Question 1

¿Qué es un pentest?

Accepted Answer

El pentest (prueba de penetración) es una simulación controlada de ataque contra sus sistemas, redes o aplicaciones. El objetivo es identificar vulnerabilidades reales antes de que un atacante las explote, con la entrega de un informe detallado con las fallas encontradas y recomendaciones de corrección.

Question 2

¿Cuál es la diferencia entre un pentest y Red Team?

Accepted Answer

El pentest se enfoca en encontrar la mayor cantidad posible de vulnerabilidades en un alcance definido y dentro de un plazo. El Red Team, en cambio, simula un ataque real completo, que incluye ingeniería social, evasión de controles y movimiento lateral, y pone a prueba no solo la tecnología, sino también los procesos y las personas.

Question 3

¿Realizan pruebas de firmware y dispositivos físicos?

Accepted Answer

Sí, es nuestra línea principal. El trabajo sigue la OWASP FSTM: obtención del firmware (mediante actualización oficial, extracción vía UART/JTAG/SPI o volcado de memoria), análisis del sistema de archivos, emulación para ejecución controlada y análisis de los binarios. Para ello necesitamos muestras del dispositivo — de preferencia más de una unidad, ya que parte de las pruebas es destructiva — y cualquier documentación de hardware disponible.

Question 4

¿Cuándo necesito ingeniería inversa?

Accepted Answer

Cuando no existe código fuente que leer: un binario de proveedor, un protocolo propietario, un dispositivo heredado sin documentación o un artefacto encontrado durante un incidente. Trabajamos con análisis estático y dinámico, depuración e instrumentación, y entregamos la comprensión del formato o protocolo, con prueba de concepto cuando existe una falla explotable.

Question 5

¿Qué evalúan en una implementación criptográfica?

Accepted Answer

La elección de primitivas y del modo de operación, la calidad de la fuente de aleatoriedad, la gestión del ciclo de vida de las claves según la NIST SP 800-57, el almacenamiento de secretos y el uso de HSM, además del comportamiento en tiempo constante cuando el escenario lo exige. La FIPS 140-3 es la referencia para determinar si un módulo criptográfico se sostiene o no.

Question 6

¿Necesitamos entregar el código fuente?

Accepted Answer

No es obligatorio. Trabajamos en caja negra cuando eso es lo que existe. Sin embargo, con acceso al código, el resultado es más profundo y suele requerir menos tiempo, porque dejamos de invertir horas en inferir lo que podría leerse directamente. Para la revisión de código crítico y de implementaciones criptográficas, el acceso es necesario.

Question 7

¿Cuánto dura un proyecto?

Accepted Answer

Depende del alcance y la complejidad. Un pentest de aplicación web suele tomar de 1 a 3 semanas. El análisis de firmware y la ingeniería inversa varían bastante según el objetivo, porque parte del tiempo se dedica a comprender el artefacto antes de probarlo. Las operaciones de Red Team suelen durar de 4 a 8 semanas. El cronograma se define en el pre-engagement, antes de iniciar cualquier trabajo.

Question 8

¿Mis sistemas corren riesgo durante la prueba?

Accepted Answer

No. Trabajamos con reglas de compromiso definidas previamente y evitamos acciones que puedan causar indisponibilidad o pérdida de datos. En los casos que requieren pruebas más agresivas, acordamos ventanas de mantenimiento y procedimientos de rollback.

Question 9

¿Qué tipo de informe recibo al final?

Accepted Answer

Entregamos un informe con executive summary para la dirección y detalle técnico para el equipo de TI. Cada vulnerabilidad incluye descripción, evidencias, clasificación de riesgo (CVSS), impacto y recomendaciones de corrección. También ofrecemos una nueva prueba después de la remediación.

Question 10

¿Cómo manejan la confidencialidad?

Accepted Answer

Se firma un acuerdo de confidencialidad antes de cualquier conversación sobre el alcance. Los datos del cliente permanecen en un entorno controlado y separado por proyecto, el informe se entrega por un canal seguro y el material recopilado se destruye al finalizar el plazo acordado en el contrato. No utilizamos el nombre de un cliente como referencia comercial sin autorización por escrito.

Question 11

¿Quién ejecuta el proyecto?

Accepted Answer

Un equipo pequeño y estable conduce el trabajo de principio a fin. Cuando el proyecto exige una especialidad específica o una certificación formal, incorporamos profesionales certificados asignados a ese alcance. Usted sabe quién participa en el proyecto antes de que comience.

Question 12

¿Con empresas de qué tamaño trabajan?

Accepted Answer

Atendemos desde startups hasta grandes corporaciones. Nuestros servicios son bajo demanda y se adaptan a la realidad y a la madurez de seguridad de cada cliente. Lo importante es la disposición de la empresa a proteger sus activos.

Question 13

¿Necesito tener un equipo de seguridad interno?

Accepted Answer

No. Muchos de nuestros clientes no cuentan con un equipo de seguridad dedicado. En esos casos, trabajamos directamente con el equipo de TI y brindamos orientación clara para que las correcciones se implementen.

Question 14

¿Cómo funciona la contratación?

Accepted Answer

Usted se pone en contacto con nosotros, alineamos el alcance y los objetivos, definimos las reglas de compromiso y lo formalizamos mediante un contrato. Tras la ejecución, entregamos el informe y agendamos una reunión de presentación de resultados.

FAQ — preguntas frecuentes sobre pentest, firmware y criptografía

PANORAMA GENERAL

PREGUNTAS