Auditoría de seguridad - Servicios de seguridad informática y hacking ético
Mejorar la seguridad de sus sistemas informáticos, prevenir fugas de información y garantizar la disponibilidad de sus sitemas informáticos es nuestra prioridad
Mejorar la seguridad de sus sitemas informáticos, prevenir fugas de información y garantizar la disponibilidad de sus sistemas informáticos es nuestra prioridad

La auditoría de seguridad es un servicio que ayuda a mejorar la seguridad de los sistemas informáticos, prevenir fugas de información y garantizar su disponibilidad.

Existen diferentes enfoques para abordar una auditoría de seguridad IT o “hacking ético” de los activos de una organización. Tarlogic hace uso de metodologías de revisión de seguridad reconocidas a nivel internacional, como es el caso de OSSTMM, NIST SP 800-115,  OWASP y OWISAM para garantizar la seguridad de los activos de nuestros clientes.

En Tarlogic hemos unificado los servicios de ciberseguridad de la información y las soluciones de inteligencia para construir nuestro nuestro portfolio de soluciones profesionales. Nuestros factores diferenciadores son la gran especialización , la calidad técnica de nuestro equipo  y la alta inversión en I+D, para estar al día de las técnicas de seguridad punteras con las que reducir los riesgos de ataques informáticos.

Enfoques para realizar una auditoría de seguridad

Dependiendo de sus necesidades, una revisión de seguridad puede hacerse con un enfoque de auditoría de seguridad o de  test de intrusión.

En muchas ocasiones estos términos se usa de forma análoga, aunque una auditoría de seguridad se centra en identificar y analizar el impacto teórico de vulnerabilidades sobre un sistema, mientras que un test de intrusión es algo más completo e incluye la verificación, sobre el sistema afectado, del impacto real de las vulnerabilidades detectadas.

Tarlogic hace uso de méctricas de seguridad como CVSS para clasificar el impacto de las vulnerabilidades y realiza las auditorías siguiendo dos puntos de vista diferentes:

Auditoría de seguridad caja negra

auditoría de seguridad caja blanca

Auditoría de Caja Negra: Se denomina “caja negra” a la auditoría de seguridad, o test de intrusión, en la que el auditor no posee conocimientos de la infraestructura tecnológica subyacente.

Esta revisión de seguridad es ideal para simular ataques realizados por parte de personal externo a la organización y conocer el nivel de exposición a un ataque. En este tipo de revisión de seguridad el equipo de auditores tampoco disponen a priori de usuarios con los que interactuar con las aplicaciones a analizar.

El equipo de analistas deberá recopilar en este tipo de trabajo información sobre la plataforma, para plantear los escenarios de ataque más plausibles.

Auditoría de seguridad caja blanca

auditoría de seguridad caja blanca

Auditoría de Caja Blanca: Es una auditoría de seguridad más exahustiva. En ella, se facilita información técnica sobre los activos a auditar incluyendo, según los activos analizados, información tal como usuarios, contraseñas y mecanismos de seguridad existentes.

Con este enfoque el auditor no necesita dedicar un esfuerzo extra a la búsqueda de información y permite focalizar los esfuerzos en aquellos elementos que son críticos para su negocio.

Esta revisión es complementaria con una revisión de seguridad en caja negra, y puede ser llevada a cabo a continuación de la anterior. El objetivo de esta revisión es blindar una plataforma frente a ataques más sofisticados,  frente a un atacante que dispone de mayores recursos o dotar a la plataforma de una mayor protección debido a la criticidad de la información que gestiona..

Principales tipos de auditoría de seguridad

Las auditorías de seguridad informática que realiza el equipo de especialistas de ciberseguridad de Tarlogic son llevadas a cabo en distintas modalidades: proyecto cerrado, bolsa de horas y servicios recurrentes.

Algunos de los tipos de auditorías de seguridad más habituales son los siguientes:

  • Auditoría web: Su objetivo es lograr la protección de portales y aplicaciones web simulando ataques reales. La auditoría de aplicaciones Web también analiza vulnerabilidades en la infraestructura (Microsoft IIS, Apache, Websphere,nginx,..), vulnerabilidades asociadas a la tecnología utilizada (.NET, PHP, Java, Python…) y vulnerabilidades asociadas a la lógica de la aplicación.
  • Auditoría eCommerce: Mejora la confidencialidad y disponibilidad de la plataforma ecommerce  y ayuda a reducir el riesgo de fraude y los datos de pago (PCIDSS).
  • Test de intrusión interno: Identificación de debilidades y vías de acceso a información confidencial dentro de los sistemas de la  compañía. Este trabajo de test de intrusión ayuda a identificar áreas de mejora en la seguridad del directorio activo y servidores internos.
  • Revisión de seguridad perimetral: Análisis del perímetro externo de la organización, analizando los servicios expuestos (Portales web,correo, DNS…) y las aplicaciones.
  • Auditoría WiFi: Revisión del despliegue y de la seguridad de la infraestructura WiFi en redes enterprise y portales cautivos. Análisis de cobertura y triangulación de dispositivos y puntos de acceso.
  • Auditoría de plataformas Microsoft Windows: Análisis de la infraestructura de directorio activo, políticas de seguridad, configuración de servidores y puestos de trabajo, así como elaboración de guías de configuración segura.
  • Sistemas linux y Unix: Estudio de los mecanismos de seguridad implementados en los sistemas, debilidades y aspectos de mejora.
  • Auditoría de app móvil: Pruebas de seguridad sobre aplicaciones móviles Android e IOS y auditoría de código de la aplicación móvil para analizar el almacenamiento, transmisión y procesamiento de datos por parte de las aplicaciones.

Además de las revisiones de seguridad convencionales, Tarlogic dispone de servicios a medida, como por ejemplo para la realización de ciberjercicios,  auditorías de código, y de departamentos específicos que lideran los siguientes servicios:

  • Ciberinteligencia: Proporciona información para la toma de decisiones. Incluye servicios de análisis forense y respuesta ante incidentes de seguridad, servicios de análisis de fraude, inteligencia y contra inteligencia.
  • Red Team: Equipo especializado 24/7 que simula ataques informáticos de esponsorizados contra su compañia, de cara a la detección de puntos débiles en su modelo de seguridad y de entrar al equipo defensivo.
  • Bug Bounty: Programa gestionado de recompensas a investigadores por la identificación de fallos de seguridad.

CVSS-based Security Audit

A company willing to perform an IT security audit may find that, if the audit is performed by two different security analysts, the number of weaknesses, evidences, and risk assessment may differ. There are several key aspects for a consistent assessment that should be considered in a penetration test.

Risk Assessment Analysis

Security Risk Analysis can be considered a highly subjective aspect that may result in assessments that may differ beyond reason. This difference in the criticality and asset risk qualification negatively impacts several organizational and project management aspects:

  • Defense of a penetration test results in a executive meeting.
  • Defense of the results with the Technical Department.
  • Prioritization of a technical action plan.
  • Justification of investment in periodic security audits.
  • Investment in technology and perimetric security elements.

CVSS Methodology

In order to improve this aspects, the Tarlogic Security Team relies on the CVSS methodology, an IT security risk classification methodology that leaves little room for misinterpretation of the risk level classification and that can be used to represent the impact as a graphic or plot.

CVSS makes use of several aspects to measure vulnerability impact. The main aspect is represented by the baseline metrics associated with vulnerability aspects, measuring:

  • The complexity of access to the audited system
  • The need for authentication to exploit a security flaw
  • The impact in information confidentiality
  • The impact on integrity
  • The impact on system uptime

Contact Tarlogic to perform a Web Security Audit based on the OWASP Methodology and protect your business applications.

Other Metrics

If you are looking for a higher detailed security audit, environmental metrics can be added, which analyze the reliability of the detected vulnerability, the complexity to be exploited by a third party, ad the complexity of getting it fixed.

Temporary metrics evaluate how this vulnerability impacts the systems based on the existence of functional tools to exploit this vulnerability and the availability of security patches.

The use of CVSSv2 allows you to know precisely the security level of your organization and justify, based on the results, the need for a larger investment in security.

OTHER SERVICES

OWASP web Security Analysis

Wireless Audit – OWISAM Wi-Fi Security Audit

Hardening

Bug Bounty – Tarlogic Managed Vulnerability Rewards

Ethical Hacking – Specialized Security Solutions

Advanced Persistent Threat (APT) Penetration

Red Team Tarlogic

Piracy Analysis and Online Fraud Monitoring Services

Hardware Hacking and Reverse Engineering Services.

Security Audit, IT Security and Ethical Hacking Services

Wi-Fi and Rogue AP Device Analysis

Mobile App Audit

Interested in any of our services?