezar fuera y rematar dentro, lo habitual es cubrir ambos.
Sí, y es justo cuando más enseña. Atacar tu entorno comprueba si esas defensas detienen de verdad el ataque o solo lo parecen. No tienes un problema de herramientas, sino de saber si las que ya tienes funcionan, y eso solo se ve poniéndolas a prueba.
Sí. Los hallazgos y la prueba de que tus arreglos funcionan valen directamente como evidencia para tu ISO 27001, tu ENS, NIS2 o DORA. Es el mismo trabajo aprovechado dos veces: refuerzas la seguridad real y alimentas tu cumplimiento.
Se complementan. El pentest de infraestructura es continuo y mide tu exposición de red, sistemas y perímetro. El pentest de aplicaciones es puntual y profundo, con ojo humano sobre la lógica de negocio de cada aplicación. Muchas organizaciones necesitan los dos.
¿Hablamos?
Cuéntanos qué quieres poner a prueba, tu red, tu nube, tu Active Directory, y te proponemos cómo validar tu exposición de forma continua.
Ponte en contacto