02Banana Defense · Pruebas de penetración
Pentesting en Colombia con alcance y evidencia
Ofrecemos pentesting en Colombia para comprobar la seguridad de aplicaciones e infraestructura. Banana Defense entrega hallazgos verificables, un resumen para dirección y un retest de las correcciones acordadas.
Banana Defense · mapa de exposiciónSimulación- CríticoEl panel de control tiene la contraseña de fábrica. Desde ahí se llega a los datos de clientes.Abierto
- AltoEl asistente de IA entrega datos de otros clientes si se lo piden con engaños.Abierto
Una alerta técnica necesita contexto
Una alerta no explica qué puede hacer un atacante. Validamos si puede consultar datos ajenos, modificar operaciones o acceder a funciones administrativas. Combinamos herramientas y revisión manual dentro del alcance autorizado: la Ley 1273 de 2009, artículo 269A, contempla el acceso abusivo.
Alcances de pentesting en Colombia
Delimitamos activos y responsabilidades, con integradores especializados según el alcance. Usamos OWASP Web Security Testing Guide (WSTG) para web, y OWASP MASVS/MASTG para móviles.
- 01
Aplicaciones web y APIs
Probamos autenticación, sesiones, permisos y validación de datos, incluidas consultas directas a APIs.
- 02
Aplicaciones móviles
Revisamos almacenamiento, comunicación y controles móviles. Identificamos por separado las APIs que se probarán.
- 03
Infraestructura externa
Validamos configuraciones y rutas de acceso de los servicios expuestos a internet autorizados.
- 04
Entornos de nube
Revisamos identidades, permisos, exposición y separación de entornos según accesos y reglas del proveedor.
Black box, grey box y white box
- Black box: desde fuera
- Sin cuenta interna, revisamos lo que un tercero puede descubrir y alcanzar desde el exterior.
- Grey box: con acceso de usuario
- Con cuentas e información parcial, comparamos roles y buscamos accesos o acciones indebidas.
- White box: con contexto interno
- Con documentación, arquitectura o código, examinamos controles y rutas menos visibles según lo que necesitas comprobar.
De la autorización al retest
- 01
Permiso escrito y alcance
Documentamos activos, técnicas, ventanas y contactos. Verificamos quién puede autorizar cada sistema, incluidos los de terceros.
- 02
Preparación y diagnóstico
Empezamos con lectura. Acordamos pruebas activas, datos, condiciones de parada y comunicación de hallazgos urgentes.
- 03
Pruebas y validación
Comprobamos alertas para reducir falsos positivos y conservamos evidencia protegiendo la información sensible.
- 04
Informes y nueva prueba
Entregamos evidencia, riesgo, recomendaciones y resumen ejecutivo. El retest registra el estado de cada corrección.
Situaciones en las que conviene evaluar
Antes de abrir un portal
Comprueba aislamiento entre clientes y permisos en un entorno representativo antes de ampliar el acceso.
Después de cambiar integraciones
Revisa cómo nuevas APIs, roles o proveedores cambian los permisos de lectura y escritura.
Al revisar un proveedor
Define evidencia y permisos para probar plataformas externas; incorpora las restricciones a la decisión de compra.
Qué debe mostrar el informe
- Activos, roles y recorridos evaluados, con sus exclusiones
- Evidencia e impacto de hallazgos confirmados
- Condiciones para reproducir cada falla
- Recomendaciones y prioridades para los responsables
- Estado de las correcciones tras el retest
Cómo estimamos el costo
Cotizamos aplicaciones, funciones, roles, entornos y modalidad de acceso. Especificamos la profundidad de revisión móvil o de nube, informes y retest. Conocer los procesos permite estimar el esfuerzo; contar dominios no basta.
Preguntas frecuentes
¿En qué se diferencia de un escaneo automático?
El pentesting valida hallazgos y su impacto en el proceso. Un escaneo encuentra señales; la revisión manual permite comprobar errores de permisos y combinaciones de fallas dentro de una operación.
¿Cuánto cuesta un pentesting?
Depende del alcance y los accesos. Revisamos aplicaciones, roles y funciones críticas. La propuesta especifica pruebas, entregables y condiciones del retest para que puedas comparar lo que cubre cada evaluación.
¿Cuánto tiempo toma?
Depende del tamaño del sistema y de las ventanas autorizadas. Acordamos fechas tras revisar accesos y recorridos; programamos el retest cuando las correcciones estén disponibles en el entorno definido.
¿Pueden hacer pruebas en producción?
Sí, con autorización expresa y condiciones adecuadas. Evaluamos riesgo operativo, técnicas y cómo detenerlas. Algunas pruebas necesitan un entorno separado; en producción puede haber impacto. Verificamos también las autorizaciones de los titulares de sistemas externos.
¿Pueden probar software que Banana Script mantiene?
No. Banana Defense no audita sistemas que Banana Script construye, opera o mantiene. Un tercero realiza la evaluación independiente; las pruebas internas de desarrollo son controles de calidad.
Servicios relacionados
Otros servicios que se conectan con este
Delimita la prueba que necesita tu empresa
Comparte las aplicaciones y los procesos que te preocupan. Revisamos independencia, permisos y alcance antes de solicitar accesos.