Seguridad en Accesos Físicos
Revisión, diagnóstico e implementación de un mecanismo de control de seguridad, alineado con estándares internacionales (ISO27001), de los accesos físicos a las instalaciones que contienen información sensible o crítica para su organización.
Análisis Forense
Utilización de métodos y técnicas, en conformidad con las reglas del Poder Judicial, para adquirir, analizar y presentar evidencia digital relevante para enfrentar una situación de investigación.
Soporte de aplicaciones
Revisión de los incidentes de seguridad TI ocurridos en su empresa y entrega de un reporte de recomendaciones para su prevención. Se entrega además un roadmap de actividades que deben incorporarse como medidas mitigatorias o controles compensatorias para prevenir eventuales incidentes.
Prevención de Fraudes
Implementación de controles preventivos y detectivos automáticos, que permitan controlar en forma temprana, la eventual realización de irregularidades en la información de su empresa.
Plan de Recuperación ante Desastres (DRP)
Diagnóstico y/o implementación de las mejores prácticas, alineadas a los requerimientos particulares de sus empresa, de un plan de recuperación de desastres tecnológicos, que optimice los tiempos de recuperación de la información, ante una eventualidad.
Incidencias de seguridad
Diagnóstico y/o implementación de las mejores prácticas, alineadas a los requerimientos particulares de sus empresa, de un plan de recuperación de desastres tecnológicos, que optimice los tiempos de recuperación de la información, ante una eventualidad.
Red Team Ethical Hacking
Monitoreos de las vulnerabilidades de la red (externa e interna), ante eventuales amenazas informáticas. Realizamos actividades tipo “read team” para que tenga una visión del estado de su empresa, cuáles son sus vulnerabilidades y cómo puede defenderse.
Seguridad Accesos Lógicos
Implementación de mejores prácticas en temas de seguridad de accesos desde el gobierno corporativo, mejoramiento del ambiente de control en estos temas, uso de escritorios limpios, manejo de información confidencial en impresoras, configuración robusta de contraseñas, implementación de un modelo de control de ausencias, licencias, promociones, alumnos en práctica, altas y bajas de usuario, mejoramiento del diseño de la seguridad TI de su empresa, entre otros.
¿Por qué un Análisis de Vulnerabilidades?
Este Diagnóstico tiene por finalidad identificar aspectos vulnerables tanto en versiones de software como en implementación de los servicios en ejecución por Mineduc.
Para apoyar a la empresa de manera adecuada y darles soluciones a medida de la empresa y el giro de negocio, se propone realizar un análisis de vulnerabilidades para identificar brechas reales de seguridad que puedan comprometer tanto los servicios en ejecución, como a los usuarios internos/externos que los utilizan.
A continuación, se da una descripción de cada etapa:
¿Qué es? ¿Qué actividades contempla el Análisis?
Abarca 6 grandes tópicos:
- Recopilación de Información
Se busca toda información disponible sobre las IPs y Servicios sin acceder a ellos. Se utiliza información pública, de redes sociales y otros para tener un entendimiento de Cultura Organizacional y sobre la implementación de los servicios, proveedores involucrados, etc.
- Enumeración
Se realiza un primer catastro sobre el universo definido a modo de conocer que servicios están ejecutando, tamaño de sitios, etc.
Como cada sitio Web en si puede llegar a ser inmensurable, el objetivo se centrará en buscar un aspectos vulnerables más que revisar la totalidad del sitio por ende no se garantiza que se encuentre el 100% de vulnerabilidades para cada sitio Web aunque se realizará el esfuerzo para abarcar lo máximo posible en especial en los sitios aplicativos definidos como críticos.
- Escaneo y Footprint
Se ejecutarán herramientas automatizadas más apoyo de herramientas manuales para identificar vulnerabilidades. Los análisis automatizados solo serán un primer acercamiento a la revisión a modo de tener una idea de que servicios pudiesen tener problemas. Mandatoriamente se realizará una revisión manual de vulnerabilidades las cuales tendrán por objetivo ver aspectos distintos y no apreciados por las herramientas automatizadas en búsqueda de nuevas brechas o para cotejar las ya encontradas.
El security assesment se realizará bajo dos frentes:
Frente 1: Para la revisión de IPs y servicios vulnerables se realizarán pruebas de versiones, vulnerabilidades conocidas y para algún caso que amerite se realizará pruebas de Fuzzing (Estrés de la aplicación) bajo la autorización del cliente.
Frente 2: Para las páginas Web se realizarán pruebas de vulnerabilidades bajo el Top Ten de OWASP.
- Explotación
Una vez confirmada la vulnerabilidad se procederá a la generación y ejecución de una prueba de concepto (PoC). El objetivo de explotar la vulnerabilidad es confirmar su grado de dificultad de ejecución, además de entender cuál es su alcance a modo de determinar si puede afectar a más servicios y hasta dónde puede llegar a ser explotada.
Será decisión del cliente si quiere ser informado de una vulnerabilidad apenas esta sea encontrada y verificada preliminarmente. La información será a través de correo electrónico apenas sea encontrada una vulnerabilidad critica / alta, a modo de no dejar tiempo hasta el informe para que sea resuelta por el cliente.
- Mantener Acceso
Una vulnerabilidad puede ser explotada en un cierto momento del tiempo y bajo ciertas circunstancias que pueden no darse nuevamente como para formular una PoC. Esta etapa tiene por objetivo realizar la misma actividad de un atacante para poder mantener el acceso vulnerable para actividades de post explotación como revisión de la red interna y búsqueda de otras vulnerabilidades que tengan por objetivo comprometer servicios internos.
- Reporte
Una vez finalizado el tiempo de revisión de vulnerabilidades habrá una etapa posterior en tiempo para la entrega de reporte de vulnerabilidades en resumen y detallado. El reporte se centrará en las vulnerabilidades Criticas , Altas y Medias, vulnerabilidades del tipo Bajo o Informacional solo serán descritas en el reporte sin mayor nivel de profundidad.