Pruebas de penetración externas e internas de redes y Active Directory: desde un servicio expuesto o un único puesto de trabajo hasta el control del dominio.
La prueba externa responde a una pregunta: qué puede alcanzar alguien desde internet y qué ocurre cuando lo hace. La prueba interna responde a otra: qué puede hacer alguien que ya está dentro, con el puesto de trabajo de un empleado y nada más.
En la mayoría de las redes corporativas, la distancia entre un usuario normal y un administrador del dominio es de unos pocos pasos: una contraseña en una carpeta compartida, una cuenta de servicio con demasiados permisos, una plantilla de certificado que cualquiera puede solicitar. Encontramos esos pasos y mostramos la ruta.
01Alcance
Qué ponemos a prueba
Perímetro externo: servicios expuestos, VPN y acceso remoto, correo, DNS
Vulnerabilidades conocidas y configuración débil de los servicios de red
Active Directory: Kerberos, delegación, servicios de certificados, directivas de grupo
Exposición de credenciales: recursos compartidos, scripts, política de contraseñas, reutilización
Movimiento lateral y escalada de privilegios en Windows y Linux
Segmentación de red y aislamiento de las zonas sensibles
Redes inalámbricas y control de acceso a la red
Sistemas de virtualización, de copias de seguridad y de gestión
02Enfoque
Cómo se realiza el trabajo
01
Descubrimiento
Identificamos hosts y servicios, incluidos los que son accesibles con direcciones y nombres que no figuran en su inventario.
02
Análisis de vulnerabilidades
Los servicios se comprueban en busca de vulnerabilidades conocidas y configuraciones débiles. Cada candidato se verifica a mano antes de comunicarlo.
03
Explotación
Las debilidades verificadas se explotan conforme a las reglas de enfrentamiento para obtener un punto de apoyo y demostrar el impacto.
04
Movimiento y escalada
Desde el punto de apoyo avanzamos hacia los objetivos acordados con las técnicas catalogadas en MITRE ATT&CK y registramos cada paso.
05
Limpieza
Las cuentas, los archivos y los cambios creados durante la prueba se eliminan y se enumeran en el informe.
Sí. Nos conectamos a través de una VPN que usted proporciona o de un pequeño dispositivo o una máquina virtual instalados en su red. La posición de partida es la misma que in situ.
¿Van a tumbar el dominio?
No. Las técnicas que ponen en riesgo la disponibilidad se excluyen en las reglas de enfrentamiento o solo se ejecutan en una ventana que usted apruebe. El objetivo es demostrar el acceso, no causar daños.
¿Qué diferencia hay entre esto y un escaneo de vulnerabilidades?
Un escaneo enumera posibles debilidades. Una prueba de penetración demuestra cuáles se pueden aprovechar, las combina y muestra hasta dónde llega un atacante. Por eso PCI DSS y otros marcos las tratan como requisitos separados.
Una simulación de un adversario real, orientada a objetivos, contra personas, procesos y tecnología, para comprobar si un ataque se detectaría y se detendría.