Cyber 360 Flash
Tres semanas para una imagen nítida: madurez, exposición y las diez cosas que corregir primero.
- Duración
- 3 semanas
- Precio
- de 6000 € a 9000 €
- sin IVA, indicativo
Servicios
Seguridad ofensiva
Encontrar la vía de entrada antes de que lo haga otro.
Encontrar la vía de entrada antes de que lo haga otro.
Cada control que posee tiene un rodeo que nadie ha buscado. La seguridad ofensiva es la disciplina de buscarlo: aplicaciones, API y apps móviles, la infraestructura que las sostiene, las cuentas cloud donde se ejecutan y el código que lo une todo.
Probamos como trabaja un atacante —desde fuera sin nada, desde dentro con un portátil robado, o como Red Team completo con un objetivo y un límite de tiempo— y entregamos como necesita un ingeniero: qué se encontró, cómo se explotó, qué corregir primero y una re-prueba que confirma el cierre.
Las pruebas se realizan con equipos asociados cualificados PASSI donde la cualificación es exigible, bajo nuestro alcance y nuestra responsabilidad. Lo que recibe es una lista priorizada sobre la que actuar, no un PDF con la salida de un escáner.
Seguridad ofensiva
Evaluación ofensiva
Pruebas de intrusión de infraestructura y nube, ingeniería social, intrusión física y hardware: atacados bajo contrato y entregados con las correcciones.
Prueba de intrusión de infraestructuraDuración típica: 5-10 díasReprueba incluida
Pruebas externas e internas de su red, servicios expuestos y Active Directory, dirigidas a los caminos que un atacante recorrería realmente para llegar a sus datos.
Usted recibe
- Rutas de ataque externas e internas
- Hallazgos de Active Directory y escalada de privilegios
- Plan de corrección priorizado
- Informe de reprueba
Auditoría de configuración cloud (AWS, Azure, GCP, M365)Duración típica: 3-8 díasReprueba incluida
Una revisión de configuración frente a los benchmarks CIS y las recomendaciones del propio proveedor, cubriendo identidad, red, registro, exposición del almacenamiento y los ajustes de tenant que se olvidan.
Usted recibe
- Hallazgos mapeados sobre los benchmarks CIS
- Revisión de exposición de identidad y red
- Fragmentos de corrección en infraestructura como código
- Reprueba y comprobación de desviación
Ingeniería socialDuración típica: 5-10 días
Phishing, vishing y llamadas con pretexto contra su personal bajo un alcance acordado, medidos y convertidos en formación en lugar de en culpa.
Usted recibe
- Escenarios acordados y autorizados
- Resultados por departamento, anonimizados
- Sesión de conclusiones y seguimiento de concienciación
Prueba de intrusión físicaDuración típica: 3-6 días
¿Puede alguien entrar? Colarse tras otro, clonar tarjetas, puestos y salas de servidores desatendidos, probados in situ con una carta de autorización en el bolsillo del probador.
Usted recibe
- Escenarios autorizados y reglas de actuación
- Hallazgos con evidencia fotográfica
- Plan de mejora de la seguridad física
Pruebas de hardware e ingeniería inversaDuración típica: 2-5 semanasEjecutado con un socio cualificado
Extracción de firmware, puertos de depuración, arranque seguro y rutas de actualización de un dispositivo que fabrica o del que depende: lo que podría hacer un atacante con la caja en su mesa.
Usted recibe
- Superficie de ataque del dispositivo
- Hallazgos con prueba y severidad
- Consejos de endurecimiento para la siguiente revisión
Revisión de código seguroDuración típica: 5-12 díasReprueba incluida
Revisión manual de las partes de su código donde un fallo sale caro: autenticación, autorización, acceso a datos, criptografía y tratamiento de entradas no fiables.
Usted recibe
- Hallazgos con referencias al código
- Recomendaciones de desarrollo seguro
- Ajuste de reglas de su herramienta SAST
- Sesión de cierre con el equipo de desarrollo
Red Team
Un objetivo, un límite de tiempo y sin aviso: la simulación completa de adversario que pone a prueba la detección y la respuesta tanto como el perímetro.
Red TeamDuración típica: 15-40 díasEjecutado con un socio cualificado
Un ejercicio orientado a objetivos y guiado por inteligencia, ejecutado con un socio especializado: tácticas realistas frente a su capacidad de detección, con una sesión purple team para que el equipo azul salga ganando.
Usted recibe
- Escenario y reglas de enfrentamiento
- Narrativa del ataque con cronología
- Análisis de brechas de detección y respuesta
- Taller de cierre purple team
Evaluación de aplicaciones web y móviles
Aplicaciones, API y apps móviles probadas a mano según la metodología OWASP, con re-prueba incluida.
Prueba de intrusión de aplicaciones (web, API, móvil)Duración típica: 5-12 díasReprueba incluidaEjecutado con un socio cualificado
Pruebas manuales de sus aplicaciones y API según la metodología OWASP, ejecutadas con un socio cualificado PASSI. La reprueba tras la corrección está incluida en el precio.
Usted recibe
- Informe técnico con pruebas reproducibles
- Valoración de criticidad y explotabilidad
- Recomendaciones de corrección para desarrollo
- Informe de reprueba y certificado
Disponible como paquete de precio cerrado
Disponible como servicio recurrente
Gestión de vulnerabilidades y superficie de ataque
Escaneo continuo de lo que usted posee y de lo que está expuesto en su nombre, con hallazgos filtrados, priorizados y seguidos hasta el cierre en lugar de publicados como lista en bruto.
Qué incluye
- Escaneos internos y externos
- Descubrimiento de la superficie de ataque externa
- Priorización basada en riesgo
- Seguimiento de la corrección frente a los plazos acordados
- Reporte mensual
SOCOfensiva
Hablar de este servicio — Gestión de vulnerabilidades y superficie de ataque
Empiece por una auditoría flash
Cyber 360 Flash dura tres semanas y le da los diez hallazgos que importan, ordenados por lo que un atacante haría con ellos.