Hacking as a service (HaaS)

La superficie de ataque comprende los “lugares” físicos o digitales que posee una organización y que podrían ser comprometidos por un atacante y de esta manera facilitar un ciberataque.

El objetivo final de los ciberdelincuentes puede ser desde desplegar un ransomware y robar datos, reclutar máquinas para una botnet, descargar troyanos bancarios, o hasta instalar malware para minar criptomonedas. En conclusión: cuanto mayor sea la superficie de ataque, mayores serán las opciones que tienen los cibercriminales para apuntar a sus objetivos. 

SCASSI evalúa si la seguridad que ofrece la organización es lo suficientemente disuasoria como para desmotivar al atacante y hacerlo desistir de sus intenciones. Hacking as a Service (HaaS) es un servicio dirigido a todas las empresas interesadas en garantizar un servicio o producto seguro y un entorno confiable para sus clientes.

El servicio simula la motivación de un ciberdelincuente por atacar la empresa. El razonamiento es sencillo:

• Dedicamos el tiempo y recursos que un atacante emplearía en explorar la superficie de ataque de un objetivo.
• Si durante ese tiempo el hacker de SCASSI es capaz de lograr una intrusión en la seguridad de la organización, del servicio, o del producto, querrá decir que la empresa necesita reducir su superficie de ataque con mejoras de seguridad.
• El caso contrario no querrá decir que la empresa sea 100% segura, pero sí querrá decir que un atacante “convencional” seguramente desista de emplear más tiempo o recursos en su investigación y se centre en otros objetivos menos seguros.

A diferencia de un pentest, HaaS no prestablece el plan de pruebas a realizar. Se centra en conseguir un objetivo concreto, tal y como intentaría un ciberdelincuente: la cuenta de administración del servidor de copias de seguridad, el acceso a una cuenta de correo, introducir un malware dentro de un perímetro de seguridad, intentar una estafa al CEO, etc.

• HaaS es flexible y configurable. Cubre una gama de metodologías de prueba, incluyendo análisis estático y dinámico, análisis de composición de software, escaneo de aplicaciones web, pruebas de seguridad de aplicaciones de proveedor y más.
• HaaS permite a las organizaciones cumplir más fácilmente con regulaciones y legislación como ENS, LODPGDD, ISO 27001, o PCI DSS que requieren testar la seguridad de los activos.

El Equipo con el que contamos

Una de las principales ventajas de este servicio, es disponer de varios perfiles de Hackers auditando la superficie de ataque del objetivo, ya que los especialistas se encargan de estudiar la aplicación, definir el plan de pruebas y preparar sus ataques.

Para la realización de todas las pruebas, SCASSI confía y dispone de un departamento de RED TEAM propio, con las certificaciones profesionales más reconocidas en el sector de la ciberseguridad, como CEH y OSCP, lo que garantiza una calidad de resultados altamente satisfactoria que automáticamente es trasladada a nuestros clientes.

El Arsenal del que disponemos

A nivel de herramientas, el equipo dispone de un laboratorio de hacking con un gran abanico de aplicaciones propietarias como Nessus, Burp Suite o Acunetix u OpenSource como Nmap, OWASP ZAP, Metasploit, Veil-Evasion, etc.

Al final del servicio recibirá un informe con todas las evidencias de vulnerabilidad y explotación de sus sistemas.