Qué de lo suyo está expuesto a internet, y qué corregir primero
Analizamos sus servidores y sus webs desde fuera, como los vería un atacante, y le entregamos un informe ordenado por riesgo real, con la evidencia de cada hallazgo.
Qué hacemos
01Miramos qué tiene publicado: qué puertos y servicios responden, qué versiones corren y qué vulnerabilidades conocidas tienen.
02Priorizamos por riesgo real, no por puntuación teórica: pesa mucho más que algo se esté explotando ahora mismo —catálogo KEV de CISA— y su probabilidad de explotación —EPSS— que un número alto sin contexto.
03Le entregamos un informe con la evidencia de cada hallazgo y los pasos concretos para corregirlo, más un diferencial de qué ha cambiado desde el análisis anterior.
Qué no hacemos
—No explotamos las vulnerabilidades que encontramos.
—No modificamos nada en sus sistemas y no extraemos datos.
—No hacemos pruebas de carga ni de denegación de servicio, ni fuerza bruta de contraseñas, ni engaño a su personal.
—No corregimos por usted. El entregable es un informe; qué se toca y cuándo lo decide usted.
Trabajamos a ritmo deliberadamente limitado para no afectar a su servicio. Puede pedirnos que paremos en cualquier momento, sin explicar por qué.
Lo que un análisis externo no puede ver
Esto no suele contarse, y es la diferencia entre un informe útil y una lista que asusta sin fundamento.
·Debian, Ubuntu y Red Hat corrigen fallos de seguridad sin cambiar el número de versión. Desde fuera, una máquina completamente al día y una sin parchear pueden anunciar exactamente lo mismo. Cuando lo único que relaciona un fallo con su máquina es ese número, lo marcamos como potencial y lo contamos aparte: nunca como hallazgo confirmado.
·No vemos si la máquina se reinició después de actualizar, así que no sabemos si sigue ejecutando en memoria el programa viejo.
·No vemos las reglas del cortafuegos de su proveedor de nube, ni nada que no esté expuesto a internet.
Cerrar ese hueco exige credenciales o un programa instalado en la máquina, y eso es otro servicio y otra conversación. Se lo decimos antes de venderle nada, no después: si alguien le promete certeza total desde fuera, no la tiene.
Sin su autorización no se escanea
No es una promesa comercial, es un control técnico. Antes de cada análisis, nuestro motor consulta si existe una autorización vigente que cubra ese objetivo concreto, y se niega a ejecutarse si no la encuentra.
La autorización la otorga usted desde un formulario, declarando exactamente qué activos entran y entre qué fechas. Caduca sola. Lo que no figure en esa lista queda fuera, aunque sea suyo.
Quiénes somos
Empresa
Calutera LLC
Domicilio
30 North Gould Street, Sheridan, WY 82801, Estados Unidos