Evaluación de seguridad en la nube
La mayor parte del riesgo en la nube está en la configuración y la identidad, que no se ven desde fuera. Como parte de nuestra auditoría de seguridad, revisamos tu configuración de AWS, Azure o GCP frente a los CIS Benchmarks, centrándonos en la capa de la que eres responsable según el modelo de responsabilidad compartida.
Revisión de configuración e identidad
Se trata de una revisión de configuración en la nube incluida en nuestra auditoría de seguridad, no de un servicio independiente de pentest de nube. El estado relevante para la seguridad está en la configuración y en IAM, así que lo revisamos directamente frente a los CIS Foundations Benchmarks, complementados con la CSA Cloud Controls Matrix.
- Identidad y acceso: IAM con permisos excesivos y rutas de escalada de privilegios
- Almacenamiento: exposición de acceso público y cifrado en reposo
- Red: reglas de grupos de seguridad y cortafuegos, y servicios expuestos
- Registro, monitorización y gestión de claves
- Asunción de roles y confianza entre cuentas / entre inquilinos
- Configuración mapeada a los controles del CIS Benchmark (y a los dominios de la CSA CCM)
Autenticada, centrada en la configuración
Trabajamos en modo grey-box o white-box desde un rol de auditor de solo lectura, porque los hallazgos que importan están en la configuración y la identidad. Las herramientas nativas ayudan, pero los hallazgos se validan a mano. Cualquier prueba activa respeta la política de pruebas de penetración de cada proveedor y el modelo de responsabilidad compartida. Probamos tu configuración y tus despliegues, no la infraestructura del proveedor, y nunca lanzamos ataques de denegación de servicio contra ningún proveedor.
- 1
Alcance y autorización
Acordamos las cuentas en el alcance y obtenemos autorización por escrito, y firmamos un NDA antes de cualquier acceso.
- 2
Revisión de configuración autenticada
Usando un rol de auditor de solo lectura, revisamos la configuración frente a los CIS Benchmarks en todos los servicios.
- 3
Análisis de identidad y privilegios
Analizamos IAM en busca de permisos excesivos y de rutas de escalada de privilegios y abuso de confianza.
- 4
Pruebas de activos expuestos
Probamos los activos expuestos al exterior y validamos los hallazgos, siempre dentro de la política de pruebas de cada proveedor.
- 5
Informe y reevaluación gratuita
Recibes un informe priorizado mapeado a los controles de CIS; reevaluamos los elementos remediados sin coste adicional, dentro del plazo fijado en el SoW.
Qué recibes
Un informe que mapea los hallazgos de configuración a referencias reconocidas de la nube, con la profundidad de nuestro informe de muestra y una remediación clara y aplicable.
- Resumen ejecutivo y postura global
- Hallazgos de configuración mapeados a los controles del CIS Benchmark correspondientes
- Hallazgos de IAM y escalada de privilegios con evidencia y reproducción
- Severidad para los hallazgos explotables vía CVSS 3.1; los hallazgos de postura se califican por la severidad del benchmark
- Remediación alineada con la guía del CIS Benchmark
- Reevaluación gratuita de los problemas remediados dentro del plazo fijado en el SoW
Fundamentado en los CIS Benchmarks y la CSA CCM
La configuración se revisa frente a los CIS Foundations Benchmarks para AWS, Azure y GCP, complementados con la CSA Cloud Controls Matrix. Cualquier prueba activa respeta la política de pruebas de penetración de AWS, Azure o GCP y el modelo de responsabilidad compartida: probamos tu configuración, no la infraestructura del proveedor, y nunca lanzamos DoS. Las políticas de los proveedores y las versiones de CIS cambian, así que reconfirmamos las versiones y reglas aplicables al definir el alcance. Los hallazgos puramente de configuración se califican según la severidad del benchmark y no con CVSS, que está pensado para vulnerabilidades de software.