Revisamos todo: tus plataformas, la red de tus oficinas, tus sistemas internos y los módulos que sumes. Se arma a medida y te damos el presupuesto antes de empezar.
Alcance a medida: todo lo de Rabbit Hole, más pentest de red interna y Active Directory con el LOP BOX, varias plataformas y los módulos elegidos. Un segundo Lop revisa cada hallazgo.
Un escáner gratis mira si la puerta existe. Un Lop prueba si se abre: con cuentas reales, a mano, y juntando fallas chicas que por separado parecen nada y juntas cuestan caro.
Los escáneres automáticos detectan firmas conocidas. Control de acceso, lógica de sesión y cadenas de fallas solo aparecen con pruebas manuales autenticadas. Cada hallazgo se confirma con una prueba de concepto y lo revisa un segundo Lop.
A medidaSistemas webAplicaciones web (OWASP WSTG)
Que nadie entre con la cuenta de otro: contraseñas, recuperación de clave y sesiones.
Autenticación, recuperación de cuenta, gestión de sesiones y doble factor.
Que nadie pueda meter código o comandos por un formulario, un buscador o una dirección web.
Inyección SQL, NoSQL, de comandos y de plantillas; XSS reflejado, almacenado y en el DOM.
Que no se puedan subir archivos peligrosos disfrazados de foto o de PDF.
Subida de archivos: tipo, contenido, nombre, ruta y ejecución en el servidor.
Que tu sitio no pueda usarse para engañar a tus visitantes ni para llegar a tus sistemas internos.
CSRF, redirecciones abiertas, SSRF, clickjacking y CORS mal configurado.
Archivos y páginas olvidadas: copias de seguridad, paneles de prueba, versiones viejas.
Descubrimiento de contenido: backups, .git y .env expuestos, entornos de prueba y endpoints sin enlazar.
Que un error en pantalla no muestre datos internos, claves o código.
Manejo de errores, trazas, claves en el código del navegador y fugas de información.
Plugins, temas y programas del sitio con fallas ya conocidas.
Componentes con CVE conocidas: CMS, plugins, temas y librerías JavaScript.
Que los datos de tus clientes viajen protegidos y no queden a la vista en el navegador.
Cookies (Secure, HttpOnly, SameSite), cabeceras de seguridad, CSP y datos sensibles en el cliente.
Que nadie pueda probar miles de contraseñas o llenar tus formularios con un robot.
Límites de intentos, enumeración de usuarios, captcha y protección contra automatización.
A medidaTipos de usuarioRoles
Que un usuario no vea los pedidos, facturas o datos de otro usuario.
Control de acceso horizontal (IDOR) en vistas, descargas, exportaciones y llamadas internas.
Que un usuario común no llegue a funciones de administrador.
Escalada vertical de privilegios y funciones administrativas sin control.
Que lo que se oculta en pantalla también esté cerrado por detrás.
Autorización validada en el servidor, no en el navegador; parámetros y campos ocultos manipulados.
Servidores expuestos a internetSuperficie externa: puertos y servicios
Todo lo tuyo que está abierto a internet, incluso lo que nadie recuerda.
Descubrimiento de subdominios (DNS y registros de certificados), puertos y servicios.
Paneles, bases de datos o accesos remotos que no deberían verse desde afuera.
Servicios administrativos expuestos: SSH, RDP, bases de datos, paneles de hosting y de CMS.
Programas viejos con fallas que los atacantes ya están usando.
Versiones con CVE conocidas, priorizadas por explotación real (KEV y EPSS).
Que la conexión segura, el candado del navegador, esté bien puesta.
TLS: protocolos, cifrados, certificados y HSTS.
Que nadie pueda adueñarse de un subdominio que dejaste de usar.
Subdomain takeover y registros DNS que apuntan a servicios dados de baja.
Que nadie mande correos en tu nombreSPF, DKIM y DMARC
Que nadie mande correos que parezcan tuyos a tus clientes o proveedores.
SPF, DKIM y DMARC: registros, política y alineación.
Que tu correo viaje cifrado entre servidores.
STARTTLS, MTA-STS y TLS-RPT en tus servidores de correo.
Que tu dominio no esté en listas negras que mandan tus correos a spam.
Reputación del dominio y de las IP de envío en listas de bloqueo.
Tus cuentas de Microsoft 365 o GoogleConfiguración de M365 o Workspace (CIS)
Que todas las cuentas tengan doble factor y no queden puertas viejas sin él.
MFA, acceso condicional y autenticación heredada deshabilitada.
Quién es administrador, y quién ya no debería serlo.
Cuentas privilegiadas, roles de administración y cuentas inactivas.
Que tus documentos no estén compartidos con cualquiera que tenga el enlace.
Uso compartido externo y enlaces públicos en OneDrive, SharePoint o Drive.
Reglas que reenvían tu correo afuera y apps con permiso para leerlo.
Reenvío externo, reglas de buzón y apps de terceros con permisos OAuth.
Que quede registro y salte una alerta si alguien entra donde no debe.
Registro de auditoría, alertas y filtros de correo, según CIS Benchmark.
Conexiones entre sistemasAPIs REST y GraphQL (OWASP API Top 10)
Que nadie use la API para ver o cambiar datos de otro usuario.
Autorización a nivel de objeto y de función (BOLA, BFLA) en cada endpoint.
Que los permisos y las llaves de la API no se puedan robar ni reutilizar.
Autenticación de la API, vida y revocación de tokens (JWT, OAuth) y llaves.
Que la API no devuelva ni acepte más datos de los que debe.
Exposición excesiva de datos y asignación masiva (mass assignment).
Que nadie sature la API ni abuse de sus límites.
Consumo de recursos y límites de uso sin control (rate limiting).
Versiones viejas y entornos de prueba de la API que siguen abiertos.
Inventario de la API: versiones obsoletas y endpoints de prueba expuestos.
Reglas del negocio: pagos, cupones, límitesLógica de negocio
Que nadie pague menos, duplique un pago o quede con saldo que no le toca.
Manipulación del flujo de pago, de precios e importes del lado del cliente.
Que no se puedan apilar cupones ni pasar los límites de una promoción.
Abuso de cupones, acumulación y límites de promociones y de stock.
Que no se puedan saltar pasos de un proceso, como confirmar un pedido sin pagar.
Saltos de estado y de orden en procesos de varios pasos, condiciones de carrera incluidas.
Que un cliente no vea los datos de otroAislamiento entre clientes (multi-tenant)
Que un cliente nunca vea ni toque los datos de otro cliente.
Aislamiento de datos entre inquilinos en consultas, exportaciones y archivos.
Que cambiar un identificador no te meta en la cuenta de otra empresa.
Manipulación del identificador de inquilino en tokens, rutas y parámetros.
Que un recurso compartido no filtre información entre clientes.
Fugas por cachés, colas y almacenamiento compartidos entre inquilinos.
Tu nubeConfiguración de nube (AWS, GCP, Azure)
Que no queden depósitos de archivos ni bases de datos abiertos a internet.
Buckets, bases y servicios expuestos; cifrado en reposo y en tránsito (CIS).
Quién puede hacer qué en tu nube, y quién tiene más permisos de los que necesita.
Permisos de IAM, roles con exceso de privilegios y llaves de larga vida.
Que quede registro de lo que pasa y que las redes estén separadas.
Registro y trazas, grupos de seguridad y segmentación de red en la nube.
Las librerías que usa tu softwareRevisión de dependencias (SCA)
Librerías de tu software con fallas ya conocidas.
Dependencias con CVE conocidas, priorizadas por explotación real (KEV y EPSS).
Componentes sin mantenimiento o demasiado viejos.
Dependencias sin soporte, versiones ancladas y licencias de riesgo.
La red de tus oficinas y sistemas internosRed interna y Active Directory
Que si alguien entra a la oficina no pueda saltar de una máquina a todas.
Movimiento lateral, segmentación de red interna y servicios internos expuestos.
Que una cuenta común no termine siendo administrador de todo.
Active Directory: Kerberos, delegaciones, ACL y caminos a administrador de dominio.
Contraseñas repetidas o guardadas donde no deben en la red interna.
Contraseñas reutilizadas, en memoria o en recursos compartidos; políticas débiles.
Todo lo de Dig y Rabbit Hole: tu sitio, tu correo, tus apps, tu API y tu nube.Base completa de Rabbit Hole: web, API, superficie externa, correo, Microsoft 365 o Workspace y nube.
La red de tus oficinas y Active Directory, con el LOP BOX.Pentest de red interna y Active Directory con el LOP BOX, incluida la segmentación.
Varias plataformas, definidas en el alcance a medida.Varias plataformas o unidades de negocio, acordadas en el taller de alcance.
Los módulos que sumes: apps móviles, phishing, firewall, smart contracts o Wi-Fi.Módulos elegidos: OWASP MASVS (móvil), simulacro de phishing, firewall (CIS), smart contracts y Wi-Fi presencial.
No incluye
Pruebas que puedan tirar tu servicio. Nunca las hacemos.Denegación de servicio y cualquier prueba destructiva. Fuera de alcance.
La infraestructura física del proveedor de nube o del centro de datos.Centros de datos y hardware de terceros. Solo tus activos y tu configuración.
Engañar a tu gente, salvo que acuerdes el módulo de simulacro de phishing.Ingeniería social fuera del módulo de phishing acordado.
Warren se arma a medida. Te damos el presupuesto cerrado antes de firmar y no cobramos de más a mitad del trabajo.
Preguntas antes de contratar
¿Cuánto tarda y cuánto cuesta?
Desde 3 semanas, según el alcance. El precio se cierra en el taller de alcance, antes de firmar, y no cambia a mitad del trabajo.
¿Qué es el LOP BOX?
Una máquina virtual o un mini PC que instalas para que lleguemos a tu red interna. Se conecta con nosotros por un canal cifrado de salida, sin abrir puertos de entrada, y lo apagas cuando terminamos.
¿Interrumpe mi operación?
No. Trabajamos en una ventana de fechas y un alcance que firmas antes, y no hacemos pruebas que tiren servicios ni borren datos.
¿Quieres revisar toda tu empresa?
Un alcance a medida, desde 3 semanas, con la red interna incluida. Cerramos el precio antes de firmar.
