Recursos · Ciberseguridad
¿Qué es un escaneo de la superficie de ataque (attack surface) externa, quién lo necesita y cuánto cuesta?
Respuesta breve
Un escaneo de la superficie de ataque externa (external attack surface assessment, EASM) inventaría todo lo que una organización expone a internet, dominios, subdominios, infraestructura de correo, puertos abiertos y paneles de administración, desde donde mira un atacante y no desde dentro, y lo ordena por riesgo. Toda organización con sitio web, correo y al menos un servidor debería hacerlo. En ArveNova la evaluación firmada de la superficie de ataque externa empieza en 2.200 € (sin IVA); el precio final se confirma tras una breve llamada de alcance según el número de activos y el alcance.
¿Qué es exactamente una superficie de ataque (attack surface)?
La superficie de ataque es la suma de todos los puntos de entrada que un atacante podría intentar para llegar hasta usted. La superficie de ataque interna abarca los sistemas a los que se accede desde dentro, como los ordenadores del personal, la red interna y Active Directory. La superficie de ataque externa (external attack surface) es la parte que cualquiera en internet puede ver:
- Dominios y subdominios (incluidos registros olvidados como
vpn.,mail.,test.,old-portal.) - Puertos abiertos y los servicios que se ejecutan en ellos (RDP, SSH, bases de datos, administración remota)
- Aplicaciones web, paneles de administración, endpoints de API
- Infraestructura de correo: registros SPF, DKIM y DMARC, y el riesgo de suplantación que genera su ausencia
- Certificados TLS, incluidos los caducados o mal configurados
- Dominios lookalike / typosquat que imitan su marca
La mayoría de los ataques no empiezan con un sofisticado zero-day, sino con un elemento olvidado de esta lista: un dispositivo VPN sin el patch aplicado, un dominio sin DMARC, un servidor de pruebas del que nadie se acuerda.
¿Cómo se realiza el escaneo y puede dañar nuestros sistemas?
Hay dos niveles, y la diferencia entre ellos importa:
La evaluación pasiva solo lee fuentes públicas: registros DNS, logs de Certificate Transparency, WHOIS, motores de búsqueda. No se envía ni un solo paquete a sus sistemas, por lo que no requiere permiso y el riesgo de interrupción del servicio es nulo. El connector de Fjordex (MCP) funciona en este nivel.
La evaluación activa realiza escaneo de puertos, detección de versiones de servicios y correlación con CVE conocidos; se conecta a sus sistemas, pero no ejecuta exploits. Requiere autorización por escrito, y la ventana de pruebas se acuerda conjuntamente.
Más allá de estos niveles está la validación de penetración: validación manual y no destructiva de los hallazgos críticos. Este paso solo se lleva a cabo con unas Rules of Engagement firmadas y un NDA, y se presupuesta aparte.
¿Quién debería hacerlo?
La regla breve: si tiene algo expuesto a internet, tiene una superficie de ataque (attack surface) externa, y alguien ya la está escaneando. Los casos más urgentes son:
- Pymes (Chipre del Norte y Turquía): La mayoría no tiene equipo de TI, la infraestructura está repartida entre proveedores externos y nadie ve el conjunto. Los hallazgos más comunes: se pueden enviar facturas falsas por correo en nombre de la empresa porque falta DMARC, RDP está expuesto a internet y los subdominios no tienen un responsable claro.
- Universidades: Decenas de facultades, cientos de subdominios, proyectos de estudiantes, servicios que se dieron de baja pero siguen en el DNS. La superficie de ataque es grande y dispersa; elaborar el inventario ya tiene valor por sí mismo.
- Hospitales y clínicas: Datos de pacientes, obligaciones de KVKK/GDPR y operaciones que no toleran interrupciones. Que un escaneo pasivo no afecte a ningún sistema es aquí una ventaja decisiva.
- Ayuntamientos y organismos públicos: Servicios a la ciudadanía, gran dependencia de la correspondencia por correo electrónico y riesgo reputacional.
- Organizaciones con requisitos de ciberseguro o de licitaciones: Las aseguradoras y los grandes clientes piden cada vez más un informe de evaluación externa independiente.
¿Cuánto cuesta? Precios de ArveNova
Las cifras siguientes son precios de partida, en EUR y sin IVA. El precio final se entrega por escrito una vez confirmados el número de activos y el alcance en una llamada de alcance. Los niveles pueden contratarse por separado o juntos; todo trabajo comienza con un alcance escrito y una autorización firmada (ROE).
| Nivel | Alcance | Entregable | Precio de partida |
|---|---|---|---|
| Nivel 1 Evaluación de la superficie de ataque externa | Descubrimiento de dominios y subdominios, puertos y servicios abiertos, SPF/DKIM/DMARC, postura TLS, dominios typosquat, paneles de administración expuestos, correlación con vulnerabilidades conocidas (CVE). Externa y sin credenciales. | Informe firmado (en turco; en inglés bajo solicitud), hallazgos priorizados y pasos de corrección; la línea base para los niveles siguientes | desde 2.200 € |
| Nivel 2 Prueba de seguridad de aplicaciones web y API | Pruebas manuales de autorización en sistemas con sesión (portales de clientes, comercio electrónico, sistemas de reservas y solicitudes, LMS): IDOR y control de acceso, autorización de API, autenticación y sesiones, carga de archivos, XSS almacenado. Con autorización escrita y una cuenta de prueba. | Informe por plataforma | desde 2.800 € / plataforma |
| Nivel 3 Evaluación de la postura de seguridad de Active Directory | Dentro de la red, con credenciales y en modo de solo lectura: cuentas kerberoastables y AS-REP, política de contraseñas débil, configuraciones erróneas de certificados ADCS. Las rutas de ataque se planifican, nunca se ejecutan; no es un pentest interno. | Informe de postura de seguridad de AD | desde 1.750 € para un dominio; multicampus: solicite presupuesto |
| Nivel 4 Monitorización periódica | Repetición periódica de la evaluación de línea base; qué cambió respecto al periodo anterior: servicios, puertos y subdominios nuevos, hallazgos cerrados y abiertos. El límite de activos se fija por escrito en el presupuesto. | Informe mensual de cambios | desde 99 € / mes automatizada, desde 299 € / mes con revisión experta; requiere la línea base del Nivel 1 |
| Validación manual de hallazgos Complemento del Nivel 1 | Verificación práctica de los hallazgos críticos y altos bajo autorización escrita, con evidencia; cada hallazgo se confirma o se marca como falso positivo. | Anexo firmado al informe de Nivel 1 | desde 900 €, hasta 5 hallazgos |
¿De qué depende el precio? En el lado externo, del número de activos visibles desde internet: dominios, subdominios, IP públicas y servicios. El número de empleados u ordenadores no determina directamente el precio externo; el Nivel 3 (Active Directory) se tarifica por número de usuarios y campus, y el Nivel 2 por número de plataformas.
Prueba de penetración: un servicio aparte, fuera de los niveles anteriores. El escenario, la metodología y los entregables se definen por escrito en cada proyecto; el alcance y el precio se fijan en el presupuesto. Solicite presupuesto.
Monitorización continua: monitorización 24/7 mediante un agente instalado en sus endpoints, un servicio distinto del Nivel 4. El alcance, la fecha de inicio y el precio se fijan en el presupuesto. Solicite presupuesto.
¿Cómo es el informe? Un hallazgo de ejemplo
Todos los hallazgos tienen la misma estructura: título, severidad (calculada a partir del vector CVSS, nunca asignada a mano), nivel de confianza, evidencia, la visión del atacante (RED) y la solución (BLUE). Una muestra del formato del informe firmado (no es una ejecución real):
[F-03] Componente web desactualizado, Apache httpd 2.4.49
Severidad: Crítica (CVSS 9.8, NVD como fuente principal)
CVE: CVE-2021-41773 · CWE-22
Confianza: CONFIRMED · Activo: https://target.example:443
RED: Path traversal, condiciones de lectura remota de archivos.
BLUE: Actualizar a la versión 2.4.51 o posterior.La correlación de CVE funciona comparando la versión del servicio detectada con un conjunto de datos de CVE basado en NVD; las coincidencias que dependen de un rango de versiones se mantienen aparte con la etiqueta «no confirmada», y a los activos situados detrás de un hosting compartido o una CDN no se les asignan CVE. La segunda muestra procede de una comprobación de seguridad del correo en el connector de Fjordex:
{
"id": "email.dmarc_missing",
"title": "No hay registro DMARC",
"severity": "high",
"evidence": "No se encontró ningún registro TXT para _dmarc.example-company.com.",
"recommendation": "Empiece a recibir informes con p=none, pase a p=quarantine tras 2-4 semanas y después a p=reject.",
"category": "email"
}Lo que significa esta única línea: ahora mismo cualquiera puede enviar facturas falsas a sus clientes desde accounts@example-company.com, y los servidores de correo receptores no las rechazarán. La solución es un solo registro DNS, pero si nadie lo señala, el problema sigue abierto durante años.
¿Con qué frecuencia debe repetirse?
La superficie de ataque (attack surface) externa no es estática: una nueva suscripción SaaS, un subdominio abierto para una campaña de marketing, un cambio de proveedor de hosting; todo ello modifica la superficie. Consejo práctico: una evaluación completa al año (Nivel 1), con monitorización delta mensual entre medias (Nivel 4). Para superficies grandes, como las de hospitales y universidades, la monitorización mensual vale más que un escaneo puntual, porque los problemas suelen aparecer en elementos «recién abiertos».
¿Necesita una evaluación firmada?
Contáctenos para obtener un informe firmado, validación de hallazgos y monitorización periódica. El precio final se confirma tras una breve llamada de alcance.
Preguntas frecuentes
¿Qué diferencia hay entre un escaneo de la superficie de ataque (attack surface) externa y una prueba de penetración?
Un escaneo de la superficie de ataque (attack surface) genera un inventario y una clasificación de riesgos: qué se ve de usted desde fuera y qué parte de ello es arriesgada. Una prueba de penetración demuestra a mano que una de esas debilidades puede explotarse realmente. El primero es amplio y rápido; la segunda, acotada y profunda. Sin un escaneo, un pentest no tiene objetivo.
¿Necesita permiso un escaneo pasivo?
No. Un escaneo pasivo solo lee registros públicos de DNS y de certificados, y no se conecta a sus sistemas. Aun así, solo debe ejecutarse para dominios que usted gestione o que esté autorizado a evaluar. El escaneo activo y la validación de penetración requieren autorización por escrito.
¿Se corrigen los hallazgos como parte del escaneo?
El informe incluye una solución concreta para cada hallazgo (por ejemplo, un registro DNS que añadir, un puerto que cerrar, una versión que actualizar). Su propio equipo de TI o su proveedor de hosting pueden aplicar las correcciones; si lo solicita, ArveNova también ofrece apoyo en la implantación, que se presupuesta aparte.
¿De qué depende el precio?
Del número de activos visibles desde fuera: dominios, subdominios, IP públicas y servicios. El número de empleados u ordenadores no determina directamente el precio externo; el Nivel 3 (Active Directory) se tarifica por número de usuarios y campus, y el Nivel 2 por número de plataformas. El precio final se entrega por escrito tras una breve llamada de alcance.
Somos una pequeña empresa que solo tiene un sitio web. ¿Necesitamos esto?
Si tiene un sitio web y una dirección de correo, tiene una superficie de ataque externa. En las pequeñas empresas el problema más común y más barato de corregir es la brecha de suplantación de correo. El punto de partida es el Nivel 1; el precio se confirma tras una breve llamada de alcance según su número de activos.
¿En qué idioma está el informe?
El informe de Nivel 1 está en turco y firmado; se entrega en .md, PDF y DOCX. Los informes de monitorización se preparan en turco e inglés. Bajo solicitud, también se entrega una versión en inglés del informe de Nivel 1.