Vexaro SecurityServicios

Servicios de seguridad, de principio a fin

Seis servicios de pruebas ofensivas: pentests web, de API, móviles y de red, una revisión de la configuración cloud y red team. Elige uno o combínalos. Todos los proyectos son principalmente manuales y terminan con hallazgos priorizados, su riesgo de negocio y un plan de remediación aplicable.

Pruebas de penetración de aplicaciones web

Pruebas principalmente manuales alineadas con la OWASP WSTG y verificadas frente a ASVS, centradas en los fallos de lógica de negocio y de control de acceso que los escáneres no detectan.

Alcance típico

Cobertura mapeada a OWASP WSTG
Autenticación, autorización, lógica de negocio
Black-box, grey-box o white-box

Qué obtienes

CVSS 3.1 con prueba de concepto
Referencias a CWE / WSTG / ASVS
Reevaluación gratuita en el plazo del SoW

Explorar este servicio

Pruebas de penetración de API

Pruebas autenticadas y multirrol de API REST y GraphQL en busca de BOLA, BFLA y fallos de autorización a nivel de propiedad de objeto, según el OWASP API Top 10 (2023).

Alcance típico

OWASP API Top 10 (2023)
BOLA, BFLA, autz de propiedades de objeto
REST y GraphQL, multirrol

Qué obtienes

Prueba de concepto de petición/respuesta
Referencias a CVSS 3.1 y CWE
Reevaluación gratuita en el plazo del SoW

Explorar este servicio

Pruebas de penetración de aplicaciones móviles

iOS y Android, análisis estático y dinámico según OWASP MASVS v2.1.0 y MASTG, además de la API de backend que usa la app.

Alcance típico

OWASP MASVS v2.1.0 / MASTG
iOS y Android, estático + dinámico
La app y su API de backend

Qué obtienes

CVSS 3.1 con evidencia
Referencias a MASVS / MASTG / CWE
Reevaluación gratuita en el plazo del SoW

Explorar este servicio

Pruebas de penetración de red

Pruebas externas, internas y de segmentación basadas en PTES y NIST SP 800-115. Validan el aislamiento de forma activa y dan soporte al PCI DSS Req 11.4.

Alcance típico

Externa, interna y de segmentación
PTES y NIST SP 800-115
Valida activamente el aislamiento

Qué obtienes

Resultados de la prueba de segmentación
CVSS 3.1, referencias a CVE / CWE
Reevaluación gratuita en el plazo del SoW

Explorar este servicio

Evaluación de seguridad en la nube

Revisión de la configuración en la nube (AWS, Azure, GCP) frente a los CIS Benchmarks, como parte de nuestra auditoría de seguridad: identidad, almacenamiento, red y registro.

Alcance típico

Revisión de config de AWS / Azure / GCP
Frente a los CIS Benchmarks
Identidad, almacenamiento, red, registro

Qué obtienes

Hallazgos mapeados a controles de CIS
Rutas de IAM y escalada de privilegios
Reevaluación gratuita en el plazo del SoW

Explorar este servicio

Red Team

Simulación orientada a objetivos a través de personas, procesos y tecnología, alineada con MITRE ATT&CK. Pone a prueba la detección y la respuesta y termina con una sesión de debrief purple team.

Alcance típico

Personas, procesos y tecnología
Mapeado a MITRE ATT&CK
Escenarios de assumed breach

Qué obtienes

Narrativa del ataque y kill chain
Brechas de detección y respuesta
Debrief purple-team

Explorar este servicio

Vea un informe de muestra

¿Quiere saber qué recibe en realidad? Lea un informe de evaluación ilustrativo y redactado, con la misma estructura, profundidad y tono que un entregable real.

Preparación para el cumplimiento y respuesta a incidentes

Más allá de las pruebas ofensivas: preparación a cargo de especialistas para las certificaciones que te piden tus clientes, un retainer de respuesta a incidentes con tiempo de respuesta garantizado y pruebas de la superficie de ataque humana. Preparamos y acompañamos; la atestación siempre la emite un organismo independiente.

Preparación y acompañamiento para SOC 2

Evaluación de brechas, remediación y acompañamiento en la auditoría SOC 2 frente a los Trust Services Criteria, a cargo de especialistas, más las evidencias del pentest. Preparación, no la atestación.

Explorar este servicio

Preparación para ISO 27001 y consultoría de SGSI

Implantación del SGSI según ISO/IEC 27001:2022, tratamiento de riesgos, controles del Anexo A y auditoría interna, a cargo de especialistas, más las evidencias del pentest. Preparación, no el certificado.

Explorar este servicio

Preparación para PCI DSS y pruebas de penetración

Preparación para PCI DSS v4.0.1: delimitación del CDE, evaluación de brechas y pruebas de penetración y de segmentación del Req 11.4. Preparación y pruebas, no una atestación de QSA.

Explorar este servicio

Retainer de respuesta a incidentes y DFIR

Un retainer de IR con tiempo de respuesta garantizado e investigación DFIR, alineado con NIST SP 800-61 Rev. 3. También puede contratarse a través de tu asesoría jurídica.

Explorar este servicio

Ingeniería social y simulación de phishing

Phishing, spear-phishing, vishing y smishing autorizados para medir la superficie de ataque humana y tu respuesta, mapeados a MITRE ATT&CK. Un ejercicio de aprendizaje, no de culpas.

Explorar este servicio

Importante: ofrecemos preparación, evaluación de brechas, remediación y las pruebas de penetración de soporte. No somos una firma CPA, ni un organismo de certificación acreditado, ni un QSA, y no emitimos informes SOC 2, certificados ISO 27001 ni Reports on Compliance de PCI. Esos documentos proceden del evaluador independiente.

Aprende lo básico

¿Nuevo en las pruebas de penetración? Empieza por los fundamentos, o mira cuánto cuesta un proyecto.

Glosario de seguridad

Explicaciones en lenguaje claro: qué son las pruebas de penetración, CVSS, el OWASP Top 10, SOC 2 frente a ISO 27001 y más.

Explorar el glosario

¿Cuánto cuesta un pentest?

Una guía sobre qué determina el precio de un proyecto y qué incluye un presupuesto real.

Leer la guía de costes

Seguridad para tu sector

Cómo abordamos las pruebas de seguridad y el cumplimiento para empresas de fintech y SaaS.

Ver sectores

Formatos y plazos realistas

Duraciones orientativas. El alcance final depende del volumen y del modelo de amenazas acordado.

1-3 semanas

Pruebas de penetración

Web, móvil, API o perímetro externo.

2-4 semanas

Auditoría de seguridad y documentación

Infraestructura, configuraciones y procesos.

3-6 semanas

Red Team

Simulación de ataque dirigido según un escenario acordado.

6-9 meses

Preparación para ISO 27001

Implantación del SGSI, documentación y auditoría interna.

3 + 3-12 meses

SOC 2 Type II

Implantación de controles más el periodo de observación.

3-6 meses

PCI DSS

Preparación para la evaluación QSA.

¿No sabes qué servicio encaja?

Cuéntanos cómo es tu sistema y qué objetivos tienes, y te recomendaremos el formato y el alcance adecuados. La primera consulta es gratuita.