Pentesting d'aplicacions web

Escanejar no és el mateix que atacar.

Ataquem les teves aplicacions web, portals i APIs com ho faria un atacant, amb autorització i mètode, perquè les vulnerabilitats les trobis tu primer. Seguint OWASP, amb troballes classificades per CVSS i retest de les correccions.

Demana una valoració inicial

Més de 15 anys d'experiència
Partner de Microsoft des del 2010
Més de 200 grans organitzacions com a clients
Certificats en ISO 27001
Equip propi a Barcelona i Madrid

EL PUNT DE PARTIDA

Les aplicacions són la porta d'entrada

Els escàners troben errors coneguts; els atacants busquen els errors de lògica que cap escàner no veu.

Injecció

Formularis sense validar

Cada camp d'entrada és candidat a injecció SQL, XSS o CSRF si no es valida correctament.

Autorització

Accessos que no haurien d'existir

Usuaris que veuen dades d'altres (IDOR) o que arriben a funcions d'un rol superior.

Sessions

Autenticació feble

Galetes sense protecció, tokens JWT mal validats i sessions que no caduquen.

Configuració

Capçaleres i xifratge

Capçaleres de seguretat absents, TLS mal configurat i panells d'administració exposats.

Sense un pentest, el primer a provar les teves aplicacions pot ser un atacant.

Quan té sentit un pentest?

Si t'identifiques amb algun d'aquests escenaris, el pentest et dona l'evidència que necessites.

Abans de publicar

Nova aplicació o gran versió

Validar la seguretat abans d'obrir a internet un portal, una àrea privada o una API.

Ho demanen tercers

Clients, asseguradores o auditors

Qüestionaris de seguretat, pòlisses de ciberrisc o due diligence que demanen un pentest recent.

Compliment

ISO 27001, ENS o NIS2

Els auditors esperen proves periòdiques, troballes classificades i evidència de retest.

Dades sensibles

Dades personals o de negoci

Aplicacions amb dades de clients, pagaments o informació crítica i diversos rols d'usuari.

També com a revisió periòdica: anual o després de cada canvi rellevant a l'aplicació.

Un escàner no n'hi ha prou

Un escàner detecta el que és conegut; un pentest comprova què pot fer realment un atacant.

Només escàner

Una llista d'avisos

Centenars d'alertes sense prioritzar
Falsos positius que ningú descarta
Errors de lògica de negoci invisibles
Permisos entre rols sense comprovar
Sense evidència que s'ha corregit

Resultat: sensació de seguretat, no seguretat

Amb Itequia

Un atac controlat i documentat

Proves automàtiques i manuals combinades
Cada rol, provat contra cada funció
Explotació controlada que confirma el risc
Troballes classificades amb CVSS
Retest inclòs per tancar cada troballa

Resultat: vulnerabilitats confirmades i tancades

El que faria un atacant, amb autorització

Combinem la cobertura de les eines amb el criteri d'un especialista: cap n'hi ha prou per si sola.

Les eines

Proves automatitzades

Escaneig actiu, enumeració de rutes i anàlisi del servidor i del xifratge, en tota la superfície.

L'especialista

Proves manuals

Injecció, sessions i lògica de negoci, rol a rol: el que cap escàner detecta.

El resultat

Risc confirmat

Cada vulnerabilitat, explotada de manera controlada, classificada i amb la seva correcció.

On ataquem

Formularis

Injecció SQL, XSS i CSRF a cada camp d'entrada

Rols

Matriu d'autorització: escalada de privilegis i IDOR

Sessions

Autenticació, galetes i tokens JWT de cada rol

Servidor

Capçaleres HTTP, configuració TLS i panells d'administració

Què provem

Seguim la guia de proves d'OWASP (WSTG) i cobrim els riscos de l'OWASP Top 10.

Reconeixement

DNS i subdominis
Tecnologies exposades
Capçaleres HTTP
Rutes i fitxers ocults

Entrades de dades

Injecció SQL
Cross-site scripting
CSRF
Validació d'entrades

Configuració

Capçaleres de seguretat
TLS i certificats
Servidor web

Autenticació

Login i contrasenyes
Gestió de sessions
Galetes i tokens JWT
Caducitat i tancament

Autorització

Matriu rol–funció
Escalada de privilegis
Dades alienes (IDOR)
Panell d'administració

Preferentment en preproducció, o en producció en finestres acordades, sense impacte en els teus usuaris.

La nostra diferència

Un abast mesurat, no estimat a ull

L'esforç no depèn del nombre de pàgines, sinó de la superfície d'atac real.

Mesurem la superfície

Un rastreig amb OWASP ZAP compta les pàgines (P) i els formularis (F) de l'aplicació.

Ponderem el risc

Cada formulari pesa per tres i cada rol d'usuari (R) multiplica: (P + 3F) × R.

Preu tancat

La puntuació situa l'aplicació en un nivell amb esforç i preu tancats per endavant.

Un portal de 10 pàgines amb 4 rols pot exigir més proves que un de 80 pàgines sense login.

Quatre passos, de l'autorització al retest

La durada s'ajusta a cada cas: pàgines, formularis i rols d'usuari dins de l'abast.

Abast signat

Autorització

Abast, entorns, finestres de prova i contacte d'emergència, per escrit.

Mesurament i preparació

Reconeixement

Rastreig de l'aplicació, confirmació de la complexitat i reconeixement passiu.

Automàtica i manual

Execució

Escanejos, proves manuals rol a rol i explotació controlada de troballes.

Equip tècnic i direcció

Informe i retest

Informes amb CVSS, pla de remediació i verificació de les correccions.

Què reps: evidències per actuar

Informe executiu

Els riscos rellevants i el seu impacte potencial, sense tecnicismes, per a la direcció.

Informe tècnic

Cada troballa amb la seva descripció, evidència i classificació CVSS, de crític a informatiu.

Pla de remediació

Prioritzat per risc, amb una recomanació concreta per troballa per a l'equip de desenvolupament.

Retest

Verificació que les vulnerabilitats corregides han quedat efectivament tancades.

Evidències per al SGSI

Documentació llesta per a l'auditor d'ISO 27001 o ENS.

El pentest confirma el risc i marca com tancar-lo. La correcció al codi, l'auditoria de la infraestructura i els pentests periòdics són serveis separats.

Com es contracta

Preu tancat, sense compromisos posteriors

Cada pas es decideix amb la informació de l'anterior: el pentest no obliga a contractar res més.

Valoració inicial

Una sessió per confirmar aplicacions, entorns i rols d'usuari dins de l'abast.

Pentest

A preu tancat, segons la puntuació de complexitat de cada aplicació.

Correcció

Com a projecte: codi i configuració, segons el pla de remediació.

Revisió periòdica

Pentest anual o després de cada versió rellevant, amb el mateix mètode.

L'informe i el pla de remediació són teus, per executar-los amb qui decideixis. Proves autoritzades per escrit i dades tractades sota la nostra certificació ISO 27001.

La diferència amb un informe d'escàner

Un equip que també desenvolupa i opera aplicacions.

Troballes confirmades

Cada vulnerabilitat, explotada de manera controlada i verificada per especialistes.

Seguretat que practiquem

Itequia està certificada en ISO 27001 i treballa en entorns regulats: banca, farma, indústria i sector públic.

Sabem corregir-ho

Desenvolupem aplicacions des del 2008: correccions aplicables i, si vols, les implantem.

Què obtens

Risc confirmat

Què pot fer realment un atacant a les teves aplicacions.

Prioritats clares

Troballes classificades per CVSS, de crític a informatiu.

Correccions verificades

Retest de cada vulnerabilitat tancada.

Evidències per a tercers

Informes per a clients, asseguradores i auditors.

Compliment

Gestió de vulnerabilitats tècniques per a ISO 27001, ENS i NIS2.

Cost i abast acotats

Preu tancat calculat amb un mètode objectiu.

On encaixa el pentest

El pentest funciona sol o juntament amb la resta de serveis de ciberseguretat d'Itequia.

Auditar la xarxa

Auditoria de ciberseguretat

Vulnerabilitats de la infraestructura i maduresa de les polítiques.

Coneix el servei

Provar les aplicacions

Pentesting d'aplicacions web

Atacs controlats, rol a rol, amb retest de les correccions.

Avaluar les aplicacions

Avaluació Well-Architected

Codi, arquitectura i plataforma davant dels cinc pilars.

Coneix el servei

Complir

Diagnòstic NIS2, ENS i ISO 27001

Aplicabilitat, gap per marc i pla d'acció prioritzat.

Coneix el servei

Cada servei es contracta per separat. Infraestructura, aplicacions i compliment amb el mateix partner.

Per què Itequia és la millor opció per a les teves necessitats de desenvolupament de software?

Amb més de 15 anys d'experiència en el sector digital, oferim serveis de desenvolupament de software eficients i personalitzats. La nostra metodologia àgil i eines de gestió garanteixen lliuraments que s'adapten a les teves necessitats.

Com a Microsoft Solutions Partner, tenim la competència i experiència per utilitzar les tecnologies més avançades.

Comptem amb un equip de més de 50 professionals humans altament qualificats format per analistes, dissenyadors, desenvolupadors, testers, consultors i directors de projecte.