Nivel II

USD $750.55 por mes

Incluye todos los servicios de Nivel 1 más una prueba de infiltración de aplicaciones web manual con credenciales, más una nueva prueba de corrección de todos los hallazgos corregidos.

La siguiente descripción ofrece una visión general de algunas de las áreas que serán evaluadas por el probador:

Enumeración / Reconocimiento

Este ejercicio es un precursor de una prueba de infiltración y consiste en escanear los servidores y aplicaciones web en busca de posibles vulnerabilidades que puedan ser explotables.  Específicamente, estamos buscando configuraciones incorrectas, software vulnerable, credenciales débiles y software mal codificado que un hacker podría usar para infiltrarse en un servidor o comprometer la aplicación.

Pruebas de explotación

En esta fase de prueba doble, Nano Power Digital buscará (1) explotar cualquier debilidad o vulnerabilidad identificada en los servidores o la aplicación web  para  infringirla desde una perspectiva de caja negra (es decir, sin credenciales o conocimiento de los sistemas), y (2) también analizaremos los sistemas utilizando credenciales de usuario «estándar» (si corresponde) para verificar posibles vías de escalamiento privilegiadas (posiblemente debido a una configuración incorrecta), así como para garantizar que un cliente final opere en el portal utilizando un sistema cliente comprometido que no pueda dañar la confiabilidad o integridad del servidor, la aplicación o los datos que residen en los sistemas.

Cobertura de la prueba

La prueba de infiltración de la aplicación web cubrirá el «OWASP Top 10» y puede incluir las siguientes categorías de alto nivel cuando corresponda a la aplicación:

Inyección (defectos y ataques)

Autenticación rota y administración de sesiones

Secuencias de comandos entre sitios (XSS)

Referencias de objetos directos no seguros

Configuraciones incorrectas de seguridad

Exposición de datos confidenciales

Falta del control de acceso a nivel de función

Falsificación de solicitudes entre sitios (CSRF)

Pruebas de vulnerabilidad conocidas

Redireccionamientos y redireccionamientos invalidados

Entregables manuales de prueba de lápiz

Informes de pruebas de pluma: después de cualquier prueba, se pondrá a disposición un informe detallado completo.  El informe describirá elementos como los métodos de prueba utilizados, los hallazgos, cualquier código de prueba de concepto para exploits exitosos, así como pasos de remediación y sugerencias.

Desarrollo de prueba de concepto de exploits: en caso de un exploit, violación o riesgo, Nano Power Digital documentará la metodología de prueba utilizada, registrará todas las pruebas recopiladas y desarrollará exploits de prueba de concepto para pruebas repetibles.

Remediación Reprueba: después de las pruebas de infiltración, puede haber una o más áreas de debilidad que requieran reconfiguración, parches o reemplazo.  Nano Power Digital volverá a probar estas áreas cuando estén listas y se haya completado la corrección. La repetición de las pruebas está incluida en este precio.