Auditories de Seguretat i Pentesting
ALMC - Ciberseguretat
Auditories de Seguretat i Pentesting
Pentesting i auditories amb mètode i evidència: alta cobertura, severitats CVSS i pla de remediació prioritzat.
Volver a Ciberseguretat
Visió general
Fem auditories de seguretat i pentesting, manual i assistit, orientats a exposició real. Apliquem OWASP Top 10, CWE, NIST 800 115 i PTES, en caixa negra, grisa i blanca. Lliurem informe amb severitat CVSS v3.1, prova de concepte, impacte i pla de remediació prioritzat per risc i esforç. Coordinem finestres de prova i abast per protegir servei i dades.
Abast flexible: aplicacions web i SPA, APIs REST i GraphQL, microserveis, Android i iOS, infraestructura i xarxes, directori actiu, perímetre cloud a AWS Azure i Google Cloud, emmagatzematge, CI CD, WAF i CDN, WiFi i VPN, enginyeria social i phishing controlat amb aprovació legal.
Mètode pas a pas: reconeixement, mapa de superfície i tecnologia, enumeració i modelatge d amenaces, explotació controlada, elevació i moviment lateral quan aplica, post explotació amb evidències i neteja. Traçabilitat completa amb registre tècnic i matriu de risc.
Gestió de troballes amb triatge i SLA per severitat: crítica 24 a 72 h, alta 7 dies, mitjana 14 dies, baixa 30 dies. Recomanacions verificables i controls temporals quan cal. Integració amb tiquets i seguiment fins tancament validat.
Execució del pentest
Planificació
Objectius, abast, regles de compromís, canals i finestra de proves sense sorpreses.
Explotació controlada
Validació manual i automatitzada, proves no destructives i coordinació per a comprovacions invasives.
Informe i seguiment
Informe executiu i tècnic, remediació guiada, verificació del fix i lliçons apreses.
Cada evidència queda registrada amb passos, comandes, artefactes i captures, llesta per auditoria.
Remediació i hardening
Acompanyem equips per tancar bretxes sense bloquejar negoci i amb validació objectiva.
Capacitats clau
Injecció, autenticació, autorització, CSRF, XSS, pujada de fitxers, SSRF, deserialització i lògica de negoci segons OWASP.
Serveis exposats, segmentació, hardening de sistemes, xifrat en trànsit, DNS i correu, dispositius i configuracions per defecte.
Revisió de IAM, polítiques i permisos, seguretat d emmagatzematge, xarxes, claus i secrets, càrregues i exposició pública accidental.
Directori actiu i equivalents, polítiques de contrasenyes, moviments laterals i exposició de serveis interns.
Anàlisi d apps Android i iOS, emmagatzematge insegur, trànsit, certificats, APIs i detecció de root o jailbreak quan aplica.
Revisió manual i assistida, secrets en repos, dependències vulnerables, patrons insegurs i controls insuficients.
Campanyes de phishing controlades, formació i simulacres amb aprovació prèvia de direcció i legal.
Escenaris realistes amb objectius de negoci, regles clares i mínima intrusió per validar detecció i resposta.
KPI de seguretat
| Mètrica | Objectiu | Actual | Comentari |
|---|---|---|---|
| Cobertura d actius | >= 95% | 98% | Abast validat i traçable |
| Crítiques obertes | <= 2 | 0 | Tancament prioritzat amb validació |
| TTP de remediació | <= 7 dies | 72 h | Suport directe a equips |
| Falsos positius | <= 2% | 0.7% | Validació manual exhaustiva |
Resum
Provem com ho faria un adversari però amb control i claredat. Detectem vulnerabilitats reals, prioritzem per risc i guiem el fix amb evidència sòlida. Seguretat pràctica i resultats mesurables.
Vols una mirada inicial sense cost a la teva exposició externa. Preparem un resum executiu en pocs dies.