— Catálogo Servicios de ciberseguridad ofensiva.

Determinamos si el mayor riesgo reside en aplicaciones web, APIs, usuarios, configuración o exposición pública. Antes de proponerle un servicio necesitamos entender qué tiene expuesto y qué activos resultan críticos para su operación.

• Inventario de lo expuesto. Qué hay publicado a internet a nombre de su organización: dominios, subdominios, portales, APIs, paneles de administración y servicios que en ocasiones ni el área de TI tiene registrados.
• Qué protege cada activo. Un portal informativo y una API que mueve información fiscal no merecen el mismo esfuerzo. Clasificamos según los datos que custodia y el proceso de negocio que sostiene.
• Quién puede alcanzarlo. Distinguimos lo accesible desde internet sin credenciales, lo que requiere una cuenta válida y lo que sólo se alcanza desde la red interna.
• Antecedentes y obligaciones. Evaluaciones previas, incidentes conocidos, hallazgos que quedaron abiertos y requisitos regulatorios o contractuales que fijen un mínimo exigible.

Le proponemos profundidad, tiempos y entregables según la criticidad y los objetivos del negocio. El alcance se acuerda por escrito antes de iniciar las pruebas, para establecer responsabilidades y límites de actuación.

• Profundidad de la prueba. Desde un escaneo de vulnerabilidades con validación manual hasta un ejercicio de Red Team con objetivos concretos. Se elige según la pregunta que quiera responder, no según un catálogo fijo.
• Punto de partida. Sin credenciales, con acceso de usuario común, o con documentación y código a la vista. Cada punto de partida revela una clase distinta de falla, y se define conforme a los objetivos de la evaluación.
• Reglas de interacción. Ventanas de prueba, ambientes permitidos, límites sobre acciones que puedan afectar disponibilidad y contactos directos para resolver cualquier situación inesperada durante la ejecución.
• Entregables acordados. Qué recibe y en qué formato: resumen ejecutivo, detalle técnico con evidencia reproducible, matriz de hallazgos y sesión de presentación de resultados.

Validamos, explotamos de forma controlada y entregamos hallazgos priorizados y listos para remediación. Lo que llega al informe está comprobado: si no pudimos reproducirlo, no lo reportamos.

• Validación manual. Ninguna alerta de herramienta llega al informe sin una verificación manual previa. Esto elimina el ruido que obliga a su equipo a perder días descartando falsos positivos.
• Explotación controlada. Demostramos el impacto real sin comprometer la disponibilidad del servicio ni la integridad de los datos productivos. Toda acción queda registrada y es rastreable.
• Priorización por impacto. Cada hallazgo se clasifica por severidad —con CVSS como referencia— y por el daño concreto al negocio. Primero lo explotable hoy, no lo que puntúa alto en abstracto.
• Evidencia reproducible. Peticiones, capturas y pasos exactos para que su equipo confirme cada hallazgo por su cuenta y pueda verificar después que la corrección funcionó.

Revisión de hallazgos con su equipo técnico, retest incluido y acompañamiento para resolver dudas durante el cierre. Un informe entregado y nunca leído no reduce el riesgo: el valor está en que las correcciones ocurran.

• Sesión de revisión. Recorremos los hallazgos con su equipo técnico para resolver dudas, aclarar la causa raíz y acordar en conjunto el orden de atención.
• Orientación en la corrección. Recomendaciones específicas para su tecnología y arquitectura, fundamentadas en los hallazgos de la evaluación.
• Retest incluido. Reevaluamos los hallazgos corregidos para confirmar la efectividad de la solución e identificar posibles riesgos derivados del cambio.
• Cierre documentado. Informe final con el estado de cada hallazgo, útil ante auditoría, ante su cliente o ante el área de cumplimiento.