Ataque · Pentesting
Pentesting: encuentra las brechas
antes que un atacante
Un pentest (prueba de penetración) es un ataque simulado y autorizado sobre tus sistemas para descubrir qué vulnerabilidades son realmente explotables. Lo hacemos sobre redes, aplicaciones web, APIs y entornos cloud, y lo entregamos con un informe ejecutivo y uno técnico con plan de remediación.
Qué incluye
- Test de penetración externo e interno
- Pentesting de aplicaciones web (OWASP Top 10)
- Pruebas de caja negra, blanca y gris
- Revisión de configuración cloud
- Red Team y Purple Team
- Informe ejecutivo y técnico con plan de remediación
Cuándo hacerlo
Señales de que necesitas un pentest
- Vas a lanzar una aplicación o una versión con cambios importantes y quieres encontrar fallas antes de exponerla.
- Cambió tu infraestructura: migración a la nube, fusión o adquisición, nuevos proveedores o sedes.
- Un cliente, un proveedor o una auditoría (por ejemplo, ISO 27001) te pide evidencia de pruebas técnicas.
- Hace más de un año que no se prueba tu seguridad. Lo recomendable es al menos una vez al año, y cada seis meses si tu exposición o tus obligaciones regulatorias son altas.
- Sufriste un incidente y quieres verificar que la puerta de entrada quedó cerrada.
Método
Cómo se desarrolla un pentest
Alcance y reglas del juego
Se define por escrito qué sistemas se prueban, con qué técnicas, en qué horarios y con qué límites. Sin autorización escrita previa no se hace ninguna prueba: acceder a sistemas ajenos sin permiso es delito en Chile (Ley 21.459).
Reconocimiento
Se recopila la información que un atacante podría obtener: dominios, servicios expuestos, tecnologías y datos publicados.
Identificación de vulnerabilidades
Se combinan herramientas y revisión manual para detectar fallas de configuración, de lógica y de autenticación.
Explotación controlada
Se verifica qué fallas se pueden aprovechar de verdad y hasta dónde llegaría un atacante, sin poner en riesgo tu operación. Este paso separa un pentest de un simple escaneo.
Informe y presentación de resultados
Cada hallazgo se documenta con su evidencia, su severidad y cómo reproducirlo, junto con el plan de remediación priorizado.
Verificación de correcciones
Cuando corriges, se vuelve a probar lo hallado para confirmar que quedó resuelto. Se acuerda en el alcance.
Pentest, escaneo de vulnerabilidades y Red Team: en qué se diferencian
Se confunden con frecuencia y responden preguntas distintas. Elegir bien evita gastar en lo que no necesitas.
| Escaneo de vulnerabilidades | Pentest | Red Team | |
|---|---|---|---|
| Pregunta que responde | ¿Qué fallas conocidas tengo? | ¿Qué fallas puede explotar un atacante y hasta dónde llega? | ¿Mi organización detecta y responde a un ataque real? |
| Método | Herramientas automatizadas | Herramientas más revisión manual y explotación controlada | Escenario de ataque con un objetivo, sin aviso al equipo defensor |
| Resultado | Lista de posibles vulnerabilidades | Hallazgos verificados con evidencia y plan de remediación | Evaluación de detección y respuesta, y rutas de ataque |
| Cuándo conviene | Control continuo y periódico | Antes de un lanzamiento, tras cambios o como evidencia a terceros | Cuando ya existe un equipo de seguridad que se quiere poner a prueba |
Entregables
Lo que recibes al terminar
- Informe ejecutivo, en lenguaje claro, para la dirección
- Informe técnico con cada hallazgo, su evidencia y su severidad
- Pasos para reproducir cada falla y recomendaciones de corrección
- Plan de remediación priorizado (remediation roadmap)
Alcance y cotización
El precio depende del alcance, no de una tarifa fija
No existe un precio único para un pentest: un sitio con tres pantallas y un ecosistema de aplicaciones y APIs no cuestan lo mismo. Lo que sí se puede hacer es definir bien el alcance, y a partir de él estimar el esfuerzo en días-persona. Desconfía de un precio cerrado entregado sin conocer qué se va a probar.
- Cantidad de aplicaciones, APIs, direcciones IP o segmentos de red a probar
- Tipo de prueba: caja negra, gris o blanca
- Profundidad: con o sin usuarios autenticados y con distintos roles
- Entorno: producción o ambiente de pruebas, y ventanas horarias permitidas
- Verificación de correcciones incluida o no
- Exigencias de reporte para auditorías o clientes
El diagnóstico inicial es gratuito: revisamos qué necesitas probar, y te enviamos una propuesta con alcance, esfuerzo estimado y entregables.
Normativa
Pentesting y cumplimiento normativo
Un pentest, por sí solo, no certifica el cumplimiento de ninguna ley ni norma. Es un control técnico que aporta evidencia a la gestión de riesgos que piden marcos como ISO 27001 y la Ley Marco de Ciberseguridad (Ley 21.663).
Si tu organización debe alinearse con la ley de datos personales y con la de ciberseguridad, el pentest se integra en un programa único de alineamiento junto con políticas, gestión de incidentes y controles.
Preguntas frecuentes
Lo que suelen preguntarnos
¿Qué es un pentest o test de penetración?
Es una simulación controlada de un ciberataque, hecha por especialistas con autorización previa, para identificar vulnerabilidades en sistemas, redes y aplicaciones antes de que las explote un atacante real.
¿Es legal hacer pentesting?
Sí, siempre que exista autorización escrita de quien es dueño de los sistemas y un alcance definido. Sin autorización, acceder a sistemas ajenos puede constituir un delito informático (Ley 21.459).
¿Con qué frecuencia debo hacerlo?
Al menos una vez al año y después de cambios significativos en la infraestructura, como nuevas aplicaciones, migraciones a la nube o fusiones. Con alta exposición regulatoria o datos sensibles conviene hacerlo cada seis meses.
¿Qué diferencia hay entre un pentest y un escaneo de vulnerabilidades?
El escaneo es automático y lista posibles fallas. El pentest suma revisión manual y explotación controlada para confirmar cuáles son reales y hasta dónde llegaría un atacante, y lo entrega con evidencia y plan de remediación.
¿Afecta a mis sistemas en producción?
Eso se define en el alcance: qué sistemas se prueban, en qué horarios y con qué límites. Las pruebas se planifican para minimizar el impacto sobre tu operación.
¿Necesito un pentest si ya cumplo ISO 27001?
La norma contempla gestionar las vulnerabilidades técnicas, y un pentest es una forma habitual de evidenciarlo, pero la certificación no lo reemplaza: son controles distintos.
¿Cuánto cuesta un pentest?
Depende del alcance: cantidad de aplicaciones y sistemas, tipo de prueba, profundidad y entorno. Tras un diagnóstico gratuito te enviamos una propuesta con el esfuerzo estimado y los entregables.
Servicios relacionados
- Threat huntingBúsqueda proactiva de atacantes que ya están dentro.Ver servicio
- SOC y ciberseguridad gestionadaMonitoreo de seguridad para detectar y contener amenazas.Ver servicio
- Hardening empresarialBastionado para cerrar las fallas que un pentest encuentra.Ver servicio
- Alineamiento normativoLey de datos personales y Ley Marco de Ciberseguridad.Ver servicio
Contáctanos
Prueba tu seguridad antes que otros
Cuéntanos qué quieres probar y te proponemos un alcance. El diagnóstico inicial es gratuito y sin compromiso.