Executive Summary
Al principio del Informe y de una longitud no superior a una página, es el resumen de alto nivel destinado a la Dirección.
Fallos que los escáneres no ven
Web Application Penetration Test manual, según OWASP y OSSTMM
Web Application Penetration Test (WAPT)
El servicio de Web Application Penetration Testing es uno de los servicios de seguridad de aplicaciones (Application Security Assessment) ofrecidos por ISGroup.
Las aplicaciones web son ya prevalentes y cada vez más sofisticadas, además de ser críticas para todos los negocios basados en la web.
Se analizarán los componentes críticos de un portal web, una aplicación de E-Commerce o una plataforma web.
Utilizando técnicas manuales y múltiples herramientas apropiadas, el tester es capaz de identificar problemas evidentes y ocultos.
Al igual que las aplicaciones cliente/servidor, las aplicaciones web generalmente sufren de una gestión inadecuada de las solicitudes del cliente y falta o inadecuada validación y control por parte del desarrollador.
Dada la naturaleza de las aplicaciones web, están completamente expuestas y accesibles: esto hace que la "seguridad por oscuridad" (security through obscurity) sea imposible e impone la necesidad de tener código de aplicación resistente.
En segundo lugar, las aplicaciones web procesan datos de solicitudes HTTP, un protocolo que permite múltiples codificaciones y encapsulaciones diferentes.
Descripción
Un Web Application Penetration Test representa la simulación de un atacante frente a un sitio, portal o aplicación web. El testing consiste inicialmente en descubrir e identificar todos los recursos expuestos en el objetivo.
En paralelo, el tester realiza un análisis de la lógica de negocio para verificar que no existan problemas conceptuales.
En este punto, antes de probar las aplicaciones web propiamente dichas, se controla la infraestructura en busca de vulnerabilidades conocidas y desconocidas.
Una vez identificados los puntos de ataque (entry point) válidos, se procede al intento de ataque con el objetivo de lograr el compromiso más profundo y amplio posible.
Posteriormente, con la ayuda de herramientas y testing manual, cada parámetro se prueba con valores predefinidos y se prueban las técnicas de ataque genéricas para la plataforma en uso.
Dado el nivel de acceso obtenido, se intentará realizar acciones no permitidas, extraer datos de la base de datos de backend, extraer archivos o código fuente del disco, modificar información y, cuando sea posible, obtener el control total de la máquina y de los sistemas adyacentes.
El Informe
Recibirás un documento claro y detallado, dividido en tres áreas.
Vulnerability Details
La parte técnica que describe en detalle las vulnerabilidades encontradas y su impacto, dedicada al Security Manager.
Remediation Plan
Sección técnica con instrucciones precisas sobre cómo resolver los problemas identificados, dedicada a los desarrolladores.
Cuánto cuesta
Desde 5.000 € + IVA
Para una sola aplicación web. El precio aumenta con el número de aplicaciones y API, los roles y niveles de acceso, los flujos críticos que comprobar y los entornos de prueba.
Demuestra tu compromiso
Al finalizar el Web Application Penetration Test, recibes un documento firmado, en italiano e inglés, que indica actividad, periodo y perímetro. A diferencia del informe, no contiene vulnerabilidades ni detalles técnicos: puedes entregarlo a quien lo solicite sin exponer información sensible. Está incluido en el servicio.
Certificado de ejecución
IT / EN
- Cliente
- Actividad
- Periodo
- Perímetro
ISGroup
Web Application Penetration Test
y cumplimiento
PCI DSS
Verifica aplicaciones web expuestas, API y autenticación en pruebas de aplicaciones públicas y penetration tests exigidos por PCI DSS, requisitos 6.4.2 y 11.4.
NIS2
Evalúa la eficacia de las medidas de ciberseguridad de las aplicaciones e identifica vulnerabilidades explotables, según NIS2 art. 21.2.f.
DORA
Prueba aplicaciones web y API de servicios financieros y documenta los resultados para el programa previsto por DORA arts. 24-25.
RGPD
Examina aplicaciones que tratan datos personales y produce resultados técnicos para la verificación periódica exigida por RGPD art. 32.1.d.
ISO/IEC 27001
Identifica vulnerabilidades explotables en aplicaciones web y API y documenta prioridades de corrección como apoyo al control A.8.8 de ISO/IEC 27001:2022.
OWASP WSTG
Aplica pruebas estructuradas a configuración, identidad, autenticación, autorización, sesiones, entradas y lógica de aplicación según las áreas de prueba de OWASP WSTG.
Preguntas frecuentes sobre el
Web Application Penetration Test
¿Qué verifica un Web Application Penetration Test?
Un Web Application Penetration Test verifica la seguridad de sitios web, portales, comercios electrónicos y API dentro del alcance acordado. El tester mapea páginas, API, roles, flujos y puntos de entrada, analiza la lógica de negocio cuando procede e intenta la explotación controlada de vulnerabilidades con los perfiles de usuario acordados, combinando pruebas manuales y herramientas.
¿En qué se diferencia de un escaneo automático o de un Vulnerability Assessment?
El Web Application Penetration Test añade pruebas manuales y explotación controlada a la identificación de vulnerabilidades. El Vulnerability Assessment identifica y evalúa vulnerabilidades sin la misma explotación. Para infraestructuras y servicios de red el servicio dedicado es el Network Penetration Test; para apps iOS y Android, el Mobile Application Security Testing.
¿Qué se necesita para empezar y cuánto dura la prueba?
La duración del Web Application Penetration Test se indica en la propuesta después de definir el alcance. La propuesta especifica las aplicaciones y API incluidas, el entorno y la modalidad de prueba, las cuentas, los roles, los flujos críticos y el esfuerzo o time-box acordado.
¿Cuánto cuesta un Web Application Penetration Test?
Un Web Application Penetration Test cuesta desde 5.000 € + IVA para una sola aplicación web. El precio aumenta con el número de aplicaciones y API, los roles y niveles de acceso, los flujos críticos que comprobar y los entornos de prueba.
¿Qué contiene el informe y puedo ver un ejemplo?
El informe técnico describe las vulnerabilidades encontradas con sus prioridades y un plan de remediación; los niveles Professional y Advanced incluyen también un resumen ejecutivo. El informe completo es confidencial, pero un consultor puede mostrar un ejemplo anonimizado durante una llamada. También se incluye un Certificado de ejecución firmado, sin detalles técnicos, para entregarlo a terceros.
¿Está incluido el retest de las vulnerabilidades?
El retest vuelve a comprobar las vulnerabilidades señaladas después de las correcciones e indica para cada una si está completamente resuelta, parcialmente resuelta, no resuelta o no se puede probar. Es opcional en proyectos de 5.000 € y está incluido en proyectos de mayor importe.
¿Qué metodología siguen?
El Web Application Penetration Test utiliza las guías OWASP para la seguridad de aplicaciones web y PTES como referencias técnicas. El alcance, la modalidad de prueba y el esfuerzo se definen en la propuesta para cada aplicación.
Da forma a tus prioridades de seguridad con una propuesta a medida