# Basta un permiso mal puesto. Nosotros lo encontramos antes.

> Un test de penetración en la nube evalúa un entorno cloud como AWS, Azure, Microsoft 365 o Google Cloud en busca de errores de configuración y rutas de ataque: servicios y almacenamiento expuestos, identidades con privilegios excesivos, autenticación débil y formas de escalar de una cuenta a todo el tenant. Zyberum combina una revisión de la configuración con ataques prácticos y entrega hallazgos priorizados con sus correcciones.

Pentest en la nube y revisión de configuración de AWS, Azure, Microsoft 365 y Google Cloud: identidades, permisos y rutas de ataque. Precio cerrado.

Source: https://zyberum.com/es/pentest-cloud

La mayoría de los incidentes en la nube no son ataques al proveedor. Son almacenamiento abierto, claves olvidadas y roles que pueden demasiado. Revisamos su nube como lo haría un atacante: desde fuera y desde una cuenta comprometida.

## De internet a administrador del tenant

### Exposición externa

Almacenamiento público, puertos de gestión abiertos, sistemas de prueba olvidados y credenciales filtradas.

### Identidades y accesos

Roles y políticas que permiten escalar privilegios, falta de autenticación multifactor y cuentas de servicio de riesgo.

### Red y segmentación

Hasta dónde llega un atacante tras el primer punto de apoyo y qué frena el movimiento lateral.

### Cargas de trabajo

Máquinas virtuales, contenedores, Kubernetes y funciones serverless, con sus secretos.

### Registros y detección

¿Se daría cuenta? Comprobamos si nuestros ataques aparecen en sus registros y alertas.

### Microsoft 365 y Entra ID

Acceso condicional, usuarios invitados, registros de aplicaciones, reenvío de correo y opciones de uso compartido.

## Revisión y ataque

Empezamos con una revisión de la configuración con acceso de solo lectura, que cubre todo el entorno con rapidez. Después atacamos: desde internet y desde la posición de un usuario normal o de una carga de trabajo comprometida.

El resultado no es una lista de 400 ajustes. Son las pocas rutas que llevan de un pequeño error al control total, en el orden en que conviene cerrarlas.

**Qué recibe**

- Rutas de ataque, explicadas paso a paso
- Hallazgos priorizados por riesgo real
- Correcciones en forma de ajustes o políticas concretos
- Evidencias para auditorías de NIS2 e ISO 27001
- Retest tras la corrección

## FAQ

**¿Necesitamos permiso del proveedor de la nube?**

AWS, Azure y Google Cloud permiten a sus clientes hacer tests de penetración de sus propios recursos sin aprobación previa, dentro de las normas que publican. Seguimos esas normas y acordamos el alcance con usted por escrito.

**¿Qué acceso necesitan?**

Acceso de solo lectura para la revisión de la configuración y una cuenta de usuario normal para la parte de ataque. Nunca necesitamos sus credenciales de administrador.

**¿Es lo mismo que una auditoría de seguridad cloud?**

Una auditoría compara los ajustes con un estándar de referencia. Eso también lo hacemos, pero después intentamos explotar lo que encontramos, para que sepa qué problemas importan de verdad.

---
Zyberum GmbH. Canonical page: https://zyberum.com/es/pentest-cloud