01
SAST
Sirve para bajar deuda de seguridad dentro del flujo de desarrollo y detectar patrones repetibles antes de producción.
Metodología Shark Offensive
Un método ofensivo sirve cuando baja ruido y sube claridad.
Cómo definimos alcance, combinamos técnicas, producimos evidencia útil y acompañamos el cierre hasta el retest. Más criterio operativo que enumeración de pasos.
4 etapas
Manual + continuo
Retest
Alcance y reglas de pruebaManual + automatizadoEvidencia reproducibleReporte técnico + ejecutivoRetestNDA disponibleCobertura web, API y cloudRemediación con contextoAlcance y reglas de pruebaManual + automatizadoEvidencia reproducibleReporte técnico + ejecutivoRetestNDA disponibleCobertura web, API y cloudRemediación con contexto
Explorador de fases
Cada etapa cambia la calidad de la siguiente.
El valor del método está en cómo conecta decisión, ejecución y cierre, no en enumerar actividades sueltas.
Definimos qué entra, qué queda afuera y qué pregunta tiene que responder la prueba.
El método arranca antes del primer hallazgo. Ordenamos activo, criticidad, modalidad, accesos y reglas de interacción para que la ejecución no dependa de supuestos flojos.
- Acordamos superficies, exclusiones, ventanas y objetivos concretos.
- Elegimos caja negra, gris o blanca según el riesgo que querés medir.
- Si hace falta, coordinamos NDA y el intercambio mínimo de contexto.
Cómo elegimos técnicas
La técnica correcta depende del tipo de señal que necesitamos.
02
DAST + exposición
Lo usamos para validar comportamiento en runtime, endpoints expuestos y cambios que pueden amplificar impacto después de un release.
03
SCA
Ayuda a priorizar dependencias y riesgos heredados sin tratar igual una alerta marginal y una deuda crítica.
04
Pentesting manual
Entra donde hay lógica de negocio, autenticación, autorización, chaining o contexto que no conviene delegar a automatización ciega.
Principios operativos
El método solo vale si mejora decisiones concretas.
- Un buen arranque baja ruido después · la calidad del alcance determina la calidad de la ejecución, del reporte y del cierre.
- La técnica sigue al objetivo, no al revés · elegimos capas porque ayudan a leer mejor el riesgo, no porque queden bien en una propuesta.
- El reporte tiene que empujar acción · si un hallazgo no ayuda a corregir o decidir, está mal explicado aunque sea técnicamente cierto.
Siguiente paso
Si querés evaluar una superficie puntual, conviene empezar por ordenar el alcance.
Vemos qué combinación metodológica tiene más sentido para tu contexto.