Las aplicaciones y servicios web suelen estar expuestos a internet y pueden ser atacados fácilmente desde cualquier parte del mundo. Por lo tanto, es fundamental garantizar la seguridad de dichas aplicaciones o servicios. Los problemas comunes son la falta de limpieza de la entrada de usuario, las vulnerabilidades y las configuraciones incorrectas en la plataforma o en los componentes utilizados, el control de acceso deficiente o la autorización deficiente entre los distintos roles de usuario, entre otros. Una prueba de penetración identifica las vulnerabilidades conocidas en el sistema.

Servicio

Valor

Entregables

• Tenga en cuenta las amenazas actualmente conocidas en su aplicación o servicio web.

• Los problemas observados se enumeran en función de su importancia para todo el sistema y se describe su efecto, lo que permite que la empresa mitigue o acepte el riesgo si así lo desea.

• Verificar si la aplicación o servicio sigue las mejores prácticas.

• Un informe de prueba de penetración de la aplicación o servicio web con un resumen ejecutivo y una sección técnica para el personal de TI y los desarrolladores. El informe documenta las vulnerabilidades y las configuraciones incorrectas observadas en el sistema, junto con las medidas de remediación recomendadas.

• Sesión informativa donde se revisan los hallazgos.

Metodología

Nuestra metodología se inspira en las publicaciones de OWASP y NIST sobre pruebas de penetración. Se desarrolla aún más con nuestro conocimiento sobre hacking e identificación de rutas de ataque en aplicaciones y servicios web.

Sugerimos que el proyecto se realice como una prueba de caja blanca, tanto con un atacante autenticado como sin autenticar. Como atacante autenticado, realizaremos pruebas con cada rol dentro del sistema, si corresponde.

A lo largo de la prueba utilizamos una combinación de escaneos automatizados y pruebas manuales creativas basadas en nuestro conocimiento de piratería y aplicaciones y servicios web.

Evaluamos áreas como:

• Control de acceso como mecanismos de autenticación y autorización

• Gestión de identidad

• Gestión de sesiones

• Manejo de errores

• Uso de la criptografía

• Validación y saneamiento de entradas

• Flujo en términos de lógica de negocio

• Exposición a la información

• Gestión de implementación y configuración
  

Desarrollo

Se requiere una participación mínima. Se requiere una reunión inicial donde se explica el flujo del sistema, la cual suele durar una hora o menos. Además, se debe contar con un recurso relevante que explique la aplicación durante toda la prueba.