Ir al contenido
hackmoat

Cómo probamos

Fundamos HackMoat porque los atacantes tuvieron IA antes que los defensores. Usamos la misma clase de modelos, bajo contrato y dentro de un alcance firmado, para que veas primero lo que ellos verían.

El encargo, fase a fase

Seguimos la estructura de PTES, el Penetration Testing Execution Standard, una descripción pública de cómo debe desarrollarse una prueba.

  1. 1

    Preparación

    Alcance, ventana de pruebas, contactos y reglas de actuación, recogidos en la autorización firmada.

  2. 2

    Reconocimiento

    Identificamos lo que es accesible: dominios, hosts, servicios y aplicaciones dentro del alcance.

  3. 3

    Análisis de vulnerabilidades

    Buscamos debilidades combinando el escaneo automatizado con la revisión manual.

  4. 4

    Explotación

    Confirmamos cada debilidad aprovechándola, dentro de los límites de la autorización, para mostrar su impacto real.

  5. 5

    Informe y reprueba

    Documentamos cada hallazgo con evidencias y una corrección, y después verificamos tus correcciones.

Los estándares que seguimos

OWASP
El Open Worldwide Application Security Project. Usamos su Web Security Testing Guide para las pruebas de aplicaciones y su Top 10 para explicar los riesgos habituales.
PTES
El Penetration Testing Execution Standard. Estructura cada encargo, desde la preparación hasta el informe.
CVSS
El Common Vulnerability Scoring System. Cada hallazgo recibe una puntuación CVSS, de modo que la gravedad es comparable entre informes y proveedores.

Nuestros principios

  • 01

    Primero, la autorización

    Ninguna prueba empieza sin una autorización firmada. No tocamos nada que quede fuera de ella.

  • 02

    Alcance cerrado, precio cerrado

    Sabes qué se prueba y cuánto cuesta antes de empezar. Sin facturación por horas, sin sorpresas.

  • 03

    No causar daño

    Evitamos técnicas destructivas y la denegación de servicio. Si un sistema se vuelve inestable, paramos.

  • 04

    Evidencias, no opiniones

    Cada hallazgo incluye una prueba que tu equipo puede reproducir. Nada de resultados de escáner sin verificar.

  • 05

    Avisar pronto

    Los hallazgos críticos se comunican el mismo día, no semanas después en el informe final.

  • 06

    Confidencial por defecto

    Los hallazgos quedan entre tú y nosotros. Los informes solo están disponibles en tu portal privado de cliente.

Primero, el permiso. Después, las evidencias.
Cada prueba empieza con una autorización firmada y termina con evidencias que tu equipo puede comprobar.