Qué hace de verdad un equipo senior entre la reunión de arranque y el informe del retest, sobre la única parte de tu estructura a la que cualquiera en internet puede llegar sin pedirte permiso.
Un pentest de red externa responde a una sola pregunta: qué podría hacerte hoy desde internet alguien sin cuenta, sin credenciales y sin ninguna ayuda de dentro de tu organización.
El alcance es todo lo que responda en una dirección enrutable que sea tuya: cortafuegos de perímetro y concentradores de VPN, correo y DNS, el portal de clientes, la máquina de preproducción que iba a ser temporal, el aparato que un proveedor pidió hace años. Ese conjunto es tu superficie de ataque externa, y casi siempre es mayor de lo que dice el inventario.
Los números se han movido hacia el perímetro. El Data Breach Investigations Report 2026 de Verizon pone el 31% de las brechas en la explotación de una vulnerabilidad, por delante de las credenciales robadas. ENISA, sobre 4.875 incidentes registrados en la Unión Europea entre el 1 de julio de 2024 y el 30 de junio de 2025, sitúa la explotación en el 21,3% del acceso inicial y señala que el 64% de las vulnerabilidades documentadas usan la red como vector de ataque.
De nuestro lado no sale ni un paquete antes de que salga el papeleo. La NIST SP 800-115 es tajante: en la fase de planificación se identifican las reglas, se cierra y se documenta la aprobación de la dirección y se fijan los objetivos de las pruebas, y no se prueba nada. Se acuerda por escrito y antes:
Ese documento son las rules of engagement; NIST publica una plantilla en su anexo B. Un proveedor que no pueda enseñarte las suyas antes del arranque te está contando cómo va a ir el resto.
El reconocimiento es la fase que los clientes subestiman y los atacantes nunca. Su resultado no es una lista de vulnerabilidades. Es un inventario: cada nombre, dirección, certificado, servicio y dependencia de terceros que es tuyo y responde desde fuera.
Primero las fuentes pasivas, porque no tocan nada tuyo: registros de transparencia de certificados, DNS pasivo, WHOIS y titularidad de los rangos, y corpus de filtraciones buscando credenciales atadas a tus dominios. Ese trabajo es OSINT, y NIST describe el escenario externo igual, con quien prueba sin más información real que los rangos objetivo.
Después el trabajo activo: enumeración de DNS, identificación de puertos y servicios, inspección de TLS, descubrimiento de hosts virtuales, identificación de versiones. NIST señala que un escaneo externo pasa por tu cortafuegos y devuelve mucho menos que el mismo escaneo lanzado desde dentro. Lo que sobrevive es lo que ve hoy un atacante.
El hallazgo que más veces produce esta fase no es un CVE. Es un equipo que nadie recuerda tener: TI en la sombra, un entorno dado de baja solo en teoría, un subdominio que apunta a un recurso cloud que una agencia dejó de pagar.
Concentradores de VPN, pasarelas SSL, aparatos de transferencia de ficheros, cortafuegos con la interfaz de administración mirando al lado equivocado. ENISA cruzó sus datos de incidentes con MITRE ATT&CK y confirmó que los atacantes explotan de forma sistemática las aplicaciones expuestas a internet (T1190); las vulnerabilidades que dominan su conjunto son de aparatos de VPN y de servidores de correo y de colaboración, con servicios de perímetro escaneados y comprometidos en cuestión de horas desde la publicación del fallo. Las versiones se cruzan con el catálogo CISA KEV, 1.655 entradas el 27 de julio de 2026, donde estar en la lista significa explotación observada y no predicha.
Un CNAME colgando que apunta a un recurso cloud ya liberado permite una apropiación de subdominio: alguien registra el recurso abandonado y sirve su contenido desde tu nombre. Las transferencias de zona, la alineación de SPF, DKIM y DMARC y la higiene con el registrador van en la misma pasada, porque un dominio que un atacante puede suplantar es una vulnerabilidad aunque no haya ni un equipo vulnerable.
Todo lo que hable HTTP se prueba contra la OWASP Web Security Testing Guide, estable en la versión 4.2, cuyos casos llevan identificadores públicos como WSTG-INFO-02, así que un hallazgo se corresponde con un procedimiento publicado y no con nuestra opinión. La configuración de seguridad incorrecta es A02 en el OWASP Top 10:2025, y en un perímetro eso es lo que aparece: credenciales por defecto, paneles de administración expuestos, errores demasiado habladores, endpoints de depuración.
En los formularios de inicio de sesión y en los puntos de entrada de identidad única se prueba la enumeración de usuarios, la ausencia de bloqueo y de limitación de intentos, y la aplicación flaca del segundo factor. Cuando las reglas lo permiten, se lanza rociado de contraseñas lento y de poco volumen contra las credenciales que produjo el reconocimiento, a un ritmo que no bloquee a tu plantilla.
NIST resume el valor de esta fase en una frase: mientras los escáneres de vulnerabilidades solo comprueban la posible existencia de una vulnerabilidad, la fase de ataque de un pentest la explota para confirmar que existe.
Un exploit que funciona no es el objetivo. El objetivo es el impacto verificado. De cada intento se registra qué se envió, qué volvió y qué tendría en la mano un atacante ahora: acceso de lectura a un fichero, una sesión como otro usuario, ejecución de código, una credencial que además vale en otro sitio.
Dos reglas mantienen la fase segura. La prueba y nada más allá: sin denegación de servicio, sin extracciones masivas de datos personales, la demostración más pequeña que zanje la cuestión. Y el bucle de vuelta al descubrimiento, que NIST dibuja de forma explícita, porque lo que enseña un punto de apoyo cambia lo que se busca después.
Los hallazgos encadenados son donde este test se gana su línea de presupuesto: dos problemas de severidad baja, sin nada de particular por separado y graves juntos: un banner que nombra un equipo interno y un servicio olvidado en ese equipo que responde sin preguntar quién llama.
NIST coloca la elaboración del informe junto a las otras tres fases y no después de ellas. Los registros corren de principio a fin, y cualquier cosa crítica se comunica el día en que se confirma. Qué se entrega:
Una puntuación base de CVSS dice lo mala que podría ser una vulnerabilidad, no lo probable que es que se use contra ti. Tres entradas trabajan juntas: CVSS para la severidad, EPSS de FIRST para la probabilidad de explotación real, y la exposición, porque el mismo defecto en un equipo expuesto a internet va por delante del mismo defecto detrás de otros tres controles. El sector público usa la misma lógica: la directiva operativa de obligado cumplimiento 26-04 de CISA, publicada en junio de 2026 para sustituir a la BOD 22-01, fija plazos a partir de cuatro variables y pregunta primero si el activo está expuesto públicamente.
Un hallazgo no está cerrado porque lo diga un ticket. El retest convierte un informe en evidencia, y es la fase que los proyectos baratos se dejan fuera sin decirlo.
La prueba original se vuelve a lanzar contra el activo corregido y se registra uno de tres resultados: resuelto, resuelto a medias, o no resuelto con la evidencia reproduciéndose todavía. El interesante es el de a medias. Normalmente significa que se bloqueó un payload y la vulnerabilidad se quedó donde estaba, que es la diferencia entre un filtro y una corrección.
El retest va después de tu ventana de corrección; en nuestros proyectos eso suele ser entre cuatro y ocho semanas después de la entrega, y produce un informe actualizado con cada hallazgo cerrado marcado y fechado. Ese documento, y no el original, es el que piden los auditores y los clientes grandes.
En esa lista no hay ni una credencial ni un diagrama de arquitectura. Y eso es lo importante: el test parte de lo que un desconocido puede averiguar por su cuenta.
Rangos, porque la respuesta honesta depende de un recuento que nadie tiene hasta que termina el reconocimiento. En nuestros proyectos, un perímetro pequeño de unas pocas decenas de equipos vivos y un puñado de superficies web se lleva alrededor de una semana laborable de pruebas. Varios cientos de direcciones y una docena de aplicaciones son normalmente dos o tres semanas. Un grupo con varias marcas, filiales adquiridas y varios tenants cloud dura más.
Qué lo mueve: el tamaño de la superficie viva, que no se conoce hasta que acaba el reconocimiento; cuántas aplicaciones web distintas hay en el perímetro, porque cada una es un esfuerzo aparte; si la infraestructura de protección se queda puesta; las aprobaciones de terceros, que son tiempo de calendario; y si el test se anuncia o no. Súmale alrededor de una semana después para el informe y la revisión de calidad, y reserva el retest aparte.
Este es el apartado que debería decidir si compras este test u otro distinto, y el que la mayoría de las propuestas se salta.
Y el límite que tiene todo pentest, que NIST enuncia mejor de lo que lo haríamos nosotros: probar no constituye una valoración completa de la postura de seguridad de una organización, y a menudo tiene un alcance estrecho por limitaciones de recursos. Una evaluación es una foto de un momento; tu perímetro cambia en el siguiente despliegue. Hazlo por ciclos.
Si esta es la respuesta que necesitas, el servicio que la produce es el pentesting de red externa, y la secuencia que hay detrás de todos nuestros proyectos está en nuestra metodología de pentesting, de principio a fin.
Todas las cifras, todas las citas y todas las referencias a marcos de este artículo salen de estos documentos. Las duraciones, la ventana del retest y los entregables son práctica nuestra y así se dice en el texto.
La secuencia de un pentest de red interna real: el punto de partida que acordamos, en qué se convierte una cuenta de dominio, qué recibes al final, cuánto dura y qué cosas no cubre el ejercicio a propósito.
La secuencia real de un pentest wifi, de las rules of engagement al retest: qué pasa en cada fase, qué necesitas tener listo, cuánto dura y qué cosas no cubre este test a propósito.
Las siete fases de un proyecto de Asperis, del alcance y las rules of engagement hasta el retest, con la norma que hay detrás de cada una, los rangos de duración con los que acotamos y una lista clara de lo que un pentest no cubre.
Si algo de aquí se parece a un problema que llevas encima, media hora de llamada para acotarlo con un pentester senior vale más que leer otro artículo.
Hablar con un pentester seniorElige la hora que mejor te venga. Nos cuentas qué necesitas y en qué punto estás, y te explicamos cómo trabajamos y de qué forma podemos ayudarte.
