Exposición
Identificación de activos, servicios y puntos de acceso que pueden quedar fuera de los controles perimetrales.
Servicio: 02-A
Auditoría Técnica de Seguridad Multi-Activo
Validación de explotabilidad
Evaluamos múltiples activos y sus relaciones para identificar rutas de ataque que pueden pasar desapercibidas cuando cada componente se analiza de manera aislada.
El problema
¿Qué ocurre cuando una infraestructura tiene activos que no fueron evaluados correctamente o quedaron fuera del perímetro de protección?
Una infraestructura puede contar con controles perimetrales adecuados y aun así mantener activos, servicios o configuraciones que permiten establecer rutas alternativas de acceso.
La auditoría multi-activo busca identificar estas relaciones y validar cuáles pueden ser aprovechadas en un escenario real de ataque.
Alcance
Evaluamos la infraestructura como un ecosistema, no solo como activos aislados.
Relaciones
Análisis de las conexiones y dependencias entre los activos identificados para detectar posibles rutas de ataque.
Explotabilidad
Validación controlada de las rutas identificadas para determinar cuáles pueden ser realmente aprovechadas.
- Evaluación técnica de entre 2 y 5 activos, incluyendo identificación de superficie expuesta, enumeración de servicios, análisis de condiciones de riesgo y validación mediante pruebas de concepto controladas. Se podrán evaluar hasta 3 condiciones de riesgo por activo, dependiendo de los hallazgos identificados y de las condiciones técnicas del entorno.
- Las condiciones adicionales identificadas durante la evaluación serán documentadas como observaciones o condiciones de riesgo no evaluadas, indicando cuando corresponda la razón por la cual no fueron sometidas a prueba.
- La identificación de activos adicionales fuera del límite establecido no implica su incorporación automática al alcance. Estos serán documentados como activos adicionales detectados y requerirán una solicitud de ampliación de alcance y cotización adicional.
Metodología
Validamos los hallazgos antes de convertirlos en decisiones.
La evaluación utiliza pruebas controladas bajo el marco PTES, complementadas con el Proceso de Validación Técnica Basada en Evidencia (PVTE) para determinar qué vulnerabilidades representan un riesgo real, reducir la incertidumbre y facilitar la toma de decisiones estratégicas.
Proceso de Validación Técnica basado en Evidencia
01
Descubrimiento
Identificación de activos, componentes visibles relaciones y superficie de ataque.
02
Validación
Confirmación manual de hallazgos mediante pruebas controladas.
03
Evidencia
Información documentada y reproducible que sustenté cada hallazgo.
04
Priorización
Evaluación de riesgos considerando el contexto real controles visibles y relaciones entre activos.
05
Comunicación
Presentación de resultados mediante información técnica y ejecutiva.
Valor para la organización
Una sola brecha puede cambiar el nivel de riesgo de toda una infraestructura.
Una auditoría multi-activo permite identificar activos olvidados, configuraciones inseguras y rutas de ataque entre diferentes componentes de la infraestructura.
Identificar y validar los riesgos de manera temprana permite tomar decisiones antes de que una condición de exposición se convierta en un incidente, orientando los esfuerzos hacia los riesgos que pueden generar mayor impacto para la organización.
Documentación
Conoce el servicio y revisa un caso real.
Consulta primero el resumen del servicio o revisa el caso de estudio para conocer cómo se aplicó una auditoría multi-activo en un escenario real.
Auditoría Técnica Multi-Activo
Resumen del alcance, metodología, resultados, lecciones aprendidas y valor para la organización.
Consultar Ficha técnica →Ataque encadenado
Ejemplo de una auditoría multi-activo con validación de rutas de ataque y controles compensatorios.
Consultar caso de estudio →¿Necesitas conocer el estado real de tu infraestructura?
Podemos ayudarte a identificar, validar y priorizar los riesgos que requieren atención.
Solicitar una evaluación Regresar ←