Servicios / Evaluaciones técnicas
Infraestructura y exposición externa.
Los sistemas publicados, sus configuraciones y los accesos administrativos determinan parte de la superficie de un producto. La evaluación de infraestructura examina los servicios y activos acordados, con una profundidad definida por el entorno, las autorizaciones y el objetivo de la revisión.
- Superficie
- Activos y servicios autorizados
- Preparación
- Externo o autenticado, según alcance
- Resultado
- Exposición validada y prioridades
Cuándo tiene sentido.
Al publicar un servicio, modificar una arquitectura o revisar la exposición de un conjunto de activos. Un inventario actualizado ayuda a relacionar lo observado con las funciones que la organización necesita mantener.
Cuando el equipo necesita distinguir servicios esperados de exposiciones que requieren revisión. La propuesta debe indicar si se evalúa desde el exterior, con acceso autenticado o en un segmento específico.
Qué se revisa.
Inventario y pertenencia
Dominios, direcciones y servicios que integran el alcance. Se confirma la relación entre cada activo y la autorización disponible. Un nombre que resuelve hacia infraestructura compartida no permite extender las pruebas a otros usuarios del proveedor.
Servicios accesibles
Protocolos y aplicaciones publicados, interfaces de administración y diferencias entre entornos. La exposición se interpreta según su propósito: un servicio accesible no es por sí solo una vulnerabilidad. Se comprueban los controles y las condiciones relevantes.
Configuración y autenticación
Restricciones de acceso, mecanismos de autenticación y configuración observable en los servicios incluidos. Una revisión autenticada requiere permisos expresamente acordados y puede observar elementos distintos de los accesibles desde Internet.
Componentes y evidencia
Las versiones o avisos conocidos orientan hipótesis que necesitan interpretación. La presencia de una versión aparente no demuestra explotabilidad. Se documenta el nivel de comprobación alcanzado, evitando presentar una coincidencia automática como un hallazgo validado.
Relaciones y límites de acceso
Cuando forma parte del alcance, se analiza cómo los accesos disponibles conectan activos y servicios. La propuesta fija qué segmentos, identidades y acciones pueden utilizarse y cómo coordinar una situación que afecte la operación.
Una consola administrativa publicada
Ejemplo ilustrativo: una consola necesita ser accesible para un equipo acotado. La evaluación puede contrastar el acceso observado con esa necesidad y revisar la autenticación incluida en el alcance. La corrección puede requerir restringir el punto de entrada, revisar permisos o modificar la configuración; depende de la arquitectura.
Cómo preparar la evaluación.
- Reunir dominios o rangos autorizados, responsables de los activos y descripción de su función. Aclarar infraestructura compartida, proveedores y activos administrados por terceros.
- Definir origen de las pruebas, ventanas y restricciones sobre disponibilidad. Identificar servicios sensibles, operaciones excluidas y un contacto que pueda coordinar pausas.
- Para una revisión autenticada, acordar permisos mínimos, duración del acceso y canal de intercambio. Registrar el estado del entorno y los cambios previstos durante la evaluación.
Qué queda documentado.
Relación de activos evaluados y servicios observados, junto con el punto de vista de la evaluación y sus restricciones.
Hallazgos confirmados con configuración o acceso afectado, evidencia, condiciones e impacto. Las observaciones que necesitan más contexto se distinguen de resultados comprobados.
Recomendaciones de reducción de exposición, control de acceso o configuración según el hallazgo. El seguimiento de los cambios se define de acuerdo con la propuesta.
Explorar la muestra del informeCondiciones y límites.
Las pruebas se limitan a los activos cuya evaluación está autorizada. Infraestructura interna, identidades corporativas, servicios cloud y revisiones de configuración profundas requieren definición específica. No se deduce cobertura de todos los proveedores o tecnologías a partir de una evaluación externa. Las pruebas que puedan afectar disponibilidad necesitan condiciones propias.
El alcance final, los accesos y las condiciones comerciales quedan definidos en la propuesta. Podés consultar el recorrido de trabajo y la información para preparar una cotización.
El siguiente paso
Definamos qué necesitás evaluar.
Contanos qué hace tu sistema, qué cambió y qué necesitás conocer. Con ese contexto podemos conversar sobre el alcance.