Auditoría de seguridad y test de intrusión

La Auditoría Externa o Perimetral busca una visión global de los vectores de acceso, las configuraciones erróneas y las vulnerabilidades existentes en los activos publicados en internet, incluyendo las direcciones IP públicas, sitios web, DNS y cualquier servicio expuesto al que un ciber atacante podría acceder.

La Auditoría de las Redes WiFi permite identificar errores de configuración y el uso de protocolos de seguridad obsoletos para evitar accesos no autorizados y fugas de información.

La Auditoría Interna se desarrolla desde la perspectiva de un atacante con acceso a la red interna para la comprobación de la fortaleza de las medidas y controles de seguridad, así como la identificación y posterior explotación de vulnerabilidades.

El objetivo de la Auditoria de Web es identificar el estado de la seguridad de la aplicación web y de su infraestructura, determinar las debilidades y vulnerabilidades para detectar amenazas que puedan poner en riesgo tanto la disponibilidad de la plataforma, como la confidencialidad de los usuarios.

Para ello seguimos la referente metodología OWASP que destaca las inyecciones, las pérdidas de autenticación, la exposición de información sensible, las entidades externas XML, el inadecuado control de acceso, la configuración de seguridad incorrecta, el cross-site scripting, la deserialización insegura, el uso de componentes con vulnerabilidades conocidas y el registro y monitorización insuficiente como los mayores riesgos de seguridad de aplicaciones con arquitectura web.

Las Auditorías de Aplicación Móvil son pruebas de seguridad que siguiendo la metodología OWASP Mobile analizan cómo las tecnologías móviles Android y iOS almacenan, transmiten y procesan la información.

Utilizando herramientas propias y de terceros, con análisis automáticos y manuales, nuestro equipo de seguridad ofensiva ejecutará la auditoría teniendo en cuenta los siguientes riesgos principales: el uso inadecuado de la plataforma, el almacenamiento inseguro de datos, la comunicación insegura, la autenticación insegura, la criptografía insuficiente, la autorización insegura, la calidad del código de cliente, la manipulación de código, la ingeniería inversa y las funcionalidades extrañas.

El objetivo de la Auditoría de Ciberseguridad ICS OT es la de identificar los riesgos, vulnerabilidades y potenciales problemas de los entornos productivos. Lo conseguimos mediante:

• Realización del inventario de activos, ubicaciones, redes, tráfico y comunicaciones existentes.
• Análisis de vulnerabilidades de la seguridad física, segmentación de redes, seguridad de los datos, vulnerabilidades de software, accesos remotos, IAAA, tolerancia a fallos, configuraciones, etc.
• Evaluación de controles de ciberseguridad basados en las normativas estándares de ciberseguridad industrial como IEC 62443, NIST 800-53, etc.
• Elaboración de recomendaciones para la mitigación de riesgos y definición de un plan de acción general.

Los dispositivos IoT están experimentando un enorme crecimiento siendo propensos a ataques debido a la naturaleza simple y abierta de sus redes. Por lo tanto, la privacidad y la seguridad son la mayor preocupación de esta tecnología y el grado de seguridad debe ser auditado y mejorado.

Nuestro servicio de Auditoría de Seguridad IoT permite al cliente conocer el estado de seguridad en el que se encuentran todas las superficies expuestas en la infraestructura que gestiona el dispositivo y busca soluciones a posibles fallos de seguridad de dispositivos conectados con cualquier tipo de tecnología (NFC, Bluetooth, WiFi, otros).

La Auditoría de Código persigue validar una garantía de requisitos de seguridad del código fuente de un programa, aplicación o servicio.

A través de técnicas de análisis estático, la lectura del propio código y la revisión de su arquitectura; nos permite conocer un gran tipo de vulnerabilidades y malas prácticas de desarrollo de manera rápida.

La adopción de servicios en la nube aporta notables ventajas, pero, introduce nuevos riesgos que han de ser identificados y controlados.

La Auditoría para entornos Cloud consiste en examinar los controles de seguridad asociados a los servicios y proveedores de la nube para detectar vulnerabilidades de autorización, evaluar la seguridad de contenedores de almacenamiento e identificar posibles configuraciones inseguras.

Una de las técnicas más habituales de manipulación o engaño que usan los ciberdelincuentes para obtener información confidencial de los usuarios es la Ingeniería Social. Los usuarios son el eslabón más débil de la cadena de seguridad siendo la principal puerta de entrada de los atacantes.

Los Simulacros de Ingeniería Social tienen como objetivo principal concienciar a los usuarios de los peligros que esto supone y sobre los modos de ataque más habituales; e informar a la dirección sobre los riesgos que corre su organización.

La Vigilancia Digital y Fraude es un servicio de detección de amenazas basado en Inteligencia Digital. El rastreo de información publicada en Internet permite recoger datos que atentan contra la integridad de la organización.

Esta tarea se realiza mediante la inteligencia OSINT (Inteligencia de fuentes abiertas) a través de técnicas y herramientas para investigar contenidos publicados en RRSS, medios de comunicación, blogs, foros; así como la Deep Web y el Dark web.

El término APT hace referencia a las nuevas amenazas silenciosas a las que se enfrentan las organizaciones de hoy en día. La protección contra estas amenazas avanzadas consiste en soluciones de seguridad diseñadas para proteger los datos confidenciales de la organización frente a ataques cibernéticos complejos como el malware, campañas de ingeniería social, etc.

El Servicio de Test de Intrusión APT permite analizar la ciberresiliencia de una organización con respecto a ataques dirigidos y evaluar el nivel de madurez de capacidades en ciberseguridad de la organización. Para ello, se simula un ataque real con las características de una Amenaza Avanzada Persistente contra la organización con el objetivo de obtener acceso a su infraestructura corporativa mediante diferentes herramientas.

Un Servicio de Red Team es un ejercicio que consiste en simular un ataque malicioso dirigido a las infraestructuras, sistemas y servicios de una organización a través de herramientas ofensivas ad-hoc con el objetivo de infiltrarse en su organización y analizar sus vulnerabilidades.

Para ello, nuestros expertos atacan a los puntos débiles y comprueban la posibilidad de tener acceso a los sistemas corporativos para analizar el impacto que esto podría tener en el negocio y ayudar a fortalecer la seguridad de la organización. Lo que se busca es demostrar si la organización está preparada o no ante este escenario.

Un Red Team ayudará a detectar y contener una intrusión en las etapas tempranas mediante la detección de debilidades transversales a la compañía, mejora de los procedimientos de respuesta, mejora de los sistemas de monitorización y entrenamiento del personal de seguridad.