Pruebas de seguridad
Pruebas de penetración de entornos en AWS
La mayoría de los incidentes en la nube empiezan con un permiso demasiado amplio, un recurso público por error o un secreto donde no debería estar. Reviso tu entorno en AWS y pruebo los caminos que podría seguir un atacante desde un primer acceso.
Se cotiza a medida, según el alcance.
Qué incluye
- IAM: usuarios, roles y políticas con más permisos de los necesarios.
- Servicios, buckets y endpoints expuestos públicamente.
- Secretos en código, variables, imágenes o configuración.
- Segmentación de red y acceso entre servicios.
- Registros y monitoreo: si un ataque se notaría.
Qué recibís
- Un informe escrito con cada hallazgo, su severidad según CVSS v4.0 y cómo corregirlo.
- Una lista de cambios priorizada, de lo más urgente a lo menos.
- Una reunión para repasar los resultados con tu equipo.
- Una nueva prueba de los hallazgos corregidos sin costo adicional, dentro de los 90 días del informe.
Para quién es
- Empresas que tienen su producto en AWS.
- Equipos que crecieron rápido y nunca revisaron sus permisos.
- Infraestructura gestionada con Terraform u otra herramienta de IaC.
No incluye
- Probar cuentas o recursos sin autorización escrita de su dueño.
- Acciones que violen los términos de servicio de tu proveedor de nube.
- La administración continua de la infraestructura.
Proceso
Cómo trabajo
-
Alcance y autorización
Definimos qué probar, cómo y cuándo. Nada empieza sin tu autorización por escrito.
-
Pruebas
Pruebas y revisión manuales, apoyadas en herramientas. Si encuentro algo crítico, te aviso en el momento.
-
Informe
Recibís cada hallazgo calificado con CVSS v4.0, con los pasos para reproducirlo y la corrección recomendada.
-
Seguimiento
Repaso los resultados con tu equipo y vuelvo a probar las correcciones sin costo adicional, si la pedís dentro de los 90 días del informe.
Preguntas frecuentes
¿Qué acceso necesitás?
Normalmente un rol de solo lectura para la revisión de configuración, más el punto de partida que acordemos para la prueba. Todo se define en el alcance antes de empezar.
¿Trabajás con otros proveedores de nube?
Mi experiencia es con AWS. Para otros proveedores, escribime y te digo con honestidad si soy la persona indicada.
Otros servicios
- Pentesting web y de APIs Pruebas manuales de aplicaciones web y APIs, como lo haría un atacante.
- Análisis de vulnerabilidades Una revisión amplia de tu exposición, con los riesgos priorizados para saber qué corregir primero.
- Pentesting de apps móviles Pruebas de seguridad de apps Android e iOS y de las APIs que usan.
- Revisión de código seguro Revisión de tu código en busca de vulnerabilidades, antes de que lleguen a producción.
¿Tenés un sistema para probar o revisar? Mandame el alcance
Contame qué necesitás probar (aplicaciones, APIs o entornos), para cuándo y si hay alguna restricción, y te respondo con los próximos pasos. Trabajo en español y en inglés.
hello@santiagopassafiume.com¿Buscás desarrollo? Los sitios web, las aplicaciones y los proyectos backend se hacen a través de RyuLabs.