Pentesting

Corgea AI Pentest ejecuta pruebas de penetración autónomas contra tus aplicaciones web en funcionamiento. Mientras que el SAST razona sobre el código fuente, un pentest ataca la aplicación desplegada tal y como lo haría un adversario: enumera la superficie de ataque, encadena debilidades entre sí y demuestra cada hallazgo con un exploit que funciona. Cada ejecución genera hallazgos con una prueba de concepto reproducible y un informe PDF que puedes compartir con un cliente, un auditor o tu propio equipo de ingeniería.

​

Cómo funciona un pentest

Todas las ejecuciones siguen las mismas tres etapas. Todas las ejecuciones utilizan estos agentes: Una ejecución Deep añade un agente de red team ampliado que explora más allá de esos dominios y construye cadenas de ataque de varios pasos que los combinan.

​

Antes de empezar

La URL de tu objetivo debe ser accesible públicamente por http o https. Corgea rechaza los objetivos que:

• Usan un esquema distinto de http o https
• Incluyen credenciales directamente en la URL, como https://user:pass@example.com
• Resuelven a localhost, a un rango de red privada o a una dirección de metadatos de la nube

Si tu aplicación no es accesible desde internet, expón una instancia de pruebas o escríbenos para valorar opciones.

​

Objetivos

Un objetivo es una configuración reutilizable: dónde atacar, qué credenciales usar y las instrucciones permanentes que quieras dejar fijadas. Cada ejecución se lanza contra un objetivo, así que lo configuras una vez y lo vuelves a lanzar cada vez que despliegues. La cabecera muestra cuánta cuota de pentest te queda en cada modo de escaneo. La pestaña Pentest runs lista todas las ejecuciones de todos los objetivos, y puedes buscar entre ellas y filtrarlas por estado.

​

Crear un objetivo

​

Códigos de acceso por correo electrónico

Cuando esta opción está disponible, Corgea proporciona una dirección de correo electrónico para cada usuario de prueba. Introduce una etiqueta de rol corta con letras minúsculas, dígitos y guiones y haz clic en Provision. Invita esa dirección a tu aplicación, usa Check for mail para abrir la invitación y completar el registro, introduce la contraseña si tu aplicación estableció una y haz clic en Save user. Repite el proceso para cada usuario. Guardar un usuario cierra su bandeja de configuración. Los agentes pueden leer los códigos de acceso durante una ejecución; usa Reopen setup si necesitas volver a acceder a la bandeja para la configuración. Los códigos por correo electrónico requieren un buzón de pentesting configurado y no están disponibles en despliegues que no lo tengan.

​

Editar y archivar

Abre el menú de acciones de un objetivo para iniciar una ejecución, editarlo o archivarlo. Las ediciones se aplican solo a las ejecuciones futuras. Cada ejecución guarda la configuración del objetivo con la que arrancó, de modo que las ejecuciones históricas y sus hallazgos siempre reflejan la configuración que los produjo. Cambiar una URL o rotar credenciales nunca reescribe lo que reportó una ejecución anterior. Elige Edit target para volver a abrir el asistente de configuración. Para eliminar las cuentas guardadas y realizar pruebas anónimas, elige No, test it anonymously en el paso de inicio de sesión. Archivar oculta un objetivo de la lista, pero mantiene consultables todas sus ejecuciones históricas.

​

Iniciar una ejecución

En el menú de acciones de un objetivo, elige Start new run. Instruction override sustituye las instrucciones permanentes del objetivo solo en esa ejecución. Déjalo en blanco para usar las que ya tenga el objetivo. Resulta útil cuando quieres que una ejecución concreta se centre en una funcionalidad recién desplegada sin acotar el objetivo de forma permanente. Las ejecuciones Balanced y Deep consumen cuotas independientes. El desplegable de modo de escaneo muestra cuántas te quedan de cada una, y no se puede seleccionar un modo que se haya quedado sin cuota. Para ampliar tu cuota, escribe a sales@corgea.com.

​

Seguir una ejecución

Las ejecuciones tardan unas horas según el modo de escaneo y el tamaño de la aplicación. No hace falta que dejes la página abierta: los hallazgos se guardan a medida que se confirman y los administradores pueden recibir un correo cuando la ejecución termina. Mientras una ejecución está activa, su página se actualiza sola. Los hallazgos aparecen conforme los agentes los validan, así que puedes empezar a clasificar los problemas críticos antes de que la ejecución termine. Haz clic en Logs para ver trabajar a los agentes. El árbol muestra cada agente, en qué está trabajando y cuántos hallazgos ha confirmado. Al seleccionar un agente se abre su tarea actual y su última actividad. Los agentes van creando agentes hijo sobre la marcha: cuando uno encuentra algo que merece la pena investigar, delega un seguimiento específico en lugar de abandonar su propia línea de ataque.

​

Revisar los hallazgos

Cuando una ejecución termina, su página resume lo que se ha encontrado. Las tarjetas de la parte superior reparten los hallazgos en categorías según su CWE. Haz clic en una para filtrar la lista que aparece debajo.

• All findings — todo lo que confirmó la ejecución, con recuentos por gravedad
• Auth & AuthZ — problemas de control de acceso roto, autenticación y sesiones
• Business Logic — problemas de integridad en flujos de trabajo y transacciones
• Injection — problemas de inyección, traversal y entrada no confiable
• Validated SAST — próximamente; cruzará los hallazgos SAST confirmados con su explotabilidad en tiempo de ejecución

Los hallazgos cuyo CWE no encaja en ninguna de estas categorías siguen apareciendo en All findings.

​

Filtrar y agrupar

La barra de herramientas situada sobre la lista de hallazgos te ofrece:

• Pastillas de estado — Open, Fixed, Closed y False Positive, cada una con un recuento en vivo. More añade Accepted Risk, Duplicate y todos los estados.
• Búsqueda — busca por título, CWE y endpoint
• Gravedad — filtra por Critical, High, Medium, Low o Info
• Selector CWE / Endpoint — agrupa los hallazgos por tipo de debilidad o por el endpoint al que afectan

Agrupar por CWE responde a «qué clases de fallo tiene esta aplicación». Agrupar por endpoint responde a «qué parte de la aplicación está peor», que suele ser la vista más útil a la hora de repartir el trabajo de remediación.

​

Detalles del hallazgo

Abre cualquier hallazgo para consultar la documentación completa, repartida en cinco pestañas.

​

Detalles del hallazgo

La descripción, el impacto de negocio, los roles y usuarios afectados y el análisis técnico de la causa raíz. La barra lateral recoge el identificador CWE, la gravedad, la puntuación CVSS, el objetivo, el endpoint y cuántas veces se ha vuelto a detectar el hallazgo en distintas ejecuciones.

​

Cadena de ataque

La secuencia exacta que siguió el agente, en pasos numerados. Cada paso indica la petición que envió y lo que devolvió la aplicación, de modo que cualquier ingeniero pueda recorrer el mismo camino sin conjeturas.

​

Script de explotación

Un script ejecutable que reproduce el hallazgo. Lánzalo contra tu objetivo para comprobar el problema por ti mismo y vuelve a lanzarlo después de corregirlo para confirmar que la solución aguanta.

​

Remediación

Pasos de remediación concretos para ese hallazgo en particular, además de referencias a los estándares y las guías pertinentes.

​

Historial

Una cronología del hallazgo que abarca todas las ejecuciones: cuándo se detectó por primera vez, cuándo se volvió a detectar y cada cambio de estado y comentario, con la persona que lo hizo. Corgea reconoce el mismo problema de fondo de una ejecución a otra. Si un hallazgo reaparece en un pentest posterior, se vincula al original en lugar de registrarse como algo nuevo, así que el historial cuenta una única historia continua.

​

Clasificar los hallazgos

Utiliza Current Status en un hallazgo para dejar constancia de una decisión. Puedes asignar: Un cambio de estado se aplica a todas las detecciones de ese mismo problema, así que clasificarlo una vez actualiza el historial completo y no solo la fila que abriste. También puedes añadir comentarios para dejar contexto a tus compañeros.

​

Exportar un informe

Cuando una ejecución termina, Export report ofrece dos PDF. Ambos informes incluyen:

• Una declaración de confidencialidad y un índice
• Un resumen ejecutivo y un panel de hallazgos
• El alcance y la metodología, con los agentes que se ejecutaron y lo que cubrió cada uno, además de una declaración explícita de lo que queda fuera de alcance
• Las definiciones de gravedad y la acción recomendada para cada nivel
• Una tabla resumen con todos los hallazgos
• Los hallazgos detallados agrupados por gravedad

Los informes pueden servir como evidencia de pruebas de penetración en auditorías de SOC 2 e ISO 27001, y están pensados para compartirse tal cual con clientes y auditores. Que un informe cumpla un requisito concreto depende del alcance de tu auditoría, de los controles que hayas seleccionado y de tu auditor.

​

Revalidar después de corregir

Cuando hayas desplegado las correcciones, vuelve a probarlas sin gastar un pentest completo sobre toda la aplicación. En una ejecución finalizada, abre el menú New run y elige Revalidate Findings. Una ejecución de revalidación vuelve a probar únicamente los hallazgos de la ejecución de origen e informa de:

• Still open — los hallazgos que ha vuelto a reproducir
• Closed by this run — los hallazgos que ya no ha podido reproducir, que pasan automáticamente a Closed

La revalidación requiere una ejecución finalizada con al menos un hallazgo en Open o Fixed. Una ejecución de revalidación no se puede revalidar a su vez: lanza otra revalidación desde la ejecución original.

​

Notificaciones

Los administradores de la empresa pueden recibir un correo AI Pentest Completed cuando termina una ejecución, con el objetivo, el modo de escaneo, el total de hallazgos y el desglose por gravedad. Es una preferencia de correo individual, así que quien prefiera no recibirlo puede desactivarlo sin afectar al resto. Corgea también dispara un webhook al finalizar, que puedes usar para publicar los resultados en Slack, abrir tickets o condicionar un pipeline de release. Consulta Webhooks para ver la configuración y el detalle del payload. Las ejecuciones de revalidación no envían notificaciones de finalización.

​

Preguntas frecuentes

​

Relacionado