Da por hecho que ya están dentro. Descubre hasta dónde llegan.

Una brecha asumida significa que arrancamos el test desde una posición que un atacante ya tendría de forma realista, una cuenta de dominio corriente o un puesto de trabajo comprometido, en vez de gastar el proyecto en entrar. Empezamos ahí porque el phishing, un portátil robado o una contraseña reutilizada acaban funcionando antes o después, así que la pregunta que importa no es si alguien consigue un punto de entrada, sino cuánto daño permite ese punto de entrada. Es la forma más rápida de medir tu radio de impacto real.

Un pentesting externo prueba a qué puede llegar un atacante desde internet; el interno prueba a qué llega una vez dentro. El externo responde a «¿pueden entrar?». El interno responde a «¿hasta dónde llegan, y en cuánto tiempo?». La mayoría de las empresas reguladas hacen los dos en ciclos distintos, porque reducir tu superficie expuesta y limitar tu radio de impacto interno son dos problemas separados.

Un pentesting interno típico lleva de una a tres semanas de prueba activa, según el tamaño de tu Active Directory y el número de segmentos en alcance, más el alcance previo y el retest posterior. Un entorno de un solo dominio suele ser de una a dos semanas; los bosques multidominio, las sedes múltiples o una segmentación fuerte crecen desde ahí. Confirmamos el calendario en la propuesta, dentro de las 48 horas siguientes a la primera llamada.

No, no sin tu consentimiento explícito. Todo proyecto se ejecuta bajo unas Rules of Engagement escritas: ventanas de prueba acordadas, activos protegidos, acciones prohibidas y un contacto de parada inmediata. Las técnicas que podrían afectar a la estabilidad solo se usan con aprobación previa, y nunca lanzamos pruebas destructivas contra los servidores que sostienen tu sistema de identidad. Los pasos delicados, como demostrar que podríamos copiar la llave maestra de todas las cuentas (DCSync), se hacen como una prueba controlada y única, no como una operación que interrumpa nada.

El precio depende del tamaño de tu parque, del número de segmentos en alcance y del tipo de prueba, y damos un precio cerrado, sin costes ocultos y sin obligación de renovar. Una evaluación interna de un solo dominio queda en la parte baja de la horquilla; los bosques grandes y las redes multisede crecen desde ahí. El retest que confirma tus correcciones va siempre incluido.

Lo ejecuta de punta a punta el especialista senior con el que hablas en la primera llamada. Nuestro equipo cuenta con credenciales OSCP, OSEP, CRTO y CRTP, que son las certificaciones construidas específicamente alrededor de Active Directory y del oficio de red team; la mayoría ha trabajado dentro de equipos de seguridad corporativos, y somos contribuidores verificados del Bug Bounty de la NASA. La misma persona define el alcance, ejecuta y hace el retest. Hablas directamente con ella en todo momento.

Al menos una vez al año, como suelo normativo para ISO 27001, ENS, PCI DSS, SOC 2, NIS2 y DORA. En la práctica, un test nuevo lo justifica cualquier cambio importante en tu identidad o en tu red: un refactor de Active Directory o de las GPO, una migración de IAM o de SSO, un proyecto de resegmentación, una sede nueva o una adquisición que estés integrando. Un ransomware que ha estado cerca en tu sector también es un buen disparador.