Auditoría de Superficie externa
La auditoría externa tiene como objetivo identificar y evaluar las vulnerabilidades presentes en todos los subdominios activos asociados a un dominio de tu organización. Esta evaluación sigue un enfoque de caja negra, replicando el comportamiento de un atacante externo que no cuenta con información previa sobre tu infraestructura.
El propósito es obtener una visión global de la superficie de exposición pública, detectando configuraciones incorrectas, tecnologías obsoletas o vulnerables, servicios mal protegidos y cualquier otro vector que represente un riesgo para la seguridad de la organización.
Fases de la auditoría
La auditoría comienza con una reunión de kick-off, donde definimos contigo el alcance técnico, los objetivos, el cronograma de trabajo y los recursos implicados. Tras esta reunión, te entregamos una planificación detallada que describe cada fase y las actividades previstas.
La auditoría comienza con la detección y validación de todos los subdominios activos asociados al dominio principal. Se utilizan técnicas de reconocimiento pasivo y activo para asegurarse de que se cubre el mayor número posible de activos expuestos. Al mismo tiempo, se realiza una revisión de la configuración del correo electrónico corporativo, comprobando si es vulnerable a suplantaciones de identidad, y se analizan posibles filtraciones de credenciales asociadas a cuentas de la organización. Con esta información se empieza a construir el mapa de exposición.
Una vez definidos los subdominios, se lleva a cabo un análisis detallado de las tecnologías empleadas, los servicios accesibles desde Internet y los posibles puntos de entrada. Se identifican configuraciones inseguras, versiones sin soporte, directorios y archivos expuestos, errores en cabeceras HTTP o en la implementación de certificados TLS/SSL. Además, se evalúan elementos clave como los formularios de entrada, el control de errores, el uso de WAF, la gestión de autenticación y las políticas de acceso. El objetivo de esta fase es detectar cualquier debilidad que pueda ser aprovechada de forma remota.
Si durante el análisis se identifican posibles vulnerabilidades, se realizan pruebas de explotación controladas para verificar su impacto real. Estas pruebas permiten confirmar si un atacante podría comprometer la aplicación o los sistemas expuestos, acceder a datos sensibles, ejecutar comandos de forma remota o manipular sesiones de usuarios. Esta fase es esencial para priorizar riesgos y tomar decisiones informadas sobre las medidas de mitigación.
Al finalizar, elaboramos un informe técnico detallado, con todos los hallazgos clasificados según su impacto, explicaciones claras para su mitigación y, cuando procede, ejemplos de explotación para facilitar su reproducción. El objetivo es que tu equipo pueda aplicar las correcciones de forma eficaz.
La auditoría concluye con una presentación ejecutiva de resultados, orientada a perfiles no técnicos. En esta sesión exponemos las conclusiones de forma clara y sencilla, entregando un informe ejecutivo que sirva como guía para la toma de decisiones. Una vez implementadas las mejoras, realizamos una auditoría de revisión para verificar que las vulnerabilidades han sido subsanadas, y reflejamos el nuevo estado de la seguridad en un informe actualizado.
Tipos de pruebas
- Mala configuración en correo electrónico que permite suplantaciones de identidad
- Búsqueda de subdominios
- Búsqueda de Leaks de correos corporativos
- Subdomain Take-Over
- Puertos expuestos
- Análisis de cabeceras del sitio web
- Análisis de certificados TLS/SSL
- Descubrimiento de servicios y puertos abiertos
- Detección de tipos de servicios con sus respectivas versiones
- Búsqueda de tecnologías vulnerables
- Descubrimiento de directorios
- Descubrimiento de ficheros
- Búsqueda de subdominios activos
- Fuzzing
- Análisis de WAF
- Mal control de errores en formularios de inicio de sesión/registro
- Ruptura de cifrados (si los hay)
- Enumeración de usuarios
- Ataques de fuerza bruta
- Ataques de Denegación de Servicio (DoS)
- Inyección SQL
- Cross Site Scripting (XSS)
- Límites de inicio de sesión a un servicio
- Análisis de autenticación y gestión de sesiones
- Revisión de control de acceso y permisos
- Manipulación de tokens y sesiones
Herramientas usadas
- Análisis manual del auditor técnico
- Mxtoolbox
- Crt.sh
- Subfinder
- Httpx
- Censys
- Shodan
- Google Dorks
- Hunter
- Phonebook
- Intelx
- Whois
- TheHarvester
- Sublist3r
- DNSTwist
- WPScan
- Subzy
- HTTP Observatory
- Ssltest
- Qualys SSL labs
- NMAP
- Hydra
- Wafw00f
- Whatwaf
- Burpsuite
- Dirbuster
- Dirb
- FFUF
- Dirsearch
- Nikto
- TheHarvester
- Nuclei
- Httpx
- Sn1per
- Metasploit
- CMSeek
- SQLMap
- Sublist3r
- Owasp-Zap
- BeEF
El pentesting de superficie externa es una auditoría de seguridad que analiza todo lo que una organización expone a internet: servidores, dominios, subdominios, aplicaciones, puertos abiertos y servicios accesibles. El objetivo es identificar vulnerabilidades que un atacante podría aprovechar desde el exterior para obtener acceso inicial a la infraestructura.
En un pentesting de superficie externa se descubren fallos como servicios mal configurados, versiones obsoletas con vulnerabilidades conocidas, credenciales expuestas, puertos abiertos innecesarios, certificados SSL inseguros y falta de medidas de protección perimetral.
Porque la superficie externa es la primera línea de defensa de cualquier organización. Un fallo en este punto puede permitir a un atacante explotar vulnerabilidades, lanzar ataques automatizados o incluso acceder a sistemas internos. El pentesting de superficie externa ayuda a reducir riesgos, mejorar la visibilidad de exposición y proteger la reputación de la empresa.
Se recomienda realizar un pentesting de superficie externa al menos una vez al año y siempre tras cambios en la infraestructura, migraciones a la nube o publicación de nuevos servicios. En organizaciones críticas, conviene monitorizar la superficie externa de forma continua.
En PentestingTeam el pentesting de superficie externa parte desde 640 €. El precio final depende del número de dominios, subdominios y activos expuestos a internet que se incluyan en el alcance.
Un pentesting de superficie externa requiere como mínimo una semana de trabajo. Lo habitual es que dure entre 1 y 2 semanas, dependiendo de la cantidad de activos externos a revisar y de la complejidad de la infraestructura de la organización.
- Caja negra: se analiza únicamente lo que está publicado en internet, sin información previa, como lo haría un atacante externo.
- Caja gris: se dispone de información parcial como direcciones IP corporativas o dominios adicionales para evaluar mejor la exposición.
- Caja blanca: se facilita información completa sobre servicios externos, direcciones, configuraciones y arquitecturas para un análisis en profundidad.