La seguridad es un concepto, más que un simple producto o componente, donde lo más importante es garantizar que las políticas de prevención y mecanismos de protección operen en forma eficiente y permanente. Una de las maneras que existe para evaluar el nivel de seguridad a través del tiempo son las Pruebas de Penetración, las cuales detectan la presencia de puntos débiles o brechas que pueden ser aprovechadas por cualquier ente externo ó interno con intenciones desconocidas.

Si existen puntos débiles en su red, el hecho de tener una buena infraestructura de Seguridad de Información (Infosec), con su plan maestro, políticas, cortafuegos y detectores, no puede garantizar la protección de su información en el tiempo. Por lo tanto, es imperativo contar con un mecanismo de detección que identifique dichas brechas en forma oportuna y preventiva.

¿Cómo asegurarse de que no existan fallas o brechas en la seguridad de información? ¿Cómo saber si esta protegidos contra las nuevas técnicas de ataque utilizadas por los "Hackers" o por sus propios empleados? ¿Cómo estar seguros que un cambio de configuración o la instalación de nuevos sistemas no han abierto una nueva brecha? ¿Cómo obtener una opinión profesional, detallada e imparcial de sus actividades de seguridad?

Los servicios de test de Penetración están diseñados para detectar vulnerabilidades y brechas de seguridad que puedan ser utilizadas por personas malintencionadas para atacar y penetrar en la red interna de su empresa: base de datos, documentos confidenciales, finanzas, correo electrónico, etc.

Mediante una serie sistemática de pruebas, que utilizan las herramientas más modernas y las técnicas de ataque más sofisticadas para detectar las debilidades de seguridad de su red, atacamos y penetramos sus instalaciones para poder entonces emitir nuestras recomendaciones de cómo evitarlos, minimizando así las posibilidades de que un desconocido o un empleado las aproveche.

Nuestros expertos en seguridad hacen uso de varios tipos de herramientas para evaluar la seguridad de su red como son:

- Las que se encuentran libremente en el Internet y que son comúnmente utilizadas y actualizadas por los Hackers.

- Las de tipo comercial, las cuales permiten hacer pruebas sistematizadas de gran envergadura.

Nuestra experiencia nos ha demostrado que las herramientas para pruebas automatizadas no logran detectar la totalidad de las debilidades. Las de mayor gravedad, se detectan generalmente mediante pruebas manuales. Realizamos dos tipos de pruebas:

* Las "gray hat", en las cuales se utiliza solamente información de carácter público disponible sobre la empresa, simulando así las actividades de los Hackers desde Internet.

* Las "pruebas con pleno conocimiento", donde utilizamos la información completa sobre la topología y la configuración de la red.

Esta información interna es suministrada por el cliente y así se garantiza que todo equipo que se encuentre conectado a la red sea inspeccionado y evaluado. Es de hacer notar que aproximadamente el 80% de las violaciones de seguridad se basan en información interna.

Forma de trabajo

Nuestro grupo de seguridad puede llevar a cabo pruebas no destructivas contra sus servidores en la búsqueda de vulnerabilidades desde dentro y fuera de su negocio, usando técnicas similares a las que un experimentado intruso puede usar para acceder a su red.

Las vulnerabilidades encontradas, así como las recomendaciones para tomar medidas precautelatorias serán entregadas en un informe al finalizar la revisión.

La mayor parte de esta revisión se puede hacer solamente desde la internet, pero nuestra recomendación es también revisar el ambiente de trabajo del lugar a ser investigado y realizar pruebas de penetración desde el mismo sitio. Así como reportes del tráfico que está ocurriendo dentro de la misma red.

Previo a la revisión de la red, se realiza una (o varias) reunión(es) con la parte gerencial de la empresa y del departamento de informática (sistemas) indicándoles de todo el proceso, como ocurrirá, los riesgos potenciales que se corren, definir horas de las revisiones, etc. Todas las acciones que se realicen serán completamente coordinadas con la empresa a ser revisada para que puedan prevenir cualquier incidente asi como todo el proceso será absolutamente confidencial.

Una vez que se haya coordinado el test, definido el alcance de este, se pasará por escrito y se procederá entonces a trabajar de acuerdo al plan.

Documentación entregada

Los resultados se entregan en un informe confidencial, de estructura simple y fácil lectura, donde se describe el estado en que se encuentra la seguridad de la empresa con respecto a ataques desde el Internet. Este informe contiene:

* Respuestas a las siguientes preguntas:
o ¿Cuáles mecanismos o esquemas de seguridad fueron probados?
o ¿Cuáles mecanismos o esquemas de seguridad proporcionan suficiente protección?
o ¿Qué fallas, vulnerabilidades y brechas de seguridad se encontraron en el sistema?
o ¿Qué tan graves o peligrosas son esas fallas, vulnerabilidades y brechas de seguridad?

Reportes de Alarma: En caso de que detectemos sobre la marcha debilidades graves o actividad ilícita (hacking in process) en sus instalaciones, notificaremos de inmediato para tomar, en forma conjunta, medidas correctivas y preventivas.

Finalmente, la entrega de informe incluye una reunión con su personal técnico para aclarar cualquier duda y discutir el contenido.

Acuerdo de Confidencialidad

Todas las solicitudes que nos realizan para revisión de la redes son estrictamente confidenciales y no se ofrece información a terceros sobre redes trabajadas, problemas encontrados, ni de ningún otro tipo.

El informe emitido es confidencial y solo para uso de la empresa interesada.