Protege tu AWS, Azure y GCP de verdad.

No. Un CSPM o una revisión de configuración enumeran malas configuraciones contra un benchmark, pero no pueden decirte cuáles de ellas se conectan de verdad hasta formar una brecha. Un pentesting cloud es una persona demostrando la cadena: este bucket público guarda esta clave, que desbloquea este rol, que llega a esta base de datos. El CSPM es excelente para la higiene continua; el pentesting te dice dónde estás realmente expuesto ahora mismo. Los equipos maduros suelen hacer las dos cosas, y muchas veces partimos de la salida de tu CSPM para enfocar el proyecto.

Sí, los tres, y además las capas de Kubernetes y serverless que van encima. Cada proveedor tiene su propio modelo de identidad y de servicios, así que un patrón de fallo de AWS suele tener otra cara en Azure o en GCP: probamos cada uno en sus propios términos en vez de aplicar una lista genérica. Si tu entorno es multi-cloud o híbrido, definimos el alcance sobre todo el conjunto y miramos con especial atención las relaciones de confianza entre entornos.

No. Por defecto enumeramos en solo lectura con un rol que nos facilitas tú, y explotamos de forma controlada únicamente dentro de las rules of engagement acordadas. No hacemos pruebas destructivas, y cualquier acción que pueda afectar a la disponibilidad o disparar una respuesta a incidentes real necesita tu aprobación por escrito y a tu equipo pendiente. Ves tu entorno en producción con los ojos de un atacante sin ponerlo en riesgo.

Un entorno de una sola cuenta y un solo proveedor suele llevar de una a dos semanas de pruebas activas; los entornos más grandes, con varias cuentas, varias regiones o varios proveedores, y los que usan Kubernetes de forma intensiva, van de dos a cuatro semanas. El alcance se define antes y el retest llega después de tus correcciones. Confirmamos el calendario en la propuesta, que entregamos en las 48 horas siguientes a la primera llamada.

El precio sale del alcance: cuántas cuentas y cuántos proveedores hay, el tamaño del entorno y si entran Kubernetes y serverless. Damos un precio cerrado, sin costes escondidos y sin obligación de renovar. Una auditoría de una sola cuenta se queda en la parte baja de la horquilla; los entornos multi-cloud grandes escalan a partir de ahí. El retest que confirma tus correcciones va incluido siempre.

Para que el proyecto sea lo más eficiente posible: un rol de solo lectura en las cuentas del alcance (nosotros te damos la política exacta), un esquema de la arquitectura y un contacto técnico para las dudas. También podemos probar solo desde fuera y sin ningún acceso, igual que un atacante real, pero con un rol de solo lectura cubrimos mucho más terreno en el mismo tiempo. El modelo lo eliges tú en la primera reunión.

Lo ejecuta de principio a fin el especialista senior que conoces en la primera llamada. Si lo que buscas es un hacker que ponga tu cloud a prueba, ese es su oficio: nuestro equipo cuenta con OSCP, OSCE³, OSWE y OSEP, suma certificaciones de seguridad de AWS, Azure y GCP y manejo de Terraform y Kubernetes, y somos colaboradores verificados del Bug Bounty de la NASA. La misma persona define el alcance, ejecuta y hace el retest. Trabajas con ella en cada fase del proyecto.