Contratar pentesting de forma legal y a precio fijo
Apex Offensive es donde puede contratar pentesting para pruebas de penetración autorizadas y proyectos de red team. Todo se hace bajo un alcance firmado, la tarifa se acuerda antes de empezar y las pruebas comienzan en 48 horas tras la autorización.
Tarifa fija, nunca por horas. Proyecto mínimo de $25,000. Boston y Londres.
Cómo contratar pentesting sin infringir la ley
Al contratar pentesting, una sola cosa separa una prueba de penetración de un delito: la autorización escrita del propietario del sistema. Por eso basamos cada proyecto en tres documentos, y no empezamos sin ellos.
Alcance de trabajo
Qué sistemas entran en el alcance y cuáles quedan fuera, por escrito. Al contratar pentesting aquí, todo lo que no está en esa lista queda intacto, aunque parezca interesante.
Autorización escrita
La firma la persona propietaria de los sistemas. Como los proveedores de nube y alojamiento a menudo también deben aprobarla, lo confirmamos antes del primer día.
Reglas de enfrentamiento
Técnicas permitidas, ventanas de prueba, contactos de escalado y manejo de la evidencia. En resumen, los límites que todos aceptan por adelantado.
Cuánto cuesta contratar pentesting
La mayoría de las firmas esconde cuánto cuesta contratar pentesting detrás de un formulario de contacto, así que aquí lo tiene. Estas son las tres formas que suele tomar un proyecto, con la franja de tarifa de cada una. Tras el resumen de alcance, confirmamos una sola cifra fija.
Red team
Simulación orientada a objetivos contra un entorno defendido. Seis semanas o más.
- Simulación completa de adversario
- Detección y respuesta medidas
- Repetición en modo purple team con sus defensores
Evaluación completa
Infraestructura interna y externa, nube y aplicaciones. De tres a cinco semanas.
- Todo lo de la prueba focalizada
- Red, roles de nube y segmentación
- Hallazgos encadenados con impacto demostrado
Prueba focalizada
Una aplicación o un entorno externo pequeño. Unas dos semanas.
- Pruebas manuales con la profundidad de OWASP
- Lógica de negocio y autenticación
- Informe, sesión de cierre y una nueva prueba
Son rangos honestos de lo que cuesta contratar pentesting, no un menú. La cifra final se fija tras el resumen de alcance, así que nunca cambia durante el proyecto. Además, un proyecto completo no es la única forma de contratar pentesting aquí: la revisión acotada de abajo es un trabajo distinto, no uno con descuento.
La forma más pequeña de contratar pentesting
desde $4,500 Segunda puertaLa Focused Exposure Review es una revisión acotada de lo que usted expone a internet. Mapeamos su entorno público, lo probamos y verificamos cada hallazgo a mano, en vez de enviarle una exportación de escáner. El alcance se fija en hasta cinco equipos externos y una aplicación web pública. El informe llega en cinco días hábiles.
Ideal para
- Un cliente corporativo, una aseguradora o un inversionista pidió evidencia de pruebas, y tiene una fecha que cumplir.
- Nunca se probó nada externo, así que primero necesita saber qué es alcanzable de verdad.
- Prefiere ver cómo trabajamos en algo pequeño antes de comprometerse con un programa completo.
Fuera de este proyecto
- Red interna, Active Directory o revisión de roles en la nube.
- Pruebas de lógica de negocio, o trabajo que lee su código fuente.
- Cadenas completas de explotación contra un entorno defendido.
- Evidencia de nivel auditoría para SOC 2 o PCI, que requiere el proyecto completo de arriba.
La tarifa se abona por completo. Si encarga un proyecto completo en los noventa días siguientes a su informe, toda la tarifa de la revisión se descuenta del precio. Así la revisión no le cuesta nada si pasa al trabajo a fondo.
Es un proyecto distinto, no una versión reducida del de arriba. Además, su precio depende del alcance, no del grado de cuidado. Por eso, cuando la revisión encuentra algo que requiere el trabajo a fondo, lo decimos con claridad y lo cotizamos aparte.
Antes de contratar pentesting, lea esto
Cerca de la mitad de quienes buscan «contratar un hacker» quieren algo ilegal. Por eso preferimos ser directos ahora a hacerle perder el tiempo.
- Acceder a cualquier cuenta, dispositivo o sistema sin el consentimiento documentado del propietario.
- Vigilar, rastrear o espiar a una persona particular, sea cual sea la relación.
- Recuperar el acceso a una cuenta que no es suya, incluida la de una pareja o un empleado.
- Alterar registros, calificaciones, saldos o bitácoras de otra persona.
- Rastrear, identificar o tomar represalias contra quien le atacó. Eso se denuncia ante las autoridades.
- Cualquier cosa que infrinja la Ley de Fraude y Abuso Informático de Estados Unidos (18 U.S.C., sección 1030) o la Computer Misuse Act del Reino Unido.
El acceso no autorizado es un delito en ambos países, y en el Reino Unido lo es sea cual sea la intención. Si su petición incluye algo de la lista anterior, no somos la firma adecuada y su mensaje no recibirá respuesta.
Lo que usted recibe al contratar pentesting
Al contratar pentesting, usted busca evidencia, así que una prueba solo justifica su tarifa si sus ingenieros pueden actuar con ella. Por eso cada entregable de abajo está escrito para pasarlo directamente a quienes van a corregir el problema.
- 01Informe de hallazgosCadenas de ataque reproducibles con evidencia, no una exportación de escáner. Es decir, cada hallazgo incluye los pasos, el impacto y la corrección.
- 02Resumen de riesgo de negocioDos páginas que su consejo puede leer, porque una calificación de severidad por sí sola no le dice nada a un directivo.
- 03Plan de remediación con prioridadesOrdenado por riesgo real y esfuerzo, para que su equipo sepa qué hacer primero el lunes por la mañana.
- 04Sesión de cierre por escritoQuien dirigió el proyecto redacta la explicación y responde sus preguntas por escrito.
- 05Nueva prueba sin costoCuando haya aplicado las correcciones, las verificamos, así que el cierre queda demostrado y no se da por supuesto.
Credenciales y estándares detrás del trabajo
Prueba de un proyecto real
Los nombres de los clientes son confidenciales, así que esto es lo que ocurre al contratar pentesting. Este extracto viene de una evaluación autorizada, anonimizada para su publicación.
t+06h token expuesto del runner de compilación
t+19h movimiento lateral a cuenta de servicio
t+33h secretos leídos de ruta del vault
t+41h se obtiene administrador de dominio
t+48h cliente notificado, cadena documentada
día 10 tres correcciones aplicadas, nueva prueba limpia
Un grupo minorista nos pidió demostrar si un atacante podía llegar a sus sistemas de identidad de producción. Ningún escáner marcó esa ruta, porque cada paso parecía inofensivo por sí solo. Nuestro socio los encadenó y llegó a administrador de dominio en 41 horas.
En resumen, la corrección fueron tres cambios de configuración sin tiempo de inactividad. Además, la nueva prueba confirmó los tres, así que el cliente cerró el hallazgo con evidencia y no con una promesa.
Dudas antes de contratar pentesting
¿Es legal contratar pentesting?
Sí, puede contratar pentesting siempre que las pruebas estén autorizadas. La ley depende del permiso, no de la técnica, así que lo que hace legal el trabajo es un alcance firmado por el propietario del sistema. Sin ese documento, las mismas acciones son un delito, y por eso no empezamos hasta que existe.
¿Cómo puede mi empresa contratar pentesting?
Para contratar pentesting, envíe el formulario con lo que hay que probar y su tamaño aproximado. Hacemos un breve cuestionario de alcance y después le damos una sola tarifa fija para el alcance acordado. Una vez firmada la autorización, las pruebas suelen empezar en 48 horas.
¿Cuándo empiezan las pruebas tras contratar pentesting?
Tras contratar pentesting, las pruebas empiezan en 48 horas desde la autorización firmada, si hay una ventana libre. Los proyectos de red team necesitan más preparación, porque acordar los objetivos y las reglas de enfrentamiento lleva más trabajo.
¿Puede un particular contratar pentesting, o solo las empresas?
Los particulares también pueden contratar pentesting aquí, y cada año aceptamos unos pocos encargos privados de fundadores, directivos y familias con un modelo de amenaza real. Se aplican las mismas reglas: debe ser propietario de los sistemas o tener permiso escrito para que se prueben.
¿Y si mi presupuesto es menor de $25,000?
Aun así puede contratar pentesting aquí. La Focused Exposure Review empieza en $4,500 y se limita a cinco equipos externos y una aplicación web, así que responde bien una sola pregunta en vez de estirar un programa completo. Indique su cifra en el formulario, porque preferimos ajustar el alcance con honestidad a lo que tiene, en vez de cotizar trabajo que no pidió. Además, la tarifa de la revisión se abona por completo si encarga un proyecto completo en los noventa días siguientes.
Si contrato pentesting con ustedes, ¿conservan nuestros datos?
No. La evidencia y los hallazgos se destruyen al cerrar el proyecto, y firmamos su acuerdo de confidencialidad antes de cualquier conversación técnica. Tampoco publicamos nombres de clientes sin permiso escrito.
Guías de contratación
Antes de contratar pentesting: guías para pruebas autorizadas
Cada guía responde una duda de contratación, del alcance a los entregables, para sistemas que usted posee.
- Proveedores de pentest
- Precios de pentest
- Red team
- Pentest remoto
- Contratar un hacker profesional
- ¿Es legal contratar un hacker?
- Contratar un hacker en línea
- Pentest de marca blanca
- Pentest colaborativo
- Contrato marco de pentest
- SLA de pentest
- Condiciones de pago del pentest