Metodología del pentest: qué hacemos y qué recibes

Trabajamos sobre metodologías públicas y reconocidas: OWASP Web Security Testing Guide y OWASP API Security Top 10 para aplicaciones y APIs, PTES y NIST SP 800-115 para la estructura del ejercicio, y CVSS para clasificar la severidad.

1. 01Alcance y reglas. Definimos por escrito qué se prueba (dominios, aplicaciones, APIs, IPs, cuentas cloud), con qué usuarios y roles, en qué horario, qué queda fuera y a quién llamar si algo se ve afectado. Sin autorización firmada no se toca nada.
2. 02Reconocimiento. Mapeamos la superficie expuesta: subdominios, servicios, versiones, endpoints, flujos de autenticación y dependencias de terceros.
3. 03Análisis y explotación controlada. Combinamos herramientas automáticas con pruebas manuales. Confirmamos cada hallazgo explotándolo de forma controlada, sin borrar ni alterar datos y sin pruebas de denegación de servicio salvo que se acuerden.
4. 04Clasificación. Cada hallazgo lleva severidad con CVSS, impacto en tu negocio, evidencia reproducible y la recomendación concreta para corregirlo.
5. 05Informe y reunión de cierre. Entregamos un informe ejecutivo para la gerencia y un informe técnico para el equipo, y los revisamos juntos para priorizar qué se corrige primero.

• Informe ejecutivo: riesgo general, hallazgos críticos y prioridades, en lenguaje de negocio.
• Informe técnico: cada hallazgo con severidad CVSS, evidencia, pasos para reproducirlo y recomendación.
• Plan de remediación priorizado por riesgo y esfuerzo.
• Reunión de cierre con tu equipo técnico.
• Re-test incluido: volvemos a probar los hallazgos corregidos para confirmar que quedaron cerrados.

• Caja negra: sin información previa, como un atacante externo.
• Caja gris: con usuarios de prueba y documentación básica; es la más eficiente para aplicaciones.
• Caja blanca: con acceso a código o configuración, para revisar a fondo.