Evaluación de Red Externa
La evaluación externa evalúa cada sistema expuesto a Internet en busca de vulnerabilidades explotables: servicios sin parches, interfaces de administración expuestas, cifrado débil, credenciales predeterminadas y divulgación de información. Este es su perímetro: la superficie de ataque visible para cualquier persona en Internet. PCI DSS requiere un escaneo ASV externo trimestral de todos los sistemas en el entorno de datos del titular de la tarjeta.
Evaluación de Red Interna
La evaluación interna evalúa los sistemas detrás de su firewall: servidores, estaciones de trabajo, dispositivos de red, Active Directory y aplicaciones internas. Las vulnerabilidades internas permiten el movimiento lateral después de la primera intrusión, que es la forma en que la mayoría de las brechas escalan desde el acceso inicial hasta el compromiso total.
Escaneo Autenticado vs No Autenticado
Los escaneos no autenticados prueban desde una perspectiva no autenticada, identificando vulnerabilidades visibles externamente. Los escaneos autenticados se autentican en los sistemas de destino y evalúan las configuraciones, el software instalado y la configuración interna con mucha mayor precisión y muchos menos falsos positivos. Utilice siempre el escaneo autenticado para las evaluaciones internas.
Del Escaneo a la Solución
Los hallazgos de la evaluación de la red suelen incluir parches faltantes (aplique las actualizaciones del proveedor), configuraciones erróneas del servicio (refuerce según los CIS Benchmarks), servicios expuestos (restrinja el acceso a través de reglas de firewall) y credenciales débiles (aplique políticas de contraseñas). La evaluación de vulnerabilidades de red de Penetrify combina el escaneo automatizado para una amplia cobertura de la infraestructura con un Penetration Testing manual que valida si los hallazgos del escaneo son genuinamente explotables.
En Resumen
La evaluación de vulnerabilidades de la red proporciona la línea base de seguridad de la infraestructura que requieren los marcos de cumplimiento. Penetrify combina el escaneo automatizado de la red con las pruebas de explotación manuales para una cobertura completa.