La observación pasiva corresponde exclusivamente a P0: fuentes públicas externas sin interacción directa con el activo. P1 implica navegación ordinaria autorizada; A1 y A2 implican pruebas activas; A3 cubre encargos especiales dentro de los límites vigentes.
Informe preliminar y revisión a consulta
Partimos con un informe preliminar de superficie pública P0 sin costo. Usa fuentes públicas de terceros, sin solicitudes a tus sistemas ni confirmación de vulnerabilidades.
P1, A1, A2 y A3 se contratan a consulta, según los activos, las técnicas y los permisos que requiere tu empresa. La propuesta define alcance, límites, responsables y condiciones antes de comenzar.
Niveles de actividad
Tratamos estos niveles como permisos técnicos, no como etiquetas de una presentación. Incluir un dominio en el alcance no habilita automáticamente todas las acciones posibles sobre él.
Antes del contrato
Trabajamos con información pública: buscadores e índices, registros RDAP o WHOIS, Certificate Transparency, DNS pasivo de proveedores legítimos, repositorios y documentación publicados abiertamente, tecnologías declaradas en ofertas laborales, y la existencia o ausencia de un canal público de seguridad.
El resultado se llama informe preliminar de superficie pública, no reporte de vulnerabilidad. Puede señalar activos atribuibles, activos históricos que conviene revisar y señales que justifican una evaluación autorizada. No incluye pruebas de concepto, credenciales, datos personales ni severidades sin validar.
Lo que no hacemos antes de un contrato
Nada de escaneo de puertos, enumeración automatizada de rutas, fuzzing, manipulación de parámetros, pruebas de autenticación o de límites de solicitudes, uso de credenciales filtradas, carga de payloads ni extracción de datos aunque parezcan expuestos. Una señal obtenida antes del contrato nunca se valida activamente.
Requisitos de las pruebas activas
Recién con contrato, identidad y facultades verificadas, activos individualizados, exclusiones versionadas, Rules of Engagement aprobadas, ventana y límites técnicos definidos, contactos de emergencia y kill switch disponible, se realizan las pruebas activas de bajo impacto. Según el alcance acordado, pueden incluir:
- descubrimiento activo de subdominios autorizados;
- inventario limitado de puertos y servicios;
- revisión de TLS, DNS, headers y configuraciones;
- revisión de aplicaciones y APIs incluidas en el alcance;
- autenticación con cuentas de prueba que entrega el cliente;
- revisión de sesiones, cookies, CORS y controles de acceso;
- comparación entre cuentas sintéticas para revisar controles; confirmar acceso indebido requiere A2.
Cuando hay que demostrar que un hallazgo es real, usamos la mínima evidencia necesaria y nos detenemos en el primer impacto suficiente. Si aparece información sensible que no esperábamos, la prueba se suspende y escala a revisión humana.
Límites del servicio vigente
Estas actividades quedan excluidas en los cinco niveles, incluido A3:
- denegación de servicio o pruebas de estrés
- ingeniería social, phishing o pruebas físicas
- malware, ransomware, persistencia, movimiento lateral o puertas traseras
- destrucción, cifrado o modificación de datos reales
- exfiltración de datos reales o extracción masiva de información
- ocultamiento deliberado del origen de las pruebas
- uso de credenciales reales filtradas
- acceso por curiosidad a datos de clientes o empleados
- transacciones económicas reales
- pruebas sobre infraestructura de proveedores o terceros sin permiso verificable
- divulgación pública no coordinada
- reutilización de datos de clientes para entrenar modelos generales
Encargos A3, frecuencia y manejo de evidencia
Redes internas, cloud con privilegios altos, CI/CD y sistemas de pago con datos de prueba se evalúan como encargos A3 separados. Exigen un anexo, especialistas y límites propios del encargo. La infraestructura de un proveedor requiere además permiso verificable de su titular u operador; el permiso del cliente por sí solo no basta.
La frecuencia, las ventanas y la cobertura se acuerdan por contrato. La revisión recurrente no equivale a supervisión ininterrumpida ni a un SOC 24/7.
Al cerrar el caso, la evidencia se elimina o se devuelve según el anexo de datos, y se conserva únicamente el registro mínimo necesario para auditoría contractual.
