Servicios de pentesting pensados para entrega continua

Qué debería entregar de verdad un servicio de pentesting

La mayoría de los servicios de pentesting todavía se venden como los vendían las consultoras hace veinte años: se define un alcance, se esperan semanas por un lugar en la agenda, se reciben dos semanas de testing y un PDF, y después se anda a ciegas hasta el próximo ciclo de presupuesto. Strike vende la misma expertise como una suscripción que no se detiene — porque los sistemas que se testean tampoco se detienen. Abajo está qué cubre y por dónde conviene entrar.

El alcance arranca desde los activos, no desde los días. Mapeamos lo que realmente se expone — dominios y subdominios, las APIs detrás de los front ends, cuentas de cloud, infraestructura externa, los backends de mobile que nadie se acordó de listar — y después acordamos qué entra y qué no. Ese inventario es el alcance, y como está monitoreado de forma continua, un activo que aparece el mes que viene se detecta en lugar de quedar silenciosamente fuera de un documento firmado en enero.

La profundidad se define aparte de la amplitud. Un sitio institucional y una API de pagos no necesitan el mismo nivel de atención, así que el esfuerzo de testing se concentra donde está el impacto de negocio: flujos autenticados, límites de privilegios, movimiento de dinero y todo lo que guarde datos de clientes.

Aplicaciones web externas y las APIs detrás de ellas, tanto REST como GraphQL, incluyendo flujos autenticados y los límites que deberían mantener separados a los tenants. Cuentas de cloud y su configuración, modelos de identidad y de permisos. Infraestructura externa, servicios expuestos y el borde de red. Backends de mobile. Sistemas internos cuando el alcance lo requiere.

Las superficies que se saltean suelen ser las que importan: un ambiente de staging que quedó alcanzable desde internet, un panel de administración interno viviendo en un subdominio público, una versión de API que se iba a deprecar hace dos trimestres. El descubrimiento continuo es lo que las saca a la luz, y corre haya o no haya alguien que se acordó de escribirlas en un documento de alcance.

Una contratación de alcance fijo tiene sentido cuando lo que se testea es fijo. Nada en un stack moderno lo es: se despliega todas las semanas, las dependencias se actualizan solas, la infraestructura se mueve y los permisos derivan. El modelo anual fue diseñado para un mundo de releases trimestrales y produce una falla predecible: un reporte limpio en marzo y un entorno sin validar de abril en adelante.

Una suscripción cambia la economía además de la cobertura. En lugar de renegociar un contrato cada vez que quiere que algo se vuelva a probar, la disponibilidad de retest depende del alcance contratado y cada retest queda ligado al hallazgo que cierra. En vez de pagar aparte por cada aplicación nueva, la superficie queda cubierta a medida que crece. Y en vez de un reporte al año, acumula un rastro de evidencia fechado, que es lo que apoya un programa de auditoría y cumplimiento.

Servicios de ciberseguridad y servicios de pentesting: qué cubre cada uno

Un servicio de ciberseguridad abarca prevención, detección y respuesta sobre toda la superficie. El pentesting es la parte que prueba, con permiso y de forma controlada, si esos controles resisten un ataque real. Un comprador que evalúa servicios de ciberseguridad casi siempre necesita las dos capas: la que sostiene la operación y la que la verifica.

Servicios de pentesting, en preguntas

¿Qué incluye un servicio de pentesting?

Definición de alcance y descubrimiento de activos, el testing en sí, validación humana especializada antes de la entrega al cliente, un reporte con severidades y pasos de reproducción, guía de remediación y un retest que confirma que la corrección funciona. En Strike todo eso es continuo, según el alcance contratado, en lugar de una secuencia de fases presupuestadas por separado.

¿Cómo se cotiza un pentesting?

Los proveedores tradicionales cotizan por días-tester, que es la razón por la que negociar el alcance es en realidad regatear cuánto tiempo va a mirar alguien. Strike cotiza por la superficie cubierta, como suscripción. Eso hace que el costo sea predecible y que no suba porque se pidió retestear una corrección.

¿Cuánto dura un pentest?

Una contratación convencional toma de dos a cuatro semanas de testing, después de un período de definición de alcance que muchas veces es más largo que el propio test. En Strike aplican tres relojes separados y no deben sumarse: el setup de plataforma toma menos de 5 minutos una vez que están listos los datos del objetivo y los accesos; el inicio de la ejecución depende de la autorización del alcance y de los accesos; el primer hallazgo validado llega en aproximadamente 1 hora y el conjunto curado en 1-2 horas, en alcances soportados.

¿Qué recibimos exactamente?

Hallazgos validados en una plataforma desde la que su equipo puede trabajar, con severidad, evidencia y pasos de reproducción; remediación guiada; retest on-demand según el alcance contratado; y reportes exportables que apoyan programas de auditoría y cumplimiento, que entrega en una revisión de seguridad de cliente o al auditor sin reescribirlos.

¿Qué servicio nos conviene?

Si se despliega software de forma continua, conviene empezar por el testing continuo y sumar profundidad en aplicaciones web. Si hay una auditoría en preparación, conviene empezar por el ángulo de evidencia para compliance. Si lo que se busca es saber si la detección y respuesta funcionan de verdad, eso es un red team y no un pentest. La mayoría de los equipos termina combinando dos de los tres.

¿Cómo empezamos?

Agende una demo. Mapeamos su superficie externa en conjunto, acordamos alcance y profundidad, y arrancamos el testing. No hay maratón de compras ni compromiso mínimo de varios años para empezar.