Pruebas de penetración · Colombia
El pentesting o prueba de penetración es un ataque simulado y autorizado contra tu sistema, hecho para encontrar vulnerabilidades explotables antes de que las encuentre alguien con malas intenciones. A diferencia de un escaneo automático, aquí hay una persona intentando entrar de verdad, y el resultado es evidencia reproducible, no una lista de alertas.
La diferencia que importa
La mayoría de «auditorías de seguridad» que se venden en Colombia son un escaneo automático exportado a PDF. Eso no es un pentest.
| Escaneo automático | Pentesting | |
|---|---|---|
| Quién lo hace | Una herramienta | Una persona con criterio |
| Qué entrega | Lista de alertas por severidad teórica | Vulnerabilidades explotadas con evidencia |
| Falsos positivos | Habituales, hay que filtrarlos | Ninguno: si está en el informe, se explotó |
| Encadenamiento | No lo hace | Combina fallos menores hasta lograr acceso real |
| Lógica de negocio | Invisible para la herramienta | Es donde suelen estar los fallos graves |
El fallo más grave que he encontrado nunca aparece en un escáner: son errores de lógica, como poder cambiar el identificador de un pedido en la URL y ver el de otro cliente.
Metodología
Metodología estándar del sector, alineada con OWASP y PTES. Cada fase produce un entregable, no solo actividad.
Recolección de información sobre el objetivo: dominios, subdominios, tecnologías, versiones, correos expuestos y filtraciones previas. Sin tocar el sistema todavía.
Mapeo activo de la superficie expuesta: puertos, servicios, rutas, parámetros y puntos de entrada. Aquí se construye el inventario de lo que se puede atacar.
Intento real de aprovechar las vulnerabilidades encontradas. Es lo que separa un hallazgo teórico de uno confirmado, y se hace dentro del alcance autorizado.
Una vez dentro, hasta dónde se puede llegar: escalada de privilegios, movimiento lateral y acceso a datos. Mide el impacto real, no el teórico.
Documentación con evidencia reproducible, clasificación por riesgo real de negocio y plan de corrección priorizado. Incluye reprueba tras las correcciones.
Precio
Alcance acordado por escrito antes de empezar. Sin sorpresas y sin tocar nada fuera de lo autorizado.
$1.600.000 COP proyecto
Precio final, antes de IVA. Sin sorpresas al firmar.
Preguntas frecuentes
Tomadas literalmente de la SERP colombiana.
El pentesting o prueba de penetración es un ataque simulado y autorizado contra un sistema, hecho para descubrir vulnerabilidades explotables antes que un atacante real. Sirve para conocer el riesgo verdadero de una plataforma, priorizar las correcciones por impacto y cumplir requisitos de auditoría o de clientes corporativos.
Reconocimiento, donde se recopila información del objetivo; escaneo y enumeración, donde se mapea la superficie expuesta; explotación, donde se intenta aprovechar las vulnerabilidades de verdad; post-explotación, que mide hasta dónde se puede llegar una vez dentro; e informe con plan de remediación priorizado.
Es el marco que define cómo se ejecuta la prueba para que sea repetible y auditable. Los estándares más usados son OWASP para aplicaciones web, PTES para pruebas generales y NIST SP 800-115. Trabajar con metodología es lo que permite comparar dos pruebas en el tiempo y demostrar el alcance ante un auditor.
Se distinguen por su intención y su autorización. El de sombrero blanco actúa con permiso y reporta lo que encuentra: es quien hace pentesting. El de sombrero negro entra sin autorización y con fines maliciosos. El de sombrero gris actúa sin permiso pero sin ánimo de daño, lo que sigue siendo ilegal aunque avise después.
El análisis de vulnerabilidades es amplio y automatizado: identifica fallos potenciales en toda la superficie. El pentesting es profundo y manual: toma esos fallos e intenta explotarlos de verdad para confirmar cuáles son realmente peligrosos. El primero dice qué podría fallar; el segundo demuestra qué falla.
El riesgo existe y por eso se gestiona. El alcance se acuerda por escrito, las pruebas destructivas se excluyen salvo autorización expresa, y cuando es posible se trabaja sobre un entorno de pruebas. Si hay que probar en producción, se coordina en ventana de bajo tráfico y con respaldo verificado.
Un pentest de aplicación web con alcance acotado parte desde COP 1.600.000. El precio varía según el número de aplicaciones, si incluye infraestructura, y si se requiere prueba autenticada con varios roles de usuario.
Yo lo averiguo antes que ellos y te entrego el camino exacto, con la evidencia y con el plan para cerrarlo.