Pentest · AWS y Azure

Pentest cloud en AWS y Azure

En la nube, la mayoría de las brechas no vienen de un servidor sin parche sino de un permiso demasiado amplio o un recurso expuesto por error. Revisamos tu cuenta como lo haría alguien que consiguió una credencial.

Qué revisamos

  • Identidades y permisos (IAM / Entra ID): privilegios excesivos, llaves antiguas, cuentas sin MFA, rutas de escalamiento.
  • Almacenamiento: buckets o blobs públicos, cifrado y políticas de acceso.
  • Red: grupos de seguridad, puertos expuestos, segmentación entre ambientes.
  • Registro y detección: CloudTrail / Activity Log, alertas y retención.
  • Contenedores y Kubernetes: imágenes, secretos, RBAC y exposición del plano de control.
  • Aplicaciones expuestas sobre la nube, combinando con el pentest web y de APIs.

Dentro de las reglas del proveedor

AWS y Microsoft publican qué pruebas se permiten sin aviso previo y cuáles no (por ejemplo, la denegación de servicio). Ajustamos el alcance a esas políticas y solo probamos recursos que sean tuyos.

Qué recibes

  • Informe ejecutivo: riesgo general, hallazgos críticos y prioridades, en lenguaje de negocio.
  • Informe técnico: cada hallazgo con severidad CVSS, evidencia, pasos para reproducirlo y recomendación.
  • Plan de remediación priorizado por riesgo y esfuerzo.
  • Reunión de cierre con tu equipo técnico.
  • Re-test incluido: volvemos a probar los hallazgos corregidos para confirmar que quedaron cerrados.
FAQ

Preguntas frecuentes

01

¿Qué acceso necesitan?

Para la revisión de configuración, un rol de solo lectura en la cuenta o suscripción. Para las pruebas de explotación, lo que acordemos en el alcance.

02

¿Sirve si usamos varias cuentas o suscripciones?

Sí. Las incluimos en el alcance y revisamos también cómo se relacionan entre sí.

¿Lo vemos en tu caso?

Una conversación inicial sin costo para entender tu contexto y decirte si podemos ayudar.