02Banana Defense · Pruebas de penetración
Pentesting en Colombia con alcance y evidencia
Ofrecemos pentesting en Colombia para comprobar la seguridad de aplicaciones e infraestructura. Banana Defense entrega hallazgos verificables, un resumen para dirección y un retest de las correcciones acordadas.
Pentesting · prueba autorizadaSimulaciónapp.tuempresa.com
- Aplicación web
- API
- Red interna
Alcance autorizado por escrito
Pruebas ejecutadas 82
- CríticoSe ven facturas de otros clientes cambiando el número en la dirección.
- AltoEl inicio de sesión no limita los intentos.
- MedioLa sesión sigue abierta después de salir.
- BajoEl servidor muestra qué versión usa.
Informe listo · resumen para dirección
El reto
Una alerta técnica necesita contexto
Una alerta no explica qué puede hacer un atacante. Validamos si puede consultar datos ajenos, modificar operaciones o acceder a funciones administrativas. Combinamos herramientas y revisión manual dentro del alcance autorizado: la Ley 1273 de 2009, artículo 269A, contempla el acceso abusivo.
La solución
Alcances de pentesting en Colombia
Delimitamos activos y responsabilidades, con integradores especializados según el alcance. Usamos OWASP Web Security Testing Guide (WSTG) para web, y OWASP MASVS/MASTG para móviles.
- 01
Aplicaciones web y APIs
Probamos autenticación, sesiones, permisos y validación de datos, incluidas consultas directas a APIs.
- 02
Aplicaciones móviles
Revisamos almacenamiento, comunicación y controles móviles. Identificamos por separado las APIs que se probarán.
- 03
Infraestructura externa
Validamos configuraciones y rutas de acceso de los servicios expuestos a internet autorizados.
- 04
Entornos de nube
Revisamos identidades, permisos, exposición y separación de entornos según accesos y reglas del proveedor.
Qué hace
Black box, grey box y white box
- Black box: desde fuera
- Sin cuenta interna, revisamos lo que un tercero puede descubrir y alcanzar desde el exterior.
- Grey box: con acceso de usuario
- Con cuentas e información parcial, comparamos roles y buscamos accesos o acciones indebidas.
- White box: con contexto interno
- Con documentación, arquitectura o código, examinamos controles y rutas menos visibles según lo que necesitas comprobar.
Cómo trabajamos
De la autorización al retest
- 01
Permiso escrito y alcance
Documentamos activos, técnicas, ventanas y contactos. Verificamos quién puede autorizar cada sistema, incluidos los de terceros.
- 02
Preparación y diagnóstico
Empezamos con lectura. Acordamos pruebas activas, datos, condiciones de parada y comunicación de hallazgos urgentes.
- 03
Pruebas y validación
Comprobamos alertas para reducir falsos positivos y conservamos evidencia protegiendo la información sensible.
- 04
Informes y nueva prueba
Entregamos evidencia, riesgo, recomendaciones y resumen ejecutivo. El retest registra el estado de cada corrección.
Dónde sirve
Situaciones en las que conviene evaluar
Antes de abrir un portal
Comprueba aislamiento entre clientes y permisos en un entorno representativo antes de ampliar el acceso.
Después de cambiar integraciones
Revisa cómo nuevas APIs, roles o proveedores cambian los permisos de lectura y escritura.
Al revisar un proveedor
Define evidencia y permisos para probar plataformas externas; incorpora las restricciones a la decisión de compra.
Qué medimos
Qué debe mostrar el informe
- Activos, roles y recorridos evaluados, con sus exclusiones
- Evidencia e impacto de hallazgos confirmados
- Condiciones para reproducir cada falla
- Recomendaciones y prioridades para los responsables
- Estado de las correcciones tras el retest
Precio
Cómo estimamos el costo
Cotizamos aplicaciones, funciones, roles, entornos y modalidad de acceso. Especificamos la profundidad de revisión móvil o de nube, informes y retest. Conocer los procesos permite estimar el esfuerzo; contar dominios no basta.
Preguntas
Preguntas frecuentes
¿En qué se diferencia de un escaneo automático?
El pentesting valida hallazgos y su impacto en el proceso. Un escaneo encuentra señales; la revisión manual permite comprobar errores de permisos y combinaciones de fallas dentro de una operación.
¿Cuánto cuesta un pentesting?
Depende del alcance y los accesos. Revisamos aplicaciones, roles y funciones críticas. La propuesta especifica pruebas, entregables y condiciones del retest para que puedas comparar lo que cubre cada evaluación.
¿Cuánto tiempo toma?
Depende del tamaño del sistema y de las ventanas autorizadas. Acordamos fechas tras revisar accesos y recorridos; programamos el retest cuando las correcciones estén disponibles en el entorno definido.
¿Pueden hacer pruebas en producción?
Sí, con autorización expresa y condiciones adecuadas. Evaluamos riesgo operativo, técnicas y cómo detenerlas. Algunas pruebas necesitan un entorno separado; en producción puede haber impacto. Verificamos también las autorizaciones de los titulares de sistemas externos.
¿Pueden probar software que Banana Script mantiene?
No. Banana Defense no audita sistemas que Banana Script construye, opera o mantiene. Un tercero realiza la evaluación independiente; las pruebas internas de desarrollo son controles de calidad.
Servicios relacionados
Otros servicios que se conectan con este
Seguridad de IA
Probamos instrucciones maliciosas, exposición de datos y permisos en chatbots, agentes, copilotos y aplicaciones con RAG.
Ver el servicioViernes Defense
Nuestra plataforma GRC y SAST: riesgos, controles y seguridad del código en un solo lugar.
Ver el servicioSoftware a la medida
Plataformas con reglas propias, permisos y conexiones para procesos que las herramientas existentes no cubren.
Ver el servicio
Delimita la prueba que necesita tu empresa
Comparte las aplicaciones y los procesos que te preocupan. Revisamos independencia, permisos y alcance antes de solicitar accesos.