Pentesting & Red Team: descubrimos brechas reales antes de que lo haga un atacante

Resumen ejecutivo

Lectura para dirección y comité: impacto, riesgo residual, estado por ámbito y decisiones requeridas en una sola página.

Informe técnico con PoC

Detalle reproducible por hallazgo: evidencia, CVSS, ruta de explotación, impacto real y recomendación específica para remediar.

Plan de remediación priorizado

Backlog ordenado por riesgo real y esfuerzo, con propietarios sugeridos, dependencias y quick wins accionables desde el día uno.

Retest y carta de cierre

Validación de las correcciones, evidencia del cierre por hallazgo y actualización del informe con el riesgo residual asumido.

Aplicación web o API expuesta

Pentest alineado con OWASP WSTG / ASVS: autenticación, autorización, lógica de negocio, inyecciones, IDOR y dependencias.

Infraestructura perimetral e interna

Descubrimiento de superficie expuesta, revisión de servicios, movimiento lateral y escalada de privilegios en Active Directory.

Entorno cloud y Microsoft 365

Revisión de identidades, permisos, secretos, exposición pública, Conditional Access y abuso de tokens o consentimientos OAuth.

Simulación de adversario (Red Team)

Escenario con objetivos concretos, técnicas alineadas con MITRE ATT&CK, acceso inicial, persistencia y validación de detección del Blue Team.

Validación post-incidente

Confirmar que la remediación tras un incidente cierra realmente el vector y no deja puertas traseras ni accesos residuales.

Exigencia regulatoria

Pentest como evidencia para DORA, NIS2, ENS, ISO 27001 o PCI-DSS, con informe útil para auditores y para cerrar hallazgos previos.

OWASP WSTG, ASVS y MASVS

Web Security Testing Guide como base de cobertura para pentest web, y ASVS/MASVS como referencia de verificación por niveles. Nos permite dimensionar el ejercicio (L1 exploratorio, L2 estándar, L3 alto assurance) y explicar al desarrollo qué controles debe implantar más allá del hallazgo puntual.

OWASP API Security Top 10 (2023)

BOLA, autenticación rota, exposición de datos, consumo excesivo, autorización a nivel de función, SSRF y configuración incorrecta. Estas siete familias concentran hoy la mayoría del riesgo real en APIs REST y GraphQL de exposición externa.

PTES (Penetration Testing Execution Standard)

Pre-engagement, reconnaissance, threat modeling, vulnerability analysis, exploitation, post-exploitation y reporting. PTES da la estructura para pentest de infraestructura, red interna y Active Directory con criterio de repetibilidad y trazabilidad de la ruta de ataque.

MITRE ATT&CK

Taxonomía común de tácticas y técnicas del adversario para Red Team. Toda la ruta de acceso inicial, persistencia, movimiento lateral y exfiltración se documenta con IDs ATT&CK, lo que permite al Blue Team validar detección y cobertura sobre un vocabulario compartido.

TIBER-EU (Threat Intelligence-Based Ethical Red Teaming)

Marco del BCE y bancos centrales para ejercicios de Red Team basados en threat intelligence en entidades financieras críticas. Alineamos con TIBER-EU cuando aplica (DORA lo referencia para pruebas avanzadas), coordinando con supervisor, TI provider y control interno.

DORA, NIS2, ENS, ISO 27001, PCI DSS

El pentest y el Red Team son evidencia técnica para varios marcos: DORA (art. 26 Threat-Led Penetration Testing), NIS2 (medidas de seguridad art. 21), ENS (auditoría y pruebas periódicas), ISO 27001 A.12.6 y A.8.29, PCI DSS req. 11.3 y 11.4. El informe se estructura para servir a auditor y comité.