¿Qué es una Auditoría de Seguridad?

Se entiende como auditoría de seguridad, a la realización de una serie de pruebas, siempre controladas, para determinar el estado en el que se encuentra el hosting de una web a nivel de seguridad informática.

Se actuará como si de un atacante real se tratara y se irán anotando las vulnerabilidades encontradas para, posteriormente, detallarlas en el informe final de auditoría.

No obstante, si se encontrara alguna vulnerabilidad crítica, se reportará al instante sin esperar a la realización del informe final.

Si se encuentran vulnerabilidades críticas que puedan afectar a la estabilidad de la infraestructura, se hablará con el cliente, y se evaluará si es conveniente explotarla (ya sea en horario laboral o fuera de él), para determinar si se trata de un falso positivo, o por lo contrario, la vulnerabilidad existe. En cualquiera de los casos, el cliente decidirá si se realiza, o por lo contrario, se documenta en el informe final sin realizar dichas pruebas.

A la finalización de la auditoría, en un plazo máximo de 2 semanas, se entregará un informe al cliente, el cual estará formado por:

  •  Resumen ejecutivo
  •  Riesgo de vulnerabilidades
  •  Tabla de vulnerabilidades encontradas
  •  Descripción detallada de cada una de las vulnerabilidades encontradas
  •  Conclusiones
Destacar que, en cada una de las vulnerabilidades encontradas, se facilitará en el documento una pequeña recomendación para mitigar cada una de ellas.

Elige ahora la auditoría que mejor se ajuste a tus necesidades

Pack Basic Web
Pack Medium WebPack Premium Web
Auditoría Básica
10 vulnerabilidades + recomendaciones
Seguimiento semestral
2 auditorías al año
Auditoría Básica
20 vulnerabilidades + recomendaciones
Seguimiento cuatrimestral
3 auditorías al año
Auditoría Completa
Actualizaciones trimestrales
Verificación de posibles intrusiones
Seguimiento mensual
4 auditorías completas al año
 299€/año* 560€/año* 1.100€/año*

>> Aquí puedes ver un ejemplo de una Auditoría realizada a un cliente.

Solicita ya la tuya para evitar riesgos y asegurar la información de tu contenido web

* 10% descuento para los clientes de SoyDigital

¿En qué consiste la Auditoría Web Security?

External Footprinting

Esta parte es la inicial a la hora de realizar una auditoría de seguridad.

Básicamente, se trata de recopilar toda la información posible en Internet, sobre el cliente. El objetivo de esta fase es conocer mejor al cliente, y ver qué recursos tiene publicados, cuentas de correo visibles, etcétera.

Algunas de las pruebas que se realizan en esta fase son:

  • Descubrimiento de DNS
  • DNS Snooping
  • Identificación de CMS (si lo tiene)
  • Banner Grabbing (Versiones de servicios)
  • Descubrimiento SMTP
  • Protocolo SNMP
  • Detección de IDS/IPS
  • Extraer información del dominio
  • Análisis de SMB
  • Google Dorking
  • Shodan Hacking
  • Tecnologia VOIP
  • Emails visibles en Internet para realización de ataques en un futuro.
  • Recopilar información extra para la realización de ataques de Ingeniería Social.

Análisis Web

Una vez realizada la primera fase, ya se tiene suficiente información para empezar a realizar pruebas específicas.

Algunas de las pruebas que se realizan en esta fase son:

  • SQL Injection
  • XSS (Cross-site scripting)
  • LFI ( Inclusión de ficheros locales)
  • RFI (Inclusión de ficheros remotos
  • CSRF
  • Métodos soportados por el servidor (head, trace, get, post, put, options, etcétera)
  • BlindSQL Injection
  • Bypass a sistema de autenticación (formulario)
  • Solicitudes falsificadas en sitios cruzados
  • Validación de variables recibidas por el servidor
  • Listados de directorio
  • Forwards o redirects no validados
  • RCE (Ejecución de comandos en el servidor)
  • LDAP Injection
  • Descubrimiento de directorios ocultos
  • Fuerza bruta a directorios
  • Ataques XML
  • Subida de ficheros
  • Comprobación de certificados SSL (ruptura)

 

Otros servicios relacionados que te pueden interesar: