Auditoría de ciberseguridad en aplicaciones

Realizamos auditorías de ciberseguridad a todo tipo de aplicaciones informáticas, sin importar el lenguaje en el que estén desarrolladas. En este contexto podemos diferenciar globalmente tres tipos de aplicaciones: Web, para móviles (Smartphone, tablet, etc.) y de escritorio (Windows, Linux, Mac, etc.).

Nuestras auditorías identifican cada uno de los riesgos existentes, los clasifican por su criticidad y proponen soluciones a los mismos, todo ello empleando metodologías propias desarrolladas a partir de los estándares.

Además, podemos complementar nuestras auditorías a Apps con un servicio de evaluación y mejora del ciclo de vida de desarrollo. Este servicio está orientado a clientes que producen su propio software, permitiendo evaluar, desde el punto de vista de la seguridad, todo el ciclo de vida de los productos (análisis, diseño, implementación, integración, pruebas, mantenimiento, etc.) y la propuesta de mejoras.

Todas nuestras auditorías se componen de un completo análisis llevado a cabo por un equipo de expertos, mediante el cual, se valorarán todos los parámetros explotados con la finalidad de tomar acciones correctoras para que el producto quede protegido y seguro ante la exposición de posibles ciberataques.

Tipos de auditorías

Los servicios de auditoría de aplicaciones constan de varias fases: análisis estático del código, elaboración de planes de prueba, análisis dinámico, explotación e informes. En este tipo de auditorías, por norma general se cuenta con el código fuente, así como con las librerías utilizadas y los detalles de la infraestructura.
Para realizar una auditoría completa se debe tener en cuenta si el correcto funcionamiento de una aplicación depende o está sujeto a un ecosistema donde interactúan varias aplicaciones, como por ejemplo: una aplicación móvil que comunica/interactúa con uno o varios servicios Web. En estos casos las fases de los distintos análisis se realizan sobre cada uno de los componentes, y posteriormente se realiza una auditoría sobre el conjunto de aplicación y servicios.
Uno de los aspectos que nos posiciona por encima de nuestros competidores es que conseguimos explotar las vulnerabilidades encontradas, descartando falsos positivos y haciendo que el ejercicio no sea meramente teórico. Posteriormente a la primera auditoría, si se han hallado vulnerabilidades, se recomienda realizar una segunda auditoría para comprobar que los defectos encontrados se han subsanado.
En este marco podemos definir tres tipos de auditorías en base a lo que se requiera:
Auditoría de Caja Blanca
El equipo auditor tiene acceso al código fuente de la aplicación y de todos aquellos elementos con los que interactúa que también se quieren auditar. Aquí se auditan configuraciones y políticas del entorno, de los sistemas, redes, servicios, aplicaciones, con la finalidad de encontrar vulnerabilidades, amenazas y puntos críticos que permitan a los usuarios con cierto grado de privilegios comprometer el funcionamiento de la aplicación.
Auditoría de Caja Gris
Permite al auditor tomar el rol de un cliente, con privilegios limitados. El equipo auditor contará con el código fuente de la aplicación de manera parcial, o podrá contar con el código completo de la aplicación a testear, pero no con el código del resto de aplicaciones y servicios con los que se interactúa, según estime el cliente.
Auditoría de Caja Negra
Permite al auditor tomar el rol de un atacante, el cual no conoce ninguna característica de la aplicación ni del entorno con el que interactúa.

¿Necesita un experto?

En Jaymon Security contamos con los mejores expertos en ciberseguridad.

No dude en ponerse en contacto con nosotros y solicitar nuestros servicios.

English