PTES
Estructura del encargo, recopilación de inteligencia, modelado de amenazas, validación y elaboración de informes.
Pruebas de penetración
Pruebas de penetración de redes
Una evaluación controlada de la infraestructura de red expuesta a Internet o utilizada internamente, realizada dentro de los periodos de pruebas y conforme a las reglas de actuación acordados.
Alcance de la evaluación
Qué se somete a prueba
La cobertura final de las pruebas se acuerda durante la definición del alcance y se limita a los sistemas para los que se haya proporcionado autorización por escrito.
Superficie de ataque pública y servicios expuestos
Configuración de servicios de red y exposición por falta de parches
Segmentación y límites de confianza
Autenticación e interfaces de administración
Vías controladas de escalada de privilegios y movimiento lateral
Registro de eventos y visibilidad para la defensa
Flujo de trabajo del encargo
Controlado desde la autorización hasta la prueba de verificación.
01
Alcance y autorización
Defina los objetivos, los sistemas aprobados, las restricciones, las ventanas de pruebas, los contactos y las reglas de actuación.
02
Descubrimiento
Defina la superficie de ataque autorizada, la arquitectura, los roles de usuario, los activos y los criterios de evaluación aplicables.
03
Pruebas controladas
Evalúe el alcance autorizado mediante métodos manuales y técnicos adecuados para el entorno.
04
Validación
Confirme los hallazgos de forma segura, elimine los falsos positivos y determine el impacto real a nivel técnico y empresarial.
05
Elaboración de informes
Reciba hallazgos respaldados por evidencias, calificaciones de riesgo, un resumen ejecutivo y prioridades de subsanación.
06
Revisión de las medidas de subsanación
Revise las medidas correctivas propuestas y aclare las prioridades de implementación con el equipo de evaluación.
07
Repetición de las pruebas
Verifique las correcciones acordadas y registre si cada hallazgo evaluado se ha resuelto, se ha mitigado o sigue pendiente.
Referencias de la evaluación
Normas y directrices del sector
NIST SP 800-115
Planificación, ejecución y análisis de la evaluación técnica, con recomendaciones de mitigación.
CIS Controls
Contexto de las medidas de protección que afectan a los activos, el acceso, la configuración, los registros de actividad y la supervisión de la red.
Las normas orientan el alcance y la cobertura de las pruebas. Una evaluación no constituye por sí misma una certificación ni garantiza el cumplimiento normativo.
Elaboración de informes
Qué recibe
Resumen ejecutivo y registro del alcance
Hallazgos técnicos respaldados por evidencias
Calificaciones del riesgo y del impacto empresarial
Plan de corrección priorizado
Declaración de repetición de las pruebas para las correcciones acordadas
Defina un alcance adecuado para las pruebas.
Consulte con DIGITPOL los sistemas, los objetivos, el nivel de acceso y las evidencias necesarias.